1  Bakgrund

Europeiska åklagarmyndigheten (EPPO) inrättades den 12 oktober 2017 genom rådets förordning (EU) 2017/1939 (nedan EPPO-förordningen eller förordningen). Till EPPO:s behörighet hör att som oberoende åklagarmyndighet inom EU utreda brott som påverkar EU-budgeten och väcka åtal mot brottsmisstänkta vid nationella domstolar. Myndigheten består av ett centralt åklagarkontor förlagt till Luxemburg och av europeiska delegerade åklagare i medlemsstaterna. EPPO inleder sin verksamhet tidigast i november 2020, men det slutliga datumet fastställs genom ett beslut av kommissionen. 

En regeringsproposition med förslag till nationell lagstiftning som kompletterar EPPO-förordningen lämnas till riksdagen vecka 43. I det aktuella utkastet till kommissionens delegerade förordning antas de förteckningar över kategorier av operativa personuppgifter och kategorier av registrerade som avses i förordningen. 

EPPO inrättas som ett instrument för fördjupat samarbete och i dess verksamhet deltar i inrättningsskedet 22 EU-medlemsstater, inklusive Finland. Rättslig grund för inrättandet av EPPO är artikel 86 i fördraget om Europeiska unionens funktionssätt (EUF-fördraget), som möjliggör ett fördjupat samarbete. EPPO är behörig att utreda och lagföra gärningsmän och andra medverkande som har begått brott som skadar unionens ekonomiska intressen, i enlighet med vad som närmare anges i EPPO-förordningen. Myndigheten ska föra talan för ovannämnda brott vid medlemsstaternas behöriga domstolar. Enligt förordningen omfattar EPPO:s straffrättsliga behörighet brott i enlighet med Europaparlamentets och rådets direktiv (EU) 2017/1371 om bekämpande genom straffrättsliga bestämmelser av bedrägeri som riktar sig mot unionens finansiella intressen samt brott som enligt förordningen är oupplösligt sammankopplade med dem. Finland har fullgjort skyldigheterna enligt direktivet genom de lagar om ändring av strafflagen (368/2019) och av lagen om statens revisionsverk (369/2019) som trädde i kraft den 1 april 2019. 

För att EPPO ska kunna genomföra de åtgärder som ingår i dess behörighet bygger dess verksamhet på ett elektroniskt ärendehanteringssystem (Case Management System) som EPPO skapar, äger och administrerar. Närmare bestämmelser om administrationen och hanteringen av ärendehanteringssystemet finns i förordningen och myndighetens interna arbetsordning. Ärendehanteringssystemet omfattar ett register med information som EPPO erhållit i enlighet med förordningen, inklusive eventuella beslut med anknytning till denna information samt ett index över alla ärendeakter och all information från ärendeakterna lagrad i elektronisk form i ärendehanteringssystemet. Indexet får inte innehålla några andra operativa personuppgifter än de uppgifter som behövs för att identifiera ärenden eller fastställa kopplingar mellan olika ärendeakter. 

Bestämmelser om behandling av operativa personuppgifter finns i artikel 49 i EPPO-förordningen. Behandling av operativa personuppgifter behövs t.ex. vid utredningar och lagföring. I EPPO-förordningen föreskrivs det om kommissionens befogenhet att anta delegerade akter med avseende på upprättande av förteckningar över dessa kategorier av operativa personuppgifter och kategorier av registrerade.  

Kommissionen har för avsikt att anta den delegerade förordningen i början av oktober, då en tidsfrist på två månader börjar. Inom denna period har Europaparlamentet och rådet möjlighet att antingen meddela att de har invändningar mot den delegerade akten eller att de inte kommer att invända. Innehållet i det aktuella utkastet till kommissionens delegerade förordning bedöms ligga nära den delegerade förordning som kommissionen slutligen kommer att anta. 

Eftersom behandlingen av ärendet på EU-nivå sker med snabb tidtabell efter det att kommissionen har godkänt den delegerade förordningen och eftersom det på grund av ärendets betydelse måste reserveras tillräckligt med tid för den nationella behandlingen, översänds till riksdagen redan i detta skede en U-skrivelse om utkastet till den delegerade förordningen. När kommissionen har godkänt den delegerade förordningen lämnas den utan dröjsmål till riksdagen. 

2  Syftet med rättsakten

I enlighet med EPPO-förordningen är syftet med kommissionens delegerade förordning att upprätta en förteckning över de kategorier av operativa personuppgifter och de kategorier av registrerade vars operativa personuppgifter kan behandlas i EPPO:s elektroniska ärendehanteringssystem som stöder myndighetens verksamhet. Genom den delegerade förordningen tas förteckningen in som bilaga till EPPO-förordningen. 

Vad gäller de kategorier av registrerade vars operativa personuppgifter kan behandlas i indexet hänvisas det i bilagan till personer som är misstänkta eller tilltalade i EPPO:s straffrättsliga förfaranden och till personer som dömts till följd av EPPO:s straffrättsliga förfaranden samt personer med kontakter med eller band till dessa personer. Bilagan gäller också fysiska personer som har anmält eller är offer för brott som omfattas av EPPO:s behörighet. Valet av kategorier av operativa personuppgifter som kan behandlas i indexet har gjorts så att det säkerställer en tillräcklig balans mellan dels de registrerades rättigheter när det gäller dataskydd, dels effektiviteten i EPPO:s utredningar och lagföring. 

I enlighet EPPO-förordningen ska det göras en tydlig åtskillnad mellan operativa personuppgifter som rör olika kategorier av personer. Förteckningen över operativa personuppgifter som rör tilltalade, misstänkta och dömda personer är mer omfattande än förteckningen över deras kontakter eller partner samt personer som har anmält eller är offer för brott som riktar sig mot unionens finansiella intressen. Dessa förteckningar kan uppdateras i framtiden med beaktande av informationsteknikens utveckling och de framsteg som görs inom informationssamhället. 

3  Rättsaktens huvudsakliga innehåll

I enlighet med EPPO-förordningen upprättas genom kommissionens delegerade förordning en förteckning över de kategorier av operativa personuppgifter och de kategorier av registrerade vars operativa personuppgifter kan behandlas i det i EPPO-förordningen avsedda index som ingår i det elektroniska ärendehanteringssystemet (artikel 49). Enligt artikel 1 i utkastet till delegerad förordning ska bilagan till den delegerade förordningen tas in som bilaga till EPPO-förordningen, och enligt artikel 2 träder den delegerade förordningen i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning. 

I enlighet med EPPO-förordningen anges i punkt A i bilagan till den delegerade förordningen följande olika kategorier av registrerade vars operativa personuppgifter kan behandlas i indexet i det elektroniska ärendehanteringssystemet: a) personer som är misstänkta eller tilltalade i EPPO:s straffrättsliga förfaranden, b) personer som dömts till följd av EPPO:s straffrättsliga förfaranden, c) fysiska personer som har anmält eller är offer för brott som omfattas av EPPO:s behörighet, och d) kontaktpersoner och partner till de personer som avses i punkterna a och b.  

I punkt B i bilagan uppräknas de operativa personuppgifter om misstänkta, tilltalade och dömda personer som kan behandlas i indexet i det elektroniska ärendehanteringssystemet. Enligt punkten omfattar de operativa personuppgifter som kan behandlas i indexet bl.a. personens namn, födelsetid, nationalitet, kön och bosättningsort samt andra närmare uppgifter som är av betydelse för utredningen av brott som hör till EPPO:s straffrättsliga behörighet. Till de sistnämnda uppgifterna hör bl.a. misstänkt medlemskap i en kriminell organisation, uppgifter om bankkonton, telefonnummer, SIM-kortnummer, e-postadresser, IP-adresser och registreringsuppgifter om fordon. 

I punkt C i bilagan uppräknas de operativa personuppgifter om fysiska personer som har anmält eller är offer för brott som omfattas av EPPO:s behörighet som kan behandlas i indexet i det elektroniska ärendehanteringssystemet. Förteckningen över operativa personuppgifter i denna punkt är avsevärt mer begränsad än den i punkt B. Dessutom innehåller punkten en tydlig begränsning enligt vilken behandlingen i indexet av operativa personuppgifter om personer som avses i den punkten ska vara nödvändig och proportionerlig med avseende på EPPO:s utredning och lagföring.  

I punkt D i bilagan uppräknas de operativa personuppgifter om kontaktpersoner och partner till misstänkta, tilltalade och dömda personer som kan behandlas i indexet i det elektroniska ärendehanteringssystemet. Förteckningen i denna punkt är den mest begränsade och innehåller dessutom samma tilläggsbegränsning som i punkt C. 

4  Rättsaktens rättsliga grund och förhållande till subsidiaritets- och proportionalitetsprincipen

Rättslig grund för den delegerade förordningen är artikel 49.3 i EPPO-förordningen. Det är fråga om befogenheter enligt artikel 290 i EUF-fördraget. Med stöd av artikeln kan det genom en lagstiftningsakt till kommissionen delegeras befogenhet att anta akter med allmän räckvidd som inte är lagstiftningsakter och som kompletterar eller ändrar vissa icke väsentliga delar av lagstiftningsakten.  

Innan kommissionen antar en delegerad akt i enlighet med artikel 115.4 i EPPO-förordningen ska den samråda med experter som utsetts av varje medlemsstat i enlighet med principerna i det interinstitutionella avtalet om bättre lagstiftning av den 13 april 2016. En delegerad akt som antas enligt artikel 49 ska träda i kraft endast om varken Europaparlamentet eller rådet har gjort invändningar mot den delegerade akten inom en period på två månader från den dag då akten delgavs Europaparlamentet och rådet, eller om både Europaparlamentet och rådet, före utgången av den perioden, har underrättat kommissionen om att de inte kommer att invända. Denna period kan förlängas med två månader på Europaparlamentets eller rådets initiativ. Statsrådet anser att kommissionens utkast till delegerad förordning stämmer överens med fullmakten. 

I artikel 5.4 i EU-fördraget föreskrivs det om proportionalitetsprincipen. Enligt principen ska unionens åtgärder till innehåll och form inte gå utöver vad som är nödvändigt för att nå målen i Europeiska unionens fördrag. Statsrådet anser att kommissionens utkast till delegerad förordning är förenligt med proportionalitetsprincipen, eftersom kommissionen i den, på det sätt som förutsätts i förordningen om Europeiska åklagarmyndigheten, antar en förteckning över de operativa personuppgifter som myndighetens verksamhet förutsätter och som enligt statsrådets bedömning behövs.  

Subsidiaritetsprincipen enligt artikel 5.3 i EU-fördraget är tillämplig endast på området för delad befogenhet mellan unionen och medlemsstaterna. Kommissionens utkast till delegerad förordning gäller ett sådant område. Statsrådet anser att utkastet är förenligt med subsidiaritetsprincipen, eftersom de planerade mål i den delegerade förordningen som inverkar på Europeiska åklagarmyndighetens verksamhet bättre kan uppnås på unionsnivå på grund av deras omfattning. 

5  Konsekvenser i Finland

6  Förhållande till grundlagen och till grundläggande fri- och rättigheter och mänskliga rättigheter

Bestämmelserna i den delegerade förordningen är viktiga med tanke på skyddet för privatlivet och personuppgifter enligt 10 § i grundlagen. Bestämmelserna är av betydelse också med tanke på EU:s stadga om de grundläggande rättigheterna. I artikel 7 i stadgan tryggas skyddet för privatlivet och i artikel 8 skyddet av personuppgifter för var och en. Enligt artikel 8 i Europakonventionen (FördrS 19/1990) har var och en rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. Artikeln har i Europadomstolens rättspraxis ansetts omfatta även skyddet för personuppgifter.  

Enligt 10 § 1 mom. i grundlagen utfärdas närmare bestämmelser om skydd för personuppgifter genom lag. Operativa personuppgifter som avses i den delegerade förordningen behandlas i EPPO:s verksamhet för de ändamål som anges i EPPO-förordningen, såsom utredningar och lagföring. Personuppgifter som gäller fällande domar i brottmål och överträdelser har i Finland traditionellt betraktats som känsliga personuppgifter i konstitutionellt hänseende. Enligt grundlagsutskottets utlåtandepraxis bör bestämmelser om behandling av personuppgifter fortfarande analyseras utifrån utskottets tidigare praxis med fokus på exakta och heltäckande bestämmelser på lagnivå i en regleringskontext där det finns ett känsligt samband med de grundläggande fri- och rättigheterna, trots revideringen av EU:s dataskyddslagstiftning (GrUU 26/2018 rd).  

På behandlingen av operativa personuppgifter som behandlas av Europeiska åklagarmyndigheten i enlighet med artikel 49 i EPPO-förordningen tillämpas bestämmelserna i förordningen, som till många delar motsvarar dataskyddsdirektivet för brottsbekämpande myndigheter, (EU) 2016/680. Bestämmelserna i EPPO-förordningen är dock i sin helhet mer exakta än bestämmelserna i dataskyddsdirektivet för brottsbekämpande myndigheter. Dessutom har de personuppgifter som anges i bilagan till den delegerade förordningen och som EPPO kan behandla i indexet i det elektroniska ärendehanteringssystemet på behörigt sätt begränsats till vad som är nödvändigt och proportionerligt för att myndigheten ska kunna utföra sina uppgifter enligt lagstiftningen.  

7  Behandling i Europeiska unionens institutioner och nationell behandling

Mellan den 8 och 22 maj 2020 hölls ett skriftligt samråd om kommissionens utkast till delegerad förordning i en expertgrupp. Europeiska datatillsynsmannen avgav sitt yttrande den 31 juli 2020. Medlemsstaterna har inte delgivits yttrandet. Dessutom ordnade kommissionen ett offentligt samråd mellan den 6 augusti och den 3 september 2020. 

Utkastet till U-skrivelse om kommissionens delegerade förordning behandlades i ett skriftligt förfarande i EU7-sektionen (rättsliga och inrikes frågor) den 23.9.2020 – 25.9.2020.  

8  Ålands behörighet

Enligt 27 § 22 punkten i självstyrelselagen för Åland (1144/1991) har riket lagstiftningsbehörighet i fråga om straffrätt med undantag av vad som föreskrivs i 18 § 25 punkten. Kommissionens delegerade förordning hör således till rikets lagstiftningsbehörighet. 

9  Statsrådets ståndpunkt

Statsrådet anser att kommissionens utkast till delegerad förordning med avseende på de kategorier av operativa personuppgifter och de kategorier av registrerade vars operativa personuppgifter kan behandlas i EPPO:s index över ärendeakter är förenligt med bestämmelserna i EPPO-förordningen. Dessutom anser statsrådet att kommissionen har agerat inom ramen för sin delegerade befogenhet enligt EPPO-förordningen. 

Statsrådet anser det vara viktigt att man i utkastet till delegerad förordning har följt skyldigheten enligt EPPO-förordningen att göra en tydlig åtskillnad mellan operativa personuppgifter som rör olika kategorier av registrerade. Enligt statsrådet är det också viktigt att förteckningen över de operativa personuppgifter som kan behandlas i indexet i fråga om andra personer än misstänkta, tilltalade eller dömda i EPPO:s straffrättsliga förfaranden är mer begränsad och att behandlingen av dem i indexet begränsas till vad som är nödvändigt och proportionerligt med avseende på EPPO:s utredning och lagföring. 

Dessutom anser statsrådet att det är viktigt att valet av kategorier av operativa personuppgifter som kan behandlas i indexet har gjorts så att det säkerställer en tillräcklig balans mellan dels de registrerades rättigheter när det gäller dataskydd, dels effektiviteten i EPPO:s utredningar och lagföring. Statsrådet anser vidare att det är viktigt att det i bilagan till utkastet till delegerad förordning i begränsad utsträckning uppräknas endast de operativa personuppgifter som är nödvändiga för att identifiera fall eller upprätta kopplingar mellan olika ärendeakter. 

Statsrådet betonar att bestämmelserna om behandling av operativa personuppgifter i EPPO-förordningen till många delar stämmer överens med dataskyddsdirektivet för brottmål och att de i sin helhet är mer exakta än bestämmelserna i direktivet. Således anser statsrådet att de dataskyddsbestämmelser som ingår i EPPO-förordningen är så täckande och detaljerade att de på det sätt som förutsätts i 10 § 1 mom. i grundlagen säkerställer skyddet för personuppgifter som lämnas ut till och behandlas av EPPO i enlighet med den delegerade förordningen, på det sätt som grundlagsutskottets tolkningspraxis förutsätter.