Europaudvalget 2019
KOM (2019) 0372
Offentligt
2073939_0001.png
EUROPA-
KOMMISSIONEN
Bruxelles, den 24.7.2019
COM(2019) 372 final
RAPPORT FRA KOMMISSIONEN TIL EUROPA-PARLAMENTET OG RÅDET
om sammenkobling af medlemsstaternes nationale centrale automatiske mekanismer
(centrale registre eller centrale elektroniske systemer for dataudtræk) vedrørende
bankkonti
DA
DA
 kom (2019) 0372 - Ingen titel
2073939_0002.png
RAPPORT FRA KOMMISSIONEN TIL EUROPA-PARLAMENTET OG RÅDET
om sammenkobling af medlemsstaternes nationale centrale automatiske mekanismer
(centrale registre eller centrale elektroniske systemer for dataudtræk) vedrørende
bankkonti
1. Indledning
I henhold til artikel 32a i direktiv (EU) 2015/849
1
om bekæmpelse af hvidvask af penge skal
medlemsstaterne senest den 10. september 2020 indføre nationale centrale automatiske mekanismer,
f.eks. centrale registre eller centrale elektroniske systemer for dataudtræk, som muliggør
identifikation af alle fysiske eller juridiske personer, som har eller kontrollerer betalingskonti,
bankkonti samt deponeringsbokse. I direktivet om bekæmpelse af hvidvask af penge er der fastsat et
minimum af oplysninger, der skal indgå i sådanne centrale mekanismer. Det er også fastsat, at
finansielle efterretningsenheder bør have hurtig og ufiltreret adgang til dem, mens de øvrige
kompetente myndigheder også bør have adgang med henblik på at opfylde deres forpligtelser i
henhold til direktivet om bekæmpelse af hvidvask af penge. I henhold til direktiv 2019/1153 om
regler, der letter brugen af finansielle og andre oplysninger
2
, skal medlemsstaterne udpege de
nationale myndigheder, der har kompetence til at forebygge, afsløre, efterforske eller retsforfølge
strafbare handlinger, og som bør have direkte, hurtig og ufiltreret adgang til et minimum af
oplysninger fra sådanne centrale mekanismer. Disse kompetente myndigheder skal mindst omfatte
kontorer for inddrivelse af aktiver.
De kompetente myndigheders adgang til centrale bankkontoregistre eller systemer for dataudtræk vil
være en vigtig del af kampen mod hvidvask af penge, tilknyttede underliggende lovovertrædelser og
finansiering af terrorisme samt mere generelt bekæmpelse af grov kriminalitet. Under hensyntagen til
målene i direktivet om bekæmpelse af hvidvask af penge og direktivet om regler, der letter brugen af
finansielle og andre oplysninger, vil en fremtidig sammenkobling af bankkontoregistre og systemer
for dataudtræk på EU-plan lette det grænseoverskridende samarbejde mellem de kompetente
myndigheder, der er involveret i bekæmpelsen af hvidvask af penge, finansiering af terrorisme og
andre former for grov kriminalitet.
I henhold til artikel 32a, stk. 5, i direktivet om bekæmpelse af hvidvask af penge skal Kommissionen
vurdere betingelserne for og de tekniske specifikationer og procedurer til at garantere sikker og
effektiv sammenkobling af de centrale automatiske mekanismer. I denne rapport vurderes derfor de
forskellige IT-løsninger på EU-plan, der allerede er taget i brug eller er under udvikling, og som kan
tjene som modeller for en mulig sammenkobling af de centrale mekanismer. En sammenkobling
kræver, at der vedtages en retsakt.
1
Europa-Parlamentets og Rådets direktiv (EU) 2015/849 af 20. maj 2015 om forebyggende foranstaltninger
mod anvendelse af det finansielle system til hvidvask af penge eller finansiering af terrorisme, om ændring af
Europa-Parlamentets og Rådets forordning (EU) nr. 648/2012 og om ophævelse af Europa-Parlamentets og
Rådets direktiv 2005/60/EF samt Kommissionens direktiv 2006/70/EF (EUT L 849 af 9.7.2018, s. 1).
2
Europa-Parlamentets og Rådets direktiv (EU) 2019/1153 af 20. juni 2019 om regler, der letter brugen af
finansielle og andre oplysninger med henblik på forebyggelse, afsløring, efterforskning eller retsforfølgning af
visse strafbare handlinger (EUT L 186 af 11.7.2019, s. 122).
1
 kom (2019) 0372 - Ingen titel
2073939_0003.png
Denne rapport bør sammenholdes med Kommissionens rapport, der indeholder en supranational
risikovurdering
3
, Kommissionens rapport om finansielle efterretningsenheder
4
og Kommissionens
rapport om vurderingen af de seneste påståede tilfælde af hvidvask af penge, der involverer
kreditinstitutter i EU
5
, og som fremlægges sideløbende hermed.
2. Status
2.1. Centrale registre eller elektroniske systemer for dataudtræk vedrørende bankkonti i
medlemsstaterne
På nuværende tidspunkt
6
er der indført centrale mekanismer, der indeholder bankkontooplysninger, i
15 medlemsstater
7
. Det fremgår af de svar, der er modtaget fra medlemsstaterne, at et lille flertal af
medlemsstaterne synes at foretrække den tekniske løsning med et centralt register. Mens 17
medlemsstater har indført eller vil indføre centrale registre, oplyste ni medlemsstater, at de har indført
eller overvejer at indføre centrale systemer for dataudtræk
8
. Der er også en præference for systemer,
der indeholder data ud over det minimum af oplysninger vedrørende kontoprofilen, som omhandlet i
artikel 32a, stk. 5, i femte direktiv om bekæmpelse af hvidvask af penge (11 svar mod 6)
9
.
2.2. EU-systemer, der sammenkobler decentrale elektroniske databaser
Der er flere EU-projekter, som sikrer en decentraliseret sammenkobling på EU-plan af nationale
elektroniske databaser
10
. De IT-systemer, der anses for relevante for denne rapport, er følgende:
Det europæiske informationssystem vedrørende strafferegistre (ECRIS) blev operationelt i april 2012
med henblik på at forbedre udvekslingen af oplysninger om strafferegistre i hele EU
11
. Alle
3
Rapport fra Kommissionen til Europa-Parlamentet og Rådet om vurdering af de risici for hvidvask af penge og
finansiering af terrorisme, der påvirker det indre marked og vedrører grænseoverskridende aktiviteter
(COM(2019) 370).
4
Rapport fra Kommissionen til Europa-Parlamentet og Rådet om en vurdering af rammerne for samarbejdet
mellem finansielle efterretningsenheder (COM(2019) 371).
5
Rapport fra Kommissionen til Europa-Parlamentet og Rådet om vurdering af de seneste påståede tilfælde af
hvidvask af penge, der involverer kreditinstitutter i EU (COM(2019) 373).
6
Oplysningerne i dette afsnit bygger på medlemsstaternes svar på et særligt spørgeskema, der blev sendt til dem
i marts 2019, på oplysninger, som Kommissionen modtog i forbindelse med den gennemførelsesworkshop, som
den holdt den 1. april 2019, og på bilag 7 til den konsekvensanalyse, der ledsager forslaget til Europa-
Parlamentets og Rådets direktiv om regler, der letter brugen af finansielle og andre oplysninger med henblik på
forebyggelse, afsløring, efterforskning eller retsforfølgning af visse strafbare handlinger, og om ophævelse af
Rådets afgørelse 2000/642/RIA (SWD(2018) 114 final).
7
Belgien, Bulgarien, Tjekkiet, Tyskland, Grækenland, Spanien, Frankrig, Kroatien, Italien, Letland, Litauen,
Østrig, Portugal, Rumænien, Slovenien. Slovakiet har indført et centraliseret elektronisk system for dataudtræk,
som dog for øjeblikket kun er tilgængeligt for retslige aktører.
8
Finland tæller to gange, da det er ved at implementere et system, der anvender begge løsninger. Et centralt
register indsamler og indeholder de relevante oplysninger i én central database, mens et centralt elektronisk
system for dataudtræk består af en central IT-portal, der henter oplysninger fra forskellige underliggende
databaser (som f.eks. vedligeholdes af de finansielle institutioner).
9
Det fremgår af de svar, der er modtaget fra medlemsstaterne, at sådanne supplerende oplysninger kunne
omfatte oplysninger om finansielle kontrakter, som kontoindehaveren har indgået, eller om transaktioner, der
gennemføres i forbindelse med kontoen.
10
Centraliserede IT-systemer med fælles databaser på EU-plan, f.eks. Schengeninformationssystemet eller
visuminformationssystemet, er ikke omfattet af vurderingen, da sådanne systemer er uforenelige med de
eksisterende nationale centrale databaser.
11
Rådets rammeafgørelse 2009/315/RIA af 26. februar 2009 om tilrettelæggelsen og indholdet af udvekslinger
af oplysninger fra strafferegistre mellem medlemsstaterne og Rådets afgørelse 2009/316/RIA af 6. april 2009
om indførelse af det europæiske informationssystem vedrørende strafferegistre (ECRIS) i henhold til artikel 11 i
2
 kom (2019) 0372 - Ingen titel
2073939_0004.png
medlemsstaterne er for øjeblikket tilsluttet ECRIS. ECRIS sikrer, at oplysninger om domme
udveksles mellem medlemsstaterne på en ensartet, hurtig og kompatibel måde, og giver dommere og
anklagere let adgang til omfattende oplysninger om de berørte personers kriminelle fortid
12
.
Det europæiske informationssystem vedrørende køretøjer og kørekort (Eucaris) forbinder landene, så
de kan udveksle køretøjs- og kørekortsoplysninger og andre transportrelaterede data. Eucaris er en
mekanisme, der sammenkobler kørekorts- og kørekortmyndighederne i EU, hvor oplysninger om
køretøjets ejer og køretøjsforsikringer kan udveksles mellem medlemsstaternes nationale
kontaktpunkter
13
.
Sammenkoblingen af insolvensregistre (IRI) på EU-plan, som omfatter to forskellige projekter. Den
første version af systemet (IRI 1.0) har været tilgængelig på den europæiske e-justiceportal
14
siden juli
2014. Det blev udviklet som et pilotprojekt
15
med frivillig deltagelse af visse medlemsstater
16
. Den
anden version (IRI 2.0) er baseret på forordning (EU) 2015/848 om insolvensbehandling og vil
sammenkoble de nationale insolvensregistre i alle medlemsstater (undtagen Danmark). Alle
medlemsstater skal opfylde kravene til sammenkoblingen senest i juni 2021. IRI 1.0 er baseret på en
standardiseret sikker webtjeneste for fremsendelse af meddelelser (SOAP via HTTPS), mens IRI 2.0
også yder støtte til dataudveksling gennem brug af Connecting Europe-facilitetens (CEF) eDelivery-
modul
17
.
Systemet til sammenkobling af selskabsregistre (BRIS) er en sammenkobling af selskabsregistre, der
gør det muligt for selskabsregistre at udveksle grænseoverskridende meddelelser om fusioner og
filialer, og for brugerne af e-justiceportalen at indhente flersprogede oplysninger om EU-
virksomheder. Systemet har været operationelt siden juni 2017 i overensstemmelse med direktiv
2012/17/EU for så vidt angår sammenkobling af centrale registre og handels- og selskabsregistre
18
.
BRIS anvender Connecting Europe-facilitetens eDelivery-modul til udveksling af standardiserede
meddelelser. Systemet er decentralt med en central komponent (den europæiske centrale platform),
der lagrer og indekserer virksomhedsnavne og registreringsnumre.
rammeafgørelse 2009/315/RIA
—
som nu er blevet ændret ved Europa-Parlamentets og Rådets direktiv (EU)
2019/884 af 17. april 2019 for så vidt angår udveksling af oplysninger om tredjelandsstatsborgere og det
europæiske informationssystem vedrørende strafferegistre (ECRIS).
12
I april 2019 blev der vedtaget en ny lovgivningsmæssig ramme med henblik på at supplere ECRIS med en
mekanisme, der skal muliggøre en effektiv udveksling af oplysninger fra strafferegistre om
tredjelandsstatsborgere, der er dømt på EU's område. ECRIS-TCN-systemet bliver et centralt hit/no hit-system,
der kun indeholder identitetsoplysninger om dømte tredjelandsstatsborgere og oplysninger om den medlemsstat,
hvor vedkommende tidligere er blevet dømt. Når der er hit, skal den anmodende medlemsstat anmode om
oplysninger om domme via det eksisterende ECRIS-system fra den eller de medlemsstater, der er angivet i
ECRIS-TCN.
13
Retsgrundlaget for Prüm-tjenesten er -
Rådets afgørelse 2008/615/RIA af 23. juni 2008 om intensivering
af det grænseoverskridende samarbejde, navnlig om bekæmpelse af terrorisme og grænseoverskridende
kriminalitet, og Rådets afgørelse 2008/616/RIA om gennemførelse af afgørelse 2008/615/RIA.
14
https://beta.e-
justice.europa.eu/246/DA/bankruptcy_amp_insolvency_registers__search_for_insolvent_firms_in_the_eu?init=t
rue.
15
Pilotprojektet blev implementeret på grundlag af og udført i forlængelse af den flerårige handlingsplan
vedrørende europæisk e-justice 2009-2013 (EUT C 75 af 31.3.2009, s. 1) og den flerårige handlingsplan for
europæisk e-justice 2014-2018 (EUT C 182 af 14.6.2014, s. 2).
16
For øjeblikket deltager Tjekkiet, Tyskland, Estland, Italien, Letland, Nederlandene, Østrig, Rumænien og
Slovenien.
17
https://ec.europa.eu/cefdigital/wiki/display/CEFDIGITAL/eDelivery.
18
Europa-Parlamentets og Rådets direktiv 2012/17/EU af 13. juni 2012 om ændring af Rådets direktiv
89/666/EØF og Europa-Parlamentets og Rådets direktiv 2005/56/EF og 2009/101/EF for så vidt angår
sammenkobling af centrale registre og handels- og selskabsregistre (EUT L 156 af 16.6.2012, s. 1).
3
 kom (2019) 0372 - Ingen titel
2073939_0005.png
Sammenkoblingen af matrikelregistre (LRI) er et løbende frivilligt projekt
19
, der har til formål at stille
ét adgangspunkt på den europæiske e-justiceportal til rådighed for de deltagende EU-landes
matrikelregistre. Det forventes at være operationelt i andet kvartal af 2020.
"European Business Ownership and Control Structures" (EBOCS) er et projekt, der gennemføres af
European Business Registries Association med finansiel støtte fra Fonden for Intern Sikkerhed (ISF)
–
Politi (årlige arbejdsprogrammer for 2016 og 2018). EBOCS-platformen giver en forenklet og ensartet
adgang til selskabsregisterdata om ejerforhold og kontrolstrukturer med henblik på finansielle
analyser og undersøgelser. Den viser også de sammenlagte resultater af søgningerne på et
visualiseringskort. Det skal bemærkes, at EU ikke ejer de intellektuelle ejendomsrettigheder til dette
system.
e-CODEX-systemet (e-Justice Communication via Online Data Exchange) fremmer sikker
kommunikation i civile sager og straffesager ved at tilvejebringe et decentraliseret system til
udveksling af grænseoverskridende elektroniske meddelelser på det retlige område
20
.
e-CODEX letter
i øjeblikket elektronisk kommunikation mellem borgere og domstole og mellem medlemsstaternes
myndigheder om styring af det europæiske betalingspåkrav og den europæiske småkravsprocedure. På
det strafferetlige område er e-CODEX også den løsning, der er valgt for det digitale system til
udveksling af elektronisk bevismateriale
21
, for elektroniske udvekslinger inden for rammerne af den
europæiske efterforskningskendelse (EIO) og for traktaterne om gensidig retshjælp.
3. Vigtigste parametre
3.1. Adgangsbetingelser for brugerne
Når man ser på de eksisterende systemer, fremgår det tydeligt, at tilgængeligheden af det
brugerorienterede system, der interagerer med det sammenkoblede IT-system, er afpasset efter det
formål, hvortil det blev oprettet. Når sammenkoblingen er etableret med det formål at øge
gennemsigtigheden af oplysningerne for virksomheder i det indre marked (BRIS, IRI), er systemet
offentligt tilgængeligt. Når formålet med sammenkoblingen er at forbedre det grænseoverskridende
samarbejde mellem de kompetente myndigheder med henblik på retshåndhævelse eller offentlige
administrative formål, f.eks. ECRIS og Eucaris' Prüm-tjeneste
22
, er adgangen begrænset.
Funktionen "Find a company" i BRIS er tilgængelig på e-justiceportalen for alle, mens
meddelelsesinfrastrukturen for øjeblikket er forbeholdt nationale selskabsregistre ved lov. Med
hensyn til sammenkoblingen af insolvensregistre er de oplysninger, der opnås via søgegrænsefladen,
offentligt tilgængelige, og medlemsstaterne har kun mulighed for at begrænse adgangen til
anmodende brugere med en berettiget interesse i forbindelse med "insolvensbehandlinger af
forbrugere". ECRIS er kun tilgængeligt for udpegede centrale myndigheder i medlemsstaterne.
19
Der er ikke noget retsgrundlag for sammenkoblingen, men den fungerer som et frivilligt system, hvor
medlemsstaterne kan vælge at deltage.
20
e-CODEX-systemet består af en pakke af softwareprodukter (CEF's eDelivery og e-CODEX-konnektoren),
der kan anvendes til at oprette et adgangspunkt på nationalt plan med henblik på en sådan sikker
kommunikation. Det er ikke et system, der sammenkobler nationale databaser eller registre, men en
kommunikationsinfrastruktur, der sikrer sikker kommunikation og udveksling af oplysninger mellem nationale
IT-systemer, og som sådan anses det for relevant for vurderingen i denne rapport. e-CODEX blev udviklet
mellem 2010 og 2016 af 21 medlemsstater med deltagelse af andre lande/territorier og organisationer.
21
Oprettet i overensstemmelse med Rådets konklusioner om styrkelse af strafferetten i cyberspace af 9. juni
2016.
22
Selv om flere myndigheder kan få adgang til Eucaris, regulerer Eucaris' Prüm-tjeneste de retshåndhævende
myndigheders adgang.
4
 kom (2019) 0372 - Ingen titel
2073939_0006.png
Adgangen til Eucaris' tjenester er ligeledes åben for offentlige myndigheder via de udpegede nationale
kontaktpunkter. For EBOCS er adgangen begrænset til de deltagende kriminalitetsbekæmpende
agenturer.
System
BRIS
Aktindsigt
Ja
Begrænset
adgang
Bemærkninger
Funktionen "Find a company" i BRIS er
tilgængelig på e-justiceportalen for alle, mens
meddelelsesinfrastrukturen for øjeblikket er
forbeholdt nationale selskabsregistre ved lov.
Ja
For centrale myndigheder i medlemsstaterne,
der er specielt udpeget til denne funktion.
Ja
For de nationale Eucaris-kontaktpunkter,
Eucaris
gennem hvilke offentlige myndigheder kan få
adgang, afhængigt af retsgrundlaget for
samarbejdet.
Ja
For de kriminalitetsbekæmpende agenturer, der
EBOCS
deltager i projektet
Avancerede funktioner vil kun være
LRI
Ja
tilgængelige for godkendte retslige aktører.
Tabel 1: Tilgængelighed af det brugerorienterede system, der interagerer med det sammenkoblede it-
system.
IRI
ECRIS
Ja
I henhold til direktivet om bekæmpelse af hvidvask af penge er formålet med de centrale mekanismer
for bankkonti at forbedre bekæmpelsen af hvidvask af penge og finansiering af terrorisme, og
adgangen er begrænset til visse offentlige myndigheder. Direktivet om regler, der letter brugen af
finansielle oplysninger og andre oplysninger, udvider formålet med anvendelsen af oplysningerne i de
centrale mekanismer til også at omfatte grov kriminalitet og adgangsrettigheder for udpegede
kompetente myndigheder. Endelig ligger anvendelsesområdet for de nationale myndigheder, der har
direkte adgang til de nationale registre, hos de medlemsstater, der fører registrene. Dette kan føre til
en afvigelse, da visse typer af myndigheder kan få adgang i én medlemsstat, men ikke i en anden. Ved
en grænseoverskridende udveksling gennem sammenkoblingssystemet på EU-plan kan dette føre til
en situation, hvor en myndighed anmoder om oplysninger fra registret i en anden medlemsstat, mens
denne søgning nægtes en tilsvarende myndighed.
Én mulighed kunne være, at de samme myndigheder, som vil få direkte adgang til de centrale
mekanismer i overensstemmelse med direktivet om bekæmpelse af hvidvask af penge og direktivet
om regler, der letter brugen af finansielle og andre oplysninger, får adgang til
sammenkoblingsplatformen. En anden mulighed ville være, at adgangsrettigheder til
sammenkoblingssystemet gives til de samme typer myndigheder i alle medlemsstater, hvilket kunne
opnås ved en harmoniseret og lukket liste på EU-plan over de typer af myndigheder, der er anført i
overensstemmelse med formålet med adgangen til oplysningerne.
Hvis sammenkoblingen blev udvidet til at omfatte alle myndigheder, der på nuværende tidspunkt har
adgang i henhold til national lovgivning, ville der være behov for detaljerede bestemmelser om
betingelserne for de kompetente nationale myndigheders adgang og søgninger. I den forbindelse er
det vigtigt at understrege, at direktivet om anvendelse af finansielle og andre oplysninger fastsætter
strenge betingelser for adgang til og søgninger i bankkontooplysninger, som er indeholdt i de centrale
automatiske mekanismer, der er indført af kompetente myndigheder udpeget på nationalt plan. Disse
Endnu ikke operationel.
5
 kom (2019) 0372 - Ingen titel
betingelser omfatter f.eks. adgang til registre og systemer for dataudtræk for specifikt udpegede og
bemyndigede personer i hver enkelt kompetent myndighed. En anden foranstaltning, der reducerer de
risici, som er forbundet med de udpegede nationale myndigheders udvidede adgangsrettigheder,
kunne være at begrænse omfanget af de tilgængelige oplysninger i sammenkoblingssystemet til det
minimum af oplysninger, der vedrører kontoprofilen, jf. artikel 32a, stk. 3, i direktivet om
bekæmpelse af hvidvask af penge.
Med hensyn til anvendelsesområdet er det fastsat i artikel 32a, stk. 3, i direktivet om bekæmpelse af
hvidvask af penge, hvilke oplysninger alle centrale systemer skal indeholde, som f.eks. kontohaver,
bankkonti, der identificeres ved IBAN, og deponeringsbokse, som indehaves af et kreditinstitut inden
for det nationale område. Dog gælder følgende: Artikel 32a, stk. 4, i direktivet giver medlemsstaterne
mulighed for at medtage andre oplysninger i registrene, der skønnes at være af afgørende betydning
for de finansielle efterretningsenheder og for de kompetente myndigheder med henblik på at opfylde
deres forpligtelser i henhold til direktivet. Ud fra et persondatabeskyttelsessynspunkt synes det
nødvendigt at begrænse omfanget af oplysninger, der er tilgængelige via sammenkoblingsplatformen,
til det obligatoriske minimum af oplysninger, der er fastsat i artikel 32a, stk. 3, i direktivet om
bekæmpelse af hvidvask af penge. I overensstemmelse med databeskyttelsesreglerne bør adgangen til
personoplysninger stå i et rimeligt forhold til, hvad der er nødvendigt for at nå de mål, der er fastsat i
direktivet om bekæmpelse af hvidvask af penge. En lignende tilgang anvendes i direktivet om regler,
der letter brugen af finansielle og andre oplysninger. Det er præciseret i artikel 4, stk. 2, i dette
direktiv, at de kompetente myndigheder ikke må få adgang til og søge i de yderligere oplysninger,
som medlemsstaterne indlæser i de centrale bankkontoregistre.
3.2. Søgefunktion
De gældende søgekriterier er af afgørende betydning for at sikre, at sammenkoblingen af de
automatiske centrale mekanismer skaber merværdi for brugerne. Søgekriterierne bør udformes på en
måde, der styrker de relevante myndigheders kapacitet til at udføre deres opgaver og foretage
undersøgelser mere effektivt, samtidig med at der sikres proportionalitet og overholdelse af de
gældende databeskyttelseskrav.
Der bør tages hensyn til, hvem der har ret til at foretage søgningen (private parter eller offentlige
parter), og til de oplysninger, der kan eller ikke kan forventes at være kendt af den person, der
foretager søgningen. Et krav om, at søgningen skal indeholde data, der sandsynligvis ikke vil være
kendt af den person, der foretager forespørgslen, kan gøre det vanskeligt eller umuligt at foretage en
effektiv søgning. Det bemærkes også, at der er tilfælde, hvor en finansiel efterretningsenhed eller en
retshåndhævende myndighed fra én medlemsstat ikke vil være bekendt med fødselsdatoen eller det
nationale identifikationsnummer for en borger i en anden medlemsstat. Hvis sammenkoblingen også
skal omfatte sådanne yderligere oplysninger i de centrale systemer, er det vigtigt at fastslå, om det
også vil være muligt at foretage søgninger på grundlag af sådanne yderligere oplysninger.
De typer af oplysninger, der udgør det harmoniserede minimum af oplysninger i artikel 32a, stk. 3, i
direktivet om bekæmpelse af hvidvask af penge, kunne overvejes som søgekriterier. Dette ville gøre
sammenkoblingssystemet egnet til det oprindelige formål med de centrale mekanismer. Der ville være
behov for yderligere sikkerhedsforanstaltninger, der gør det muligt at kontrollere hits (navnlig i
tilfælde, hvor søgningen resulterer i flere svar).
Betingelserne for, hvordan søgningerne skal foretages, er afgørende for effektiviteten af anvendelsen
af de sammenkoblede databaser. Muligheden for at køre "fuzzy-søgninger", dvs. søgninger, der giver
bredere resultater, selv om et ord er stavet forkert eller er ufuldstændigt, vil udvide de hits, der
6
 kom (2019) 0372 - Ingen titel
2073939_0008.png
fremkommer ved søgningen, og dermed øge sandsynligheden for, at de ønskede oplysninger tilgås via
søgningen, men vil kunne give anledning til databeskyttelsesmæssige betænkeligheder, da det kunne
eksponere personoplysninger, som reelt ikke var berørt af søgningen. Derimod mindsker et krav om
"nøjagtigt match" risikoen for unødvendig eksponering af personoplysninger, men vil øge
sandsynligheden for, at de ønskede oplysninger overses af søgemaskinen (hvis der er forskel i det
eller de indtastede søgeords stavemåde, eller hvis der anvendes forskellige translitterationsregler).
Muligheden for at foretage "fuzzy-søgninger" ville mindske brugen af automatiske
valideringsprocedurer og dermed undgå eller mindske antallet af fejlagtige hits, men ville også
mindske systemets operationelle værdi. Ved brug af "fuzzy-søgninger" bør overvejes andre værktøjer
til afbødning af risikoen for, "at der fiskes efter oplysninger", f.eks. i IRI, hvor der er en øvre grænse
for antallet af viste resultater.
3.3. Ledelsesstruktur, ansvar for vedligeholdelse
Med hensyn til BRIS, IRI, LRI og ECRIS er de forskellige tjenestegrene i Europa-Kommissionen
ansvarlige for at vedligeholde IT-systemet,
dvs. de skal sikre, at sammenkoblingskomponenten er
tilgængelig, og de afholder omkostningerne i forbindelse med oprettelsen og vedligeholdelsen af det.
For øjeblikket vedligeholdes e-CODEX af et konsortium af medlemsstater (CEF's eDelivery-modul
ligger inden for Europa-Kommissionens ansvarsområde). I Eucaris påhviler ansvaret de 28
medlemsstater og de deltagende tredjelande, mens EBOCS-systemet ejes af European Business
Registers' Association (EBRA). Da disse IT-systemer sammenkobler nationale databaser, er det
medlemsstaterne, der er ansvarlige for at vedligeholde de nationale databaser og sikre deres
tilgængelighed.
Med hensyn til
ledelsesstrukturen
i et system, der sammenkobler databaser, bør kompetencerne i
forbindelse med beslutningstagning om politiske og operationelle spørgsmål tilrettelægges på en
måde, der tilgodeser de nationale komponenters interesser.
I BRIS fungerer BRIS-styringsudvalget som Kommissionens interne forum for politiske beslutninger,
tilsyn og forvaltningen af BRIS, mens ekspertgruppen vedrørende selskabsret (selskabsregistre)
(CLEG-BRIS) fungerer som forum for politisk samarbejde mellem de involverede aktører. En
tilsvarende sondring mellem politikudformning og operative strukturer ses i forbindelse med Eucaris,
hvor generalforsamlingen, der består af højtstående repræsentanter for de statslige agenturer,
fastlægger den politik, der skal føres, godkender budgettet og de årlige bidrag og indfører ordninger
for systemforvaltning.
3.4. Udøvelse af datakontrol
Ansvaret for vedligeholdelsen af IT-systemet adskiller sig fra spørgsmålet om
ansvaret for
databeskyttelse.
I henhold til den generelle forordning om databeskyttelse
23
er den dataansvarlige den
fysiske eller juridiske person, der alene eller sammen med andre afgør, til hvilket formål og med
hvilke hjælpemidler der må foretages behandling af personoplysninger, og bærer ansvaret for
behandlingen af personoplysninger. Spørgsmålet om udøvelse af kontrol er kompleks, og mange
faktorer er relevante for den dataansvarliges vurdering, herunder, men ikke udelukkende, spørgsmålet
om, hvem der opbevarer oplysningerne, og hvor.
23
Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer
i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om
ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse)
(EUT L 119 af 4.5.2016, s. 1).
7
 kom (2019) 0372 - Ingen titel
Med hensyn til IRI sammenkobler EU-platformen kun de decentrale nationale databaser, og alle de
data, der vises i den centrale platform, er ganske enkelt "transiente data". De lagres ikke i EU-
komponenten, og logfiler fra de forespørgsler, der foretages af brugerne via webtjenesten, registreres
eller opbevares heller ikke i centret. Situationen er noget forskellig med hensyn til BRIS, som har
indført en særlig funktion, der går ud på at lagre data om virksomhedernes kerneprofil i en central
komponent på kommissionsniveau, som de nationale registre regelmæssigt ajourfører. Den første
forespørgsel sammenholdes med denne centrale database, hvilket resulterer i en hitliste med navnene
på enhederne. Den anmodende bruger kan få detaljerede data om en bestemt enhed ved at vælge
navnet på den enhed fra "hitlisten", hvilket genererer en direkte forbindelse til oplysningerne i den
nationale database.
Med hensyn til en mulig sammenkobling af centrale mekanismer bør det overvejes at udvikle et IT-
system, hvor den centrale rutningskomponent ikke lagrer nogen personoplysninger, og hvor alle
beslutninger om databehandlingens hjælpemidler og formål træffes på nationalt plan. Formålet med
sammenkoblingstjenesten er ganske enkelt at lette behandlingen på vegne af de centrale mekanismer,
der fortsat er ansvarlige for deres respektive datasæt.
3.5. Udgifter til etablering og vedligeholdelse
Oprettelse af et system, der sammenkobler de nationale centrale mekanismer, vil medføre
omkostninger både til etablering og vedligeholdelse af systemet, som skal deles mellem EU og dets
medlemsstater. Hvis man ser på fordelingen af omkostninger i modeleksemplet, blev omkostningerne
i forbindelse med EU-komponenten (den centrale rutningskomponent, EU-platformen) finansieret
over EU's almindelige budget, mens medlemsstaterne afholdt de omkostninger, der var nødvendige
for at tilpasse deres nationale systemer og gøre dem indbyrdes kompatible med EU's
sammenkoblingssystem. Med hensyn til BRIS krævede udviklingen af den første version, der blev
taget i brug i juni 2017, og som omfattede den europæiske centrale platform, ca. 1,7 mio. EUR. Med
hensyn til IRI, der har en mere enkel arkitektur, beløber omkostningerne til udvikling af det centrale
søgepilotsystem (IRI 1.0) sig til ca. 280 000 EUR, mens tilpasningen af den centrale søgeapplikation
til etableringen af IRI 2.0 vil koste ca. 170 000 EUR. Med hensyn til ECRIS nåede de samlede
omkostninger til indførelsen af "referenceimplementeringen", der er softwaret til udveksling af
oplysninger om strafferegistre mellem medlemsstaterne, op på 2 050 000 EUR. De årlige udgifter til
vedligeholdelse af systemet beløb sig til 150 000 EUR. Med hensyn til Eucaris afkræves der de
enkelte deltagerlande et generelt gebyr på ca. 20 000 EUR til vedligeholdelsesformål.
Det fremgår af ovenstående tal, at omkostningerne til etablering og vedligeholdelse af et
sammenkoblingssystem på EU-plan er relativt lave i forhold til de fordele, et sådant projekt giver EU.
Omkostningseffektiviteten kunne forbedres ved at genbruge eksisterende kapacitet (som f.eks.
eDelivery-adgangspunkter, Connecting Europe-facilitetens moduler, centrale vokabularer i Europa-
Kommissionens Generaldirektorat for Informationsteknologi, etc.).
4. Tekniske specifikationer for systemerne, herunder datasikkerhed
4.1. Anvendt netværk og datasikkerhed
Eucaris' Prüm-tjeneste og ECRIS anvender Trans-European Services for Telematics between
Administrations (de transeuropæiske telematiktjenester mellem administrationer) (TESTA), der er et
privat net, som er fuldstændig adskilt fra det offentlige internet. De udpegede nationale
kontaktpunkter har adgang til dette private net. TESTA-netværktjenesten drives af Kommissionen og
8
 kom (2019) 0372 - Ingen titel
2073939_0010.png
sikrer en garanteret ydeevne og et højt sikkerhedsniveau. Eucaris kan anvendes via det offentlige
internet, men denne mulighed udnyttes ikke på nuværende tidspunkt. Det har forbindelser til alle EU-
institutioner og nationale netværk og foretrækkes i forbindelse med retshåndhævelsessamarbejde, der
involverer følsomme oplysninger. Andre sikre netværk er også blevet udviklet af EU-institutionerne,
f.eks. Common Communications Network og Common Systems Interface (CCN/CSI), der anvendes
inden for toldpolitik og -beskatning.
BRIS, IRI, LRI og EBOCS benytter det offentlige internet (med passende krypteringsteknologi til
data, der passerer gennem nettet). Når det drejer sig om sikker udveksling af oplysninger via det
offentlige internet, gør eDelivery-modulet det muligt for virksomheder og offentlige myndigheder at
udveksle elektroniske data og dokumenter i digitalt format med andre organisationer på en indbyrdes
kompatibel, sikker, pålidelig og tillidvækkende måde. Dette er i overensstemmelse med definitionen
af elektroniske registrerede leveringstjenester i artikel 3, nr. 36), i eIDAS-forordningen
24
.
Med henblik på en mulig sammenkobling af centrale systemer, der kan siges at omfatte følsomme
oplysninger, kunne det overvejes at anvende TESTA. Offentlige internetløsninger kunne dog også
overvejes. Næsten alle de nationale centrale systemer benytter det offentlige internet. Set ud fra et
datasikkerheds- og integritetsperspektiv vil den omstændighed, at systemet vil bestå af decentrale
databaser, afbøde mulige risici, da decentralisering og distribuerede teknologier i sagens natur er mere
modstandsdygtige over for cyberangreb, eftersom det er meget vanskeligere at ødelægge data generelt
og langt lettere at genskabe data efter hændelser.
4.2. Central rutningskomponent
Der er to hovedtyper af arkitekturer for IT-systemer, dvs. de rent decentrale systemer og dem, der har
en central platform eller rutningskomponent, der anvendes på EU-plan, og som fungerer som
"konnektor" mellem de decentrale nationale databaser.
I "rent distribuerede systemer" er der ikke nogen EU-platform eller -komponent, men alle lande
kommunikerer direkte med hinanden ved hjælp af standarder, der er aftalt i fællesskab, og som
muliggør direkte peer-to-peer-udveksling mellem de sammenkoblede punkter i medlemsstaterne. Når
der foretages en forespørgsel, sendes denne derfor individuelt til de øvrige nationale systemer, og de
modtagne svar indsamles og vises via den anmodende brugers webklientbrugerflade. Eucaris, ECRIS
og e-CODEX anvender denne teknologi (baseret på en i fællesskab udviklet applikation).
I forbindelse med "distribuerede systemer med en central rutningskomponent" er der en central
platform på EU-plan, nemlig én central webtjeneste, der vedligeholdes og drives på EU-plan, og som
er forbundet med alle nationale systemer. Brugere foretager søgninger via den centrale webtjeneste,
der indsamler oplysninger fra de nationale databaser. BRIS, EBOCS og IRI anvender denne
teknologi
25
.
24
Europa-Parlamentets og Rådets forordning (EU) nr. 910/2014 af 23. juli 2014 om elektronisk identifikation og
tillidstjenester til brug for elektroniske transaktioner på det indre marked og om ophævelse af
direktiv 1999/93/EF (EUT L 257 af 28.8.2014, s. 73).
25
Der findes alternativer til en central komponent. F.eks. gør CEF's "eDelivery Service Metadata Publisher"
(SMP) det muligt for deltagerne i en meddelelsesinfrastruktur på dynamisk vis at få indblik i hinandens
(juridiske, organisatoriske og tekniske) kapacitet. På grund af denne distribuerede arkitektur skal hver deltager
have et entydigt ID. En central komponent kaldet "Service Metadata Locator" (SML) anvender disse ID'er til at
oprette URL'er, der, når de opløses, dirigerer eDelivery-adgangspunktet hen til de specifikke oplysninger om
deltageren.
9
 kom (2019) 0372 - Ingen titel
2073939_0011.png
En løsning med en central rutningskomponent kunne være lettere at implementere ud fra et
konnektivitetssynspunkt. Når der er en enkelt platform, skal hver medlemsstat kun etablere og
vedligeholde én forbindelse mellem det nationale system og denne centrale platform. Da der ikke
findes en "reel" central platform, vil hver medlemsstat være nødt til at etablere, afprøve og
vedligeholde forbindelser til alle andre nationale systemer i medlemsstaterne (f.eks. omfatter Eucaris'
Prüm-tjeneste på nuværende tidspunkt næsten 756 forbindelser). Et rent distribueret system skal
tackle udfordringen med det øgede antal forbindelser, hvilket kan øge problemerne med hensyn til
forvaltning, kontrol og revision. Ikke desto mindre findes der teknologiske løsninger på udfordringen
med at forvalte et stort antal mulige forbindelser. Samtidig skal der tages behørigt hensyn til, at i et
centralt rutningssystem kan den centrale komponent blive den faktor, der forårsager nedbrud af hele
systemet.
4.3. Protokol for dataudveksling
BRIS og e-CODEX benytter CEF's eDelivery-løsning, mens IRI 2.0 vil benytte både CEF's
eDelivery-løsning og SOAP
26
-kommunikation. Eucaris' Prüm-tjeneste og EBOCS-applikationen
anvender SOAP-baserede grænseflader. LRI benytter RESTful-baserede webtjenester
27
.
CEF's eDelivery-modul hjælper brugerne med at udveksle elektroniske data med hinanden på en
sikker, pålidelig og tillidvækkende måde. CEF's eDelivery-løsning er baseret på en distribueret model
kaldet "4-hjørnemodellen", hvor brugernes back-end-systemer ikke udveksler data direkte med
hinanden, men gennem adgangspunkter. Disse adgangspunkter er i overensstemmelse med de samme
tekniske specifikationer og kan derfor kommunikere med hinanden. En anden fordel ved eDelivery-
løsningen er, at den tager højde for sikkerheden af de data, der udveksles mellem de forskellige
adgangspunkter, uden at der er behov for en skræddersyet udvikling. Som følge heraf kan brugere, der
indfører CEF's eDelivery-løsning, let og sikkert udveksle data, selv om deres IT-systemer blev
udviklet uafhængigt af hinanden. I stedet for eDelivery-modellen
—
der er meget nyttig for samspil
med flere back-end-systemer
—
kan forskellige funktioner centraliseres. Når medlemsstaterne
anvender denne teknologiske løsning, skal de (og eventuelt Kommissionen i tilfælde af en central
rutningskomponent) anvende et eDelivery-knudepunkt på deres respektive niveau. De kan genbruge
deres eksisterende knudepunkter, der er udviklet til andre tjenester (hvilket bidrager til løsningens
omkostningseffektivitet). Europa-Kommissionens Generaldirektorat for Informationsteknologi har
udviklet en kompatibel programløsning, der stilles gratis til rådighed gennem en open source-licens
fra Den Europæiske Union (EUPL). Der kræves dog sædvanligvis en vis tilpasning og udvikling.
eDelivery-modellen benytter asynkron kommunikation, hvilket implicit skaber en vis ventetid i
kommunikationen (typisk 3-10 sekunder). Der findes en generel EU-politik med hensyn til CEF-
byggesten, som har til formål at skabe konvergens mellem de forskellige systemer, som er udviklet
inden for EU's forskellige politikområder.
Når der anvendes synkron SOAP
—
som giver mulighed for kommunikation over et sikkert lag
—
vælges der som oftest en mere enkel arkitektur, der sigter mod at opnå de bedste resultater. RESTful-
baseret arkitektur udgør en nyere løsning i forhold til SOAP, og der er ved at udvikle sig en tendens
til, at SOAP fortrænges af REST-teknologi. I både eDelivery- og SOAP- eller REST-baserede
tilgange bygger tilliden normalt på digitale certifikater, og der foretages forskellige kontroller.
26
27
Simple Object Access Protocol.
Representational State Transfer (REST) er en softwarearkitektur, der fastlægger en række begrænsninger, som
skal anvendes til at oprette webtjenester.
10
 kom (2019) 0372 - Ingen titel
2073939_0012.png
Med hensyn til den fremtidige sammenkobling af de centrale mekanismer skal det bemærkes, at der
inden for rammerne af CEF anvendes eDelivery, når der finder bilaterale udvekslinger sted mellem de
decentrale nationale databaser, mens den SOAP-baserede grænseflade (eller RESTful) er tilstrækkelig
i systemer, hvor kommunikationen kun finder sted med en national database og den centrale platform.
4.4. Funktion i et flersproget miljø og semantisk interoperabilitet
Alle vurderede systemer fungerer i et flersproget miljø bortset fra EBOCS, der på nuværende
tidspunkt fungerer på tre sprog, men det er planen, at det skal fungere på alle sprog på lang sigt. Inden
for BRIS foretages translitterationen på EU-niveau, mens det finder sted på nationalt plan i IRI, LRI
og Eucaris. Med hensyn til semantisk interoperabilitet (glossarer) kræver en fremtidig sammenkobling
af centrale mekanismer ikke et specifikt vokabular, da minimumssættet af oplysninger ikke består af
nationale begreber, men af personoplysninger, f.eks. navn, entydig identifikator (f.eks. nationale ID-
numre) og IBAN-nummer. Det er vigtigt med en fælles forståelse i alle nationale systemer, navnlig
fordi de nationale centrale mekanismer ikke indeholder oplysninger om EU- og tredjelandsenheder.
Translitterationsreglerne for Schengeninformationssystemet (SIS) kan tjene som et nyttigt eksempel i
denne forbindelse.
Ifølge den europæiske interoperabilitetsramme (EIF) vedrører det semantiske aspekt betydningen af
dataelementer og forholdet mellem dem. Det omfatter udvikling af vokabularer og skemaer til
beskrivelse af dataudvekslinger og sikrer, at alle kommunikerende parter forstår dataelementerne på
samme måde.
Systemet til sammenkobling af bankregistre skal udveksle data mellem forskellige databaser, hver
med sine egne datamodeller og semantiske standarder. Der skal indføres fælles semantiske standarder,
enten direkte i systemerne eller som et kortlægningslag mellem de forskellige standarder i
medlemsstaterne. Før der indføres en ny semantisk standard, skal det dog overvejes, om man kan
genanvende allerede eksisterende standarder.
De centrale vokabularer (der kan være erhvervs-, steds- og personorienteret eller andet), som er skabt
af ISA2-programmet, er forenklede, genanvendelige og fleksible datamodeller, der kan anvendes til
dette formål. I de forskellige løsninger for sammenkoblinger af basisregistre, f.eks. BRIS, genbruges
nogle af standarderne (f.eks. det centrale virksomhedsvokabular) allerede.
5. Næste skridt
Disse rapporter indeholder en række elementer, der skal overvejes i forbindelse med en eventuel
sammenkobling af bankkontoregistre og systemer for dataudtræk, og viser, at det er teknisk muligt at
sammenkoble disse centrale mekanismer. Et sådant system kunne eventuelt være et decentralt system
med en fælles platform på EU-plan. Den teknologi, som Europa-Kommissionen allerede har udviklet i
forbindelse med de forskellige analyserede modeller, kunne anvendes.
I de seneste år har forskellige systemer baseret sig på genanvendelse af fælles byggesten. Disse
byggesten er dybest set en række velkendte standarder og tekniske specifikationer, der kan anvendes i
forbindelse med tilbagevendende udfordringer såsom sikker udveksling af oplysninger. Konsekvent
anvendelse af disse byggesten er en tilgang, der støttes af Kommissionens nuværende digitale politik,
og som medlemsstaterne har forpligtet sig til i Tallinnerklæringen om e-forvaltning
28
. En fremtidig
28
Alle EU-medlemsstater og EFTA-landene undertegnede "e-forvaltningserklæringen" den 6. oktober 2017 i
Tallinn. Teksten til erklæringen findes på
http://ec.europa.eu/newsroom/document.cfm?doc_id=47559.
11
 kom (2019) 0372 - Ingen titel
sammenkobling af nationale centrale automatiske mekanismer vil kunne fremme anvendelsen af de
samme byggesten til at fremskynde denne tilgang og dens tilpasning til de relevante EU-forordninger
såsom eIDAS.
Da en fremtidig sammenkobling af de centrale mekanismer på EU-plan vil fremskynde adgangen til
finansielle oplysninger og lette det grænseoverskridende samarbejde mellem de kompetente
myndigheder, er det Kommissionens hensigt yderligere at høre de relevante interessenter, regeringer
samt de finansielle efterretningsenheder, de retshåndhævende myndigheder og kontorerne for
inddrivelse af aktiver i deres egenskab af potentielle "slutbrugere" i forbindelse med et muligt
sammenkoblingssystem.
12