EUROPOL JOINT SUPERVISORY BODY
Yttrande från den gemensamma tillsynsmyndigheten för Europol
(Yttrande 11/38)
om Europols anmälan om behandling av personuppgifter:
inspelning av inkommande telefonsamtal via Europols allmänna telefonlinje
Den gemensamma tillsynsmyndigheten för Europol (JSB) har granskat Europols
anmälan ”Inspelning av inkommande telefonsamtal via Europols allmänna telefonlinje”,
för en förhandskontroll enligt kraven i artiklarna 28 och 30 i direktörens beslut om
genomförande av principerna i förordning (EG) nr 45/2001. Granskningen omfattade
även förslaget till direktörens beslut om inspelning av inkommande telefonsamtal via
Europols allmänna telefonlinje (förslag till direktörens beslut) och förslaget till
integritetsmeddelande.
1. Överföringar av personuppgifter
Enligt förslaget till integritetsmeddelande och förslaget till direktörens beslut får
personuppgifter vidareförmedlas till tredje part. Enligt Q22 i anmälan får
personuppgifter – utöver domstolar och rättsliga myndigheter i Nederländerna – även
överföras till tredje parter, men denna möjlighet tycks begränsas till överföringar inom
EU. Förslaget till integritetsmeddelande och förslaget till direktörens beslut begränsar
däremot inte denna möjlighet till överföringar inom EU.
Rekommendation
Ändra förslaget till integritetsmeddelande, förslaget till direktörens beslut och/eller
anmälan så att de stämmer överens med varandra.
2. Lagring
Inspelade samtal raderas normalt efter sju dagar. För inspelningar som överförts till ett
andra lagringsmedium har Europol valt en längsta lagringstid på fyra veckor. Samtidigt
som en fyraveckorsperiod kan räcka för Europols syften bör det inte uteslutas att
innehållet i ett inspelat samtal kan bli föremål eller relevant för en rättstvist. Det kan
vara nödvändigt att behålla en inspelning under en längre tidsperiod för att fastställa,
utöva eller försvara en rättighet i ett rättsanspråk i domstol.
Rekommendation
Tillåt en längre lagringsperiod i de fall då data måste sparas för att fastställa, utöva eller
försvara rättsanspråk. Ändra förslaget till integritetsmeddelande, förslaget till
direktörens beslut och anmälan på det sätt som krävs.
1
3. Kategorier av personuppgifter som lagras
Av Q14 i anmälan framgår inte att enskilda personers namn kommer att samlas in, men
det är möjligt att en person säger sitt namn i ett telefonsamtal. Enligt förslaget till
integritetsmeddelande och förslaget till direktörens beslut är det tillåtet att behandla
känsliga uppgifter om den som ringer frivilligt lämnar sådana uppgifter. Detta framgår
emellertid inte av anmälan (Q16).
Rekommendationer
Om Europols telefonister uppger sitt namn när de besvarar ett samtal bör anmälan
ändras så att detta framgår. Det är nödvändigt att komma ihåg att det är både
personuppgifter om dem som ringer och personuppgifter om Europols telefonister som
kan samlas in. Den anställde som deltar i ett samtal kan exempelvis identifieras på
grundval av tidpunkt och datum för samtalet, även om arbetstagaren inte ger personlig
information under samtalet eller säger sitt namn.
Ändra Q16 i anmälan så att det framgår att känsliga personuppgifter kan komma att
behandlas, i enlighet med förslaget till integritetsmeddelande och förslaget till
direktörens beslut.
4. Förfarande i händelse av hot, nödsituationer eller andra incidenter
I artikel 4 i förslaget till direktörens beslut definieras några av de samtalstyper som
sannolikt överförs till ett andra lagringsmedium. En av de samtalstyper som anges är
”samtal från upprörda personer”. Den gemensamma tillsynsmyndigheten skulle föredra
att detta definieras närmare. Som exempel kan nämnas att en annan samtalstyp som tas
upp – ”samtal som inte kan förstås till fullo” – definieras närmare med ”och som ger
rimliga skäl att tro att det handlar om eller har samband med ett hot, en nödsituation
eller någon annan incident”.
Rekommendation
Definiera närmare grunden för eventuell överföring av ”samtal från upprörda personer”
till ett andra lagringsmedium.
5. Samtycke/rättsliga grunder
En av de rättsliga grunder som anges är samtycket från den som personuppgifterna
avser. Det gäller både dem som ringer och dem som bemannar Europols telefonlinje.
När det gäller telefonisterna anses samtycke enligt anmälan ha inhämtats när den
anställde får en kopia av integritetsmeddelandet (i nuläget förslaget till
integritetsmeddelande). Att ge arbetstagarna ett integritetsmeddelande är dock inte
samma sak som att få deras samtycke – det är bara att ge information. Eftersom det rör
sig om ett anställningsförhållande där den anställde inte kan välja bort en uppgift (i det
här fallet är det deras jobb att sköta en telefonlinje) är det olämpligt att välja samtycke
som rättslig grund för behandling av personuppgifter.
Rekommendation
I det här fallet är lämpliga rättsliga grunder följande: artikel 6 i direktörens beslut om
genomförande av principerna i förordning nr 45/2001, och som redan nämnts i anmälan,
förslaget till direktörens beslut, och Europols säkerhetshandbok.
2
I anmälan läggs dock alltför stor tonvikt vid samtycke som rättslig grund. Den
gemensamma tillsynsmyndigheten råder Europol att lägga mindre vikt vid samtycke
från den berörda arbetstagaren när det gäller behandling av personuppgifter, särskilt i de
fall där det inte finns något verkligt val att samtycka eller inte.
Anmälan bör också ändras så att det framgår att artikel 6 i direktörens beslut om
genomförande av principerna i förordning nr 45/2001 är en tillämplig rättslig grund.
6. Integritetsmeddelande(n)
Förslaget till integritetsmeddelande (eller en hyperlänk till det) kommer att anges på
varje sida på Europols webbplats, intill telefonnumret. En kopia kommer att ges till dem
som bemannar Europols telefonlinje. De som ringer får höra ett inspelat meddelande om
att samtalet kommer att spelas in och att ytterligare information finns på Europols
webbplats.
Rekommendation
Den gemensamma tillsynsmyndigheten skulle föredra två olika meddelanden: ett som
riktar sig till allmänheten och ett som riktar till Europols telefonister.
Meddelande för Europols telefonister: utöver den information som ges i förslaget till
integritetsmeddelande bör detta meddelande även ge information som är relevant för
dem som hanterar samtalen: till exempel vägledning om vilket ansvar de har i fråga om
behandling av personuppgifter (vad de ska göra om det är ett samtal av intresse osv.)
och vägledning om personlig användning (möjlighet att stänga av inspelningsfunktionen
för privata samtal, om de är tillåtna, osv.). Europol bör se till att den berörda personalen
förstår den information som ges och vid behov anordna utbildning.
Meddelande för dem som kan komma att ringa: detta får gärna vara ett kortfattat och
klart meddelande (intill telefonnumret) om att samtalen spelas in, med en tydlig länk till
det fullständiga meddelandet.
Meddelande för dem som ringer (ges när samtalet kopplas): detta bör vara ett kort
meddelande som tydligt informerar om att samtalet kommer att spelas in och att det
finns mer information (till exempel på webbplatsen; de som saknar tillgång till internet
kan fråga telefonisten).
7. Säkerhetsåtgärder
I förslaget till direktörens beslut anges att dekrypteringskort ska finnas hos
säkerhetsenhetens chef (G5) på säkerhetssamordnarens vägnar. Ingen information ges
om åtkomsten till dekrypteringskorten eller var de ska förvaras (till exempel i ett
kassaskåp).
Rekommendation
Ge en närmare beskrivning i förslaget till direktörens beslut av vilka säkerhetsåtgärder
som vidtas för trygg förvaring av dekrypteringskorten och för att kontrollera åtkomsten
till dessa kort.
3
8. Slutsats
Den gemensamma tillsynsmyndigheten uppmanar Europol att lämna synpunkter på
detta yttrande och framför allt att visa att rekommendationerna har genomförts inom två
månader efter datumet för detta yttrande.
Den gemensamma tillsynsmyndigheten skulle också vilja påpeka att detta yttrande
endast utgår från förslaget till direktörens beslut om inspelning av inkommande
telefonsamtal via Europols allmänna telefonlinje, förslaget till integritetsmeddelande om
inspelning av inkommande telefonsamtal via Europols allmänna telefonlinje och den
medföljande anmälan.
I detta yttrande har hänsyn inte tagits till den information som inhämtades vid den
gemensamma tillsynsmyndighetens inspektion av Europol i mars 2011. Om resultaten
av denna inspektion har någon påverkan på behandling av personuppgifter kommer de
att meddelas till Europol i vederbörlig ordning.
Utfärdat i Bryssel den 14 april 2011
Isabel Cruz
Ordförande för den gemensamma tillsynsmyndigheten för Europol
(Undertecknat av sekreteraren för skydd för personuppgifter)
4
