1  Bakgrund

I vår globaliserade värld blir den grova brottsligheten och terrorismen alltmer internationell och mångskiftande. Enligt kommissionen bör brottsbekämpande myndigheter därför ges fullständiga möjligheter att samarbeta med externa partner för att garantera medborgarnas säkerhet. Enligt strategin för EU:s säkerhetsunion (COM(2020) 605 final) kan Europeiska unionens byrå för samarbete inom brottsbekämpning (nedan Europol) spela en viktig roll genom att utöka sitt samarbete med tredjeländer för att bekämpa brott och terrorism i enlighet med andra externa politikområden och verktyg. I EU:s strategi för att bekämpa organiserad brottslighet (COM(2021) 170 final), som antogs i april 2021, betonas det att det finns ett brådskande behov av att ytterligare utveckla underrättelsen om grov och organiserad brottslighet i Europol och förbättra informationsutbytet och utredningsåtgärderna med sådana (nya) länder och regioner utanför EU som utgör viktiga knutpunkter för organiserad brottslighet som medför höga risker och påverkar EU-medlemsstaterna. 

Polisen i Förbundsrepubliken Brasilien har samarbetat med EU:s medlemsstater och Europol för att bekämpa internationell organiserad brottslighet och terrorism, vilket enligt kommissionen förbättrar säkerheten i Europa och den övriga världen. De brottsbekämpande myndigheter i Brasilien som är behöriga vad gäller bekämpning av grov brottslighet och terrorism kan dock inte få personuppgifter av Europol, eftersom det saknas en giltig rättslig grund för detta i unionsrätten. Detta utgör ett hinder för att vidareutveckla samarbetet mellan parterna. Kommissionen anser därför att det vore viktigt att ingå ett avtal med Brasilien som gör det möjligt för Europol och de behöriga myndigheterna i Brasilien att utbyta personuppgifter. 

Den rättsliga ramen för utbyte av personuppgifter mellan Europol och tredjeländer ändrades genom Europaparlamentets och rådets förordning (EU) 2016/794 av den 11 maj 2016. Sedan förordningen trädde i kraft den 1 maj 2017 har internationella avtal mellan Europol och tredjeland kunnat ingås med stöd av artikel 218 i fördraget om Europeiska unionens funktionssätt (nedan EUF-fördraget), där det föreskrivs om förfarandet för att förhandla fram ett avtal på unionens vägnar. På förslag från kommissionen har rådet redan antagit nio förhandlingsbemyndiganden avseende tredjeland (Algeriet, Egypten, Israel, Jordanien, Libanon, Marocko, Tunisien, Turkiet och Nya Zeeland) och ett bemyndigande att förhandla om ett övergripande avtal med Interpol som även omfattar utbyte av personuppgifter med Europol. Det första avtalet undertecknades med Nya Zeeland i juni 2022 ((EU) 1090/22). 

Den 22 februari 2023 och den 9 mars 2023 gav kommissionen fem separata rekommendationer till rådets beslut om bemyndigande att inleda förhandlingar om avtal mellan Europeiska unionen och Ecuador, Brasilien, Bolivia, Peru och Mexiko om utbyte av personuppgifter mellan Europeiska unionens byrå för samarbete inom brottsbekämpning (Europol) och de behöriga myndigheterna i Ecuador, Brasilien, Bolivia, Peru och Mexiko med ansvar för att bekämpa grov brottslighet och terrorism. En E-skrivelse om förhandlingsmandaten (E 3/2023 rd) har överlämnats till riksdagen (COM/2023/131 final).  

På grundval av rådets beslut inledde kommissionen förhandlingar med de behöriga myndigheterna i Brasilien. Det ordnades även särskilda förhandlingsomgångar i ärendet, vars resultat kommissionen redovisade för medlemsstaterna under möten i rådets arbetsgrupp för brottsbekämpning (LEWP) den 24 oktober 2023 och den 8 maj 2024. Enligt den information som erhållits är kommissionen hoppfull när det gäller att snart nå samförstånd om avtalstexten med de är behöriga myndigheterna i Brasilien. Avtalstexten har ännu inte paraferats, och än så länge har inget nationellt organ i Brasilien godkänt texten. 

2  Förslagets syfte

Förslaget till avtal gäller ett samarbete mellan Europeiska unionen och Brasilien om utbyte av personuppgifter mellan Europol och de myndigheter i Brasilien som är behöriga vad gäller bekämpning av grov brottslighet och terrorism.  

Syftet med samarbetsavtalet är att utveckla förbindelserna mellan Europol och Brasilien så att avtalsparterna kan samarbeta effektivt och sinsemellan utbyta uppgifter för att bekämpa organiserad brottslighet och terrorism, samtidigt som man säkerställer tillräckliga skyddsåtgärder för den personliga integriteten och för personuppgifter samt för övriga grundläggande fri- och rättigheter och mänskliga rättigheter. 

3  Förslagets huvudsakliga innehåll

Utkastet till avtal mellan Europeiska unionen och Brasilien motsvarar till stor del det samarbetsavtal som EU ingick med Nya Zeeland 2022 (COM/2022/208 final).  

Enligt skäl 4 påverkar avtalet inte sådan internationell rättslig hjälp mellan Brasilien och medlemsstaterna som möjliggör utbyte av personuppgifter. Kapitel 1 i det föreslagna avtalet innehåller bestämmelser om mål, tillämpningsområde och definitioner som tillämpas i avtalet.  

Kapitel 2 i utkastet utgör den centrala delen av avtalet och gäller informationsutbyte och dataskydd. Utkastet bidrar till att säkerställa en hög nivå på dataskyddet. I artiklarna 3–15 i utkastet fastställs syftet med behandling av personuppgifter, de allmänna principerna för dataskydd, inklusive de bestämmelser som ska tillämpas på behandlingen av särskilda kategorier av uppgifter, automatiserad behandling av personuppgifter, vidare överföring av mottagna personuppgifter samt de registrerades rättigheter, som bland annat gäller rätten till tillgång, rätten till rättelse, radering och begränsning, anmälan av personuppgiftsincidenter, loggar, tillsyn samt rättslig prövning.  

Enligt artikel 3 i utkastet får personuppgifter endast behandlas för de syften som anges i artikeln, det vill säga för att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inom de ramar som anges i artikel 4.5 och inom ramen för de behöriga myndigheternas respektive mandat. Dessutom ska den behöriga myndigheten senast vid tidpunkten för överföringen av personuppgifter ange minst ett särskilt ändamål för överföringen av uppgifterna.  

I artikel 4 i avtalsutkastet föreskrivs det om de allmänna principer för dataskydd som ska iakttas vid överföring av personuppgifter. I artikel 4.5 i utkastet föreskrivs det att båda parterna ska säkerställa att personuppgifter som överförs enligt avtalet inte har erhållits i strid med de mänskliga rättigheter som erkänns i internationell rätt som är bindande för parterna. Vardera parten ska även säkerställa att de mottagna personuppgifterna inte används för att begära, utdöma eller verkställa dödsstraff eller någon form av grym eller omänsklig behandling.  

Artikel 5 i utkastet gäller kategorier av registrerade och särskilda kategorier av personuppgifter samt ytterligare skyddsåtgärder för dem. Punkt 1 i artikeln begränsar överföring av personuppgifter för brottsoffer, vittnen och andra personer som kan lämna information om ett brott. Överföring är tillåten endast om det i ett enskilt fall är absolut nödvändigt och proportionellt för att utreda och lagföra ett grovt brott. Punkt 2 i artikeln innehåller en motsvarande begränsning när det gäller överföring av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening, genetiska uppgifter, biometriska uppgifter som behandlas för att unikt identifiera en fysisk person och uppgifter om en persons hälsa eller en persons sexualliv eller sexuella läggning. Enligt punkt 3 i artikeln ska parterna säkerställa att man vid överföring av personuppgifter enligt punkterna 1 och 2 vidtar ytterligare säkerhetsåtgärder.  

Artikel 6 i utkastet förbjuder beslut som enbart grundar sig på automatiserad behandling av personuppgifter, men man får avvika från detta förbud om besluten enligt lag är tillåtna för att utreda och lagföra allvarliga brott och om de tillämpas med lämpliga skyddsåtgärder för den registrerades fri- och rättigheter. Den registrerade ska åtminstone har rätt att kräva att uppgifterna behandlas av en fysisk person.  

Artikel 7 i utkastet begränsar vidareöverföring av mottagna personuppgifter. Utgångspunkten för vidareöverföring i alla situationer som artikeln gäller är att den part som gett uppgiften ger sitt uttryckliga samtycke till vidareöverföringen på förhand, att uppgiften används för samma ändamål för vilket uppgifterna ursprungligen överfördes och att dataskyddet är tillräckligt.  

Den registrerades rättigheter regleras i artiklarna 8, 9, 10, 11, 12, 13, 14 och 15 . Dessa innehåller bland annat bestämmelser om den registrerades rätt att få information, rätt att rätta eller radera uppgifter eller begränsa tillgången till dem samt rätt att få information om en personuppgiftsincident. När det gäller individens rättigheter föreskrivs det dessutom om oberoende och effektiv tillsyn samt administrativ och rättslig prövning.  

Kapitel 3 i utkastet skiljer sig från det ovannämnda avtalet med Nya Zeeland genom att skyddsåtgärderna även gäller andra uppgifter än personuppgifter. I artikel 16 i utkastet fastställs principer för dataskydd som gäller andra uppgifter än personuppgifter, och i artikel 17 föreskrivs det om vidare överföring av andra uppgifter än personuppgifter.  

I kapitel 4 i utkastet (artiklarna 18 och19) preciseras de allmänna bestämmelserna om utbyte av personuppgifter och andra uppgifter än personuppgifter, bland annat vad gäller källans tillförlitlighet och bedömningen av uppgifters korrekthet.  

Kapitel 5 (artiklarna 20–22) i utkastet innehåller en klausul om tvistlösning (artikel 20) och om upphävande av tillämpningen av avtalet (artikel 21). Dessutom föreskrivs det i artikel 22 i kapitel 5 om uppsägning av avtalet. 

Kapitel 6 (artiklarna 23–33) i utkastet innehåller avtalets slutbestämmelser, inklusive bestämmelser om fördelning av kostnader, praktiska samarbetsarrangemang, förhållandet till andra internationella instrument, underrättelse om genomförande av avtalet, avtalets ikraftträdande, tillämpning, ändring och komplettering samt översyn och utvärdering av avtalet. Kapitel 6 i utkastet handlar även om uppgifternas konfidentialitet, och enligt artikel 24 fastställs vid behov mellan Europol och de behöriga myndigheterna i Brasilien, med stöd av avtalet, detaljerade bestämmelser om utbyte av sekretessbelagda uppgifter. I artikel 27 föreskrivs det dessutom om inrättandet av en skyddad kommunikationsförbindelse mellan Europol och de behöriga myndigheterna i Brasilien. 

4  Förslagets rättsliga grund och förhållande till proportionalitets- och subsidiaritetsprinciperna

Förhandlingarna om avtalet på unionens vägnar förs i ett förfarande enligt artikel 218 i EUF-fördraget. Bestämmelserna i förordning (EU) 2016/794 (den s.k. Europolförordningen), särskilt de som gäller överföring av personuppgifter från Europol till tredjeländer och internationella organisationer, föreskriver att Europol får föra över personuppgifter till en myndighet i ett tredjeland på grundval av ett internationellt avtal som ingåtts mellan unionen och tredjelandet i enlighet med artikel 218 i EUF-fördraget och som erbjuder tillräckliga skyddsåtgärder för skyddet av den personliga integriteten och enskildas grundläggande fri- och rättigheter. 

Den materiella rättsliga grunden för avtalet kan fastställas exakt först när avtalstexten är klar. Den materiella rättsliga grunden för rådets beslut om bemyndigande att inleda förhandlingar om ett avtal med Brasilien var artiklarna 16.2 och 88 i EUF-fördraget. Enligt artikel 16.2 ska Europaparlamentet och rådet i enlighet med det ordinarie lagstiftningsförfarandet fastställa bestämmelser om skydd för enskilda personer när det gäller behandling av personuppgifter hos unionens institutioner, organ och byråer och i medlemsstaterna, när dessa utövar verksamhet som omfattas av unionsrättens tillämpningsområde, samt om den fria rörligheten för sådana uppgifter. Oberoende myndigheter ska kontrollera att dessa bestämmelser följs. Artikel 88 handlar om genomförandet av Europols uppgifter och verksamhet. Mot bakgrund av de rättsliga grunder som anges ovan ska rådet fatta beslut om undertecknande och ingående av avtalet på unionens vägar med kvalificerad majoritet i enlighet med artikel 218.8 i EUF-fördraget. Enligt statsrådets bedömning är de ovannämnda materiella rättsliga grunderna lämpliga. 

Rådets beslut om undertecknande av avtalet förutsätter inte samråd med eller godkännande av Europaparlamentet. Rådets beslut om ingående av avtalet förutsätter dock parlamentets godkännande i enlighet med artikel 218.6 a i EUF-fördraget. Parlamentet ska informeras om ärendet i alla skeden av förfarandet i enlighet med artikel 218.10 i EUF-fördraget. 

Man kan uppnå syftet med det föreslagna avtalet endast genom att ingå ett bindande internationellt avtal om nödvändiga samarbetsåtgärder och i detta avtal säkerställa skyddet av de grundläggande rättigheterna. Enligt statsrådets bedömning är förslaget förenligt med proportionalitetsprincipen. 

5  Förslagets konsekvenser

Avtalet främjar parternas möjligheter att bekämpa organiserad brottslighet. 

Avtalet får inga konsekvenser för Finlands nationella lagstiftning. Ett eventuellt avtal skulle som en del av unionsrätten bli bindande även för Finland, och det krävs inte något separat ikraftsättande.  

Avtalet får inte några ekonomiska konsekvenser för Finland. Enligt den information som finns tillgänglig förväntas avtalet inte ha några konsekvenser för EU:s budget. 

6  Förslagets förhållande till grundlagen och till de grundläggande fri- och rättigheterna och de mänskliga rättigheterna

Avtalet får inga konsekvenser för Finlands nationella lagstiftning. 

Det föreslagna avtalet har betydelse med tanke på det skydd för personuppgifter som tryggas i 10 § 1 mom. i grundlagen. Enligt detta moment utfärdas närmare bestämmelser om skydd för personuppgifter genom lag. Skyddet av personuppgifter behandlas också i artikel 8 i Europeiska unionens stadga om de grundläggande rättigheterna, som värnar vars och ens rätt till skydd av personuppgifter. Denna artikel kräver att personuppgifter behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Även artikel 8 i Europakonventionen om mänskliga rättigheter innehåller bestämmelser om rätten för var och en till respekt för sitt privatliv. På sådan behandling av personuppgifter som utförs av EU:s institutioner, organ och byråer tillämpas Europaparlamentets och rådets förordning (EU) 2018/1725 (nedan dataskyddsförordningen för institutioner), såvida det inte finns särskilda bestämmelser om denna behandling.  

Det föreslagna avtalet gäller överföring av operativa personuppgifter till tredjeländer. Enligt unionsrätten får personuppgifter överföras från unionen till ett tredjeland endast om detta land säkerställer en skyddsnivå för personuppgifter som i huvudsak motsvarar den skyddsnivå som säkerställs för dessa personuppgifter i unionen. I det föreslagna avtalet är det fråga om ett sådant rättsligt avtal som krävs i Europolförordningen avtal och som ingåtts mellan unionen och tredjelandet i enlighet med artikel 218 i EUF-fördraget, vilket måste erbjuda tillräckliga skyddsåtgärder för den personliga integriteten och enskildas grundläggande fri- och rättigheter. Det föreslagna avtalsutkastet innehåller bestämmelser om lämpliga skyddsåtgärder för att säkerställa skyddet av personuppgifter. De skyddsåtgärder som nämns är bland annat begränsning av användningsändamålet och villkor för behandlingen av uppgifter som hör till särskilda kategorier av personuppgifter. Dessutom innehåller utkastet särskilda bestämmelser om bland annat förvaringstider, logguppgifter, datasäkerhet och säkerställande av individuella rättigheter. Statsrådet bedömer att det föreslagna avtalsutkastet innehåller lämpliga skyddsåtgärder för säkerställandet av nivån på skyddet av personuppgifter. 

7  Ålands behörighet

Enligt 18 § 6 punkten i självstyrelselagen för Åland har landskapet lagstiftningsbehörighet i fråga om allmän ordning och säkerhet med de undantag som nämns i 27 § 27, 34 och 35 punkten. 

8  Behandling av förslaget i Europeiska unionens institutioner och de övriga medlemsstaternas ståndpunkter

Den 30 april 2024 översände kommissionen utkastet till avtal mellan Europeiska unionen och Förbundsrepubliken Brasilien om utbyte av personuppgifter mellan Europeiska unionens byrå för samarbete inom brottsbekämpning (Europol) och de myndigheter i Förbundsrepubliken Brasilien som är behöriga vad gäller bekämpning av grov brottslighet och terrorism. 

Rådets arbetsgrupp för brottsbekämpning (LEWP) behandlade avtalsutkastet under sitt mött den 8 maj 2024, varvid medlemsstaterna hade möjlighet att framföra kommentarer om utkastet, som ännu kan beaktas innan texten får sin slutliga form. Libanon har ännu inte paraferat eller godkänt avtalet. Om Brasilien inte antar den lagstiftning som avtalet kräver eller om det råder tvivel om huruvida förpliktelserna uppfylls, kommer inga uppgifter att förmedlas, avtalet är med andra ord villkorligt. Det finns ännu inga uppgifter om när avtalet kommer att godkännas på teknisk nivå, men kommissionen hoppas att ärenden framskrider så snabbt som möjligt. 

9  Den nationella behandlingen av förslaget

En E-skrivelse om kommissionens förhandlingsmandat (E 3/2023 rd) har överlämnats till riksdagen: Statsrådets utredning om rekommendationer till rådets beslut om bemyndigande att inleda förhandlingar om avtal mellan Europeiska unionen och Ecuador, Brasilien, Bolivia, Peru och Mexiko om utbyte av personuppgifter mellan Europeiska unionens byrå för samarbete inom brottsbekämpning (Europol) och de behöriga myndigheterna i Ecuador, Brasilien, Bolivia, Peru och Mexiko med ansvar för kampen mot grov brottslighet och terrorism. 

Denna U-skrivelse har utarbetats vid inrikesministeriet och behandlats i ett skriftligt förfarande i sektionen för rättsliga och inrikes frågor (EU7) 20.5.2024–22.5.2024. 

10  Statsrådets ståndpunkt

Statsrådet stöder ingåendet av avtalet med Brasilien. Statsrådet anser att avtalet är till fördel för Finland, eftersom det bedöms främja kampen mot grov brottslighet och terrorism som riktas mot Europa. Avtalet bidrar också till att främja regeringsprogrammets skrivelse om kraftig bekämpning av organiserad brottslighet och säkerställer en hög nivå på dataskyddet.