Europaparlamentets och rådets förordning (EU) 2024/868 av den 13 mars 2024 om ändring av rådets beslut 2009/917/RIF vad gäller dess anpassning till unionens bestämmelser om skydd av personuppgifter

(1)

I Europaparlamentets och rådets direktiv (EU) 2016/680 (2) fastställs harmoniserade regler om skydd och fri rörlighet för personuppgifter som behandlas i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, i vilket även ingår att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten. Enligt det direktivet ska kommissionen se över andra relevanta rättsakter som antagits av unionen i syfte att bedöma om de behöver anpassas till det direktivet och när så är lämpligt lägga fram nödvändiga förslag till ändring av dessa rättsakter för att säkerställa ett enhetligt tillvägagångssätt för skydd av personuppgifter inom direktivets tillämpningsområde.

(2)

Genom rådets beslut 2009/917/RIF (3) upprättas tullinformationssystemet (TIS), vars syfte är att bistå med att förebygga, förhindra, utreda, avslöja och lagföra grova överträdelser av nationella lagar genom att göra information tillgänglig snabbare och därigenom göra medlemsstaternas tullmyndigheter effektivare. TIS består av en central databas som lagrar personuppgifter, såsom för- och efternamn, adresser, nummer på identitetshandlingar som rör varor, transportmedel, företag eller personer samt egendom och kontanta medel som kvarhållits, tagits i beslag eller förverkats. Den centrala databasen förvaltas av kommissionen, som inte har tillgång till de personuppgifter som lagras i den. De myndigheter som utsetts av medlemsstaterna har rätt att få tillgång till den centrala databasen och kan föra in och konsultera den information som lagras i den. Europeiska unionens byrå för samarbete inom brottsbekämpning (Europol) och Europeiska unionens byrå för straffrättsligt samarbete (Eurojust) har, inom ramen för sina respektive mandat och för fullgörandet av sina uppgifter, rätt att få tillgång till de uppgifter som förs in i den centrala databasen av de myndigheter som utsetts av medlemsstaterna och att söka i dessa uppgifter.

(3)

För att säkerställa ett enhetligt tillvägagångssätt för skydd av personuppgifter i unionen bör beslut 2009/917/RIF ändras i syfte att anpassa det till direktiv (EU) 2016/680. I synnerhet bör de regler om skydd av personuppgifter som fastställs i det beslutet respektera principen om ändamålsbegränsning, vara begränsade till angivna kategorier av registrerade och kategorier av personuppgifter, respektera datasäkerhetskraven, inbegripa ytterligare skydd för särskilda kategorier av personuppgifter och respektera villkoren för senare behandling. Vidare bör det föreskrivas att Europeiska datatillsynsmannen och de nationella tillsynsmyndigheterna ska samordna tillsynen av TIS verksamhet i enlighet med Europaparlamentets och rådets förordning (EU) 2018/1725 (4).

(4)

För att säkerställa ett tydligt och konsekvent förhållningssätt till ett adekvat skydd av personuppgifter bör termen ”grova överträdelser”, som används i beslut 2009/917/RIF, ersättas med ”brott” enligt vad som avses i direktiv (EU) 2016/680, eftersom det faktum att ett visst handlande är förbjudet enligt straffrätten i en medlemsstat i sig innebär att det är en överträdelse av en viss grovhetsgrad. Vidare bör syftet med TIS även fortsättningsvis vara begränsat till att bistå med att förebygga, förhindra, utreda, avslöja eller lagföra brott enligt nationella lagar såsom dessa definieras i beslut 2009/917/RIF, det vill säga nationella lagar för vilka medlemsstaternas tullmyndigheter är behöriga och som därför är särskilt relevanta i tullsammanhang. Även om beteckningen som brott är ett nödvändigt krav omfattas inte alla brott enligt nationella lagar av beslut 2009/917/RIF. Brott som olaglig narkotikahandel, olaglig vapenhandel och penningtvätt omfattas till exempel av beslut 2009/917/RIF. Vidare bör ersättandet av termen ”grova överträdelser” med termen ”brott” inte förstås som att det påverkar de specifika krav som anges i beslut 2009/917/RIF vad gäller varje medlemsstats upprättande och översändande av en förteckning över brott enligt deras nationella lagar som uppfyller vissa villkor för syftena med registret för identifiering av tullutredningar.

(5)

Vid behandling av personuppgifter enligt beslut 2009/917/RIF omfattas medlemsstaterna, utan att det påverkar tillämpningen av specifika regler i det beslutet, av sina nationella bestämmelser som antagits enligt direktiv (EU) 2016/680, kommissionen av reglerna i förordning (EU) 2018/1725, Europol av reglerna i Europaparlamentets och rådets förordning (EU) 2016/794 (5) och Eurojust av reglerna i Europaparlamentets och rådets förordning (EU) 2018/1727 (6). Dessa rättsakter reglerar bland annat skyldigheter och ansvar för personuppgiftsansvariga, gemensamt personuppgiftsansvariga och personuppgiftsbiträden samt förhållandet dem emellan med avseende på skyddet av personuppgifter. De nationella tillsynsmyndigheter som ansvarar för att övervaka och säkerställa tillämpningen av direktiv (EU) 2016/680 i varje medlemsstat bör vara behöriga att övervaka och säkerställa att de bestämmelser om skydd av personuppgifter som fastställs i beslut 2009/917/RIF tillämpas av de behöriga myndigheterna i varje medlemsstat. Europeiska datatillsynsmannen bör ansvara för att övervaka och säkerställa att de bestämmelser om skydd av personuppgifter som fastställs i beslut 2009/917/RIF tillämpas av kommissionen, Europol och Eurojust.

(6)

För att säkerställa optimal lagring av uppgifterna i TIS och samtidigt minska den administrativa bördan för de behöriga myndigheterna, och i enlighet med rådets förordning (EG) nr 515/97 (7), bör förfarandet för lagring av personuppgifter i TIS förenklas genom att skyldigheten att årligen se över behovet att bevara personuppgifter avskaffas och en maximal lagringsperiod på fem år fastställs som kan förlängas med ytterligare två år, förutsatt att en sådan förlängning är motiverad. Denna lagringsperiod är nödvändig och proportionell med tanke på hur länge straffrättsliga förfaranden normalt pågår och behovet av uppgifterna för att genomföra gemensamma tullaktioner och utredningar.

(7)

Behandlingen av personuppgifter enligt beslut 2009/917/RIF inbegriper behandling, utbyte och senare användning av relevant information för de ändamål som anges i artikel 87 i fördraget om Europeiska unionens funktionssätt (EUF-fördraget). För att uppnå enhetlighet och ett effektivt skydd av personuppgifter bör behandlingen av personuppgifter enligt beslut 2009/917/RIF vara förenlig med unionsrätten och nationell rätt om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av behöriga nationella myndigheter i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inbegripet att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten.

(8)

I enlighet med artikel 6a i protokoll nr 21 om Förenade kungarikets och Irlands ställning med avseende på området med frihet, säkerhet och rättvisa, fogat till fördraget om Europeiska unionen (EU-fördraget) och EUF-fördraget, är Irland bundet av beslut 2009/917/RIF och deltar därför i antagandet av denna förordning.

(9)

I enlighet med artiklarna 1, 2 och 2a i protokoll nr 22 om Danmarks ställning, fogat till EU-fördraget och EUF-fördraget, är beslut 2009/917/RIF bindande för Danmark, som därför deltar i antagandet av denna förordning.

(10)

Europeiska datatillsynsmannen har hörts i enlighet med artikel 42.1 i förordning (EU) 2018/1725 och avgav ett yttrande den 4 juli 2023.

(11)

Beslut 2009/917/RIF bör därför ändras i enlighet med detta.

1.

Artikel 1.2 ska ersättas med följande:

2.

Artikel 2 ska ändras på följande sätt:

3.

I artikel 3.1 ska de inledande orden ersättas med följande:

”Tullinformationssystemet ska bestå av en central databas, åtkomlig genom terminaler i varje medlemsstat. Systemet ska uteslutande innehålla uppgifter som är nödvändiga för att uppnå dess syfte såsom detta anges i artikel 1.2, inbegripet personuppgifter, i följande kategorier:”

4.

Artikel 4 ska ändras på följande sätt:

5.

Artikel 5.2 ska ersättas med följande:

6.

Artikel 7 ska ändras på följande sätt:

7.

Artikel 8 ska ändras på följande sätt:

8.

Artikel 13.5 ska ersättas med följande:

9.

Artikel 14 ska ersättas med följande:

10.

Artikel 15 ska ändras på följande sätt:

11.

Artikel 20 ska ersättas med följande:

(*2)  Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (EUT L 295, 21.11.2018, s. 39)."

(*3)  Europaparlamentets och rådets förordning (EU) 2016/794 av den 11 maj 2016 om Europeiska unionens byrå för samarbete inom brottsbekämpning (Europol) och om ersättande och upphävande av rådets beslut 2009/371/RIF, 2009/934/RIF, 2009/935/RIF, 2009/936/RIF och 2009/968/RIF (EUT L 135, 24.5.2016, s. 53)."

(*4)  Europaparlamentets och rådets förordning (EU) 2018/1727 av den 14 november 2018 om Europeiska unionens byrå för straffrättsligt samarbete (Eurojust), och om ersättning och upphävande av rådets beslut 2002/187/RIF (EUT L 295, 21.11.2018, s. 138).” "

12.

Artiklarna 22, 23, 24 och 25 ska utgå.

13.

Artikel 26 ska ersättas med följande:

14.

I artikel 27.2 ska led a ersättas med följande:

15.

Artikel 28 ska ändras på följande sätt:

16.

Artikel 29 ska ersättas med följande:

17.

Artikel 30.1 ska utgå.