C_2022015DA.01021801.xml

P9_TA(2021)0262

Tilstrækkelig beskyttelse af personoplysninger i Det Forenede Kongerige

Europa-Parlamentets beslutning af 21. maj 2021 om tilstrækkelig beskyttelse af personoplysninger i Det Forenede Kongerige (2021/2594(RSP))

(2022/C 15/23)

Europa-Parlamentet,

—	der henviser til Den Europæiske Unions charter om grundlæggende rettigheder (chartret), særlig artikel 7, 8, 16, 47 og 52,

—	der henviser til EU-Domstolens dom af 16. juli 2020 i sag C-311/18, Data Protection Commissioner mod Facebook Ireland Limited og Maximillian Schrems (Schrems II-dommen) (1),

—	der henviser til Domstolens dom af 6. oktober 2015 i sag C-362/14, Maximillian Schrems mod Data Protection Commissioner (Schrems I-dommen) (2),

—	der henviser til Domstolens dom af 6. oktober 2020 i sag C-623/17, Privacy International mod Secretary of State for Foreign and Commonwealth Affairs (3),

—	der henviser til sin beslutning af 12. marts 2014 om USA's NSA-overvågningsprogram, overvågningsorganer i forskellige medlemsstater og deres indvirkning på EU-borgeres grundlæggende rettigheder samt om det transatlantiske samarbejde inden for retlige og indre anliggender (4),

—	der henviser til sin beslutning af 5. juli 2018 om tilstrækkeligheden af den beskyttelse, der opnås ved hjælp af EU's og USA's værn om privatlivets fred (EU-US Privacy Shield) (5),

—	der henviser til sin beslutning af 25. oktober 2018 om Cambridge Analyticas anvendelse af Facebook-brugeres personlige oplysninger og indvirkningen på databeskyttelse (6),

—	der henviser til sin beslutning af 20. maj 2021 om Domstolens dom af 16. juli 2020, Data Protection Commissioner mod Facebook Ireland Limited og Maximillian Schrems (»Schrems II«), Sag C-311/18 (7),

—	der henviser til sin beslutning af 26. november 2020 om revision af EU's handelspolitik (8),

—	der henviser til handels- og samarbejdsaftalen af 31. december 2020 mellem Den Europæiske Union og Det Europæiske Atomenergifællesskab på den ene side og Det Forenede Kongerige Storbritannien og Nordirland på den anden side (9),

—	der henviser til sin beslutning af 28. april 2021 om resultatet af forhandlingerne mellem EU og Det Forenede Kongerige (10),

—	der henviser til Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (den generelle forordning om databeskyttelse) (11) (GDPR),

—

der henviser til Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger (12) (direktivet om databeskyttelse på retshåndhævelsesområdet),

—	der henviser til Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (13),

—	der henviser til Kommissionens forslag af 10. januar 2017 til Europa-Parlamentets og Rådets forordning om respekt for privatliv og beskyttelse af personoplysninger i forbindelse med elektronisk kommunikation (COM(2017)0010) og Europa-Parlamentets holdning hertil, vedtaget den 20. oktober 2017 (14),

—

der henviser til henstillingerne fra Det Europæiske Databeskyttelsesråd, herunder dets erklæring af 9. marts 2021 om e-databeskyttelsesforordningen og dets henstilling 01/2020 af 10. november 2020 om foranstaltninger, der supplerer overførselsværktøjer med henblik på at sikre, at beskyttelsen af personoplysninger er på EU-niveau,

—	der henviser til den »adequacy referential«, der blev vedtaget af Artikel 29-Gruppen vedrørende Databeskyttelse den 6. februar 2018 og godkendt af Databeskyttelsesrådet,

—	der henviser til Databeskyttelsesrådets henstilling 01/2021 af 2. februar 2021 om »adequacy referential« i henhold til direktivet om databeskyttelse på retshåndhævelsesområdet,

—	der henviser til de udkast til afgørelser om tilstrækkeligheden af beskyttelsesniveauet, som Kommissionen offentliggjorde den 19. februar 2021, det ene i henhold til GDPR (15) og det andet i henhold til direktivet om databeskyttelse på retshåndhævelsesområdet (16),

—	der henviser til Databeskyttelsesrådets udtalelse 14/2021 og 15/2021 af 13. april 2021 om Europa-Kommissionens udkast til gennemførelsesafgørelse i henhold til direktiv (EU) 2016/680 om tilstrækkelig beskyttelse af personoplysninger i Det Forenede Kongerige,

—	der henviser til den europæiske menneskerettighedskonvention (EMRK) og til Europarådets konvention om beskyttelse af det enkelte menneske i forbindelse med elektronisk databehandling af personoplysninger samt ændringsprotokollen hertil (»konvention 108+«), som Det Forenede Kongerige er part i,

—	der henviser til Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 af 16. februar 2011 om de generelle regler og principper for, hvordan medlemsstaterne skal kontrollere Kommissionens udøvelse af gennemførelsesbeføjelser,

—	der henviser til forretningsordenens artikel 132, stk. 2,

—	der henviser til forslag til beslutning fra Udvalget om Borgernes Rettigheder og Retlige og Indre Anliggender,

der henviser til, at muligheden for at overføre personoplysninger hen over landegrænser har potentiale til at være en vigtig drivkraft for innovation, produktivitet og økonomisk konkurrenceevne og er af afgørende betydning for et effektivt samarbejde om bekæmpelsen af grænseoverskridende organiseret og grov kriminalitet og kampen mod terrorisme, som i stigende grad afhænger af udveksling af personoplysninger;

der henviser til, at Domstolen i sin dom i Schrems I-sagen påpegede, at vilkårlig adgang for efterretningsmyndigheder til indholdet af elektronisk kommunikation er i strid med det væsentligste indhold af retten til kommunikationshemmelighed som omhandlet i chartrets artikel 7, og at USA ikke giver ikke-amerikanske personer tilstrækkelige retsmidler mod masseovervågning i strid med chartrets artikel 47;

der henviser til, at Det Forenede Kongerige traditionelt har været en vigtig handelspartner for mange EU-medlemsstater og en nær allieret på sikkerhedsområdet; der henviser til, at EU og Det Forenede Kongerige bør opretholde dette tætte samarbejde på trods af Det Forenede Kongeriges udtræden af EU, eftersom dette vil være til gavn for begge parter;

der henviser til, at de europæiske virksomheder har behov for juridisk klarhed og sikkerhed, eftersom muligheden for at overføre personoplysninger på tværs af grænserne er blevet stadig vigtigere for alle typer virksomheder, der leverer varer og tjenesteydelser internationalt; der henviser til, at en tilstrækkelighedsafgørelse for Det Forenede Kongerige i henhold til GDPR er af allerstørste betydning, eftersom mange europæiske virksomheder handler over Kanalen, og især i betragtning af, at brexit stadig er meget nyt, og at datastrømme inden for EU ikke har været underlagt begrænsninger før; der henviser til, at der, hvis der ikke vedtages en solid ramme for tilstrækkelig beskyttelse, vil være risiko for forstyrrelser i den erhvervsmæssige grænseoverskridende overførsel af personoplysninger mellem EU og Det Forende Kongerige og høje efterlevelsesomkostninger;

der henviser til, at handels- og samarbejdsaftalen indeholder en række garantier og betingelser for udveksling af relevante personoplysninger i forbindelse med retshåndhævelse; der henviser til, at der blev afholdt forhandlinger om udveksling af personoplysninger parallelt med forhandlingerne om handels- og samarbejdsaftalen, men at disse ikke blev afsluttet inden udgangen af overgangsperioden den 31. december 2020; der henviser til, at der blev indført en »passerellebestemmelse« i handels- og samarbejdsaftalen som en midlertidig løsning, der var betinget af et tilsagn fra Det Forenede Kongerige om ikke at ændre sin nuværende databeskyttelsesordning, for at sikre en fortsættelse af udveksling af personoplysninger mellem Det Forenede Kongerige og EU, indtil der vedtages en tilstrækkelighedsafgørelse; der henviser til, at den indledende periode på fire måneder er blevet forlænget og udløber ved udgangen af juni 2021;

der henviser til, at den vurdering, Kommissionen foretog, før den fremlagde sit udkast til gennemførelsesafgørelse, var ufuldstændig og ikke var i overensstemmelse med EU-Domstolens krav til vurderinger af tilstrækkeligheden af beskyttelsesniveauet, hvilket Databeskyttelsesrådet påpegede i sine udtalelser om tilstrækkeligheden af beskyttelsesniveauet, hvor det rådede Kommissionen til yderligere at vurdere specifikke aspekter af britisk ret og praksis vedrørende masseindsamling, videregivelse til tredjelande og internationale aftaler på området for udveksling af efterretninger, yderligere brug af de oplysninger, der indsamles med henblik på retshåndhævelse, og uafhængigheden af retslige kommissærer;

der henviser til, at Kommissionen har undladt at tage stilling til visse aspekter af britisk ret og/eller praksis, hvilket har betydet, at den har udarbejdet udkast til gennemførelsesafgørelser, som ikke er i overensstemmelse med EU-retten; der henviser til, at det hedder i artikel 45 i GDPR, at »ved vurdering af beskyttelsesniveauets tilstrækkelighed tager Kommissionen navnlig [hensyn til] … relevant lovgivning, både generel og sektorbestemt, herunder vedrørende offentlig sikkerhed, forsvar, statens sikkerhed og strafferet og offentlige myndigheders adgang til personoplysninger, samt gennemførelsen af sådan lovgivning, databeskyttelsesregler, faglige regler og sikkerhedsforanstaltninger, herunder regler for videreoverførsel af personoplysninger til et andet tredjeland eller en anden international organisation, der gælder i dette land eller denne internationale organisation, retspraksis«, og »de internationale forpligtelser, som tredjelandet eller den internationale organisation har påtaget sig, eller andre forpligtelser, der følger af retligt bindende konventioner eller instrumenter og af landets eller organisationens deltagelse i multilaterale eller regionale systemer, navnlig vedrørende beskyttelse af personoplysninger«, hvilket omfatter internationale aftaler på andre områder, som indebærer adgang til oplysninger eller udveksling af oplysninger og derfor kræver en vurdering af sådanne internationale aftaler;

der henviser til, at Domstolen i sin dom i Schrems I-sagen fastslog, at »Kommissionen under vurderingen af et tredjelands beskyttelsesniveau [er] forpligtet til at bedømme såvel indholdet af de regler, der finder anvendelse i dette land, og som følger af landets nationale lovgivning eller internationale forpligtelser, som den praksis, hvorved det tilsigtes at sikre overholdelsen af disse regler, idet den nævnte institution i overensstemmelse med artikel 25, stk. 2, i direktiv 95/46/EF skal tage hensyn til samtlige de forhold, der vedrører en videregivelse af personoplysninger til et tredjeland« (præmis 75);

der henviser til, at efterretningstjenesters aktiviteter og udveksling med tredjelande i henhold til traktaterne er udelukket fra anvendelsesområdet for EU-retten, når det gælder medlemsstaterne, da de pågældende aktiviteter er omfattet af den nødvendige vurdering af tilstrækkeligheden af beskyttelsesniveauet for personoplysninger i tredjelande, som bekræftet af Domstolen i dommene i Schrems I- og II-sagerne;

J.	der henviser til, at standarder for databeskyttelse ikke kun afhænger af, at der er vedtaget lovgivning, men også af anvendelsen af denne lovgivning i praksis, og at Kommissionen kun vurderede lovgivningen, ikke den faktiske anvendelse i praksis, da den udarbejdede sin afgørelse;

der henviser til, at Kommissionen i øjeblikket anerkender, at 12 tredjelande sikrer tilstrækkelig beskyttelse i henhold til GDPR, og for nylig har afsluttet drøftelser med Republikken Korea i denne henseende; der henviser til, at Det Forenede Kongerige er det første land, for hvilket Kommissionen har påtænkt at træffe en tilstrækkelighedsbeslutning i henhold til retshåndhævelsesdirektivet;

der henviser til, at Det Forenede Kongeriges tilfælde er forskelligt fra alle tidligere tilstrækkelighedsafgørelser, da det drejer sig om en tidligere EU-medlemsstat, der har indarbejdet bestemmelserne i GDPR i sin nationale ret og desuden har fastsat, at al »EU-afledt national lovgivning«, herunder lovgivning til gennemførelse af retshåndhævelsesdirektivet, fortsat vil gælde efter udløbet af overgangsperioden;

I. DEN GENERELLE FORORDNING OM DATABESKYTTELSE

Generelle bemærkninger

konstaterer, at Det Forenede Kongerige har undertegnet EMRK og Europarådets konvention om beskyttelse af det enkelte menneske i forbindelse med elektronisk databehandling af personoplysninger; forventer, at Det Forenede Kongerige sikrer de samme minimumsregler for databeskyttelse, selv om det har forladt Den Europæiske Union;

konstaterer med tilfredshed, at Det Forenede Kongerige har givet tilsagn om at respektere demokratiet og retsstatsprincippet og beskytte og internt anvende grundlæggende rettigheder svarende til dem, der er fastsat i EMRK, herunder høje databeskyttelsesniveauer; minder om, at dette er en nødvendig forudsætning for EU's samarbejde med Det Forenede Kongerige; minder om, at bestræbelserne for at inkludere en grundlæggende ret til databeskyttelse blev nedstemt af regeringen til trods for, at artikel 8 i EMRK om retten til privatlivets fred er en del af Det Forenede Kongeriges nationale ret via Human Rights Act 1998 og den nye common law-bestemmelse om misbrug af personoplysninger;

påpeger, at EU har valgt en tilgang til datastyring, der er fokuseret på menneskerettigheder, i forbindelse med udviklingen af robuste databeskyttelsesregler i GDPR, og er derfor dybt bekymret over offentlige udtalelser fra den britiske premierminister om, at Det Forenede Kongerige vil søge at afvige fra EU's databeskyttelsesregler og etablere sine egne »suveræne« kontrolmekanismer på området; mener, at Det Forenede Kongeriges nationale datastrategi fra 2020 udgør et skift fra beskyttelse af personoplysninger til mere udbredt brug og deling af data, hvilket er uforeneligt med principperne om rimelighed, dataminimering og formålsbegrænsning i henhold til GDPR; konstaterer, at Databeskyttelsesrådet i sine udtalelser om tilstrækkeligheden af beskyttelsesniveauet fremhævede, at dette kan føre til mulige risici i forbindelse med beskyttelsen af personoplysninger, der overføres fra EU;

påpeger, at gyldige tilstrækkelighedsafgørelser i høj grad bidrager til beskyttelsen af borgernes grundlæggende rettigheder og virksomhedernes retssikkerhed; understreger dog, at tilstrækkelighedsafgørelser, der er baseret på ufuldstændige vurderinger og uden tilstrækkelig håndhævelse fra Kommissionens side, kan have den modsatte virkning, hvis de anfægtes ved domstolene;

påpeger, at den vurdering, Kommissionen foretog, før den fremlagde sit udkast til gennemførelsesafgørelse, var ufuldstændig og ikke var i overensstemmelse med EU-Domstolens krav til vurderinger af tilstrækkeligheden af beskyttelsesniveauet, hvilket Databeskyttelsesrådet påpegede i sine udtalelser om tilstrækkeligheden af beskyttelsesniveauet, hvor det rådede Kommissionen til yderligere at vurdere specifikke aspekter af britisk ret og praksis vedrørende masseindsamling, videregivelse til tredjelande og internationale aftaler på området for udveksling af efterretninger, yderligere brug af de oplysninger, der indsamles med henblik på retshåndhævelse, og uafhængigheden af retslige kommissærer;

Håndhævelse af GDPR

udtrykker sin bekymring over den mangelfulde og ofte ikkeeksisterende håndhævelse af GDPR, som karakteriserede Det Forenede Kongerige, da det stadig var medlem af EU; påpeger navnlig, at den britiske informationskommissærs håndhævelse var mangelfuld; peger på eksemplet med den britiske informationskommissær, der afsluttede en klage over AdTech efter at have holdt to arrangementer for interessenter, skrev en rapport (»Update Report on Adtech«) og erklærede, at »AdTech-branchen synes at være umoden i sin forståelse af kravene til databeskyttelse«, uden at have brugt nogen af sine håndhævelsesbeføjelser (17); er bekymret for, at denne manglende håndhævelse er et strukturelt problem, som beskrevet i informationskommissærens »Regulatory Action Policy«, hvor følgende udtrykkeligt angives: »I de fleste tilfælde vil vi kun bruge vores beføjelser i de mest alvorlige tilfælde, som repræsenterer de mest alvorlige brud på forpligtelserne vedrørende oplysningsrettigheder. Disse vil typisk omfatte forsætlige, bevidste eller uagtsomme handlinger eller gentagne overtrædelser af forpligtelserne vedrørende oplysningsrettigheder, der forårsager skade eller tab for enkeltpersoner«; understreger, at dette i praksis har betydet, at mange brud på databeskyttelsesretten i Det Forenede Kongerige derfor ikke er blevet afhjulpet;

noterer sig Det Forenede Kongeriges nationale datastrategi, som blev ajourført den 9. december 2020, og som tyder på, at der vil ske et skift fra beskyttelse af personoplysninger til øget og mere udbredt anvendelse og udveksling af data; påpeger, at den holdning, at »tilbageholdelse af data kan have negative konsekvenser for samfundet«, som angivet i strategien, ikke er i overensstemmelse med principperne om dataminimering og formålsbegrænsning i henhold til GDPR og primærretten;

bemærker, at Det Forenede Kongeriges parlaments udvalg for konstitutionelle anliggender i 2004 (18) og udvalg for offentlige anliggender i 2014 (19) anbefalede at sikre informationskommissærens uafhængighed ved at gøre kommissæren til en embedsmand i parlamentet, som står til ansvar over for parlamentet, frem for fortsat at lade kommissæren blive udnævnt af ministeren for digitale medier og sport; beklager, at denne anbefaling ikke er blevet fulgt;

Databehandling med henblik på indvandringskontrol

bemærker, at britisk databeskyttelsesret indeholder en undtagelse fra visse aspekter af de grundlæggende databeskyttelsesrettigheder og -principper såsom retten til indsigt og den registreredes ret til at vide, hvem vedkommendes oplysninger er blevet delt med, der kan fraviges, hvis en sådan beskyttelse ville skade en effektiv indvandringskontrol; understreger, at overvågningen af anvendelsen af undtagelsen og overholdelsen af reglerne skal foregå i overensstemmelse med de standarder, der fremgår af »adequacy referential«, som stiller krav om hensyntagen til praksis såvel som princip ved at påpege, at det er nødvendigt at tage højde for ikke blot indholdet af de regler, der gælder for videregivelse af personoplysninger til et tredjeland, men også det system, der skal sikre disse reglers virkning; anerkender, at denne undtagelse, som kan benyttes af alle registeransvarlige i Det Forenede Kongerige, er blevet godkendt af informationskommissæren og en domstol og kun kan påberåbes fra sag til sag og finde anvendelse, når det er nødvendigt og står i rimeligt forhold til målet; minder om den nylige afsløring af, at der blev indgivet 17 780 anmodninger om adgang til data, der blev behandlet af indenrigsministeriet mellem den 1. april 2018 og den 31. marts 2019, om 146,75 millioner registrerede, og at undtagelsen vedrørende indvandring blev anvendt over for mere end 70 % af anmodningerne fra registrerede til indenrigsministeriet i 2020 (20); understreger, at selv i de tilfælde, hvor indenrigsministeriet anvendte undtagelsen, blev adgangen til oplysninger ikke afvist fuldt ud, men begrænset til redigerede dokumenter;

10.

bemærker, at denne undtagelse nu finder anvendelse på EU-borgere, der bor eller planlægger at tage ophold i Det Forenede Kongerige; er stærkt bekymret over, at undtagelsen fjerner centrale ansvarliggørelses- og klagemuligheder, og understreger, at dette ikke er et tilstrækkeligt beskyttelsesniveau;

11.

gentager sin alvorlige bekymring over fravigelsen af registreredes rettigheder i Det Forenede Kongeriges indvandringspolitik; gentager sin holdning om, at undtagelsen vedrørende behandling af personoplysninger i indvandringssammenhæng i henhold til Det Forenede Kongeriges databeskyttelseslov skal ændres, inden der kan træffes en gyldig tilstrækkelighedsafgørelse, som Europa-Parlamentet gentagne gange har givet udtryk for, herunder i sin beslutning af 12. februar 2020 om det foreslåede forhandlingsmandat med henblik på et nyt partnerskab med Det Forenede Kongerige Storbritannien og Nordirland (21) og udtalelsen af 5. februar 2021 fra Udvalget om Borgernes Rettigheder og Retlige og Indre Anliggender (22); opfordrer Kommissionen til at forsøge at få fjernet immigrationsundtagelsen eller sikre, at den reformeres på en sådan måde, at undtagelsen og brugen heraf giver tilstrækkelig sikkerhed for de registrerede personer og ikke bryder med de standarder, der forventes af et tredjeland;

Masseovervågning

12.

minder om whistlebloweren Edward Snowdens afsløringer af masseovervågning fra USA's og Det Forenede Kongeriges side; minder om, at Det Forenede Kongeriges Tempora-program, der drives af det statslige kommunikationshovedkvarter (GCHQ), opsnapper kommunikation i realtid via internettets fiberoptiske backbone-kabler og registrerer dataene, så de kan anvendes til behandling og søgning på et senere tidspunkt; minder om, at denne masseovervågning af kommunikationsindhold og metadata finder sted, uanset om der er nogen specifik mistanke eller nogen måldata;

13.

minder om, at Domstolen i dommene i sagerne Schrems I og Schrems II fastslog, at masseadgang til indholdet af privat kommunikation berører kernen i retten til privatlivets fred, og at det i sådanne tilfælde ikke længere er nødvendigt at efterprøve nødvendigheden og proportionaliteten; understreger, at disse principper gælder for videregivelse af data til andre tredjelande end USA, herunder Det Forenede Kongerige;

14.

minder om, at det i sin beslutning af 12. marts 2014 påpegede, at GCHQ's brug af masseovervågningsprogrammer, der er vilkårlig og ikke bygger på nogen konkrete mistanker, er uforenelig med principperne om nødvendighed og proportionalitet i et demokratisk samfund og ikke er i tilstrækkelig overensstemmelse med EU-retten; erkender, at Det Forenede Kongerige siden har reformeret sin lovgivning om overvågning og indført sikkerhedsforanstaltninger, der er mere vidtrækkende end de betingelser, EU-Domstolen fastsatte i Schrems II-dommen (23), og de sikkerhedsforanstaltninger, der er indført i de fleste medlemsstaters lovgivning om overvågning; glæder sig navnlig over indførelsen af fuld adgang til effektiv domstolsprøvelse; minder om, at FN's særlige rapportør om retten til privatlivets fred har givet udtryk for sin tilfredshed med de stærke sikkerhedsforanstaltninger, der blev indført med Investigatory Powers Act 2016 (IPA), hvad angår nødvendighed, proportionalitet og uafhængig tilladelse fra en domstol;

15.

minder om, at Den Europæiske Menneskerettighedsdomstol i september 2018 bekræftede, at Det Forenede Kongeriges programmer for masseaflytning og lagring af data, herunder Tempora, var »ulovlige og uforenelige med de betingelser, der er nødvendige for et demokratisk samfund« (24);

16.

finder det uacceptabelt, at udkastene til tilstrækkelighedsafgørelser ikke inddrager spørgsmålet om manglende begrænsninger af Det Forenede Kongeriges brug af sine beføjelser inden for bulkdata eller den faktiske brug af Det Forenede Kongeriges og USA's fælles overvågningsoperationer som afsløret af Edward Snowden, herunder at:

a)	der ikke er noget effektivt væsentligt tilsyn fra informationskommissærens eller domstolenes side af brugen af undtagelsen vedrørende statens sikkerhed i Det Forenede Kongeriges databeskyttelsesret

b)	begrænsningerne af Det Forenede Kongeriges brug af beføjelser inden for bulkdata ikke er fastsat i selve lovgivningen, som krævet af Domstolen (men snarere overlades til den udøvende magts skøn under »respektfuld« domstolskontrol)

beskrivelsen af »sekundære data« (metadata) i udkastene til afgørelser er ekstremt vildledende og ikke indeholder bemærkninger om, at sådanne data kan være meget afslørende og indgribende og underkastes avancerede automatiserede analyser (som konstateret af Domstolen i sagen »Digital Rights Ireland« (25)), men at metadata i Det Forenede Kongeriges ret ikke er beskyttet på en meningsfuld måde mod Det Forenede Kongeriges efterretningstjenesters uberettigede adgang, indsamling af bulkdata og AI-baserede analyser

d)	»5 Eyes«-agenturerne, navnlig GCHQ og National Security Agency (NSA), i praksis reelt udveksler alle efterretningsdata;

påpeger endvidere, at Det Forenede Kongeriges statsborgere i forholdet til USA er beskyttet af visse uformelle sikkerhedsforanstaltninger aftalt mellem GCHQ og NSA; udtrykker dyb bekymring over, at disse sikkerhedsforanstaltninger ikke vil beskytte unionsborgere eller personer med bopæl i EU, hvis data kan videregives og deles med NSA;

17.

opfordrer medlemsstaterne til at indgå aftaler med Det Forenede Kongerige om ikke at bruge spionage og opfordrer Kommissionen til at bruge dialogen med sine modparter i Det Forenede Kongerige til at formidle det budskab, at hvis Det Forenede Kongeriges overvågningslovgivning og -praksis ikke bliver ændret, vil den eneste mulighed for at opnå tilstrækkelighedsafgørelser være at indgå aftaler med medlemsstaterne om ikke at bruge spionage;

Videreoverførsel

18.

understreger på det kraftigste, at European Union (Withdrawal) Act 2018 fastsætter, at den retspraksis, der er genereret ved Domstolen inden overgangsperiodens udløb, vil blive »retained EU law« (bibeholdt EU-ret) og dermed juridisk bindende for Det Forenede Kongerige; påpeger, at Det Forenede Kongerige er bundet af de principper og betingelser, der er fastlagt i Domstolens domme i sagerne Schrems I og Schrems II, når det vurderer tilstrækkeligheden af beskyttelsesniveauet i andre tredjelande; er bekymret over, at de britiske domstole ikke desto mindre ikke længere vil anvende chartret; påpeger, at Det Forenede Kongerige ikke længere henhører under kompetenceområdet for Domstolen, som er den højeste instans, der kan fortolke chartret;

19.

påpeger, at Det Forenede Kongeriges regler om deling af personoplysninger i henhold til Digital Economy Act 2017 og om videreoverførsel af forskningsdata klart ikke kan siges »i det væsentlige at svare til« reglerne i GDPR som fortolket af Domstolen;

20.

er bekymret over, at Det Forenede Kongerige har givet sig selv ret til at erklære, at andre tredjelande eller territorier yder tilstrækkelig databeskyttelse, uanset om EU har konstateret, at det er tilfældet; minder om, at Det Forenede Kongerige allerede har erklæret, at Gibraltar yder tilstrækkelig databeskyttelse, selv om EU ikke har gjort det; er stærkt bekymret for, at en britisk tilstrækkelighedsstatus derfor vil føre til, at EU's regler om overførsler til lande eller territorier, der ikke anses for at have et tilstrækkeligt beskyttelsesniveau i henhold til EU-retten, omgås;

21.

konstaterer, at Det Forenede Kongerige den 1. februar 2021 sendte en anmodning om optagelse i det omfattende og progressive Stillehavspartnerskab (CPTPP), navnlig for at »drage fordel af moderne digitale handelsregler, der gør det muligt at udveksle data frit mellem medlemmerne, fjerne unødige hindringer for virksomheder [osv.]«; konstaterer med bekymring, at otte af de 11 medlemmer af CPTPP ikke har en tilstrækkelighedsafgørelse fra EU; er stærkt betænkelig ved muligheden for, at personoplysninger om unionsborgere eller personer med bopæl i EU kan videreoverføres til disse lande, hvis Det Forenede Kongerige får en tilstrækkelighedsafgørelse (26);

22.

beklager, at Kommissionen ikke har vurderet virkningen af og de potentielle risici ved aftalen mellem Det Forenede Kongerige Storbritannien og Nordirland og Japan om et omfattende økonomisk partnerskab, som omfatter bestemmelser om personoplysninger og databeskyttelsesniveauet;

23.

påpeger med foruroligelse, at hvis Det Forenede Kongerige indføjer bestemmelser om dataoverførsler i sine fremtidige handelsaftaler, bl.a. med USA, vil det beskyttelsesniveau, der er fastlagt i GDPR, blive undergravet;

II. DIREKTIVET OM DATABESKYTTELSE PÅ RETSHÅNDHÆVELSESOMRÅDET

24.

fremhæver, at Det Forenede Kongerige er det første land, for hvilket Kommissionen har foreslået en tilstrækkelighedsafgørelse i henhold til direktiv (EU) 2016/680;

25.

noterer sig Det Forenede Kongeriges aftale om grænseoverskridende dataadgang med USA (27) i henhold til den amerikanske CLOUD Act, som letter dataoverførsler i retshåndhævelsesøjemed; er stærkt bekymret for, at dette vil give de amerikanske myndigheder uberettiget adgang til personoplysninger om unionsborgere og personer med bopæl i EU; deler Databeskyttelsesrådets bekymring for, at sikkerhedsforanstaltningerne i paraplyaftalen mellem EU og USA (28) anvendt med de fornødne ændringer måske ikke vil leve op til kriterierne for klare, præcise og tilgængelige regler for så vidt angår adgangen til personlige oplysninger eller måske ikke i tilstrækkelig grad vil sikre, at sådanne sikkerhedsforanstaltninger er effektive og kan håndhæves i henhold til britisk ret;

26.

minder om, at Domstolens dom i sag C-623/17 må fortolkes således, at den er til hinder for en national lovgivning, der pålægger udbydere af elektroniske kommunikationstjenester at foretage generel og udifferentieret overføring eller lagring af trafik- og lokaliseringsdata til statens sikkerheds- og efterretningstjenester med henblik på beskyttelse af den nationale sikkerhed;

27.

påpeger, at Domstolen i denne sag fastslog, at Det Forenede Kongeriges masseindsamling af data i henhold til Regulation of Investigatory Powers Act 2000 var ulovlig; påpeger, at denne lov siden er blevet afløst af Investigatory Powers Act (IPA 2016) med det formål at styrke nødvendigheds- og proportionalitetsprincippet; understreger, at IPA 2016 gør aflytning betinget af domstolstilsyn og giver enkeltpersoner beføjelse til at tilgå deres data og indgive klager til Investigatory Powers Tribunal; finder det ikke desto mindre dybt beklageligt, at IPA 2016 fortsat tillader masselagring af data;

28.

er foruroliget over nylige rapporter om, at en massedataindsamlings- og opbevaringsordning indgår i et forsøg, der gennemføres af Det Forenede Kongeriges indenrigsministerium inden for rammerne af IPA 2016;

29.

minder om, at Europa-Parlamentet i sin beslutning af 12. februar 2020 understregede, at »Det Forenede Kongerige ikke kan få direkte adgang til oplysninger i EU's informationssystemer eller deltage i EU-agenturernes forvaltningsstrukturer inden for området med frihed, sikkerhed og retfærdighed, mens enhver udveksling af oplysninger, herunder personoplysninger, med Det Forenede Kongerige bør være underlagt strenge sikkerhedsgarantier og revisions- og tilsynsbetingelser, herunder et niveau for beskyttelse af personoplysninger, der svarer til det, der følger af EU-retten«; noterer sig de mangler, der er konstateret i den måde, Det Forenede Kongerige gennemførte databeskyttelsesretten på, mens det stadig var medlem af EU; minder om, at Det Forenede Kongerige drev en kopi af Schengeninformationssystemet (SIS); forventer, at de britiske retshåndhævende myndigheder vil overholde de gældende regler fuldt ud, når de udveksler personoplysninger i fremtiden; minder om, at Det Forenede Kongerige fortsat har adgang til nogle af EU's retshåndhævelsesdatabaser, dog kun på grundlag af et hit/intet hit-system, og at det retligt er udelukket fra at tilgå SIS;

30.

udtrykker bekymring over afsløringen i januar 2021 af, at 400 000 straffeattester ved en fejl blev slettet fra det britiske politis centrale computer; understreger, at dette ikke indgyder tillid til Det Forenede Kongeriges indsats for databeskyttelse i retshåndhævelsesøjemed;

31.

bemærker, at udkastet til tilstrækkelighedsafgørelse nøje gennemgår rettighederne for hver af de britiske myndigheder, der i henhold til den nationale ret har beføjelse til at aflytte og lagre personoplysninger af nationale sikkerhedshensyn; bifalder desuden, at der i detaljerede tilsynsrapporter om de myndigheder, der er ansvarlige for efterretninger, findes information om Det Forenede Kongeriges nuværende overvågningspraksis; opfordrer Kommissionen til at foretage yderligere evaluering og overvågning af de typer af kommunikationsdata, der er omfattet af Det Forenede Kongeriges beføjelser inden for datalagring og lovlig aflytning;

32.

påpeger, at der i handels- og samarbejdsaftalen mellem EU og Det Forenede Kongerige indgår afsnit om udveksling af DNA, fingeraftryk og oplysninger fra køretøjsregistre, overførsel og behandling af passagerlisteoplysninger (PNR-oplysninger), samarbejde om operationelle oplysninger og samarbejde med Europol og Eurojust, som vil finde anvendelse uafhængigt af tilstrækkelighedsafgørelsen; erindrer imidlertid om de betænkeligheder, som Udvalget om Borgernes Rettigheder og Retlige og Indre Anliggender gav udtryk for i sin udtalelse fra februar 2021 om handels- og samarbejdsaftalens bestemmelser om særlig anvendelser af og længere opbevaringsperioder for personoplysninger, som Det Forenede Kongerige fik tildelt i aftalens Prüm- og PNR-afsnit, og som ikke svarer til medlemsstaternes anvendelser og opbevaringsperioder; minder om retten til at anlægge sag ved Domstolen for at få afprøvet lovligheden af den foreslåede internationale aftale og i særdeleshed dens forenelighed med beskyttelsen af en grundlæggende rettighed (29);

Konklusioner

33.

opfordrer Kommissionen til at give EU's virksomheder sikkerhed for, at tilstrækkelighedsafgørelsen vil give et solidt, tilstrækkeligt og fremtidsorienteret retsgrundlag for dataoverførsler; understreger vigtigheden af at sikre, at denne tilstrækkelighedsafgørelse vil blive anset for acceptabel, hvis den forelægges for Domstolen, og understreger, at alle henstillinger i Databeskyttelsesrådets udtalelse derfor bør tages i betragtning;

34.

konstaterer med tilfredshed, at tilstrækkelighedsafgørelserne kun vil gælde i fire år, eftersom Det Forenede Kongerige kan vælge at ændre lovgivningen efter Kommissionens tilstrækkelighedsvurdering, nu hvor landet ikke længere er en EU-medlemsstat; opfordrer Kommissionen til i mellemtiden at fortsætte med at overvåge databeskyttelsesniveauet i Det Forenede Kongerige i ret og i praksis og at foretage en grundig vurdering, før tilstrækkelighedsafgørelsen fornyes i 2025;

35.

mener, at Kommissionen med vedtagelsen af de to gennemførelsesafgørelser, som ikke er forenelige med EU-retten, uden at have adresseret alle de problemstillinger, som fremføres i nærværende beslutning, overskrider de gennemførelsesbeføjelser, som den er blevet tildelt i medfør af forordning (EU) 2016/679 og direktiv (EU) 2016/680; gør derfor indsigelse mod de to gennemførelsesretsakter under henvisning til, at udkastene til gennemførelsesafgørelser ikke er i overensstemmelse med EU-retten;

36.

opfordrer Kommissionen til at ændre de to udkast til gennemførelsesafgørelse med henblik på at gøre dem fuldt forenelige med EU-retten og retspraksis;

37.

anmoder om, at de nationale databeskyttelsesmyndigheder suspenderer overførslen af personoplysninger, som kan være genstand for vilkårlig adgang for britiske efterretningsmyndigheder, hvis Kommissionen vedtager sine tilstrækkelighedsafgørelser i relation til Det Forenede Kongerige, inden Det Forenede Kongerige har løst ovennævnte problemer;

38.

opfordrer Kommissionen og Det Forenede Kongeriges kompetente myndigheder til at udarbejde en handlingsplan med henblik på så hurtigt som muligt at få udbedret manglerne påpeget i Databeskyttelsesrådets udtalelser og andre udestående problemer i Det Forenede Kongeriges databeskyttelse, hvilket skal være en forudsætning for den endelige tilstrækkelighedsafgørelse;

39.

opfordrer Kommissionen til at fortsætte den tætte overvågning af databeskyttelsesniveauet samt love og praksis angående masseovervågning i Det Forenede Kongerige; påpeger, at der findes andre lovlige muligheder for overførsel af personoplysninger til Det Forenede Kongerige i kapitel V i GDPR; minder om, at overførsler, der er baseret på undtagelser i særlige situationer i henhold til artikel 49 i GDPR, ifølge Databeskyttelsesrådets retningslinjer skal være ekstraordinære;

40.

konstaterer med beklagelse, at Kommissionen har ignoreret Parlamentets opfordringer til at suspendere privatlivsskjoldet, indtil de amerikanske myndigheder overholder betingelserne herfor, men i stedet hele tiden har foretrukket at »overvåge situationen« uden nogen konkrete resultater med hensyn til databeskyttelse for borgerne og juridisk sikkerhed for virksomhederne; opfordrer indtrængende Kommissionen til at lære af sine tidligere fejl, hvor den ikke har lyttet til opfordringer fra Parlamentet og eksperter vedrørende vedtagelse og overvågning af tidligere tilstrækkelighedsafgørelser, og ikke at overlade det til Domstolen at håndhæve EU's databeskyttelsesret korrekt efter klager fra enkeltpersoner;

41.

opfordrer Kommissionen til at overvåge databeskyttelsesret og -praksis i Det Forenede Kongerige tæt, til straks at informere og høre Parlamentet ved enhver fremtidig ændring af den britiske databeskyttelsesordning og til at give Parlamentet en kontrolfunktion inden for de nye institutionelle rammer, herunder for relevante organer såsom Specialudvalget vedrørende Retshåndhævelse og Retligt Samarbejde;

o o

42.

pålægger sin formand at sende denne beslutning til Kommissionen, medlemsstaterne og Det Forenede Kongeriges regering.

(1) ECLI:EU:C:2020:559.

(2) ECLI:EU:C:2015:650.

(3) ECLI:EU:C:2020:790.

(4) EUT C 378 af 9.11.2017, s. 104.

(5) EUT C 118 af 8.4.2020, s. 133.

(6) EUT C 345 af 16.10.2020, s. 58.

(7) Vedtagne tekster, P9_TA(2021)0256.

(8) Vedtagne tekster, P9_TA(2020)0337.

(9) EUT L 444 af 31.12.2020, s. 14.

(10) Vedtagne tekster, P9_TA(2021)0141.

(11) EUT L 119 af 4.5.2016, s. 1.

(12) EUT L 119 af 4.5.2016, s. 89.

(13) EFT L 201 af 31.7.2002, s. 37.

(14) A8-0324/2017.

(15) Udkast til Kommissionens gennemførelsesafgørelse i henhold til Europa-Parlamentets og Rådets forordning (EU) 2016/679 om tilstrækkeligheden af beskyttelsen af personoplysninger i Det Forenede Kongerige.

(16) Udkast til Kommissionens gennemførelsesafgørelse i henhold til Europa-Parlamentets og Rådets forordning (EU) 2016/680 om tilstrækkeligheden af beskyttelsen af personoplysninger i Det Forenede Kongerige.

(17) Lomas, N., UK’s ICO faces legal action after closing adtech complaint with nothing to show for it, TechCrunch, San Francisco, 2020.

(18) Det særlige udvalg om konstitutionelle anliggenders syvende rapport offentliggjort af Underhuset den 13. juni 2006. I punkt 108 anføres det, at udvalget finder det hensigtsmæssigt at lade informationskommissæren være direkte ansvarlig over for, og finansieret af, parlamentet og anbefaler, at en sådan ændring overvejes, når der opstår en mulighed for at ændre lovgivningen.

(19) Rapport fra udvalget for offentlig forvaltning med titlen »Who’s accountable? Relationships between Government and arm’s-length bodies«, offentliggjort af Underhuset den 4. november 2014. I punkt 64 anføres det, at informationskommissæren og kriminalforsorgen i højere grad bør være fuldt ud uafhængig af regeringen og stå til ansvar over for parlamentet, og at informationskommissæren, kommissæren for ansættelse af embedsmænd og formanden for udvalget for forvaltningsstandarder bør være embedsmænd i parlamentet ligesom den parlamentariske ombudsmand og ombudsmand for sundhedsvæsenet samt skatteinspektøren (Comptroller) og rigsrevisoren (Auditor General).

(20) Pressemeddelelse af 3. marts 2021 fra Open Rights Group med titlen »Documents reveal controversial Immigration Exemption used in 70 % of access requests to Home Office«.

(21) Vedtagne tekster, P9_TA(2020)0033.

(22) Udtalelse fra Udvalget om Borgernes Rettigheder og Retlige og Indre Anliggender om indgåelse på Unionens vegne af handels- og samarbejdsaftalen mellem Den Europæiske Union og Det Europæiske Atomenergifællesskab på den ene side og Det Forenede Kongerige Storbritannien og Nordirland på den anden side og af aftalen mellem Den Europæiske Union og Det Forenede Kongerige Storbritannien og Nordirland om sikkerhedsprocedurer for udveksling og beskyttelse af klassificerede informationer, LIBE_AL(2021)680848.

(23) Dom af 16. juli 2020, Data Protection Commissioner mod Facebook Ireland Limited og Maximillian Schrems, C-311/18, ECLI:EU:C:2020:559.

(24) Den Europæiske Menneskerettighedsdomstols dom af 13. september 2018, Big Brother Watch m.fl. mod Det Forenede Kongerige, sag nr. 58170/13, 62322/14, 24960/15.

(25) Domstolens dom af 8. april 2014, Digital Rights Ireland Ltd mod Minister for Communications, Marine and Natural Resources m.fl. og Kärntner Landesregierung m.fl., C-293/12 og C-594/12, ECLI:EU:C:2014:238.

(26) Pressemeddelelse af 30. januar 2021 fra det britiske ministerium for international handel med titlen »UK applies to join huge Pacific free trade area CPTPP«.

(27) Aftale mellem regeringen for Det Forenede Kongerige Storbritannien og Nordirland og regeringen for Amerikas Forenede Stater af 3. oktober 2019 om adgang til elektroniske data med henblik på bekæmpelse af grov kriminalitet.

(28) Aftale mellem Amerikas Forenede Stater og Den Europæiske Union om beskyttelse af personoplysninger i forbindelse med forebyggelse, efterforskning, afsløring og retsforfølgning af strafbare handlinger (EUT L 336 af 10.12.2016, s. 3).

(29) Europa-Parlamentets beslutning om udkastet til Kommissionens beslutning om tilstrækkeligheden af beskyttelsesniveauet for personoplysninger i fortegnelsen over reservationsnumre (PNR), der videregives til told- og grænsekontrolmyndighederne i USA (EUT C 103 E af 29.4.2004, s. 665).