# Publicatieblad C 34/2012

| | ISSN 1977-0995
  doi:10.3000/19770995.C_2012.034.nld |
| --- | --- |
| Publicatieblad
  van de Europese Unie | C 34 |
| | |
| Uitgave in de Nederlandse taal | Mededelingen en bekendmakingen | 55e jaargang8 februari 2012 |

ISSN 1977-0995

doi:10.3000/19770995.C_2012.034.nld

Publicatieblad

van de Europese Unie

C 34

Uitgave in de Nederlandse taal

Mededelingen en bekendmakingen

55e jaargang8 februari 2012

---

| Nummer | Inhoud | Bladzijde |
| --- | --- | --- |
| | I   Resoluties, aanbevelingen en adviezen |
| | ADVIEZEN |
| | De Europese Toezichthouder voor gegevensbescherming |
| 2012/C 034/01 | Advies van de Europese toezichthouder voor gegevensbescherming over netneutraliteit, beheer van verkeersstromen en bescherming van de persoonlijke levenssfeer en persoonsgegevens | 1 |
| 2012/C 034/02 | Advies van de Europese toezichthouder voor gegevensbescherming over de Mededeling van de Commissie aan het Europees Parlement, de Raad, het Europees Economisch en Sociaal Comité en het Comité van de Regio's inzake migratie | 18 |

Nummer

Inhoud

Bladzijde

I   Resoluties, aanbevelingen en adviezen

ADVIEZEN

De Europese Toezichthouder voor gegevensbescherming

2012/C 034/01

Advies van de Europese toezichthouder voor gegevensbescherming over netneutraliteit, beheer van verkeersstromen en bescherming van de persoonlijke levenssfeer en persoonsgegevens

1

2012/C 034/02

Advies van de Europese toezichthouder voor gegevensbescherming over de Mededeling van de Commissie aan het Europees Parlement, de Raad, het Europees Economisch en Sociaal Comité en het Comité van de Regio's inzake migratie

18

| | IV   Informatie |
| --- | --- |
| | INFORMATIE AFKOMSTIG VAN DE INSTELLINGEN, ORGANEN EN INSTANTIES VAN DE EUROPESE UNIE |
| | Europese Commissie |
| 2012/C 034/03 | Wisselkoersen van de euro | 27 |

IV   Informatie

INFORMATIE AFKOMSTIG VAN DE INSTELLINGEN, ORGANEN EN INSTANTIES VAN DE EUROPESE UNIE

Europese Commissie

2012/C 034/03

Wisselkoersen van de euro

27

| | V   Adviezen |
| --- | --- |
| | ANDERE HANDELINGEN |
| | Europese Commissie |
| 2012/C 034/04 | Kennisgeving aan Monir Chouka, Yassin Chouka en Mevlüt Kar die zijn toegevoegd aan de lijst bedoeld in de artikelen 2, 3 en 7 van Verordening (EG) nr. 881/2002 van de Raad tot vaststelling van beperkende maatregelen tegen sommige personen en entiteiten die banden hebben met het Al-Qaida-netwerk, op grond van Verordening (EU) nr. 97/2012 van de Commissie | 28 |

V   Adviezen

ANDERE HANDELINGEN

Europese Commissie

2012/C 034/04

Kennisgeving aan Monir Chouka, Yassin Chouka en Mevlüt Kar die zijn toegevoegd aan de lijst bedoeld in de artikelen 2, 3 en 7 van Verordening (EG) nr. 881/2002 van de Raad tot vaststelling van beperkende maatregelen tegen sommige personen en entiteiten die banden hebben met het Al-Qaida-netwerk, op grond van Verordening (EU) nr. 97/2012 van de Commissie

28

| NL | |
| --- | --- |

NL

---

I Resoluties, aanbevelingen en adviezen

ADVIEZEN

De Europese Toezichthouder voor gegevensbescherming

| 8.2.2012 | NL | Publicatieblad van de Europese Unie | C 34/1 |
| --- | --- | --- | --- |

8.2.2012

NL

Publicatieblad van de Europese Unie

C 34/1

---

Advies van de Europese toezichthouder voor gegevensbescherming over netneutraliteit, beheer van verkeersstromen en bescherming van de persoonlijke levenssfeer en persoonsgegevens

2012/C 34/01

DE EUROPESE TOEZICHTHOUDER VOOR GEGEVENSBESCHERMING,

Gezien het Verdrag betreffende de werking van de Europese Unie, en met name artikel 16,

Gezien het Handvest van de grondrechten van de Europese Unie, en met name artikelen 7 en 8,

Gezien Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (1),

Gezien Verordening (EG) nr. 45/2001 van het Europees Parlement en de Raad van 18 december 2000 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de communautaire instellingen en organen en betreffende het vrije verkeer van die gegevens (2), en met name artikel 41, lid 2,

Gezien Richtlijn 2002/58/EG van het Europees Parlement en de Raad van 12 juli 2002 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie (3),

BRENGT HET VOLGENDE ADVIES UIT:

I.   INLEIDING

I.1.   Achtergrond

| 1. | Op 19 april 2011 heeft de Commissie een mededeling over het open internet en netneutraliteit in Europa (4) goedgekeurd. |
| --- | --- |

1.

Op 19 april 2011 heeft de Commissie een mededeling over het open internet en netneutraliteit in Europa (4) goedgekeurd.

| 2. | Dit advies kan worden beschouwd als de reactie van de EDPS op deze mededeling en is bedoeld als bijdrage aan het lopende beleidsdebat binnen de EU over netneutraliteit, vooral over aspecten in verband met gegevensbescherming en privacy. |
| --- | --- |

2.

Dit advies kan worden beschouwd als de reactie van de EDPS op deze mededeling en is bedoeld als bijdrage aan het lopende beleidsdebat binnen de EU over netneutraliteit, vooral over aspecten in verband met gegevensbescherming en privacy.

| 3. | Het advies bouwt voort op het antwoord (5) dat de EDPS heeft gegevens tijdens de openbare raadpleging van de Commissie over het open internet en netneutraliteit in Europa, die voorafging aan de mededeling van de Commissie. De EDPS heeft ook kennisgenomen van de recente ontwerpconclusies van de Raad betreffende netneutraliteit (6). |
| --- | --- |

3.

Het advies bouwt voort op het antwoord (5) dat de EDPS heeft gegevens tijdens de openbare raadpleging van de Commissie over het open internet en netneutraliteit in Europa, die voorafging aan de mededeling van de Commissie. De EDPS heeft ook kennisgenomen van de recente ontwerpconclusies van de Raad betreffende netneutraliteit (6).

I.2.   Het begrip netneutraliteit

| 4. | Netneutraliteit verwijst naar een debat over de vraag of het internetaanbieders (Internet Service Providers — „ISP’s (7)”) moet zijn toegestaan de toegang tot internet te beperken, filteren of blokkeren, of anderszins de prestaties van internet te beïnvloeden. Het begrip netneutraliteit komt voort uit de visie dat informatie op internet onpartijdig moet worden doorgegeven, ongeacht de inhoud, bestemming of bron, en dat de gebruikers moeten kunnen beslissen welke toepassingen, diensten en apparatuur zij willen gebruiken. Dit betekent dat ISP’s niet naar eigen goeddunken de toegang tot bepaalde toepassingen, zoals peer-to-peer („P2P”) en dergelijke, voorrang kunnen geven of mogen vertragen (8). |
| --- | --- |

4.

Netneutraliteit verwijst naar een debat over de vraag of het internetaanbieders (Internet Service Providers — „ISP’s (7)”) moet zijn toegestaan de toegang tot internet te beperken, filteren of blokkeren, of anderszins de prestaties van internet te beïnvloeden. Het begrip netneutraliteit komt voort uit de visie dat informatie op internet onpartijdig moet worden doorgegeven, ongeacht de inhoud, bestemming of bron, en dat de gebruikers moeten kunnen beslissen welke toepassingen, diensten en apparatuur zij willen gebruiken. Dit betekent dat ISP’s niet naar eigen goeddunken de toegang tot bepaalde toepassingen, zoals peer-to-peer („P2P”) en dergelijke, voorrang kunnen geven of mogen vertragen (8).

| 5. | Het filteren, blokkeren en controleren van netwerkverkeer roept belangrijke, vaak genegeerde of terzijde geschoven vragen op ten aanzien van de vertrouwelijkheid van de communicatie en de eerbiediging van de privacy en persoonsgegevens van internetgebruikers. Bij bepaalde controletechnieken wordt bijvoorbeeld toezicht gehouden op de inhoud van communicatie, bezochte websites, verzonden en ontvangen e-mails, de tijden waarop dit alles plaatsvindt, enzovoort, waardoor filteren van de communicatie mogelijk is. |
| --- | --- |

5.

Het filteren, blokkeren en controleren van netwerkverkeer roept belangrijke, vaak genegeerde of terzijde geschoven vragen op ten aanzien van de vertrouwelijkheid van de communicatie en de eerbiediging van de privacy en persoonsgegevens van internetgebruikers. Bij bepaalde controletechnieken wordt bijvoorbeeld toezicht gehouden op de inhoud van communicatie, bezochte websites, verzonden en ontvangen e-mails, de tijden waarop dit alles plaatsvindt, enzovoort, waardoor filteren van de communicatie mogelijk is.

| 6. | Met de controle van communicatiegegevens kunnen ISP’s inbreuk maken op de vertrouwelijkheid van de communicatie, een grondrecht dat wordt gewaarborgd door artikel 8 van het Europees Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden (het „EVRM”) en artikelen 7 en 8 van het Handvest van de grondrechten van de Europese Unie (het „Handvest”). De vertrouwelijkheid wordt verder beschermd in afgeleide EU-wetgeving, te weten artikel 5 van de richtlijn e-privacy. |
| --- | --- |

6.

Met de controle van communicatiegegevens kunnen ISP’s inbreuk maken op de vertrouwelijkheid van de communicatie, een grondrecht dat wordt gewaarborgd door artikel 8 van het Europees Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden (het „EVRM”) en artikelen 7 en 8 van het Handvest van de grondrechten van de Europese Unie (het „Handvest”). De vertrouwelijkheid wordt verder beschermd in afgeleide EU-wetgeving, te weten artikel 5 van de richtlijn e-privacy.

I.3.   Focus en structuur van het advies

| 7. | De EDPS is van mening dat bij een serieuze beleidsdiscussie over netneutraliteit moet worden ingegaan op de vertrouwelijkheid van de communicatie en andere gevolgen voor de privacy en gegevensbescherming. |
| --- | --- |

7.

De EDPS is van mening dat bij een serieuze beleidsdiscussie over netneutraliteit moet worden ingegaan op de vertrouwelijkheid van de communicatie en andere gevolgen voor de privacy en gegevensbescherming.

| 8. | Dit advies is een bijdrage aan de lopende discussie in de EU. Het heeft een drieledig doel:






  — | het vestigt de aandacht op de relevantie van privacy- en gegevensbescherming in de huidige discussies over netneutraliteit. Meer in het bijzonder belicht het de noodzaak om de bestaande regels inzake de vertrouwelijkheid van communicatie te eerbiedigen. Alleen praktijken die met dergelijke regels in overeenstemming zijn, dienen te worden toegelaten; |
| --- | --- | --- |

8.

Dit advies is een bijdrage aan de lopende discussie in de EU. Het heeft een drieledig doel:

—

het vestigt de aandacht op de relevantie van privacy- en gegevensbescherming in de huidige discussies over netneutraliteit. Meer in het bijzonder belicht het de noodzaak om de bestaande regels inzake de vertrouwelijkheid van communicatie te eerbiedigen. Alleen praktijken die met dergelijke regels in overeenstemming zijn, dienen te worden toegelaten;

| — | netneutraliteit heeft betrekking op betrekkelijk nieuwe — technologische — mogelijkheden en er is weinig ervaring met de toepassing van het wettelijk kader. Daarom bevat dit advies richtlijnen voor de wijze waarop ISP’s het wettelijk kader voor gegevensbescherming moeten toepassen en eerbiedigen als zij betrokken zijn bij het filteren, blokkeren en controleren van netwerkverkeer. Deze zouden van nut moeten zijn voor ISP’s en ook voor instanties die zijn belast met de handhaving van het wettelijk kader; |
| --- | --- |

—

netneutraliteit heeft betrekking op betrekkelijk nieuwe — technologische — mogelijkheden en er is weinig ervaring met de toepassing van het wettelijk kader. Daarom bevat dit advies richtlijnen voor de wijze waarop ISP’s het wettelijk kader voor gegevensbescherming moeten toepassen en eerbiedigen als zij betrokken zijn bij het filteren, blokkeren en controleren van netwerkverkeer. Deze zouden van nut moeten zijn voor ISP’s en ook voor instanties die zijn belast met de handhaving van het wettelijk kader;

| — | binnen het domein van gegevensbescherming en privacy wordt in dit advies gewezen op aspecten die speciale aandacht verdienen en wellicht optreden van de EU vereisen. Dit is vooral van belang in het licht van de lopende discussie op EU-niveau en de beleidsmaatregelen die in dit verband door de Commissie kunnen worden geïntroduceerd. |
| --- | --- |

—

binnen het domein van gegevensbescherming en privacy wordt in dit advies gewezen op aspecten die speciale aandacht verdienen en wellicht optreden van de EU vereisen. Dit is vooral van belang in het licht van de lopende discussie op EU-niveau en de beleidsmaatregelen die in dit verband door de Commissie kunnen worden geïntroduceerd.

| 9. | De EDPS is zich ervan bewust dat netneutraliteit ook andere vragen opwerpt, die in het vervolg worden beschreven, bijvoorbeeld in verband met de toegang tot informatie. Deze vragen komen alleen aan de orde voor zover ze verband houden met of gevolgen hebben voor gegevensbescherming en privacy. |
| --- | --- |

9.

De EDPS is zich ervan bewust dat netneutraliteit ook andere vragen opwerpt, die in het vervolg worden beschreven, bijvoorbeeld in verband met de toegang tot informatie. Deze vragen komen alleen aan de orde voor zover ze verband houden met of gevolgen hebben voor gegevensbescherming en privacy.

| 10. | Dit advies is als volgt gestructureerd. In hoofdstuk II wordt eerst een kort overzicht gegeven van filterpraktijken bij ISP’s. In hoofdstuk III wordt het wettelijk kader van de EU inzake netneutraliteit geschetst. Hoofdstuk IV vervolgt met een technische beschrijving en een beoordeling van de implicaties voor de privacy, afhankelijk van de gebruikte techniek. In hoofdstuk V worden de praktische details in verband met de toepassing van het huidige EU-kader voor privacy- en gegevensbescherming geanalyseerd. Op basis van de analyse bevat hoofdstuk VI suggesties voor verdere beleidsontwikkeling en worden de gebieden aangeduid waarop verduidelijking en verbetering van het wettelijk kader nodig zouden kunnen zijn. Hoofdstuk VII bevat de conclusies. |
| --- | --- |

10.

Dit advies is als volgt gestructureerd. In hoofdstuk II wordt eerst een kort overzicht gegeven van filterpraktijken bij ISP’s. In hoofdstuk III wordt het wettelijk kader van de EU inzake netneutraliteit geschetst. Hoofdstuk IV vervolgt met een technische beschrijving en een beoordeling van de implicaties voor de privacy, afhankelijk van de gebruikte techniek. In hoofdstuk V worden de praktische details in verband met de toepassing van het huidige EU-kader voor privacy- en gegevensbescherming geanalyseerd. Op basis van de analyse bevat hoofdstuk VI suggesties voor verdere beleidsontwikkeling en worden de gebieden aangeduid waarop verduidelijking en verbetering van het wettelijk kader nodig zouden kunnen zijn. Hoofdstuk VII bevat de conclusies.

II.   NETNEUTRALITEIT EN BELEID VOOR VERKEERSSTROOMBEHEER

Toenemend gebruik van beleid voor verkeersstroombeheer

| 11. | ISP’s hebben zich van oudsher slechts op beperkte schaal beziggehouden met het bewaken en beïnvloeden van het netwerkverkeer. Zo hebben ze controletechnieken en beperking van informatiestromen toegepast om de beveiliging van het netwerk in stand te houden, bijvoorbeeld ter bestrijding van virussen. Daardoor heeft internet in het algemeen kunnen groeien met behoud van een grote mate van neutraliteit. |
| --- | --- |

11.

ISP’s hebben zich van oudsher slechts op beperkte schaal beziggehouden met het bewaken en beïnvloeden van het netwerkverkeer. Zo hebben ze controletechnieken en beperking van informatiestromen toegepast om de beveiliging van het netwerk in stand te houden, bijvoorbeeld ter bestrijding van virussen. Daardoor heeft internet in het algemeen kunnen groeien met behoud van een grote mate van neutraliteit.

| 12. | De laatste jaren hebben bepaalde ISP’s echter belangstelling getoond voor controles van het netwerkverkeer om hun beleid te differentiëren, bijvoorbeeld om sommige diensten te blokkeren of voorrang te geven aan andere. Deze tendens wordt wel „beleid voor verkeersstroombeheer” („traffic management policies”) genoemd (9). |
| --- | --- |

12.

De laatste jaren hebben bepaalde ISP’s echter belangstelling getoond voor controles van het netwerkverkeer om hun beleid te differentiëren, bijvoorbeeld om sommige diensten te blokkeren of voorrang te geven aan andere. Deze tendens wordt wel „beleid voor verkeersstroombeheer” („traffic management policies”) genoemd (9).

| 13. | ISP’s hebben vele redenen om het verkeer te controleren en te differentiëren. Beleid voor verkeersstroombeheer kan ISP’s bijvoorbeeld helpen hun verkeer te beïnvloeden in perioden met grote congestie door bepaald tijdgevoelig verkeer, zoals videokanalen, voorrang te geven en andere soorten verkeer die minder tijdgevoelig zijn, zoals P2P, te vertragen (10). Verder kan verkeersstroombeheer een middel zijn waarmee ISP’s potentiële inkomstenbronnen aanboren. Enerzijds kunnen ISP’s vergoedingen aan aanbieders van inhoud vragen, bijvoorbeeld aan degenen wier diensten meer bandbreedte vereisen, in ruil voor voorrang (en dus snelheid). Dit zou betekenen dat het aanroepen van een bepaalde dienst, zoals video op afroep, sneller verloopt dan het aanroepen van een soortgelijke dienst waarmee geen overeenkomst voor snellere overdracht is gesloten. Inkomsten kunnen ook worden verkregen van abonnees die een hogere (of lagere) bijdrage willen betalen voor bepaalde soorten abonnementen. Zo zou een abonnement zonder toegang tot P2P goedkoper kunnen zijn dan een abonnement met onbeperkte toegang. |
| --- | --- |

13.

ISP’s hebben vele redenen om het verkeer te controleren en te differentiëren. Beleid voor verkeersstroombeheer kan ISP’s bijvoorbeeld helpen hun verkeer te beïnvloeden in perioden met grote congestie door bepaald tijdgevoelig verkeer, zoals videokanalen, voorrang te geven en andere soorten verkeer die minder tijdgevoelig zijn, zoals P2P, te vertragen (10). Verder kan verkeersstroombeheer een middel zijn waarmee ISP’s potentiële inkomstenbronnen aanboren. Enerzijds kunnen ISP’s vergoedingen aan aanbieders van inhoud vragen, bijvoorbeeld aan degenen wier diensten meer bandbreedte vereisen, in ruil voor voorrang (en dus snelheid). Dit zou betekenen dat het aanroepen van een bepaalde dienst, zoals video op afroep, sneller verloopt dan het aanroepen van een soortgelijke dienst waarmee geen overeenkomst voor snellere overdracht is gesloten. Inkomsten kunnen ook worden verkregen van abonnees die een hogere (of lagere) bijdrage willen betalen voor bepaalde soorten abonnementen. Zo zou een abonnement zonder toegang tot P2P goedkoper kunnen zijn dan een abonnement met onbeperkte toegang.

| 14. | Naast de redenen die ISP’s zelf kunnen hebben voor toepassing van een beleid voor verkeersstroombeheer, kunnen ook andere partijen daarbij belang hebben. Als ISP’s hun netwerken beheren en zich bezighouden met controles van de inhoud die door hun faciliteiten wordt overgedragen, verhogen ze waarschijnlijk hun vermogen om vermeend onwettig gebruik, bijvoorbeeld inbreuken op het auteursrecht of pornografisch gebruik, te constateren. |
| --- | --- |

14.

Naast de redenen die ISP’s zelf kunnen hebben voor toepassing van een beleid voor verkeersstroombeheer, kunnen ook andere partijen daarbij belang hebben. Als ISP’s hun netwerken beheren en zich bezighouden met controles van de inhoud die door hun faciliteiten wordt overgedragen, verhogen ze waarschijnlijk hun vermogen om vermeend onwettig gebruik, bijvoorbeeld inbreuken op het auteursrecht of pornografisch gebruik, te constateren.

Andere belangen die in het geding zijn, waaronder gegevensbescherming en privacy

| 15. | Deze trend heeft een discussie op gang gebracht over de rechtmatigheid van dit soort praktijken en met name over de vraag of specifieke verplichtingen inzake netneutraliteit nader moeten worden uitgewerkt in wetgeving. |
| --- | --- |

15.

Deze trend heeft een discussie op gang gebracht over de rechtmatigheid van dit soort praktijken en met name over de vraag of specifieke verplichtingen inzake netneutraliteit nader moeten worden uitgewerkt in wetgeving.

| 16. | Toenemend gebruik van beleid voor verkeersstroombeheer door ISP’s zou mogelijk de toegankelijkheid van informatie kunnen beperken. Als dit gedrag de norm wordt en het voor gebruikers onmogelijk (of heel duur) wordt om toegang te krijgen tot het hele internet zoals wij dat kennen, zou dat een gevaar betekenen voor de toegankelijkheid van informatie en de mogelijkheid voor gebruikers om de door hen gewenste inhoud te verzenden en te ontvangen met de toepassingen of diensten van hun keuze. Met een wettelijk verplicht beginsel van netneutraliteit wordt dit probleem wellicht vermeden. |
| --- | --- |

16.

Toenemend gebruik van beleid voor verkeersstroombeheer door ISP’s zou mogelijk de toegankelijkheid van informatie kunnen beperken. Als dit gedrag de norm wordt en het voor gebruikers onmogelijk (of heel duur) wordt om toegang te krijgen tot het hele internet zoals wij dat kennen, zou dat een gevaar betekenen voor de toegankelijkheid van informatie en de mogelijkheid voor gebruikers om de door hen gewenste inhoud te verzenden en te ontvangen met de toepassingen of diensten van hun keuze. Met een wettelijk verplicht beginsel van netneutraliteit wordt dit probleem wellicht vermeden.

| 17. | Dit brengt de EDPS tot de gevolgen voor de gegevensbescherming en de privacy wanneer ISP’s zich bezighouden met verkeersstroombeheer, meer in het bijzonder tot de volgende overwegingen:






  — | wanneer ISP’s verkeersgegevens verwerken met als enige doel het kanaliseren van de informatiestroom van de verzender naar de ontvanger, verwerken zij in het algemeen slechts op beperkte schaal persoonsgegevens (11). Zoals een postdienst de informatie op de envelop van een brief verwerkt, zo verwerkt de ISP de informatie die nodig is om de communicatie tot de ontvanger te richten. Dit is niet strijdig met de wettelijke verplichtingen inzake gegevensbescherming, privacy en vertrouwelijkheid van communicatie; |
| --- | --- | --- |

17.

Dit brengt de EDPS tot de gevolgen voor de gegevensbescherming en de privacy wanneer ISP’s zich bezighouden met verkeersstroombeheer, meer in het bijzonder tot de volgende overwegingen:

—

wanneer ISP’s verkeersgegevens verwerken met als enige doel het kanaliseren van de informatiestroom van de verzender naar de ontvanger, verwerken zij in het algemeen slechts op beperkte schaal persoonsgegevens (11). Zoals een postdienst de informatie op de envelop van een brief verwerkt, zo verwerkt de ISP de informatie die nodig is om de communicatie tot de ontvanger te richten. Dit is niet strijdig met de wettelijke verplichtingen inzake gegevensbescherming, privacy en vertrouwelijkheid van communicatie;

| — | wanneer ISP’s echter communicatiegegevens controleren om de communicatiestromen te differentiëren en daarop een specifiek beleid toe te passen, hetgeen voor bepaalde personen nadelig kan zijn, zijn de gevolgen van groter belang. Afhankelijk van de specifieke omstandigheden en van de soort analyse die wordt uitgevoerd, kan de verwerking in hoge mate inbreuk maken op iemands privacy en de vertrouwelijkheid van zijn persoonsgegevens. Dit is des te sterker het geval wanneer het beheersbeleid de inhoud van individuele internetcommunicatie aan het licht brengt, waaronder verzonden en ontvangen e-mails, bezochte websites, gedownloade of geüploade bestanden, enz. |
| --- | --- |

—

wanneer ISP’s echter communicatiegegevens controleren om de communicatiestromen te differentiëren en daarop een specifiek beleid toe te passen, hetgeen voor bepaalde personen nadelig kan zijn, zijn de gevolgen van groter belang. Afhankelijk van de specifieke omstandigheden en van de soort analyse die wordt uitgevoerd, kan de verwerking in hoge mate inbreuk maken op iemands privacy en de vertrouwelijkheid van zijn persoonsgegevens. Dit is des te sterker het geval wanneer het beheersbeleid de inhoud van individuele internetcommunicatie aan het licht brengt, waaronder verzonden en ontvangen e-mails, bezochte websites, gedownloade of geüploade bestanden, enz.

III.   HET WETTELIJK KADER VAN DE EU VOOR NETNEUTRALITEIT EN VERDERE BELEIDSONTWIKKELINGEN

III.1.   Het wettelijk kader in een notendop

| 18. | Tot 2009 bevatten de wetgevingsinstrumenten van de EU geen bepalingen waarin het ISP’s uitdrukkelijk verboden werd zich toe te leggen op het filteren of blokkeren of duurder maken voor abonnees van de toegang tot hun diensten. Ze bevatten echter ook geen bepalingen waarin deze praktijken uitdrukkelijk erkend werden. De situatie was tot op zekere hoogte onzeker. |
| --- | --- |

18.

Tot 2009 bevatten de wetgevingsinstrumenten van de EU geen bepalingen waarin het ISP’s uitdrukkelijk verboden werd zich toe te leggen op het filteren of blokkeren of duurder maken voor abonnees van de toegang tot hun diensten. Ze bevatten echter ook geen bepalingen waarin deze praktijken uitdrukkelijk erkend werden. De situatie was tot op zekere hoogte onzeker.

| 19. | Het telecompakket van 2009 bracht hierin verandering met bepalingen ten gunste van de openheid van internet. Zo worden in artikel 8, lid 4, van de richtlijn inzake een gemeenschappelijk regelgevingskader voor elektronische communicatienetwerken en -diensten („kaderrichtlijn”) regelgevende instanties verplicht de mogelijkheden voor eindgebruikers te bevorderen om zich toegang te verschaffen tot de inhoud, toepassingen of diensten van hun keuze (12). Deze bepaling geldt voor het netwerk als geheel, niet op het niveau van de afzonderlijke aanbieders. Ook in de recente ontwerpconclusies van de Raad over netneutraliteit wordt de noodzaak onderstreept om het open karakter van internet te handhaven (13). |
| --- | --- |

19.

Het telecompakket van 2009 bracht hierin verandering met bepalingen ten gunste van de openheid van internet. Zo worden in artikel 8, lid 4, van de richtlijn inzake een gemeenschappelijk regelgevingskader voor elektronische communicatienetwerken en -diensten („kaderrichtlijn”) regelgevende instanties verplicht de mogelijkheden voor eindgebruikers te bevorderen om zich toegang te verschaffen tot de inhoud, toepassingen of diensten van hun keuze (12). Deze bepaling geldt voor het netwerk als geheel, niet op het niveau van de afzonderlijke aanbieders. Ook in de recente ontwerpconclusies van de Raad over netneutraliteit wordt de noodzaak onderstreept om het open karakter van internet te handhaven (13).

| 20. | De universele-dienstrichtlijn (14) bevat meer concrete verplichtingen. In artikelen 20 en 21 worden transparantie-eisen gesteld aan beperkingen van de toegang tot en/of het gebruik van diensten en toepassingen. Ook worden minimumniveaus voor de servicekwaliteit voorgeschreven. |
| --- | --- |

20.

De universele-dienstrichtlijn (14) bevat meer concrete verplichtingen. In artikelen 20 en 21 worden transparantie-eisen gesteld aan beperkingen van de toegang tot en/of het gebruik van diensten en toepassingen. Ook worden minimumniveaus voor de servicekwaliteit voorgeschreven.

| 21. | Voor praktijken van ISP’s die de controle van individuele communicatie met zich meebrengen, wordt in overweging 28 van de richtlijn tot wijziging van de universele-dienstrichtlijn en de richtlijn e-privacy (15) onderstreept: „Afhankelijk van de gebruikte technologie en het soort van beperking, kan voor deze beperkingen de instemming van de gebruiker vereist zijn, overeenkomstig Richtlijn 2002/58/EG (richtlijn betreffende privacy en elektronische communicatie)”. Aldus herinnert overweging 28 aan de noodzaak van instemming op grond van artikel 5, lid 1, van de richtlijn e-privacy met beperkingen op basis van bewaking van de communicatie. In hoofdstuk IV wordt de toepassing van artikel 5, lid 1, en het algemene wettelijke kader voor gegevensbescherming en privacy nader geanalyseerd. |
| --- | --- |

21.

Voor praktijken van ISP’s die de controle van individuele communicatie met zich meebrengen, wordt in overweging 28 van de richtlijn tot wijziging van de universele-dienstrichtlijn en de richtlijn e-privacy (15) onderstreept: „Afhankelijk van de gebruikte technologie en het soort van beperking, kan voor deze beperkingen de instemming van de gebruiker vereist zijn, overeenkomstig Richtlijn 2002/58/EG (richtlijn betreffende privacy en elektronische communicatie)”. Aldus herinnert overweging 28 aan de noodzaak van instemming op grond van artikel 5, lid 1, van de richtlijn e-privacy met beperkingen op basis van bewaking van de communicatie. In hoofdstuk IV wordt de toepassing van artikel 5, lid 1, en het algemene wettelijke kader voor gegevensbescherming en privacy nader geanalyseerd.

| 22. | Ten slotte verleent artikel 22, lid 3, van de universele-dienstrichtlijn nationale regelgevende instanties nu de bevoegdheid indien nodig minimumeisen betreffende de servicekwaliteit op te leggen aan ISP’s teneinde aantasting van diensten en belemmering of vertraging van het verkeer op openbare netwerken te voorkomen. |
| --- | --- |

22.

Ten slotte verleent artikel 22, lid 3, van de universele-dienstrichtlijn nationale regelgevende instanties nu de bevoegdheid indien nodig minimumeisen betreffende de servicekwaliteit op te leggen aan ISP’s teneinde aantasting van diensten en belemmering of vertraging van het verkeer op openbare netwerken te voorkomen.

| 23. | Het voorgaande betekent dat op EU-niveau het streven naar een open internet breed wordt gedragen (zie artikel 8, lid 4, van de kaderrichtlijn). Dit beleidsdoel, dat voor het netwerk als geheel geldt, is echter niet rechtstreeks gekoppeld aan verboden of geboden voor afzonderlijke ISP’s. Met andere woorden, een ISP zou een verkeersstroombeleid kunnen voeren dat de toegang tot bepaalde toepassingen uitsluit, mits de eindgebruikers volledig worden geïnformeerd en vrijwillig, specifiek en ondubbelzinnig hun instemming betuigen. |
| --- | --- |

23.

Het voorgaande betekent dat op EU-niveau het streven naar een open internet breed wordt gedragen (zie artikel 8, lid 4, van de kaderrichtlijn). Dit beleidsdoel, dat voor het netwerk als geheel geldt, is echter niet rechtstreeks gekoppeld aan verboden of geboden voor afzonderlijke ISP’s. Met andere woorden, een ISP zou een verkeersstroombeleid kunnen voeren dat de toegang tot bepaalde toepassingen uitsluit, mits de eindgebruikers volledig worden geïnformeerd en vrijwillig, specifiek en ondubbelzinnig hun instemming betuigen.

| 24. | De situatie kan van lidstaat tot lidstaat verschillen. In sommige lidstaten kunnen ISP’s onder bepaalde voorwaarden verkeersstroombeheer toepassen, bijvoorbeeld om toepassingen zoals VoIP te blokkeren (in het kader van een goedkoper internetabonnement), mits de betrokken abonnees hun vrijwillige, specifieke en ondubbelzinnige geïnformeerde instemming hebben gegeven. Andere lidstaten hebben gekozen voor versterking van het beginsel van netneutraliteit. Zo heeft het Nederlandse parlement in juli 2011 een wetswijziging aangenomen die aanbieders in het algemeen verbiedt om toepassingen of diensten op internet (zoals VoIP) te belemmeren of te vertragen, tenzij dat nodig is om congestie-effecten te minimaliseren, om redenen van integriteit of beveiliging, om spam te bestrijden of op gerechtelijk bevel (16). |
| --- | --- |

24.

De situatie kan van lidstaat tot lidstaat verschillen. In sommige lidstaten kunnen ISP’s onder bepaalde voorwaarden verkeersstroombeheer toepassen, bijvoorbeeld om toepassingen zoals VoIP te blokkeren (in het kader van een goedkoper internetabonnement), mits de betrokken abonnees hun vrijwillige, specifieke en ondubbelzinnige geïnformeerde instemming hebben gegeven. Andere lidstaten hebben gekozen voor versterking van het beginsel van netneutraliteit. Zo heeft het Nederlandse parlement in juli 2011 een wetswijziging aangenomen die aanbieders in het algemeen verbiedt om toepassingen of diensten op internet (zoals VoIP) te belemmeren of te vertragen, tenzij dat nodig is om congestie-effecten te minimaliseren, om redenen van integriteit of beveiliging, om spam te bestrijden of op gerechtelijk bevel (16).

III.2.   Mededeling over netneutraliteit

| 25. | In haar mededeling over netneutraliteit (17) concludeert de Europese Commissie dat de situatie dienaangaande toezicht en nadere analyse vereist. Haar beleid wordt wel getypeerd als afwachtend omdat zij nog geen verdergaande regelgevende stappen zou overwegen. |
| --- | --- |

25.

In haar mededeling over netneutraliteit (17) concludeert de Europese Commissie dat de situatie dienaangaande toezicht en nadere analyse vereist. Haar beleid wordt wel getypeerd als afwachtend omdat zij nog geen verdergaande regelgevende stappen zou overwegen.

| 26. | In de mededeling van de Commissie wordt erkend dat eventuele maatregelen en verdergaande wetgeving zou moeten worden onderworpen aan een diepgaande beoordeling van de gegevensbeschermings- en privacyaspecten. Ook in de ontwerpconclusies van de Raad worden de in het geding zijnde kwesties van gegevensbescherming en opgemerkt (18). |
| --- | --- |

26.

In de mededeling van de Commissie wordt erkend dat eventuele maatregelen en verdergaande wetgeving zou moeten worden onderworpen aan een diepgaande beoordeling van de gegevensbeschermings- en privacyaspecten. Ook in de ontwerpconclusies van de Raad worden de in het geding zijnde kwesties van gegevensbescherming en opgemerkt (18).

| 27. | De vraag die vanuit het oogpunt van gegevensbescherming en privacy moet worden beantwoord, is of een afwachtend beleid voldoende is. Hoewel in het kader voor gegevensbescherming en privacy op het ogenblik wel enige waarborgen zijn voorzien, met name op grond van het beginsel van vertrouwelijkheid van de communicatie, lijkt het noodzakelijk om de mate van naleving nauwgezet te volgen en richtlijnen te verschaffen over verscheidene aspecten die niet bijzonder duidelijk zijn. Bovendien zouden enkele gedachten moeten worden ontvouwd over de wijze waarop het kader kan worden verduidelijkt en verbeterd in het licht van de technologische ontwikkelingen. Als uit het toezicht blijkt dat de markt zich ontwikkelt in de richting van massale onvertraagde controle van de communicatie en van problemen in verband met de naleving van het kader, zijn wetgevingsmaatregelen noodzakelijk. Concrete suggesties in dat verband worden gepresenteerd in hoofdstuk VI. |
| --- | --- |

27.

De vraag die vanuit het oogpunt van gegevensbescherming en privacy moet worden beantwoord, is of een afwachtend beleid voldoende is. Hoewel in het kader voor gegevensbescherming en privacy op het ogenblik wel enige waarborgen zijn voorzien, met name op grond van het beginsel van vertrouwelijkheid van de communicatie, lijkt het noodzakelijk om de mate van naleving nauwgezet te volgen en richtlijnen te verschaffen over verscheidene aspecten die niet bijzonder duidelijk zijn. Bovendien zouden enkele gedachten moeten worden ontvouwd over de wijze waarop het kader kan worden verduidelijkt en verbeterd in het licht van de technologische ontwikkelingen. Als uit het toezicht blijkt dat de markt zich ontwikkelt in de richting van massale onvertraagde controle van de communicatie en van problemen in verband met de naleving van het kader, zijn wetgevingsmaatregelen noodzakelijk. Concrete suggesties in dat verband worden gepresenteerd in hoofdstuk VI.

IV.   TECHNISCHE ACHTERROND EN DAARMEE SAMENHANGENDE GEVOLGEN VOOR PRIVACY- EN GEGEVENSBESCHERMING

| 28. | Voordat we dieper op het onderwerp ingaan, is het van belang een beter inzicht te hebben in de controletechnieken die ISP’s kunnen toepassen om verkeersstroombeheer uit te voeren en de wijze waarop dit het beginsel van netneutraliteit kan beïnvloeden. De gevolgen voor de privacy- en gegevensbescherming van dergelijke technieken verschillen aanmerkelijk en zijn afhankelijk van de toegepaste techniek(en). Deze technische achtergrond is nodig om het in hoofdstuk V beschreven wettelijk kader voor gegevensbescherming te kunnen begrijpen en correct te kunnen toepassen. Daarbij moet echter worden aangetekend dat dit een voortdurend veranderend en complex terrein is. De onderstaande beschrijving beoogt daarom niet uitputtend en volledig up-to-date te zijn, maar slechts de technische informatie te verschaffen die onontbeerlijk is voor inzicht in de juridische argumentatie. |
| --- | --- |

28.

Voordat we dieper op het onderwerp ingaan, is het van belang een beter inzicht te hebben in de controletechnieken die ISP’s kunnen toepassen om verkeersstroombeheer uit te voeren en de wijze waarop dit het beginsel van netneutraliteit kan beïnvloeden. De gevolgen voor de privacy- en gegevensbescherming van dergelijke technieken verschillen aanmerkelijk en zijn afhankelijk van de toegepaste techniek(en). Deze technische achtergrond is nodig om het in hoofdstuk V beschreven wettelijk kader voor gegevensbescherming te kunnen begrijpen en correct te kunnen toepassen. Daarbij moet echter worden aangetekend dat dit een voortdurend veranderend en complex terrein is. De onderstaande beschrijving beoogt daarom niet uitputtend en volledig up-to-date te zijn, maar slechts de technische informatie te verschaffen die onontbeerlijk is voor inzicht in de juridische argumentatie.

IV.1.   Informatieoverdracht via internet: basisfeiten

| 29. | Wanneer een gebruiker iets via internet verstuurt, wordt de overgedragen informatie verdeeld in pakketjes („packets”). Deze packets worden via het internet van de verzender naar de ontvanger overgebracht. Elk packet bevat informatie over de oorsprong en de bestemming. Daarnaast kunnen ISP’s deze packets insluiten in aanvullende lagen en protocollen (19), die worden gebruikt om de verschillende verkeersstromen binnen het ISP-netwerk te beheren. |
| --- | --- |

29.

Wanneer een gebruiker iets via internet verstuurt, wordt de overgedragen informatie verdeeld in pakketjes („packets”). Deze packets worden via het internet van de verzender naar de ontvanger overgebracht. Elk packet bevat informatie over de oorsprong en de bestemming. Daarnaast kunnen ISP’s deze packets insluiten in aanvullende lagen en protocollen (19), die worden gebruikt om de verschillende verkeersstromen binnen het ISP-netwerk te beheren.

| 30. | Om terug te komen op de vergelijking met gewone post, het protocol voor netwerkoverdracht is het equivalent van het in een envelop stoppen van een brief. De envelop draagt het bestemmingsadres dat wordt gelezen door de postdienst, die de brief vervolgens bezorgt. De postdienst kan gebruikmaken van aanvullende protocollen voor zijn interne zendingen om alle enveloppen te beheren, met als doel dat elke envelop de bestemming bereikt die de verzender oorspronkelijk bedoeld heeft. Analoog hieraan bestaat elk packet uit twee delen. Het eerste is de IP payload, die de inhoud van de communicatie bevat en het equivalent van de brief is. Deze bevat informatie die alleen aan de ontvanger is gericht. Het tweede deel is de IP header, die onder andere het adres van de ontvanger en de verzender bevat en het equivalent van de envelop is. Dankzij de IP header kunnen ISP’s en andere intermediairs de payload van het adres van oorsprong naar het adres van bestemming leiden. |
| --- | --- |

30.

Om terug te komen op de vergelijking met gewone post, het protocol voor netwerkoverdracht is het equivalent van het in een envelop stoppen van een brief. De envelop draagt het bestemmingsadres dat wordt gelezen door de postdienst, die de brief vervolgens bezorgt. De postdienst kan gebruikmaken van aanvullende protocollen voor zijn interne zendingen om alle enveloppen te beheren, met als doel dat elke envelop de bestemming bereikt die de verzender oorspronkelijk bedoeld heeft. Analoog hieraan bestaat elk packet uit twee delen. Het eerste is de IP payload, die de inhoud van de communicatie bevat en het equivalent van de brief is. Deze bevat informatie die alleen aan de ontvanger is gericht. Het tweede deel is de IP header, die onder andere het adres van de ontvanger en de verzender bevat en het equivalent van de envelop is. Dankzij de IP header kunnen ISP’s en andere intermediairs de payload van het adres van oorsprong naar het adres van bestemming leiden.

| 31. | ISP’s en andere intermediairs zorgen ervoor dat IP packets door het netwerk worden geleid via knooppunten die de informatie in de IP header lezen en vergelijken met routetabellen, en vervolgens de packets doorsturen naar het volgende knooppunt op weg naar de bestemming. Dit proces wordt op het hele netwerk uitgevoerd volgens een benadering die „best effort memoryless” (met optimale inspanning en zonder geheugen) wordt genoemd, aangezien alle packets op een knooppunt neutraal behandeld worden. Nadat ze zijn doorgestuurd naar het volgende knooppunt hoeft er verder geen informatie bewaard te worden in de router (20). |
| --- | --- |

31.

ISP’s en andere intermediairs zorgen ervoor dat IP packets door het netwerk worden geleid via knooppunten die de informatie in de IP header lezen en vergelijken met routetabellen, en vervolgens de packets doorsturen naar het volgende knooppunt op weg naar de bestemming. Dit proces wordt op het hele netwerk uitgevoerd volgens een benadering die „best effort memoryless” (met optimale inspanning en zonder geheugen) wordt genoemd, aangezien alle packets op een knooppunt neutraal behandeld worden. Nadat ze zijn doorgestuurd naar het volgende knooppunt hoeft er verder geen informatie bewaard te worden in de router (20).

IV.2.   Controletechnieken

| 32. | Zoals hiervoor is toegelicht, lezen ISP’s de IP headers om ze naar hun bestemming te leiden. Maar zoals hiervoor is geschetst, kan de analyse van het verkeer (met IP headers en IP payloads) ook voor andere doeleinden en met andere technologieën worden uitgevoerd. Nieuwe trends zouden bijvoorbeeld kunnen betekenen dat bepaalde gebruikte toepassingen, zoals P2P, worden vertraagd of dat voor andere diensten, zoals video op afroep, de snelheid juist wordt verhoogd voor abonnees die daarvoor betalen. Hoewel met alle controletechnieken technisch gezien packets worden gecontroleerd, maken ze in verschillende mate inbreuk op de vertrouwelijkheid. Controletechnieken zijn onder te verdelen in twee hoofdcategorieën. De ene is gebaseerd op alleen de IP header, de andere ook op de IP payload.

  Op basis van de informatie in de IP header. De controle van de IP header brengt bepaalde velden aan het licht waarmee ISP’s een aantal specifieke beheersmaatregelen kunnen uitvoeren om de verkeersstroom te beheren. Met deze technieken uitsluitend op basis van controle van IP headers worden gegevens die in beginsel bedoeld zijn als route-informatie voor een ander doel (te weten differentiatie van verkeersstromen) verwerkt. Door te kijken naar het IP-adres van oorsprong kan de ISP dit koppelen aan een concrete abonnee en specifieke maatregelen toepassen, bijvoorbeeld het packet langs een snellere of tragere verbinding leiden. Door te kijken naar het IP-adres van bestemming kan de ISP ook specifieke maatregelen toepassen, bijvoorbeeld de toegang tot bepaalde websites blokkeren of filteren.

  Op basis van verdergaande controle. Door diepgaande packetcontrole kan de ISP toegang krijgen tot informatie die alleen bestemd is voor de ontvanger van de communicatie. Als we teruggaan naar de vergelijking met de postdienst, komt deze aanpak neer op het openen van de envelop en het lezen van de daarin gestoken brief om een analyse van de communicatie (vervat in de IP packets) uit te voeren teneinde een specifiek netwerkbeleid toe te passen. Er zijn verschillende manieren waarop deze controle kan worden uitgevoerd, die elk een andere bedreiging voor het gegevensonderwerp vormen.






  — | Diepgaande packetcontrole op basis van protocolanalyse en statistische informatie. Naast het IP-protocol, dat bedoeld is om de overdracht van gegevens via internet mogelijk te maken, zijn er aanvullende protocollen die de overgedragen informatie op een afgesproken manier coderen (voor transport, sessies, presentatie en toepassing, enz.). Doel van deze protocollen is ervoor te zorgen dat de bij de communicatie betrokken partijen elkaar kunnen begrijpen. Er zijn bijvoorbeeld protocollen die verband houden met websurfen (21), andere zijn bestemd voor bestandsoverdracht (22), enz. Controletechnieken op basis van de controle van protocollen in combinatie met statistische analyse zijn dan ook gericht op het zoeken naar specifieke patronen of vingerafdrukken die bepalen welke protocollen aanwezig zijn (23). Deze controletechnieken stellen de ISP’s in staat om de soort communicatie (e-mail, websurfen, uploaden van bestanden) te begrijpen en in sommige gevallen om de specifieke gebruikte dienst of toepassing te identificeren, zoals bij bepaalde VoIP-communicatie waarvoor de gebruikte protocollen zeer specifiek zijn voor een concrete fabrikant of dienstverlener. Op zich kan de kennis van de soort communicatie een ISP in staat stellen concrete maatregelen voor verkeersstroombeheer toe te passen, bijvoorbeeld om webverkeer te blokkeren. Deze kennis kan ook de eerste stap zijn voor de uitvoering van nadere analyses door de ISP waarvoor volledige toegang tot de metagegevens en inhoud van de communicatie vereist is. |
| --- | --- | --- |

32.

Zoals hiervoor is toegelicht, lezen ISP’s de IP headers om ze naar hun bestemming te leiden. Maar zoals hiervoor is geschetst, kan de analyse van het verkeer (met IP headers en IP payloads) ook voor andere doeleinden en met andere technologieën worden uitgevoerd. Nieuwe trends zouden bijvoorbeeld kunnen betekenen dat bepaalde gebruikte toepassingen, zoals P2P, worden vertraagd of dat voor andere diensten, zoals video op afroep, de snelheid juist wordt verhoogd voor abonnees die daarvoor betalen. Hoewel met alle controletechnieken technisch gezien packets worden gecontroleerd, maken ze in verschillende mate inbreuk op de vertrouwelijkheid. Controletechnieken zijn onder te verdelen in twee hoofdcategorieën. De ene is gebaseerd op alleen de IP header, de andere ook op de IP payload.

Op basis van de informatie in de IP header. De controle van de IP header brengt bepaalde velden aan het licht waarmee ISP’s een aantal specifieke beheersmaatregelen kunnen uitvoeren om de verkeersstroom te beheren. Met deze technieken uitsluitend op basis van controle van IP headers worden gegevens die in beginsel bedoeld zijn als route-informatie voor een ander doel (te weten differentiatie van verkeersstromen) verwerkt. Door te kijken naar het IP-adres van oorsprong kan de ISP dit koppelen aan een concrete abonnee en specifieke maatregelen toepassen, bijvoorbeeld het packet langs een snellere of tragere verbinding leiden. Door te kijken naar het IP-adres van bestemming kan de ISP ook specifieke maatregelen toepassen, bijvoorbeeld de toegang tot bepaalde websites blokkeren of filteren.

Op basis van verdergaande controle. Door diepgaande packetcontrole kan de ISP toegang krijgen tot informatie die alleen bestemd is voor de ontvanger van de communicatie. Als we teruggaan naar de vergelijking met de postdienst, komt deze aanpak neer op het openen van de envelop en het lezen van de daarin gestoken brief om een analyse van de communicatie (vervat in de IP packets) uit te voeren teneinde een specifiek netwerkbeleid toe te passen. Er zijn verschillende manieren waarop deze controle kan worden uitgevoerd, die elk een andere bedreiging voor het gegevensonderwerp vormen.

—

Diepgaande packetcontrole op basis van protocolanalyse en statistische informatie. Naast het IP-protocol, dat bedoeld is om de overdracht van gegevens via internet mogelijk te maken, zijn er aanvullende protocollen die de overgedragen informatie op een afgesproken manier coderen (voor transport, sessies, presentatie en toepassing, enz.). Doel van deze protocollen is ervoor te zorgen dat de bij de communicatie betrokken partijen elkaar kunnen begrijpen. Er zijn bijvoorbeeld protocollen die verband houden met websurfen (21), andere zijn bestemd voor bestandsoverdracht (22), enz. Controletechnieken op basis van de controle van protocollen in combinatie met statistische analyse zijn dan ook gericht op het zoeken naar specifieke patronen of vingerafdrukken die bepalen welke protocollen aanwezig zijn (23). Deze controletechnieken stellen de ISP’s in staat om de soort communicatie (e-mail, websurfen, uploaden van bestanden) te begrijpen en in sommige gevallen om de specifieke gebruikte dienst of toepassing te identificeren, zoals bij bepaalde VoIP-communicatie waarvoor de gebruikte protocollen zeer specifiek zijn voor een concrete fabrikant of dienstverlener. Op zich kan de kennis van de soort communicatie een ISP in staat stellen concrete maatregelen voor verkeersstroombeheer toe te passen, bijvoorbeeld om webverkeer te blokkeren. Deze kennis kan ook de eerste stap zijn voor de uitvoering van nadere analyses door de ISP waarvoor volledige toegang tot de metagegevens en inhoud van de communicatie vereist is.

| — | Diepgaande packetcontrole op basis van een analyse van de inhoud van de communicatie. Ten slotte is het ook mogelijk om de metagegevens (24) en de inhoud van de communicatie zelf te controleren. Deze techniek houdt in dat alle IP packets van de oorspronkelijke communicatiestroom worden onderschept zodat de oorspronkelijke inhoud volledig kan worden gereconstrueerd en geanalyseerd. Om bijvoorbeeld schadelijke of illegale inhoud te detecteren, zoals virussen, kinderpornografie en dergelijke, moet de inhoud zelf worden gereconstrueerd opdat deze kan worden geanalyseerd. Hierbij moet worden aangetekend dat de communicatie soms uitdrukkelijk van begin tot eind door de betrokkenen kan worden versleuteld en dat deze praktijk verhindert dat ISP’s de inhoud van de communicatie analyseren. |
| --- | --- |

—

Diepgaande packetcontrole op basis van een analyse van de inhoud van de communicatie. Ten slotte is het ook mogelijk om de metagegevens (24) en de inhoud van de communicatie zelf te controleren. Deze techniek houdt in dat alle IP packets van de oorspronkelijke communicatiestroom worden onderschept zodat de oorspronkelijke inhoud volledig kan worden gereconstrueerd en geanalyseerd. Om bijvoorbeeld schadelijke of illegale inhoud te detecteren, zoals virussen, kinderpornografie en dergelijke, moet de inhoud zelf worden gereconstrueerd opdat deze kan worden geanalyseerd. Hierbij moet worden aangetekend dat de communicatie soms uitdrukkelijk van begin tot eind door de betrokkenen kan worden versleuteld en dat deze praktijk verhindert dat ISP’s de inhoud van de communicatie analyseren.

IV.3.   Gevolgen voor privacy- en gegevensbescherming

| 33. | Controletechnieken op basis van IP headers en meer in het bijzonder op basis van packetcontrole houden in dat deze gegevens worden bewaakt en gefilterd en hebben ernstige gevolgen voor de privacy- en gegevensbescherming. Ze kunnen ook in strijd zijn met het recht op de vertrouwelijkheid van communicatie. |
| --- | --- |

33.

Controletechnieken op basis van IP headers en meer in het bijzonder op basis van packetcontrole houden in dat deze gegevens worden bewaakt en gefilterd en hebben ernstige gevolgen voor de privacy- en gegevensbescherming. Ze kunnen ook in strijd zijn met het recht op de vertrouwelijkheid van communicatie.

| 34. | Kijken in de communicatie van individuele personen heeft op zichzelf ernstige gevolgen voor de privacy en de gegevensbescherming. Maar het probleem is breder, want afhankelijk van de met de bewaking en onderschepping beoogde effecten kunnen de privacy-implicaties nog toenemen. Het is uiteraard niet hetzelfde als communicatie alleen wordt gecontroleerd om bijvoorbeeld te waarborgen dat het systeem goed werkt of als dat gebeurt om een beleid toe te passen dat gevolgen kan hebben voor personen. Wanneer met het verkeersstroom- en selectiebeleid alleen wordt getracht netwerkcongestie te vermijden, zijn er gewoonlijk geen grote gevolgen voor de individuele privacy. Met verkeersstroombeheer kan echter ook worden getracht bepaalde informatie te blokkeren of de communicatie te beïnvloeden via bijvoorbeeld gedragsgericht adverteren. In die gevallen zijn de privacy-effecten indringender. De bezorgdheid wordt groter wanneer men zich realiseert dat dit soort informatie niet voor een kleine groep wordt verzameld, maar veeleer op algemene basis, voor alle klanten van een ISP (25). Als alle ISP’s filtertechnieken gaan toepassen, zou dat kunnen leiden tot een veralgemeniseerde bewaking van het internetgebruik. Daar komt bij dat als men zich concentreert op het type informatie dat wordt verwerkt, de risico’s voor de privacy uiteraard groot zijn, omdat veel van de verzamelde informatie waarschijnlijk zeer gevoelig is en na het verzamelen beschikbaar is voor ISP’s en voor degenen die bij hen informatie zoeken. Verder zou de informatie ook commercieel heel waardevol kunnen zijn. Dit vertegenwoordigt op zich al een groot gevaar voor functieverschuiving waarbij de aanvankelijke bedoelingen eenvoudig kunnen overgaan in commerciële of andere exploitatie van de verzamelde informatie. |
| --- | --- |

34.

Kijken in de communicatie van individuele personen heeft op zichzelf ernstige gevolgen voor de privacy en de gegevensbescherming. Maar het probleem is breder, want afhankelijk van de met de bewaking en onderschepping beoogde effecten kunnen de privacy-implicaties nog toenemen. Het is uiteraard niet hetzelfde als communicatie alleen wordt gecontroleerd om bijvoorbeeld te waarborgen dat het systeem goed werkt of als dat gebeurt om een beleid toe te passen dat gevolgen kan hebben voor personen. Wanneer met het verkeersstroom- en selectiebeleid alleen wordt getracht netwerkcongestie te vermijden, zijn er gewoonlijk geen grote gevolgen voor de individuele privacy. Met verkeersstroombeheer kan echter ook worden getracht bepaalde informatie te blokkeren of de communicatie te beïnvloeden via bijvoorbeeld gedragsgericht adverteren. In die gevallen zijn de privacy-effecten indringender. De bezorgdheid wordt groter wanneer men zich realiseert dat dit soort informatie niet voor een kleine groep wordt verzameld, maar veeleer op algemene basis, voor alle klanten van een ISP (25). Als alle ISP’s filtertechnieken gaan toepassen, zou dat kunnen leiden tot een veralgemeniseerde bewaking van het internetgebruik. Daar komt bij dat als men zich concentreert op het type informatie dat wordt verwerkt, de risico’s voor de privacy uiteraard groot zijn, omdat veel van de verzamelde informatie waarschijnlijk zeer gevoelig is en na het verzamelen beschikbaar is voor ISP’s en voor degenen die bij hen informatie zoeken. Verder zou de informatie ook commercieel heel waardevol kunnen zijn. Dit vertegenwoordigt op zich al een groot gevaar voor functieverschuiving waarbij de aanvankelijke bedoelingen eenvoudig kunnen overgaan in commerciële of andere exploitatie van de verzamelde informatie.

| 35. | De juiste toepassing van bewakings-, controle- en filtertechnieken moet in overeenstemming zijn met de geldende waarborgen voor gegevensbescherming en privacy, die grenzen stellen aan wat onder welke omstandigheden mogelijk is. Hierna volgt een overzicht van de geldende waarborgen krachtens het huidige wettelijke kader van de EU voor gegevensbescherming en privacy. |
| --- | --- |

35.

De juiste toepassing van bewakings-, controle- en filtertechnieken moet in overeenstemming zijn met de geldende waarborgen voor gegevensbescherming en privacy, die grenzen stellen aan wat onder welke omstandigheden mogelijk is. Hierna volgt een overzicht van de geldende waarborgen krachtens het huidige wettelijke kader van de EU voor gegevensbescherming en privacy.

V.   TOEPASSING VAN HET WETTELIJK KADER VAN DE EU VOOR PRIVACY EN GEGEVENSBESCHERMING

| 36. | Het EU-kader voor gegevensbescherming is technologisch neutraal. Als zodanig bevat het geen regels voor de specifieke controletechnieken die hiervoor zijn beschreven. De richtlijn e-privacy regelt de privacy bij het aanbieden van elektronische communicatiediensten in openbare netwerken (meestal internettoegang en telefonie) (26) en de richtlijn gegevensbescherming regelt gegevensbescherming in het algemeen. Als geheel legt dit wettelijk kader verschillende verplichtingen op aan ISP’s die verkeers- en communicatiegegevens verwerken en bewaken. |
| --- | --- |

36.

Het EU-kader voor gegevensbescherming is technologisch neutraal. Als zodanig bevat het geen regels voor de specifieke controletechnieken die hiervoor zijn beschreven. De richtlijn e-privacy regelt de privacy bij het aanbieden van elektronische communicatiediensten in openbare netwerken (meestal internettoegang en telefonie) (26) en de richtlijn gegevensbescherming regelt gegevensbescherming in het algemeen. Als geheel legt dit wettelijk kader verschillende verplichtingen op aan ISP’s die verkeers- en communicatiegegevens verwerken en bewaken.

V.1.   Wettelijke grondslagen voor de verwerking van verkeers- en inhoudelijke gegevens

| 37. | Op grond van de wetgeving inzake gegevensbescherming vereist de verwerking van persoonsgegevens, zoals in dit geval de verwerking van verkeers- en communicatiegegevens, een toereikende wettelijke grondslag. In aanvulling op dit algemene vereiste kunnen in bepaalde gevallen specifieke eisen gelden. |
| --- | --- |

37.

Op grond van de wetgeving inzake gegevensbescherming vereist de verwerking van persoonsgegevens, zoals in dit geval de verwerking van verkeers- en communicatiegegevens, een toereikende wettelijke grondslag. In aanvulling op dit algemene vereiste kunnen in bepaalde gevallen specifieke eisen gelden.

| 38. | In dit geval heeft het type persoonsgegevens dat door ISP’s wordt verwerkt, betrekking op de verkeersgegevens en de inhoud van de communicatie. De inhoud van de communicatie en de verkeersgegevens worden beide beschermd door het recht op vertrouwelijkheid van correspondentie, dat wordt gewaarborgd door artikel 8 van het EVRM en artikelen 7 en 8 van het Handvest. Meer in het bijzonder schrijft artikel 5, lid 1, van de richtlijn e-privacy, getiteld „Vertrouwelijk karakter van de communicatie”, de lidstaten voor in nationale wetgeving het vertrouwelijke karakter van de communicatie en de daarmee verband houdende verkeersgegevens via openbare communicatienetwerken en via openbare elektronische-communicatiediensten te garanderen. Tegelijkertijd voorziet artikel 5, lid 1, van de richtlijn e-privacy dat de verwerking van verkeers- en communicatiegegevens door ISP’s in bepaalde omstandigheden en met instemming van de gebruikers kan zijn toegestaan. Dit gebeurt door middel van een verbod op „het afluisteren, aftappen, opslaan of anderszins onderscheppen of controleren van de communicatie en de daarmee verband houdende verkeersgegevens door anderen dan de gebruikers, indien de betrokken gebruikers daarin niet hebben toegestemd, tenzij dat bij wet is toegestaan overeenkomstig artikel 15, lid 1”. Dit wordt hierna verder uitgewerkt. |
| --- | --- |

38.

In dit geval heeft het type persoonsgegevens dat door ISP’s wordt verwerkt, betrekking op de verkeersgegevens en de inhoud van de communicatie. De inhoud van de communicatie en de verkeersgegevens worden beide beschermd door het recht op vertrouwelijkheid van correspondentie, dat wordt gewaarborgd door artikel 8 van het EVRM en artikelen 7 en 8 van het Handvest. Meer in het bijzonder schrijft artikel 5, lid 1, van de richtlijn e-privacy, getiteld „Vertrouwelijk karakter van de communicatie”, de lidstaten voor in nationale wetgeving het vertrouwelijke karakter van de communicatie en de daarmee verband houdende verkeersgegevens via openbare communicatienetwerken en via openbare elektronische-communicatiediensten te garanderen. Tegelijkertijd voorziet artikel 5, lid 1, van de richtlijn e-privacy dat de verwerking van verkeers- en communicatiegegevens door ISP’s in bepaalde omstandigheden en met instemming van de gebruikers kan zijn toegestaan. Dit gebeurt door middel van een verbod op „het afluisteren, aftappen, opslaan of anderszins onderscheppen of controleren van de communicatie en de daarmee verband houdende verkeersgegevens door anderen dan de gebruikers, indien de betrokken gebruikers daarin niet hebben toegestemd, tenzij dat bij wet is toegestaan overeenkomstig artikel 15, lid 1”. Dit wordt hierna verder uitgewerkt.

| 39. | Naast de toestemming van de gebruikers voorziet de richtlijn e-privacy in andere gronden waarop de verwerking door ISP’s van verkeers- en communicatiegegevens rechtmatig kan zijn. De ter zake dienende wettelijke grondslagen voor verwerking houden in dit geval verband met i) het verlenen van de dienst; ii) het waarborgen van de beveiliging van de dienst en iii) de beperking van congestie. Andere mogelijke gronden voor de legitimering van een beheersbeleid op basis van verkeers- of communicatiegegevens worden hierna behandeld onder iv). |
| --- | --- |

39.

Naast de toestemming van de gebruikers voorziet de richtlijn e-privacy in andere gronden waarop de verwerking door ISP’s van verkeers- en communicatiegegevens rechtmatig kan zijn. De ter zake dienende wettelijke grondslagen voor verwerking houden in dit geval verband met i) het verlenen van de dienst; ii) het waarborgen van de beveiliging van de dienst en iii) de beperking van congestie. Andere mogelijke gronden voor de legitimering van een beheersbeleid op basis van verkeers- of communicatiegegevens worden hierna behandeld onder iv).

i)   Wettelijke grondslagen in verband met het leveren van de dienst

| 40. | Zoals is geïllustreerd in hoofdstuk IV, verwerken ISP’s de informatie in IP headers met de bedoeling om elk IP packet naar zijn bestemming te leiden. Artikel 6, lid 1 en lid 2, van de richtlijn e-privacy staat de verwerking van verkeersgegevens ten behoeve van de communicatieoverdracht toe. ISP’s mogen derhalve de informatie verwerken die nodig is om de dienst te verlenen. |
| --- | --- |

40.

Zoals is geïllustreerd in hoofdstuk IV, verwerken ISP’s de informatie in IP headers met de bedoeling om elk IP packet naar zijn bestemming te leiden. Artikel 6, lid 1 en lid 2, van de richtlijn e-privacy staat de verwerking van verkeersgegevens ten behoeve van de communicatieoverdracht toe. ISP’s mogen derhalve de informatie verwerken die nodig is om de dienst te verlenen.

ii)   Wettelijke grondslagen in verband met het waarborgen van de beveiliging van de dienst

| 41. | Op grond van artikel 4 van de richtlijn e-privacy is een ISP in het algemeen verplicht passende maatregelen te nemen om de beveiliging van zijn diensten te garanderen. Het filteren van virussen kan met zich meebrengen dat de IP headers en de IP payload worden verwerkt. Aangezien artikel 4 van de richtlijn e-privacy voorschrijft dat ISP’s zorgen voor de beveiliging van hun netwerk, wettigt deze bepaling de toepassing van controletechnieken op basis van IP headers en inhoud die uitsluitend gericht zijn op het bereiken van dat doel. In de praktijk betekent dit dat ISP’s, binnen de grenzen van het evenredigheidsbeginsel (zie paragraaf V.3), communicatiegegevens mogen bewaken en filteren ter bestrijding van virussen en in het algemeen ter waarborging van de netwerkbeveiliging (27). |
| --- | --- |

41.

Op grond van artikel 4 van de richtlijn e-privacy is een ISP in het algemeen verplicht passende maatregelen te nemen om de beveiliging van zijn diensten te garanderen. Het filteren van virussen kan met zich meebrengen dat de IP headers en de IP payload worden verwerkt. Aangezien artikel 4 van de richtlijn e-privacy voorschrijft dat ISP’s zorgen voor de beveiliging van hun netwerk, wettigt deze bepaling de toepassing van controletechnieken op basis van IP headers en inhoud die uitsluitend gericht zijn op het bereiken van dat doel. In de praktijk betekent dit dat ISP’s, binnen de grenzen van het evenredigheidsbeginsel (zie paragraaf V.3), communicatiegegevens mogen bewaken en filteren ter bestrijding van virussen en in het algemeen ter waarborging van de netwerkbeveiliging (27).

iii)   Wettelijke grondslagen in verband met de beperking van congestie-effecten

| 42. | De idee achter deze rechtsgrondslag is te vinden in overweging 22 van de richtlijn e-privacy, waarin het verbod op de opslag van communicatiegegevens (artikel 5, lid 1) wordt toegelicht. Dit verbod geldt niet voor automatische, tussentijdse en tijdelijke opslag voor zover deze plaatsvindt met als enig doel het uitvoeren van de overdracht en deze niet langer duurt dan nodig is voor de doeleinden van overdracht en verkeersstroombeheer, en mits de vertrouwelijkheid van de communicatie gegarandeerd blijft. |
| --- | --- |

42.

De idee achter deze rechtsgrondslag is te vinden in overweging 22 van de richtlijn e-privacy, waarin het verbod op de opslag van communicatiegegevens (artikel 5, lid 1) wordt toegelicht. Dit verbod geldt niet voor automatische, tussentijdse en tijdelijke opslag voor zover deze plaatsvindt met als enig doel het uitvoeren van de overdracht en deze niet langer duurt dan nodig is voor de doeleinden van overdracht en verkeersstroombeheer, en mits de vertrouwelijkheid van de communicatie gegarandeerd blijft.

| 43. | Als er congestie optreedt, komt de vraag op of ISP’s mogen overwegen verkeer willekeurig te blokkeren of te vertragen, of communicatie mogen vertragen die niet tijdgevoelig is, zoals P2P- of e-mailverkeer, waardoor bijvoorbeeld spraakverkeer met aanvaardbare kwaliteit kan doorgaan. |
| --- | --- |

43.

Als er congestie optreedt, komt de vraag op of ISP’s mogen overwegen verkeer willekeurig te blokkeren of te vertragen, of communicatie mogen vertragen die niet tijdgevoelig is, zoals P2P- of e-mailverkeer, waardoor bijvoorbeeld spraakverkeer met aanvaardbare kwaliteit kan doorgaan.

| 44. | Gezien het algemeen maatschappelijk belang van het waarborgen van een bruikbaar communicatienetwerk, kunnen ISP’s betogen dat het verlenen van voorrang aan of het afremmen van verkeer ter bestrijding van congestie een gerechtvaardigde maatregel is, noodzakelijk om een toereikende dienst te verlenen. Dit betekent dat in deze gevallen en voor dit doel een algemene rechtsgrond zou bestaan voor de verwerking van persoonsgegevens zonder dat specifieke instemming van de gebruikers noodzakelijk zou zijn. |
| --- | --- |

44.

Gezien het algemeen maatschappelijk belang van het waarborgen van een bruikbaar communicatienetwerk, kunnen ISP’s betogen dat het verlenen van voorrang aan of het afremmen van verkeer ter bestrijding van congestie een gerechtvaardigde maatregel is, noodzakelijk om een toereikende dienst te verlenen. Dit betekent dat in deze gevallen en voor dit doel een algemene rechtsgrond zou bestaan voor de verwerking van persoonsgegevens zonder dat specifieke instemming van de gebruikers noodzakelijk zou zijn.

| 45. | Toch is de mogelijkheid om op deze wijze in te grijpen niet onbegrensd. Als het nodig is dat ISP’s communicatie controleren, moeten zij vanuit het oogpunt van vertrouwelijkheid en met strikte inachtneming van het evenredigheidsbeginsel gebruikmaken van de minst indringende methode die beschikbaar is om hun doel te bereiken (waarbij diepgaande packetcontrole wordt vermeden) en mogen zij die slechts toepassen zolang dat noodzakelijk is om de congestie te bestrijden. |
| --- | --- |

45.

Toch is de mogelijkheid om op deze wijze in te grijpen niet onbegrensd. Als het nodig is dat ISP’s communicatie controleren, moeten zij vanuit het oogpunt van vertrouwelijkheid en met strikte inachtneming van het evenredigheidsbeginsel gebruikmaken van de minst indringende methode die beschikbaar is om hun doel te bereiken (waarbij diepgaande packetcontrole wordt vermeden) en mogen zij die slechts toepassen zolang dat noodzakelijk is om de congestie te bestrijden.

iv)   Wettelijke grondslagen voor gegevensverwerking voor andere doeleinden

| 46. | Het kan ook zijn dat ISP’s verkeers- en inhoudelijke gegevens willen controleren voor andere doeleinden, bijvoorbeeld het gericht aanbieden van abonnementen (bijvoorbeeld een abonnement met beperkte toegang tot P2P of een abonnement waarbij de snelheid van bepaalde toepassingen wordt verhoogd). Controle en verder gebruik van verkeers- en communicatiegegevens voor andere doeleinden dan het verlenen van de dienst of het waarborgen van de beveiliging en het verminderen van de congestie ervan, is alleen toegestaan op strikte voorwaarden overeenkomstig het wettelijk kader. |
| --- | --- |

46.

Het kan ook zijn dat ISP’s verkeers- en inhoudelijke gegevens willen controleren voor andere doeleinden, bijvoorbeeld het gericht aanbieden van abonnementen (bijvoorbeeld een abonnement met beperkte toegang tot P2P of een abonnement waarbij de snelheid van bepaalde toepassingen wordt verhoogd). Controle en verder gebruik van verkeers- en communicatiegegevens voor andere doeleinden dan het verlenen van de dienst of het waarborgen van de beveiliging en het verminderen van de congestie ervan, is alleen toegestaan op strikte voorwaarden overeenkomstig het wettelijk kader.

| 47. | Het wettelijk kader is hoofdzakelijk artikel 5, lid 1, van de richtlijn e-privacy, waarin de toestemming van de betrokken gebruikers wordt vereist voor het afluisteren, aftappen, opslaan of anderszins onderscheppen of controleren van de communicatie en de daarmee verband houdende verkeersgegevens. In de praktijk betekent dit dat de toestemming van de bij de communicatie betrokken gebruikers nodig is om de verwerking van zowel verkeers- als communicatiegegevens uit hoofde van artikel 5, lid 1, te legitimeren. |
| --- | --- |

47.

Het wettelijk kader is hoofdzakelijk artikel 5, lid 1, van de richtlijn e-privacy, waarin de toestemming van de betrokken gebruikers wordt vereist voor het afluisteren, aftappen, opslaan of anderszins onderscheppen of controleren van de communicatie en de daarmee verband houdende verkeersgegevens. In de praktijk betekent dit dat de toestemming van de bij de communicatie betrokken gebruikers nodig is om de verwerking van zowel verkeers- als communicatiegegevens uit hoofde van artikel 5, lid 1, te legitimeren.

| 48. | Zoals in het voorgaande is toegelicht, is de toepassing van controle- en filtertechnieken gebaseerd op hetzij IP headers, die verkeersgegevens vormen, hetzij diepgaande packetcontroles, waarbij ook IP payloads betrokken zijn en die communicatiegegevens opleveren. Daarom is de toepassing van dergelijke technieken voor andere doeleinden dan instandhouding van de dienst of de beveiliging in beginsel verboden tenzij er een rechtsgrond bestaat voor verwerking, zoals toestemming (artikel 5, lid 1). Artikel 5, lid 1, zou bijvoorbeeld van toepassing zijn wanneer een ISP zou besluiten zijn klanten een gereduceerd tarief voor internettoegang aan te bieden in ruil voor de ontvangst van gedragsgerichte advertenties aan de hand van diepgaande packetcontrole, dus communicatiegegevens. Echte, specifieke en geïnformeerde toestemming is daarom volgens artikel 5, lid 1, noodzakelijk. |
| --- | --- |

48.

Zoals in het voorgaande is toegelicht, is de toepassing van controle- en filtertechnieken gebaseerd op hetzij IP headers, die verkeersgegevens vormen, hetzij diepgaande packetcontroles, waarbij ook IP payloads betrokken zijn en die communicatiegegevens opleveren. Daarom is de toepassing van dergelijke technieken voor andere doeleinden dan instandhouding van de dienst of de beveiliging in beginsel verboden tenzij er een rechtsgrond bestaat voor verwerking, zoals toestemming (artikel 5, lid 1). Artikel 5, lid 1, zou bijvoorbeeld van toepassing zijn wanneer een ISP zou besluiten zijn klanten een gereduceerd tarief voor internettoegang aan te bieden in ruil voor de ontvangst van gedragsgerichte advertenties aan de hand van diepgaande packetcontrole, dus communicatiegegevens. Echte, specifieke en geïnformeerde toestemming is daarom volgens artikel 5, lid 1, noodzakelijk.

| 49. | Verder worden in artikel 6 van de richtlijn e-privacy, getiteld „Verkeersgegevens”, bepaalde regels vastgesteld die specifiek voor verkeersgegevens gelden. Meer in het bijzonder wordt voorzien in de mogelijkheid dat ISP’s verkeersgegevens verwerken op basis van de toestemming van gebruikers voor de ontvangst van diensten met toegevoegde waarde (28). In deze bepaling wordt de toestemmingseis gespecificeerd die in artikel 5, lid 1, is voorzien wanneer het om verkeersgegevens gaat. |
| --- | --- |

49.

Verder worden in artikel 6 van de richtlijn e-privacy, getiteld „Verkeersgegevens”, bepaalde regels vastgesteld die specifiek voor verkeersgegevens gelden. Meer in het bijzonder wordt voorzien in de mogelijkheid dat ISP’s verkeersgegevens verwerken op basis van de toestemming van gebruikers voor de ontvangst van diensten met toegevoegde waarde (28). In deze bepaling wordt de toestemmingseis gespecificeerd die in artikel 5, lid 1, is voorzien wanneer het om verkeersgegevens gaat.

| 50. | In de praktijk is het wellicht niet altijd eenvoudig om vast te stellen in welke gevallen bijvoorbeeld toestemming noodzakelijk is en in welke gevallen de beveiliging van het netwerk een rechtvaardiging kan zijn voor de verwerking, met name als de doeleinden van de controletechnieken tweeledig zijn (bijvoorbeeld het vermijden van congestie en het aanbieden van diensten met toegevoegde waarde). Benadrukt moet worden dat toestemming niet mag worden beschouwd als een makkelijke systematische toegangspoort tot naleving van de beginselen van gegevensbescherming. |
| --- | --- |

50.

In de praktijk is het wellicht niet altijd eenvoudig om vast te stellen in welke gevallen bijvoorbeeld toestemming noodzakelijk is en in welke gevallen de beveiliging van het netwerk een rechtvaardiging kan zijn voor de verwerking, met name als de doeleinden van de controletechnieken tweeledig zijn (bijvoorbeeld het vermijden van congestie en het aanbieden van diensten met toegevoegde waarde). Benadrukt moet worden dat toestemming niet mag worden beschouwd als een makkelijke systematische toegangspoort tot naleving van de beginselen van gegevensbescherming.

| 51. | Er is nog weinig ervaring opgedaan met de toepassing van het kader en meer in het bijzonder met de verschillende aspecten die in het voorgaande zijn geschetst. Op dit gebied zijn nadere aanwijzingen van essentieel belang, zoals verder wordt uitgewerkt in hoofdstuk VI. Bovendien zijn er aanvullende relevante aspecten met betrekking tot het verkrijgen van toestemming die ook speciale overweging verdienen. Deze worden hierna beschreven. |
| --- | --- |

51.

Er is nog weinig ervaring opgedaan met de toepassing van het kader en meer in het bijzonder met de verschillende aspecten die in het voorgaande zijn geschetst. Op dit gebied zijn nadere aanwijzingen van essentieel belang, zoals verder wordt uitgewerkt in hoofdstuk VI. Bovendien zijn er aanvullende relevante aspecten met betrekking tot het verkrijgen van toestemming die ook speciale overweging verdienen. Deze worden hierna beschreven.

V.2.   Vraagstukken met betrekking tot geïnformeerde toestemming als wettelijke grondslag

| 52. | De toestemming die is vereist op grond van artikelen 5 en 6 van de richtlijn e-privacy heeft dezelfde betekenis als de toestemming van de betrokkene zoals gedefinieerd en nader bepaald in Richtlijn 95/46/EG (29). Volgens artikel 2, onder h), van de richtlijn gegevensbescherming betekent de toestemming van de betrokkene „elke vrije, specifieke en op informatie berustende wilsuiting waarmee de betrokkene aanvaardt dat hem/haar betreffende persoonsgegevens worden verwerkt”. Recentelijk zijn de rol van de toestemming en de eisen die aan geldige toestemming gesteld worden door de Groep gegevensbescherming artikel 29 behandeld in haar Advies 15/2011 over de definitie van „toestemming” (30). |
| --- | --- |

52.

De toestemming die is vereist op grond van artikelen 5 en 6 van de richtlijn e-privacy heeft dezelfde betekenis als de toestemming van de betrokkene zoals gedefinieerd en nader bepaald in Richtlijn 95/46/EG (29). Volgens artikel 2, onder h), van de richtlijn gegevensbescherming betekent de toestemming van de betrokkene „elke vrije, specifieke en op informatie berustende wilsuiting waarmee de betrokkene aanvaardt dat hem/haar betreffende persoonsgegevens worden verwerkt”. Recentelijk zijn de rol van de toestemming en de eisen die aan geldige toestemming gesteld worden door de Groep gegevensbescherming artikel 29 behandeld in haar Advies 15/2011 over de definitie van „toestemming” (30).

| 53. | ISP’s die toestemming nodig hebben om de verkeers- en communicatiegegevens te controleren en te filteren, moeten er derhalve voor zorgen dat de toestemming vrijwillig en specifiek is, en dat deze een volledig geïnformeerde aanwijzing is voor de wensen van de betrokkene, die daarmee aangeeft dat hij instemt met de verwerking van zijn of haar persoonsgegevens. In overweging 17 van de richtlijn e-privacy wordt dit bevestigd: „(...) Toestemming kan worden gegeven op elke wijze die de gebruiker in staat stelt vrijelijk een specifieke en geïnformeerde indicatie te geven omtrent zijn wensen, onder andere door bij een bezoek aan een internetwebsite op een vakje te klikken.” Hierna volgen enkele praktische voorbeelden van wat het in dit verband betekent dat toestemming vrijwillig, specifiek en geïnformeerd is. |
| --- | --- |

53.

ISP’s die toestemming nodig hebben om de verkeers- en communicatiegegevens te controleren en te filteren, moeten er derhalve voor zorgen dat de toestemming vrijwillig en specifiek is, en dat deze een volledig geïnformeerde aanwijzing is voor de wensen van de betrokkene, die daarmee aangeeft dat hij instemt met de verwerking van zijn of haar persoonsgegevens. In overweging 17 van de richtlijn e-privacy wordt dit bevestigd: „(...) Toestemming kan worden gegeven op elke wijze die de gebruiker in staat stelt vrijelijk een specifieke en geïnformeerde indicatie te geven omtrent zijn wensen, onder andere door bij een bezoek aan een internetwebsite op een vakje te klikken.” Hierna volgen enkele praktische voorbeelden van wat het in dit verband betekent dat toestemming vrijwillig, specifiek en geïnformeerd is.

Toestemming: een vrije, specifieke en geïnformeerde indicatie van wensen

| 54. | Vrije toestemming. Gebruikers mogen geen beperkingen ondervinden doordat hun toestemming wordt gekoppeld aan het internetabonnement waarvoor zij zich willen aanmelden. |
| --- | --- |

54.

Vrije toestemming. Gebruikers mogen geen beperkingen ondervinden doordat hun toestemming wordt gekoppeld aan het internetabonnement waarvoor zij zich willen aanmelden.

| 55. | Toestemming wordt niet vrij gegeven als men moet toestemmen in de monitoring van zijn communicatiegegevens om toegang te kunnen krijgen tot een communicatiedienst. Dit zou des te sterker gelden als alle aanbieders in een bepaalde markt zich zouden toeleggen op verkeersstroombeheer voor doeleinden die verder gaan dan de beveiliging van het netwerk. De enige andere optie zou dan zijn om helemaal geen abonnement op een internetdienst te nemen. Gegeven het feit dat internet een essentieel instrument is geworden voor zowel werk- als vrijetijdsdoeleinden, vormt niet-abonneren op een internetdienst geen deugdelijk alternatief. Het resultaat zou zijn dat de betrokkenen geen reële keuze zouden hebben, dat wil zeggen dat zij geen vrije toestemming zouden kunnen geven (31). |
| --- | --- |

55.

Toestemming wordt niet vrij gegeven als men moet toestemmen in de monitoring van zijn communicatiegegevens om toegang te kunnen krijgen tot een communicatiedienst. Dit zou des te sterker gelden als alle aanbieders in een bepaalde markt zich zouden toeleggen op verkeersstroombeheer voor doeleinden die verder gaan dan de beveiliging van het netwerk. De enige andere optie zou dan zijn om helemaal geen abonnement op een internetdienst te nemen. Gegeven het feit dat internet een essentieel instrument is geworden voor zowel werk- als vrijetijdsdoeleinden, vormt niet-abonneren op een internetdienst geen deugdelijk alternatief. Het resultaat zou zijn dat de betrokkenen geen reële keuze zouden hebben, dat wil zeggen dat zij geen vrije toestemming zouden kunnen geven (31).

| 56. | De EDPS meent dat er een duidelijke behoefte bestaat aan toezicht op de markt door de Commissie en nationale instanties, met name om vast te stellen of dit scenario — waarin aanbieders telecommunicatiediensten koppelen aan communicatiebewaking — gemeengoed wordt. Aanbieders dienen alternatieve diensten aan te bieden, waaronder een internetabonnement dat geen onderwerp van verkeersstroombeheer is, zonder abonnees hogere kosten op te leggen. |
| --- | --- |

56.

De EDPS meent dat er een duidelijke behoefte bestaat aan toezicht op de markt door de Commissie en nationale instanties, met name om vast te stellen of dit scenario — waarin aanbieders telecommunicatiediensten koppelen aan communicatiebewaking — gemeengoed wordt. Aanbieders dienen alternatieve diensten aan te bieden, waaronder een internetabonnement dat geen onderwerp van verkeersstroombeheer is, zonder abonnees hogere kosten op te leggen.

| 57. | Specifieke toestemming. De noodzaak van specifieke toestemming vereist in dit geval dat ISP’s op heldere en onderscheiden wijze toestemming verkrijgen voor de bewaking van verkeers- en communicatiegegevens. Volgens de Groep gegevensbescherming artikel 29 kan toestemming alleen specifiek zijn als zij begrijpelijk is: „zij moet duidelijk en exact verwijzen naar de reikwijdte en de gevolgen van de gegevensverwerking. Zij kan niet gelden voor een reeks verwerkingsactiviteiten met een open einde. Dit betekent met andere woorden dat de context waarin toestemming van toepassing is, beperkt is.” Specifieke toestemming wordt waarschijnlijk niet verkregen als de toestemming voor de controle van verkeers- en communicatiegegevens wordt gebundeld met de algemene toestemming om zich voor de dienst te abonneren. In plaatst daarvan vergt specificiteit het gebruik van gerichte middelen om toestemming te verkrijgen, zoals een specifiek toestemmingsformulier of een apart vak dat duidelijk alleen maar bedoeld is voor bewaking (in plaats van de informatie op te nemen in de algemene voorwaarden van de overeenkomst en de overeenkomst als geheel te laten ondertekenen). |
| --- | --- |

57.

Specifieke toestemming. De noodzaak van specifieke toestemming vereist in dit geval dat ISP’s op heldere en onderscheiden wijze toestemming verkrijgen voor de bewaking van verkeers- en communicatiegegevens. Volgens de Groep gegevensbescherming artikel 29 kan toestemming alleen specifiek zijn als zij begrijpelijk is: „zij moet duidelijk en exact verwijzen naar de reikwijdte en de gevolgen van de gegevensverwerking. Zij kan niet gelden voor een reeks verwerkingsactiviteiten met een open einde. Dit betekent met andere woorden dat de context waarin toestemming van toepassing is, beperkt is.” Specifieke toestemming wordt waarschijnlijk niet verkregen als de toestemming voor de controle van verkeers- en communicatiegegevens wordt gebundeld met de algemene toestemming om zich voor de dienst te abonneren. In plaatst daarvan vergt specificiteit het gebruik van gerichte middelen om toestemming te verkrijgen, zoals een specifiek toestemmingsformulier of een apart vak dat duidelijk alleen maar bedoeld is voor bewaking (in plaats van de informatie op te nemen in de algemene voorwaarden van de overeenkomst en de overeenkomst als geheel te laten ondertekenen).

| 58. | Geïnformeerde toestemming. Toestemming is alleen geldig als zij geïnformeerd is. De noodzaak om vooraf toereikende informatie te verstrekken komt niet alleen voort uit de richtlijnen voor e-privacy en gegevensbescherming, maar ook uit artikelen 20 en 21 van de universeledienstrichtlijn als gewijzigd bij Richtlijn 2009/136/EG (32). De noodzaak van informatie en toestemming is uitdrukkelijk bevestigd in overweging 28 van Richtlijn 2009/136/EG: “de gebruikers (moeten) in ieder geval volledig worden geïnformeerd over alle beperkingen die door de aanbieder van de diensten en/of de exploitant van het netwerk op het gebruik van de elektronischecommunicatiediensten worden opgelegd. Bij deze informatie moet, volgens de keuze van de aanbieder, ofwel het type van inhoud, toepassing of dienst in kwestie, ofwel de afzonderlijke toepassingen of diensten, of beide worden gespecificeerd.”. Vervolgens wordt bepaald: „Afhankelijk van de gebruikte technologie en het soort van beperking, kan voor deze beperkingen de instemming van de gebruiker vereist zijn, overeenkomstig Richtlijn 2002/58/EG”. |
| --- | --- |

58.

Geïnformeerde toestemming. Toestemming is alleen geldig als zij geïnformeerd is. De noodzaak om vooraf toereikende informatie te verstrekken komt niet alleen voort uit de richtlijnen voor e-privacy en gegevensbescherming, maar ook uit artikelen 20 en 21 van de universeledienstrichtlijn als gewijzigd bij Richtlijn 2009/136/EG (32). De noodzaak van informatie en toestemming is uitdrukkelijk bevestigd in overweging 28 van Richtlijn 2009/136/EG: “de gebruikers (moeten) in ieder geval volledig worden geïnformeerd over alle beperkingen die door de aanbieder van de diensten en/of de exploitant van het netwerk op het gebruik van de elektronischecommunicatiediensten worden opgelegd. Bij deze informatie moet, volgens de keuze van de aanbieder, ofwel het type van inhoud, toepassing of dienst in kwestie, ofwel de afzonderlijke toepassingen of diensten, of beide worden gespecificeerd.”. Vervolgens wordt bepaald: „Afhankelijk van de gebruikte technologie en het soort van beperking, kan voor deze beperkingen de instemming van de gebruiker vereist zijn, overeenkomstig Richtlijn 2002/58/EG”.

| 59. | Gezien de complexiteit van deze bewakingstechnieken is het geven van betekenisvolle voorafgaande informatie een van de belangrijkste uitdagingen voor het verkrijgen van geldige toestemming. Consumenten dienen zodanig te worden geïnformeerd dat zij kunnen begrijpen welke informatie wordt verwerkt, hoe deze wordt gebruikt, wat de gevolgen voor de gebruikerservaring zijn en in hoeverre de privacy wordt geschonden in verband met de toegepaste technieken. |
| --- | --- |

59.

Gezien de complexiteit van deze bewakingstechnieken is het geven van betekenisvolle voorafgaande informatie een van de belangrijkste uitdagingen voor het verkrijgen van geldige toestemming. Consumenten dienen zodanig te worden geïnformeerd dat zij kunnen begrijpen welke informatie wordt verwerkt, hoe deze wordt gebruikt, wat de gevolgen voor de gebruikerservaring zijn en in hoeverre de privacy wordt geschonden in verband met de toegepaste technieken.

| 60. | Dit betekent niet alleen dat de informatie zelf duidelijk en begrijpelijk moet zijn voor gemiddelde gebruikers, maar ook dat de informatie duidelijk en expliciet aan mensen wordt verstrekt zodat zij haar niet over het hoofd kunnen zien. |
| --- | --- |

60.

Dit betekent niet alleen dat de informatie zelf duidelijk en begrijpelijk moet zijn voor gemiddelde gebruikers, maar ook dat de informatie duidelijk en expliciet aan mensen wordt verstrekt zodat zij haar niet over het hoofd kunnen zien.

| 61. | Indicatie van wensen. Toestemming op grond van het toepasselijke wettelijke kader vereist ook een bevestigende handeling van de gebruiker als indicatie van zijn of haar instemming. Impliciete toestemming voldoet niet aan deze norm. Dit bevestigt tevens de noodzaak van het gebruik van speciale middelen om toestemming te verkrijgen waarmee de ISP verkeers- en communicatiegegevens kan controleren in het kader van de toepassing van een beleid voor verkeersstroombeheer. In haar recente advies over toestemming benadrukt de Groep gegevensbescherming artikel 29 de noodzaak van granulariteit bij het verkrijgen van toestemming ten aanzien van de verschillende elementen waaruit de gegevensverwerking bestaat. |
| --- | --- |

61.

Indicatie van wensen. Toestemming op grond van het toepasselijke wettelijke kader vereist ook een bevestigende handeling van de gebruiker als indicatie van zijn of haar instemming. Impliciete toestemming voldoet niet aan deze norm. Dit bevestigt tevens de noodzaak van het gebruik van speciale middelen om toestemming te verkrijgen waarmee de ISP verkeers- en communicatiegegevens kan controleren in het kader van de toepassing van een beleid voor verkeersstroombeheer. In haar recente advies over toestemming benadrukt de Groep gegevensbescherming artikel 29 de noodzaak van granulariteit bij het verkrijgen van toestemming ten aanzien van de verschillende elementen waaruit de gegevensverwerking bestaat.

| 62. | Men zou kunnen aanvoeren dat als de bij de communicatie betrokken partijen niet willen dat ISP’s die communicatie onderscheppen ten behoeve van verkeersstroombeheer, zij de communicatie altijd kunnen versleutelen. Deze aanpak kan in praktische termen als nuttig worden beschouwd, maar vereist enige inspanning en technische kennis en kan daarom niet worden opgevat als gelijk aan vrije, specifieke en geïnformeerde toestemming. Ook houdt het gebruik van versleutelingstechnieken de communicatie niet volledig vertrouwelijk, aangezien de ISP in elk geval toegang krijgt tot de informatie in de IP header om de communicatie naar haar bestemming te leiden en ook in een positie verkeert om statistische analyse uit te voeren. |
| --- | --- |

62.

Men zou kunnen aanvoeren dat als de bij de communicatie betrokken partijen niet willen dat ISP’s die communicatie onderscheppen ten behoeve van verkeersstroombeheer, zij de communicatie altijd kunnen versleutelen. Deze aanpak kan in praktische termen als nuttig worden beschouwd, maar vereist enige inspanning en technische kennis en kan daarom niet worden opgevat als gelijk aan vrije, specifieke en geïnformeerde toestemming. Ook houdt het gebruik van versleutelingstechnieken de communicatie niet volledig vertrouwelijk, aangezien de ISP in elk geval toegang krijgt tot de informatie in de IP header om de communicatie naar haar bestemming te leiden en ook in een positie verkeert om statistische analyse uit te voeren.

| 63. | Volgens artikel 5, lid 1, van de richtlijn e-privacy moet toestemming worden verkregen van de betrokken gebruikers. In veel gevallen zal de gebruiker dezelfde persoon zijn als de abonnee, waardoor het mogelijk is toe te stemmen op het moment van abonneren op de telecommunicatiedienst. In andere gevallen, waaronder die waarbij meer dan één persoon betrokken kan zijn, zal de toestemming van de betrokken gebruikers afzonderlijk moeten worden verkregen. Dit kan praktische vragen opwerpen, zoals hierna wordt uitgewerkt. |
| --- | --- |

63.

Volgens artikel 5, lid 1, van de richtlijn e-privacy moet toestemming worden verkregen van de betrokken gebruikers. In veel gevallen zal de gebruiker dezelfde persoon zijn als de abonnee, waardoor het mogelijk is toe te stemmen op het moment van abonneren op de telecommunicatiedienst. In andere gevallen, waaronder die waarbij meer dan één persoon betrokken kan zijn, zal de toestemming van de betrokken gebruikers afzonderlijk moeten worden verkregen. Dit kan praktische vragen opwerpen, zoals hierna wordt uitgewerkt.

Toestemming van alle betrokken gebruikers

| 64. | Artikel 5, lid 1 voorziet in toestemming van de gebruiker om de verwerking te legitimeren. De toestemming moet worden verkregen van alle gebruikers die bij een communicatie betrokken zijn. De gedachte hierachter is dat bij elke communicatie gewoonlijk minstens twee personen (de verzender en de ontvanger) betrokken zijn. Als een ISP bijvoorbeeld IP payloads scant die betrekking hebben op een e-mail, wordt informatie gecontroleerd die zowel de verzender als de ontvanger van die e-mail betreft. |
| --- | --- |

64.

Artikel 5, lid 1 voorziet in toestemming van de gebruiker om de verwerking te legitimeren. De toestemming moet worden verkregen van alle gebruikers die bij een communicatie betrokken zijn. De gedachte hierachter is dat bij elke communicatie gewoonlijk minstens twee personen (de verzender en de ontvanger) betrokken zijn. Als een ISP bijvoorbeeld IP payloads scant die betrekking hebben op een e-mail, wordt informatie gecontroleerd die zowel de verzender als de ontvanger van die e-mail betreft.

| 65. | Wanneer ISP’s verkeer en communicatie bewaken en onderscheppen (bijvoorbeeld webverkeer), kan het voor hen voldoende zijn om de toestemming van de gebruiker, dat wil zeggen de abonnee, te verkrijgen. Dat komt doordat in dit geval de andere partij in de communicatie, een bezochte website, niet kan worden beschouwd als een „betrokken gebruiker” (33). De situatie kan echter complexer zijn wanneer dergelijke bewaking inhoudt dat de inhoud van e-mails en daardoor ook persoonsgegevens van de verzender en de ontvanger worden gecontroleerd, terwijl ze wellicht niet beiden een contractuele relatie met dezelfde ISP hebben. In deze gevallen zou de ISP persoonsgegevens (naam, e-mailadres en mogelijk gevoelige inhoudelijke gegevens) verwerken van niet-klanten. Vanuit praktisch oogpunt kan het verkrijgen van toestemming van dergelijke personen moeilijker zijn, omdat het van geval tot geval moet gebeuren in plaats van bij het sluiten van de overeenkomst voor de telecommunicatiedienst. Ook zou het niet realistisch zijn om ervan uit te gaan dat de toestemming van de abonnee tevens is gegeven namens andere gebruikers, zoals vaak het geval kan zijn in het geval van particuliere huishoudens. |
| --- | --- |

65.

Wanneer ISP’s verkeer en communicatie bewaken en onderscheppen (bijvoorbeeld webverkeer), kan het voor hen voldoende zijn om de toestemming van de gebruiker, dat wil zeggen de abonnee, te verkrijgen. Dat komt doordat in dit geval de andere partij in de communicatie, een bezochte website, niet kan worden beschouwd als een „betrokken gebruiker” (33). De situatie kan echter complexer zijn wanneer dergelijke bewaking inhoudt dat de inhoud van e-mails en daardoor ook persoonsgegevens van de verzender en de ontvanger worden gecontroleerd, terwijl ze wellicht niet beiden een contractuele relatie met dezelfde ISP hebben. In deze gevallen zou de ISP persoonsgegevens (naam, e-mailadres en mogelijk gevoelige inhoudelijke gegevens) verwerken van niet-klanten. Vanuit praktisch oogpunt kan het verkrijgen van toestemming van dergelijke personen moeilijker zijn, omdat het van geval tot geval moet gebeuren in plaats van bij het sluiten van de overeenkomst voor de telecommunicatiedienst. Ook zou het niet realistisch zijn om ervan uit te gaan dat de toestemming van de abonnee tevens is gegeven namens andere gebruikers, zoals vaak het geval kan zijn in het geval van particuliere huishoudens.

| 66. | In dit verband meent de EDPS dat ISP’s zich moeten houden aan bestaande wettelijke voorschriften en een beleid moeten uitvoeren dat geen bewaking en controle van informatie met zich meebrengt. Dit is des te essentiëler in verband met communicatiediensten waarbij derde partijen betrokken zijn die niet kunnen toestemmen in de bewaking, met name ten aanzien van verzonden en ontvangen e-mails (dit geldt niet wanneer het doel is gebaseerd op beveiligingsoverwegingen). |
| --- | --- |

66.

In dit verband meent de EDPS dat ISP’s zich moeten houden aan bestaande wettelijke voorschriften en een beleid moeten uitvoeren dat geen bewaking en controle van informatie met zich meebrengt. Dit is des te essentiëler in verband met communicatiediensten waarbij derde partijen betrokken zijn die niet kunnen toestemmen in de bewaking, met name ten aanzien van verzonden en ontvangen e-mails (dit geldt niet wanneer het doel is gebaseerd op beveiligingsoverwegingen).

| 67. | Tegelijkertijd moet worden geconstateerd dat het nationale recht waarmee uitvoering wordt gegeven aan artikel 5, lid 1, van de richtlijn e-privacy, op dit punt wellicht niet altijd bevredigend is en dat er in het algemeen behoefte lijkt te bestaan aan betere richtlijnen met betrekking tot de voorschriften van de richtlijn e-privacy in dit verband. De EDPS nodigt de Commissie daarom uit om in dit opzicht actiever te zijn en een initiatief te ontplooien dat zou kunnen profiteren van de inbreng van de toezichthoudende instanties die zijn verenigd in de Groep gegevensbescherming artikel 29 en van andere belanghebbenden. Indien nodig zou een zaak moeten worden voorgelegd aan het Hof van Justitie om volledige duidelijkheid te scheppen over de betekenis en de consequenties van artikel 5, lid 1. |
| --- | --- |

67.

Tegelijkertijd moet worden geconstateerd dat het nationale recht waarmee uitvoering wordt gegeven aan artikel 5, lid 1, van de richtlijn e-privacy, op dit punt wellicht niet altijd bevredigend is en dat er in het algemeen behoefte lijkt te bestaan aan betere richtlijnen met betrekking tot de voorschriften van de richtlijn e-privacy in dit verband. De EDPS nodigt de Commissie daarom uit om in dit opzicht actiever te zijn en een initiatief te ontplooien dat zou kunnen profiteren van de inbreng van de toezichthoudende instanties die zijn verenigd in de Groep gegevensbescherming artikel 29 en van andere belanghebbenden. Indien nodig zou een zaak moeten worden voorgelegd aan het Hof van Justitie om volledige duidelijkheid te scheppen over de betekenis en de consequenties van artikel 5, lid 1.

V.3.   Evenredigheid: het beginsel van gegevensminimalisatie

| 68. | In artikel 6, onder c), van de richtlijn gegevensbescherming is het evenredigheidsbeginsel vastgelegd (34), dat voor ISP’s geldt omdat zij houders van persoonsgegevens zijn in de zin van deze richtlijn wanneer zij bewaking en filtering toepassen. |
| --- | --- |

68.

In artikel 6, onder c), van de richtlijn gegevensbescherming is het evenredigheidsbeginsel vastgelegd (34), dat voor ISP’s geldt omdat zij houders van persoonsgegevens zijn in de zin van deze richtlijn wanneer zij bewaking en filtering toepassen.

| 69. | Op grond van dat beginsel mogen persoonsgegevens alleen worden verwerkt voor zover ze „toereikend, ter zake dienend en niet bovenmatig (...) zijn, uitgaande van de doeleinden waarvoor zij worden verzameld of waarvoor zij vervolgens worden verwerkt”. De toepassing van dit beginsel brengt de noodzaak met zich mee om te beoordelen of de middelen die voor de gegevensverwerking worden ingezet en de soorten persoonsgegevens die worden gebruikt, passend zijn en redelijkerwijs mogen worden geacht tot de nagestreefde doelen te leiden. Als de conclusie is dat meer gegevens worden verzameld dan nodig is, wordt niet aan het evenredigheidsbeginsel voldaan. |
| --- | --- |

69.

Op grond van dat beginsel mogen persoonsgegevens alleen worden verwerkt voor zover ze „toereikend, ter zake dienend en niet bovenmatig (...) zijn, uitgaande van de doeleinden waarvoor zij worden verzameld of waarvoor zij vervolgens worden verwerkt”. De toepassing van dit beginsel brengt de noodzaak met zich mee om te beoordelen of de middelen die voor de gegevensverwerking worden ingezet en de soorten persoonsgegevens die worden gebruikt, passend zijn en redelijkerwijs mogen worden geacht tot de nagestreefde doelen te leiden. Als de conclusie is dat meer gegevens worden verzameld dan nodig is, wordt niet aan het evenredigheidsbeginsel voldaan.

| 70. | De overeenstemming met het evenredigheidsbeginsel van bepaalde soorten controletechnieken moet van geval tot geval worden beoordeeld. Het is niet mogelijk om conclusies te trekken in abstracto. Wel is het mogelijk om op verschillende concrete aspecten te wijzen die moeten worden geëvalueerd om vast te stellen of het evenredigheidsbeginsel wordt nageleefd. |
| --- | --- |

70.

De overeenstemming met het evenredigheidsbeginsel van bepaalde soorten controletechnieken moet van geval tot geval worden beoordeeld. Het is niet mogelijk om conclusies te trekken in abstracto. Wel is het mogelijk om op verschillende concrete aspecten te wijzen die moeten worden geëvalueerd om vast te stellen of het evenredigheidsbeginsel wordt nageleefd.

| 71. | De hoeveelheid informatie die wordt verwerkt. Toezicht op de communicatie van ISP-klanten op de diepst mogelijke niveaus zal in de meeste gevallen buitensporig en onwettig zijn. Het feit dat dergelijk toezicht kan worden uitgevoerd met middelen waarvan de individuele gebruikers zich niet bewust zijn en dat het voor hen moeilijk te begrijpen is wat er gebeurt, verhoogt het effect op hun privacy. ISP’s dienen te beoordelen welke minder indringende methoden tot hun beschikking kunnen staan om de vereiste resultaten te boeken. Kan bijvoorbeeld met bewaking van IP headers in plaats van diepgaande packetcontrole ook het vereiste resultaat worden bereikt? Zelfs bij toepassing van diepgaande packetcontrole kan de identificatie van slechts bepaalde protocollen misschien de nodige informatie opleveren. Ook het gebruik van waarborgen voor gegevensbescherming, met inbegrip van pseudo-anonimisering, kan relevant zijn. De uitkomst van de beoordeling moet de evenredigheid van de gegevensverwerking bevestigen. |
| --- | --- |

71.

De hoeveelheid informatie die wordt verwerkt. Toezicht op de communicatie van ISP-klanten op de diepst mogelijke niveaus zal in de meeste gevallen buitensporig en onwettig zijn. Het feit dat dergelijk toezicht kan worden uitgevoerd met middelen waarvan de individuele gebruikers zich niet bewust zijn en dat het voor hen moeilijk te begrijpen is wat er gebeurt, verhoogt het effect op hun privacy. ISP’s dienen te beoordelen welke minder indringende methoden tot hun beschikking kunnen staan om de vereiste resultaten te boeken. Kan bijvoorbeeld met bewaking van IP headers in plaats van diepgaande packetcontrole ook het vereiste resultaat worden bereikt? Zelfs bij toepassing van diepgaande packetcontrole kan de identificatie van slechts bepaalde protocollen misschien de nodige informatie opleveren. Ook het gebruik van waarborgen voor gegevensbescherming, met inbegrip van pseudo-anonimisering, kan relevant zijn. De uitkomst van de beoordeling moet de evenredigheid van de gegevensverwerking bevestigen.

| 72. | De effecten van verwerking (rechtstreeks gekoppeld aan de doeleinden). De evenredigheid kan ontbreken in gevallen waarin ISP’s verkeersstroombeheer toepassen waarmee de toegang tot bepaalde diensten wordt uitgesloten zonder dat zij in ruil daarvoor een redelijk deel van het daaruit voortvloeiende voordeel aan de gebruikers laten. |
| --- | --- |

72.

De effecten van verwerking (rechtstreeks gekoppeld aan de doeleinden). De evenredigheid kan ontbreken in gevallen waarin ISP’s verkeersstroombeheer toepassen waarmee de toegang tot bepaalde diensten wordt uitgesloten zonder dat zij in ruil daarvoor een redelijk deel van het daaruit voortvloeiende voordeel aan de gebruikers laten.

| 73. | Het is van belang eraan te herinneren dat het evenredigheidsbeginsel blijft gelden, zelfs als aan andere verplichte wettelijke eisen is voldaan, ook als een ISP bijvoorbeeld toestemming heeft verkregen van individuele gebruikers om de inhoud van communicatie te bewaken. Dit betekent dat de via inhoudbewaking uitgevoerde gegevensverwerking nog steeds onwettig kan zijn als zij het onderliggende fundamentele beginsel van evenredigheid schendt. |
| --- | --- |

73.

Het is van belang eraan te herinneren dat het evenredigheidsbeginsel blijft gelden, zelfs als aan andere verplichte wettelijke eisen is voldaan, ook als een ISP bijvoorbeeld toestemming heeft verkregen van individuele gebruikers om de inhoud van communicatie te bewaken. Dit betekent dat de via inhoudbewaking uitgevoerde gegevensverwerking nog steeds onwettig kan zijn als zij het onderliggende fundamentele beginsel van evenredigheid schendt.

V.4.   Beveiligings- en organisatorische maatregelen

| 74. | Artikel 4 van de richtlijn e-privacy eist van ISP’s uitdrukkelijk dat zij technische en organisatorische maatregelen nemen om te waarborgen dat i) persoonsgegevens alleen toegankelijk zijn voor gemachtigd personeel en voor wettige doeleinden, ii) persoonsgegevens worden beschermd tegen onbedoelde of onwettige verwerking, en iii) een beveiligingsbeleid inzake de verwerking van persoonsgegevens wordt uitgevoerd. Ook biedt het de nationale bevoegde instanties de mogelijkheid om controles uit te voeren op deze maatregelen. |
| --- | --- |

74.

Artikel 4 van de richtlijn e-privacy eist van ISP’s uitdrukkelijk dat zij technische en organisatorische maatregelen nemen om te waarborgen dat i) persoonsgegevens alleen toegankelijk zijn voor gemachtigd personeel en voor wettige doeleinden, ii) persoonsgegevens worden beschermd tegen onbedoelde of onwettige verwerking, en iii) een beveiligingsbeleid inzake de verwerking van persoonsgegevens wordt uitgevoerd. Ook biedt het de nationale bevoegde instanties de mogelijkheid om controles uit te voeren op deze maatregelen.

| 75. | Daarnaast zijn ISP’s op grond van artikel 4, lid 2 en lid 3, van de richtlijn e-privacy ook verplicht om bevoegde nationale instanties op de hoogte te stellen van inbreuken op de gegevensbescherming, alsmede de getroffen personen voor het geval de bekendmaking van de gegevens negatieve gevolgen voor hen kan hebben. |
| --- | --- |

75.

Daarnaast zijn ISP’s op grond van artikel 4, lid 2 en lid 3, van de richtlijn e-privacy ook verplicht om bevoegde nationale instanties op de hoogte te stellen van inbreuken op de gegevensbescherming, alsmede de getroffen personen voor het geval de bekendmaking van de gegevens negatieve gevolgen voor hen kan hebben.

| 76. | Verwerking van in communicatie aanwezige persoonlijke informatie met de bedoeling om verkeersstroombeheer toe te passen, kan ISP’s toegang geven tot gegevens die gevoeliger zijn dan verkeersgegevens. |
| --- | --- |

76.

Verwerking van in communicatie aanwezige persoonlijke informatie met de bedoeling om verkeersstroombeheer toe te passen, kan ISP’s toegang geven tot gegevens die gevoeliger zijn dan verkeersgegevens.

| 77. | Daarom dient het beveiligingsbeleid dat door ISP’s ontwikkeld wordt, specifieke waarborgen te omvatten om ervoor te zorgen dat de genomen maatregelen toereikend zijn voor deze risico’s. Tegelijkertijd dienen de nationale bevoegde instanties die deze maatregelen controleren, bijzonder veeleisend te zijn. Ten slotte moet worden gewaarborgd dat er doeltreffende waarschuwingsprocedures bestaan om betrokkenen te informeren van wie informatie is blootgesteld en die daardoor geschaad kunnen worden. |
| --- | --- |

77.

Daarom dient het beveiligingsbeleid dat door ISP’s ontwikkeld wordt, specifieke waarborgen te omvatten om ervoor te zorgen dat de genomen maatregelen toereikend zijn voor deze risico’s. Tegelijkertijd dienen de nationale bevoegde instanties die deze maatregelen controleren, bijzonder veeleisend te zijn. Ten slotte moet worden gewaarborgd dat er doeltreffende waarschuwingsprocedures bestaan om betrokkenen te informeren van wie informatie is blootgesteld en die daardoor geschaad kunnen worden.

VI.   SUGGESTIES VOOR BELEIDS- EN WETGEVINGSMAATREGELEN

| 78. | Controletechnieken op basis van verkeersgegevens en de controle van IP payloads, dat wil zeggen de inhoud van communicatie, kunnen de internetactiviteiten van gebruikers aan het licht brengen: bezochte websites en activiteiten op die sites, gebruik van P2P-toepassingen, gedownloade bestanden, verzonden en ontvangen e-mails, van wie, over welk onderwerp en in welke bewoordingen, enz. ISP’s willen deze informatie wellicht gebruiken om sommige communicatie, zoals video op afroep, voorrang te geven op andere. Misschien willen ze haar gebruiken om virussen te identificeren of om profielen op te bouwen ten behoeve van gedragsgerichte advertenties. Deze handelingen grijpen in op het recht op vertrouwelijkheid van de communicatie. |
| --- | --- |

78.

Controletechnieken op basis van verkeersgegevens en de controle van IP payloads, dat wil zeggen de inhoud van communicatie, kunnen de internetactiviteiten van gebruikers aan het licht brengen: bezochte websites en activiteiten op die sites, gebruik van P2P-toepassingen, gedownloade bestanden, verzonden en ontvangen e-mails, van wie, over welk onderwerp en in welke bewoordingen, enz. ISP’s willen deze informatie wellicht gebruiken om sommige communicatie, zoals video op afroep, voorrang te geven op andere. Misschien willen ze haar gebruiken om virussen te identificeren of om profielen op te bouwen ten behoeve van gedragsgerichte advertenties. Deze handelingen grijpen in op het recht op vertrouwelijkheid van de communicatie.

| 79. | Afhankelijk van de gebruikte technieken en de specifieke omstandigheden van het geval, zullen de gevolgen voor de privacy groter worden. Hoe diepgaander de onderschepping en analyse van de verzamelde informatie, hoe groter de strijdigheid met het beginsel van vertrouwelijkheid van communicatie. Ook de doeleinden waarvoor de bewaking plaatsvindt en de waarborgen voor gegevensbescherming die zijn toegepast, zijn belangrijke elementen bij de vaststelling van de mate van inbreuk op de privacy en persoonsgegevens van individuele personen. Blokkering en bewaking ten behoeve van de bestrijding van malware, met strikte begrenzing van de bewaartermijn en het gebruik van de gecontroleerde gegevens, laat zich niet vergelijken met situaties waarin de informatie worden geregistreerd om individuele profielen op te bouwen voor gedragsgerichte advertenties. |
| --- | --- |

79.

Afhankelijk van de gebruikte technieken en de specifieke omstandigheden van het geval, zullen de gevolgen voor de privacy groter worden. Hoe diepgaander de onderschepping en analyse van de verzamelde informatie, hoe groter de strijdigheid met het beginsel van vertrouwelijkheid van communicatie. Ook de doeleinden waarvoor de bewaking plaatsvindt en de waarborgen voor gegevensbescherming die zijn toegepast, zijn belangrijke elementen bij de vaststelling van de mate van inbreuk op de privacy en persoonsgegevens van individuele personen. Blokkering en bewaking ten behoeve van de bestrijding van malware, met strikte begrenzing van de bewaartermijn en het gebruik van de gecontroleerde gegevens, laat zich niet vergelijken met situaties waarin de informatie worden geregistreerd om individuele profielen op te bouwen voor gedragsgerichte advertenties.

| 80. | In beginsel meent de EDPS dat het bestaande EU-kader voor privacy- en gegevensbescherming, mits goed geïnterpreteerd, toegepast en gehandhaafd, toereikend is om te garanderen dat het recht op vertrouwelijkheid wordt gehandhaafd en dat de bescherming van de privacy en de gegevens van individuele burgers niet wordt ondergraven (35). ISP’s zouden dergelijke mechanismen niet mogen gebruiken tenzij ze het wettelijk kader correct hebben toegepast. Meer in het bijzonder zouden ISP’s de volgende relevante elementen van het kader moeten overwegen en eerbiedigen:






  — | ISP’s kunnen beleid voor verkeersstroombeheer toepassen dat is bedoeld om de beveiliging van de dienst te bevorderen en de dienst te verlenen, met inbegrip van beperking van congestie, op grond van artikelen 4 en 6 van de richtlijn e-privacy; |
| --- | --- | --- |

80.

In beginsel meent de EDPS dat het bestaande EU-kader voor privacy- en gegevensbescherming, mits goed geïnterpreteerd, toegepast en gehandhaafd, toereikend is om te garanderen dat het recht op vertrouwelijkheid wordt gehandhaafd en dat de bescherming van de privacy en de gegevens van individuele burgers niet wordt ondergraven (35). ISP’s zouden dergelijke mechanismen niet mogen gebruiken tenzij ze het wettelijk kader correct hebben toegepast. Meer in het bijzonder zouden ISP’s de volgende relevante elementen van het kader moeten overwegen en eerbiedigen:

—

ISP’s kunnen beleid voor verkeersstroombeheer toepassen dat is bedoeld om de beveiliging van de dienst te bevorderen en de dienst te verlenen, met inbegrip van beperking van congestie, op grond van artikelen 4 en 6 van de richtlijn e-privacy;

| — | ISP’s hebben een andere specifieke wettelijke grondslag, en mogelijk de toestemming van gebruikers, nodig om een beleid voor verkeersstroombeheer toe te passen dat de verwerking van verkeers- en/of communicatiegegevens voor andere dan voornoemde doeleinden met zich meebrengt. Zo is bijvoorbeeld de geïnformeerde toestemming van gebruikers nodig voor het bewaken en filteren van individuele communicatie met de bedoeling de toegang tot bepaalde toepassingen en diensten, zoals P2P of VoIP, te beperken (of toe te staan); |
| --- | --- |

—

ISP’s hebben een andere specifieke wettelijke grondslag, en mogelijk de toestemming van gebruikers, nodig om een beleid voor verkeersstroombeheer toe te passen dat de verwerking van verkeers- en/of communicatiegegevens voor andere dan voornoemde doeleinden met zich meebrengt. Zo is bijvoorbeeld de geïnformeerde toestemming van gebruikers nodig voor het bewaken en filteren van individuele communicatie met de bedoeling de toegang tot bepaalde toepassingen en diensten, zoals P2P of VoIP, te beperken (of toe te staan);

| — | de toestemming moet vrij, uitdrukkelijk en geïnformeerd zijn. Zij moet worden aangegeven met een bevestigende actie. In deze eisen ligt grote nadruk op de noodzaak van grotere inspanningen om te waarborgen dat individuele gebruikers voldoende worden geïnformeerd op een wijze die direct, begrijpelijk en specifiek is, zodat zij de effecten van de praktijken kunnen beoordelen en uiteindelijk een geïnformeerd besluit kunnen nemen. Gezien de complexiteit van deze technieken is het geven van betekenisvolle voorafgaande informatie aan gebruikers een van de belangrijkste uitdagingen voor het verkrijgen van geldige toestemming. Daarnaast mogen er geen schadelijke gevolgen (daarbij inbegrepen financiële kosten) zijn voor gebruikers die geen toestemming geven voor bewaking; |
| --- | --- |

—

de toestemming moet vrij, uitdrukkelijk en geïnformeerd zijn. Zij moet worden aangegeven met een bevestigende actie. In deze eisen ligt grote nadruk op de noodzaak van grotere inspanningen om te waarborgen dat individuele gebruikers voldoende worden geïnformeerd op een wijze die direct, begrijpelijk en specifiek is, zodat zij de effecten van de praktijken kunnen beoordelen en uiteindelijk een geïnformeerd besluit kunnen nemen. Gezien de complexiteit van deze technieken is het geven van betekenisvolle voorafgaande informatie aan gebruikers een van de belangrijkste uitdagingen voor het verkrijgen van geldige toestemming. Daarnaast mogen er geen schadelijke gevolgen (daarbij inbegrepen financiële kosten) zijn voor gebruikers die geen toestemming geven voor bewaking;

| — | het evenredigheidsbeginsel speelt een cruciale rol wanneer ISP’s een beleid voor verkeersstroombeheer toepassen, ongeacht de wettelijke grondslag voor de verwerking en het doel ervan: verlening van de dienst, vermijding van congestie of het aanbieden van gerichte abonnementen met of zonder toegang tot bepaalde diensten en toepassingen. Dit beginsel beperkt de mogelijkheden van ISP’s om de inhoud van individuele communicatie te bewaken met methoden die de verwerking van buitensporige hoeveelheden informatie met zich meebrengen of alleen voordelen voor ISP’s opleveren. Wat ISP’s logistiek kunnen doen, hangt af van de mate van inbreuk die de technieken maken, de vereiste resultaten (die hun voordeel kunnen opleveren) en de specifieke waarborgen voor privacy- en gegevensbescherming die zijn toegepast. Voordat zij controletechnieken in gebruik nemen, moeten ISP’s een beoordeling uitvoeren van hun overeenstemming met het evenredigheidsbeginsel. |
| --- | --- |

—

het evenredigheidsbeginsel speelt een cruciale rol wanneer ISP’s een beleid voor verkeersstroombeheer toepassen, ongeacht de wettelijke grondslag voor de verwerking en het doel ervan: verlening van de dienst, vermijding van congestie of het aanbieden van gerichte abonnementen met of zonder toegang tot bepaalde diensten en toepassingen. Dit beginsel beperkt de mogelijkheden van ISP’s om de inhoud van individuele communicatie te bewaken met methoden die de verwerking van buitensporige hoeveelheden informatie met zich meebrengen of alleen voordelen voor ISP’s opleveren. Wat ISP’s logistiek kunnen doen, hangt af van de mate van inbreuk die de technieken maken, de vereiste resultaten (die hun voordeel kunnen opleveren) en de specifieke waarborgen voor privacy- en gegevensbescherming die zijn toegepast. Voordat zij controletechnieken in gebruik nemen, moeten ISP’s een beoordeling uitvoeren van hun overeenstemming met het evenredigheidsbeginsel.

| 81. | Hoewel het wettelijk kader op het ogenblik relevante voorwaarden en waarborgen bevat, is het nodig om in het bijzonder aandacht te besteden aan de vraag of ISP’s daadwerkelijk aan de wettelijke vereisten voldoen, of zij de informatie verstrekken die consumenten nodig hebben om zinvolle keuzes te kunnen maken en of zij zich houden aan het evenredigheidsbeginsel. Op nationaal niveau omvatten de bevoegde instanties enerzijds de toezichthouders voor telecommunicatie en anderzijds de toezichthouders voor gegevensbescherming. Op EU-niveau is Berec een van de ter zake dienende organen. De EDPS kan in dit verband wellicht ook een rol spelen. |
| --- | --- |

81.

Hoewel het wettelijk kader op het ogenblik relevante voorwaarden en waarborgen bevat, is het nodig om in het bijzonder aandacht te besteden aan de vraag of ISP’s daadwerkelijk aan de wettelijke vereisten voldoen, of zij de informatie verstrekken die consumenten nodig hebben om zinvolle keuzes te kunnen maken en of zij zich houden aan het evenredigheidsbeginsel. Op nationaal niveau omvatten de bevoegde instanties enerzijds de toezichthouders voor telecommunicatie en anderzijds de toezichthouders voor gegevensbescherming. Op EU-niveau is Berec een van de ter zake dienende organen. De EDPS kan in dit verband wellicht ook een rol spelen.

| 82. | Naast het toezicht op het huidige nalevingsniveau vereisen sommige in dit advies besproken aspecten met betrekking tot de toepassing van het kader, gezien de betrekkelijke noviteit van de mogelijkheid voor massale onvertraagde controle van communicatie, nadere, meer diepgaande analyse en secundaire opheldering. Op verschillende gebieden zullen aanwijzingen bijzonder relevant zijn:






  — | de controlepraktijken vaststellen die gerechtvaardigd zijn om een probleemloze verkeersstroom te waarborgen en waarvoor geen toestemming van de gebruikers nodig is, bijvoorbeeld de bestrijding van spam. Naast de mate van inbreuk van de toegepaste bewaking zijn ook aspecten zoals de mate van verstoring van de probleemloze verkeersstroom die anders zou optreden, relevant; |
| --- | --- | --- |

82.

Naast het toezicht op het huidige nalevingsniveau vereisen sommige in dit advies besproken aspecten met betrekking tot de toepassing van het kader, gezien de betrekkelijke noviteit van de mogelijkheid voor massale onvertraagde controle van communicatie, nadere, meer diepgaande analyse en secundaire opheldering. Op verschillende gebieden zullen aanwijzingen bijzonder relevant zijn:

—

de controlepraktijken vaststellen die gerechtvaardigd zijn om een probleemloze verkeersstroom te waarborgen en waarvoor geen toestemming van de gebruikers nodig is, bijvoorbeeld de bestrijding van spam. Naast de mate van inbreuk van de toegepaste bewaking zijn ook aspecten zoals de mate van verstoring van de probleemloze verkeersstroom die anders zou optreden, relevant;

| — | vaststellen welke controletechnieken kunnen worden uitgevoerd voor beveiligingsdoeleinden en waarvoor geen toestemming van de gebruikers is vereist; |
| --- | --- |

—

vaststellen welke controletechnieken kunnen worden uitgevoerd voor beveiligingsdoeleinden en waarvoor geen toestemming van de gebruikers is vereist;

| — | vaststellen wanneer bewaking individuele toestemming vereist, met name de toestemming van alle betrokken gebruikers, en wat de toelaatbare technische parameters zijn om te waarborgen dat de controletechniek geen gegevensverwerking met zich meebrengt die niet evenredig is met de beoogde doelen ervan; |
| --- | --- |

—

vaststellen wanneer bewaking individuele toestemming vereist, met name de toestemming van alle betrokken gebruikers, en wat de toelaatbare technische parameters zijn om te waarborgen dat de controletechniek geen gegevensverwerking met zich meebrengt die niet evenredig is met de beoogde doelen ervan;

| — | verder kunnen in de drie voornoemde gevallen aanwijzingen nodig zijn voor de toepassing van de nodige waarborgen voor gegevensbescherming (doelbeperking, beveiliging, enz.). |
| --- | --- |

—

verder kunnen in de drie voornoemde gevallen aanwijzingen nodig zijn voor de toepassing van de nodige waarborgen voor gegevensbescherming (doelbeperking, beveiliging, enz.).

| 83. | Aangezien op dit terrein zowel nationale als EU-bevoegdheden bestaan, meent de EDPS dat het delen van zienswijzen en ervaringen met het oog op een geharmoniseerde aanpak van het voorgaande van essentieel belang is. Om dat te bereiken, doet de EDPS de suggestie om een platform of een expertisegroep op te richten met vertegenwoordigers van nationale regelgevende instanties, de Groep gegevensbescherming artikel 29, de EDPS en Berec. Het eerste doel van dit platform zou zijn om aanwijzingen te ontwikkelen, in elk geval voor de zaken die hiervoor zijn aangeduid, teneinde een solide en geharmoniseerde aanpak en een gelijk speelveld te garanderen. De EDPS doet een beroep op de Commissie om dit initiatief te organiseren. |
| --- | --- |

83.

Aangezien op dit terrein zowel nationale als EU-bevoegdheden bestaan, meent de EDPS dat het delen van zienswijzen en ervaringen met het oog op een geharmoniseerde aanpak van het voorgaande van essentieel belang is. Om dat te bereiken, doet de EDPS de suggestie om een platform of een expertisegroep op te richten met vertegenwoordigers van nationale regelgevende instanties, de Groep gegevensbescherming artikel 29, de EDPS en Berec. Het eerste doel van dit platform zou zijn om aanwijzingen te ontwikkelen, in elk geval voor de zaken die hiervoor zijn aangeduid, teneinde een solide en geharmoniseerde aanpak en een gelijk speelveld te garanderen. De EDPS doet een beroep op de Commissie om dit initiatief te organiseren.

| 84. | Ten slotte moeten zowel nationale instanties als hun tegenvoeters van de EU, waaronder Berec en de Commissie, de marktontwikkelingen op dit gebied nauwgezet volgen. Vanuit het oogpunt van gegevensbescherming en privacy zou het scenario waarin ISP’s routinematig verkeersstroombeheerbeleid toepassen om abonnementen aan te bieden op basis van het filteren van de toegang tot inhoud en toepassingen, hoogst problematisch zijn. Als dit scenario werkelijkheid zou worden, zou wetgeving moeten worden ingevoerd om de situatie aan te pakken. |
| --- | --- |

84.

Ten slotte moeten zowel nationale instanties als hun tegenvoeters van de EU, waaronder Berec en de Commissie, de marktontwikkelingen op dit gebied nauwgezet volgen. Vanuit het oogpunt van gegevensbescherming en privacy zou het scenario waarin ISP’s routinematig verkeersstroombeheerbeleid toepassen om abonnementen aan te bieden op basis van het filteren van de toegang tot inhoud en toepassingen, hoogst problematisch zijn. Als dit scenario werkelijkheid zou worden, zou wetgeving moeten worden ingevoerd om de situatie aan te pakken.

VII.   CONCLUSIES

| 85. | De toenemende mate waarin ISP’s vertrouwen op bewakings- en controletechnieken tast de neutraliteit van internet en de vertrouwelijkheid van de communicatie aan. Dit werpt ernstige vragen op met betrekking tot de bescherming van de privacy en persoonsgegevens van gebruikers. |
| --- | --- |

85.

De toenemende mate waarin ISP’s vertrouwen op bewakings- en controletechnieken tast de neutraliteit van internet en de vertrouwelijkheid van de communicatie aan. Dit werpt ernstige vragen op met betrekking tot de bescherming van de privacy en persoonsgegevens van gebruikers.

| 86. | Hoewel deze zaken in de mededeling van de Commissie over open internet en netneutraliteit in Europa kort worden aangestipt, gelooft de EDPS dat er meer moet worden gedaan om te komen tot een bevredigend toekomstgericht beleid. In dit advies heeft hij daarom bijgedragen aan het lopende beleidsdebat over netneutraliteit, in het bijzonder over aspecten in verband met gegevensbescherming en privacy. |
| --- | --- |

86.

Hoewel deze zaken in de mededeling van de Commissie over open internet en netneutraliteit in Europa kort worden aangestipt, gelooft de EDPS dat er meer moet worden gedaan om te komen tot een bevredigend toekomstgericht beleid. In dit advies heeft hij daarom bijgedragen aan het lopende beleidsdebat over netneutraliteit, in het bijzonder over aspecten in verband met gegevensbescherming en privacy.

| 87. | De EDPS meent dat er behoefte bestaat aan toezicht op de marktsituatie door nationale instanties en Berec. Dit toezicht moet een helder beeld opleveren met een antwoord op de vraag of de markt zich ontwikkelt in de richting van massale onvertraagde controle van de communicatie en van problemen in verband met de naleving van het wettelijk kader. |
| --- | --- |

87.

De EDPS meent dat er behoefte bestaat aan toezicht op de marktsituatie door nationale instanties en Berec. Dit toezicht moet een helder beeld opleveren met een antwoord op de vraag of de markt zich ontwikkelt in de richting van massale onvertraagde controle van de communicatie en van problemen in verband met de naleving van het wettelijk kader.

| 88. | Toezicht op de markt dient samen te gaan met een nadere analyse van de effecten van nieuwe praktijken met betrekking tot gegevensbescherming en privacy op internet. In dit advies worden enkele gebieden geschetst waarop opheldering voordeel zou opleveren. Hoewel EU-agentschappen en organen zoals Berec, de Groep gegevensbescherming artikel 29 en de EDPS goed in staat zijn om de voorwaarden voor toepassing van het kader toe te lichten, meent de EDPS dat de Commissie de plicht heeft om het debat te coördineren en te sturen. Daarom doet hij een beroep op de Commissie om een initiatief te nemen waarin al deze belanghebbenden worden betrokken inj een platform of werkgroep met dit doel. Van de kwesties die nadere analyse vergen, moeten in elk geval de volgende punten worden aangepakt:






  — | de controlepraktijken vaststellen die gerechtvaardigd zijn om een probleemloze verkeersstroom te waarborgen en die kunnen worden uitgevoerd voor beveiligingsdoeleinden; |
| --- | --- | --- |

88.

Toezicht op de markt dient samen te gaan met een nadere analyse van de effecten van nieuwe praktijken met betrekking tot gegevensbescherming en privacy op internet. In dit advies worden enkele gebieden geschetst waarop opheldering voordeel zou opleveren. Hoewel EU-agentschappen en organen zoals Berec, de Groep gegevensbescherming artikel 29 en de EDPS goed in staat zijn om de voorwaarden voor toepassing van het kader toe te lichten, meent de EDPS dat de Commissie de plicht heeft om het debat te coördineren en te sturen. Daarom doet hij een beroep op de Commissie om een initiatief te nemen waarin al deze belanghebbenden worden betrokken inj een platform of werkgroep met dit doel. Van de kwesties die nadere analyse vergen, moeten in elk geval de volgende punten worden aangepakt:

—

de controlepraktijken vaststellen die gerechtvaardigd zijn om een probleemloze verkeersstroom te waarborgen en die kunnen worden uitgevoerd voor beveiligingsdoeleinden;

| — | vaststellen wanneer bewaking individuele toestemming vereist, met name de toestemming van alle betrokken gebruikers, en wat de toelaatbare technische parameters zijn om te waarborgen dat de controletechniek geen gegevensverwerking met zich meebrengt die niet evenredig is met het beoogde doel ervan; |
| --- | --- |

—

vaststellen wanneer bewaking individuele toestemming vereist, met name de toestemming van alle betrokken gebruikers, en wat de toelaatbare technische parameters zijn om te waarborgen dat de controletechniek geen gegevensverwerking met zich meebrengt die niet evenredig is met het beoogde doel ervan;

| — | in de voornoemde gevallen kunnen aanwijzingen nodig zijn voor de toepassing van de nodige waarborgen voor gegevensbescherming (doelbeperking, beveiliging, enz.). |
| --- | --- |

—

in de voornoemde gevallen kunnen aanwijzingen nodig zijn voor de toepassing van de nodige waarborgen voor gegevensbescherming (doelbeperking, beveiliging, enz.).

| 89. | Afhankelijk van deze bevindingen kunnen aanvullende wetgevingsmaatregelen noodzakelijk zijn. In dat geval dient de Commissie beleidsmaatregelen voor te stellen die gericht zijn op versterking van het wettelijk kader en bevordering van de rechtszekerheid. Nieuwe maatregelen moeten de praktische consequenties van het beginsel van netneutraliteit verduidelijken, zoals dat al is gebeurd in enkele lidstaten, en ervoor zorgen dat gebruikers een reële keuze kunnen maken, met name door ISP’s te dwingen onbewaakte verbindingen aan te bieden. |
| --- | --- |

89.

Afhankelijk van deze bevindingen kunnen aanvullende wetgevingsmaatregelen noodzakelijk zijn. In dat geval dient de Commissie beleidsmaatregelen voor te stellen die gericht zijn op versterking van het wettelijk kader en bevordering van de rechtszekerheid. Nieuwe maatregelen moeten de praktische consequenties van het beginsel van netneutraliteit verduidelijken, zoals dat al is gebeurd in enkele lidstaten, en ervoor zorgen dat gebruikers een reële keuze kunnen maken, met name door ISP’s te dwingen onbewaakte verbindingen aan te bieden.

Gedaan te Brussel, 7 oktober 2011.

Peter HUSTINX

Europees Toezichthouder voor gegevensbescherming

---

(1)  PB L 281 van 23.11.1995, blz. 31, de „richtlijn gegevensbescherming”.

1

(2)  PB L 8 van 12.1.2001, blz. 1, de „verordening gegevensbescherming”.

2

(3)  PB L 201 van 31.7.2002, blz. 37, als gewijzigd bij Richtlijn 2009/136/EG van het Europees Parlement en de Raad van 25 november 2009 (vgl. voetnoot 15), de „richtlijn e-privacy”.

3

(4)  COM(2011) 222 definitief.

4

(5)  In zijn antwoord benadrukte de EDPS hoe belangrijk het is om naast andere bestaande rechten en waarden ook aspecten van gegevensbescherming en privacy in aanmerking te nemen. Het antwoord is beschikbaar op http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Comments/2010/10-10-06_EC_Consultation_Open_Internet_EN.pdf

5

(6)  Beschikbaar op http://register.consilium.europa.eu/pdf/en/11/st14/st14209.en11.pdf

6

(7)  Dit omvat het aanbieden van zowel vaste als mobiele internettoegang.

7

(8)  ISP’s mogen wel beperkingen opleggen aan de overdrachtssnelheid of de hoeveelheid informatie die een abonnee kan verzenden of ontvangen in het geval van abonnementen met bandbreedte- of volumebegrenzing. Derhalve zouden ISP’s op grond van het netneutraliteitsbeginsel nog steeds abonnementen met beperkte toegang tot internet op basis van criteria als snelheid of volume mogen aanbieden, mits daarbij niet wordt gediscrimineerd op grond van inhoud.

8

(9)  Zie bijvoorbeeld het rapport van OFCOM getiteld „Site blocking to reduce online copyright infringement” van 27 mei 2011, beschikbaar op http://www.culture.gov.uk/images/publications/Ofcom_Site-Blocking-_report_with_redactions_vs2.pdf „Sommige ISP’s passen al systemen voor „packet inspection” in hun netwerk toe voor verkeersstroombeheer en andere doeleinden; we nemen daarom aan dat dit beheer uitvoerbaar is, zij het dat het veel complexiteit en kosten met zich meebrengt voor wie nog niet van dergelijke diensten gebruikmaakt. Wellicht dat gezien de vereiste kapitaalinvesteringen DPI op korte tot middellange termijn alleen kan worden ingezet door de grotere ISP’s”.

9

(10)  De kwaliteit van onvertraagde toepassingen zoals videokanalen is onder andere afhankelijk van de latentie, d.w.z. vertraging, bijvoorbeeld als gevolg van netwerkcongestie.

10

(11)  Dit is exclusief activiteiten die zijn gericht op het vergroten van de veiligheid van het netwerk en het opsporen van schadelijk verkeer alsook activiteiten die vereist zijn voor facturering en interconnectie. Eveneens uitgesloten zijn verplichtingen die voortkomen uit Richtlijn 2006/24/EG van het Europees Parlement en de Raad van 15 maart 2006 betreffende de bewaring van gegevens die zijn gegenereerd of verwerkt in verband met het aanbieden van openbaar beschikbare elektronische communicatiediensten of van openbare communicatienetwerken en tot wijziging van Richtlijn 2002/58/EG, (PB L 105 van 13.4.2006, blz. 54) („richtlijn gegevensbewaring”).

11

(12)  Richtlijn 2002/21/EG van het Europees Parlement en de Raad van 7 maart 2002 inzake een gemeenschappelijk regelgevingskader voor elektronische-communicatienetwerken en -diensten, als gewijzigd bij Richtlijn 2009/140/EG en Verordening (EG) nr. 544/2009, (PB L 337 van 18.12.2009, blz. 37).

12

(13)  Zie punt 3, onder e), waar de Raad zijn erkenning uitspreekt van „de noodzaak om de openheid van internet te handhaven en tegelijkertijd te waarborgen dat het hoogwaardige diensten kan blijven bieden in een kader dat grondrechten zoals de vrijheid van meningsuiting en de vrijheid van zakendoen bevordert en respecteert” en punt 8, onder d), waar de lidstaten worden uitgenodigd „het open en neutrale karakter van internet als beleidsdoelstelling te bevorderen”.

13

(14)  Richtlijn 2002/22/EG als gewijzigd bij Richtlijn 2009/136/EG van het Europees Parlement en de Raad van 25 november 2009 tot wijziging van Richtlijn 2002/22/EG inzake de universele dienst en gebruikersrechten met betrekking tot elektronischecommunicatienetwerken en -diensten, Richtlijn 2002/58/EG betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie en Verordening (EG) nr. 2006/2004 betreffende samenwerking tussen de nationale instanties die verantwoordelijk zijn voor handhaving van de wetgeving inzake consumentenbescherming, (PB L 337 van 18.12.2009, blz. 11). Vergelijk ook artikel 1, lid 3, waarin staat dat deze richtlijn niet voorziet in een verplichting noch in een verbod van voorwaarden die aanbieders van openbare elektronischecommunicatiediensten aan eindgebruikers opleggen, waarbij de toegang tot en/of het gebruik van diensten en toepassingen wordt beperkt, indien deze krachtens de nationale wetgeving zijn toegestaan en in overeenstemming zijn met het Gemeenschapsrecht, maar wel verplicht tot het verstrekken van informatie over dergelijke voorwaarden.

14

(15)  Richtlijn 2009/136/EG van het Europees Parlement en de Raad van 25 november 2009 tot wijziging van Richtlijn 2002/22/EG inzake de universele dienst en gebruikersrechten met betrekking tot elektronischecommunicatienetwerken en -diensten, Richtlijn 2002/58/EG betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie en Verordening (EG) nr. 2006/2004 betreffende samenwerking tussen de nationale instanties die verantwoordelijk zijn voor handhaving van de wetgeving inzake consumentenbescherming.

15

(16)  Het oorspronkelijke amendement is te vinden op https://zoek.officielebekendmakingen.nl/kst-32549-A.html. De in de pers genoemde redenen voor deze beleidsoptie hielden geen verband met overwegingen van gegevensbescherming en privacy, maar met de waarborg dat gebruikers niet verstoken blijven van of slechts beperkte toegang wordt geboden tot informatie. Klaarblijkelijk is deze wijziging dus ingegeven door overwegingen betreffende de toegang tot informatie.

16

(17)  Vgl. voetnoot 4.

17

(18)  Zie punt 4, onder e), waar de Raad spreekt van „het bestaan van zorgen, voornamelijk van de kant van consumenten en gegevensbeschermingsinstanties, ten aanzien van de bescherming van persoonsgegevens”.

18

(19)  Zoals uitvoeriger wordt beschreven in paragraaf IV.2, versleutelen dergelijke protocollen, zoals HTTP, FTP, enz., de overgedragen informatie van begin tot eind op een overeengekomen manier zodat de bij de communicatie betrokken partijen elkaar kunnen begrijpen.

19

(20)  Desalniettemin maakt internetapparatuur gebruik van routeprotocollen die activiteiten registreren, verkeersstatistieken verwerken en informatie uitwisselen met andere netwerkapparatuur om IP packets langs het meest efficiënte pad te leiden. Wanneer een router bijvoorbeeld informatie ontvangt dat een verbinding overbelast of verbroken is, zal hij in zijn routetabel een alternatief opnemen zonder deze verbinding. Ook vermeldenswaard is het verzamelen en verwerken van informatie dat in bepaalde gevallen plaatsvindt voor factureringsdoeleinden of zelfs overeenkomstig de voorschriften van de richtlijn gegevensbewaring.

20

(21)  HTTP (Hypertext Transfer Protocol) of HTML (Hypertext Markup Language).

21

(22)  FTP (File Transfer Protocol).

22

(23)  De gebruikte protocollen kunnen op verschillende manieren worden geïdentificeerd. Zo is het mogelijk om in specifieke velden in de binnenste protocollen te zoeken, bijvoorbeeld om de poorten te vinden waarmee de communicatie tot stand wordt gebracht. Een statistische karakterisering van een communicatiestroom kan ook worden afgeleid uit de analyse van bepaalde specifieke velden en de correlatie van de protocollen die gelijktijdig tussen twee IP-adressen worden gebruikt.

23

(24)  Elk protocol heeft een aantal specifieke velden in de header die extra informatie geven over de communicatieoverdracht. Daarom worden die velden wel de metagegevens van de communicatie genoemd. Een voorbeeld van een dergelijk veld kan het gebruikte poortnummer zijn; als dat nummer 80 is, gaat het waarschijnlijk om webbrowsing als commuinicatiesoort.

24

(25)  Natuurlijk beperken de mogelijkheden om het verkeer te volgen zich niet tot ISP’s. Ook aanbieders van advertentienetwerken zijn met behulp van cookies van derden in staat gebruikers op websites te volgen. In een recent wetenschappelijk artikel wordt bijvoorbeeld aangetoond dat Google aanwezig is op 97 van de 100 meest bezochte websites, hetgeen inhoudt dat Google gebruikers die cookies van derden niet hebben uitgeschakeld, kan volgen wanneer zij deze populaire websites bezoeken. Zie: Mika Ayenson, Dietrich James Wambach, Ashkan Soltani, Nathan Good en Chris Jay Hoofnagle, „Flash Cookies and Privacy II: Now with HTML5 and ETag Respawning” (29 juli 2011). Beschikbaar op SSRN: http://ssrn.com/abstract=1898390 Het volgen van cookies is behandeld door de Groep gegevensbescherming artikel 29. Zie haar Advies 2/2010 over online reclame op basis van surfgedrag („behavioural advertising”), goedgekeurd op 22 juni 2010 (WP 171).

25

(26)  In overweging 10 van de richtlijn e-privacy staat: „In de sector elektronische communicatie is Richtlijn 95/46/EG van toepassing, met name op alle aangelegenheden met betrekking tot de bescherming van fundamentele rechten en vrijheden die niet specifiek onder het bepaalde in deze richtlijn vallen, met inbegrip van de plichten van de verantwoordelijke en de rechten van personen”. Ook overweging 17 is relevant ten aanzien van de toestemming van de betrokkene: „In deze richtlijn dient „toestemming van een gebruiker of abonnee”, ongeacht of deze laatste een natuurlijke of rechtspersoon is, dezelfde betekenis te hebben als „toestemming van de betrokkene” zoals gedefinieerd en nader bepaald in Richtlijn 95/46/EG”.

26

(27)  Advies 2/2006 van de Groep gegevensbescherming artikel 29 over de privacyaspecten van e-mailscreeningdiensten, goedgekeurd op 21 februari 2006 (WP 118). In dit advies wordt geoordeeld dat het gebruik van filters voor de doeleinden van artikel 4 verenigbaar kan zijn met artikel 5 van de richtlijn e-privacy.

27

(28)  In overweging 18 wordt een aantal voorbeelden van diensten met toegevoegde waarde opgesomd. Of diensten waarop verkeersstroombeheer wordt toegepast kunnen worden uitgelegd als onderdeel van deze opsomming, is niet duidelijk. Een beleid voor verkeersstroombeheer dat is gericht op het geven van voorrang aan bepaalde inhoud zou kunnen worden opgevat als het aanbieden van een betere kwaliteit van de dienst. Verkeersstroombeheer dat alleen de verwerking van IP headers inhoudt en bedoeld is om hoger geprijsde speldiensten aan te bieden, waarbij het persoonlijke spelverkeer van de gebruiker voorrang krijgt in het netwerk, zou bijvoorbeeld kunnen worden beschouwd als een dienst met toegevoegde waarde. Anderzijds is het verre van duidelijk of verkeersstroombeheer gericht op het afremmen van bepaalde soorten verkeer, bijvoorbeeld een lagere snelheid voor P2P-verkeer, als zodanig kan worden beschouwd.

28

(29)  Zie overweging 17 en artikel 2, onder f), van de richtlijn e-privacy.

29

(30)  Goedgekeurd op 13 juli 2011 (WP 187).

30

(31)  Een soortgelijk geval is PNR (persoonsgegevens van passagiers), waarbij discussie is ontstaan over de geldigheid van de toestemming die passagiers geven om hun gegevens over te dragen aan de Amerikaanse autoriteiten. De Groep gegevensbescherming was van mening dat de toestemming van de passagiers niet vrij kan worden gegeven omdat de luchtvaartmaatschappijen verplicht zijn de gegevens te verzenden voordat de vlucht vertrekt en de passagiers daardoor geen reële keuze hebben als zij willen vliegen (Advies 6/2002 van de Groep gegevensbescherming artikel 29 over de doorgifte van informatie over passagiers, bemanningsleden en andere gegevens door de luchtvaartmaatschappijen aan de Verenigde Staten).

31

(32)  Richtlijn 2009/136/EG van 25 november 2009 tot wijziging van Richtlijn 2002/22/EG inzake de universele dienst en gebruikersrechten met betrekking tot elektronischecommunicatienetwerken en -diensten (vgl. voetnoot 15).

32

(33)  Niettegenstaande die gevallen waarin het webverkeer de overdracht betreft van persoonlijke informatie, zoals bijvoorbeeld afbeeldingen van herkenbare natuurlijke personen die op een website zijn geplaatst. De verwerking van dergelijke informatie vereist een wettelijke grondslag maar valt niet onder artikel 5, lid 1, omdat die personen geen „betrokken gebruikers” zijn.

33

(34)  Zoals in het voorgaande is geschetst, is de richtlijn gegevensbescherming van toepassing op alle zaken met betrekking tot de bescherming van fundamentele rechten en vrijheden die niet specifiek worden geregeld in de richtlijn e-privacy.

34

(35)  Dit is onverminderd de noodzaak van wettelijke veranderingen op basis van andere overwegingen, met name in het kader van de algemene herziening van het wettelijk kader van de EU voor gegevensbescherming om het meer doeltreffend te maken in het licht van nieuwe technologieën en de globalisering.

35

---

| 8.2.2012 | NL | Publicatieblad van de Europese Unie | C 34/18 |
| --- | --- | --- | --- |

8.2.2012

NL

Publicatieblad van de Europese Unie

C 34/18

---

Advies van de Europese toezichthouder voor gegevensbescherming over de Mededeling van de Commissie aan het Europees Parlement, de Raad, het Europees Economisch en Sociaal Comité en het Comité van de Regio's inzake migratie

2012/C 34/02

DE EUROPESE TOEZICHTHOUDER VOOR GEGEVENSBESCHERMING,

Gezien het Verdrag betreffende de werking van de Europese Unie, met name artikel 16,

Gezien het Handvest van de grondrechten van de Europese Unie, met name de artikelen 7 en 8,

Gezien Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (1),

Gezien Verordening (EG) nr. 45/2001 van het Europees Parlement en de Raad van 18 december 2000 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de communautaire instellingen en organen en betreffende het vrije verkeer van die gegevens, met name artikel 41 (2),

HEEFT HET VOLGENDE ADVIES AANGENOMEN

I.   INLEIDING

| 1. | Op 4 mei 2011 heeft de Commissie een mededeling inzake migratie (3) („de mededeling”) gepubliceerd. Overeenkomstig artikel 41 van Verordening (EG) nr. 45/2001 brengt de EDPS ambtshalve dit advies uit. |
| --- | --- |

1.

Op 4 mei 2011 heeft de Commissie een mededeling inzake migratie (3) („de mededeling”) gepubliceerd. Overeenkomstig artikel 41 van Verordening (EG) nr. 45/2001 brengt de EDPS ambtshalve dit advies uit.

| 2. | De EDPS is voorafgaand aan de aanneming van de mededeling niet geraadpleegd. Dat is betreurenswaardig, omdat de opmerkingen van de EDPS, indien in een eerder stadium verstrekt, een nuttige rol hadden kunnen vervullen bij de aanpak van enkele van de kwesties die in dit advies aan de orde komen. |
| --- | --- |

2.

De EDPS is voorafgaand aan de aanneming van de mededeling niet geraadpleegd. Dat is betreurenswaardig, omdat de opmerkingen van de EDPS, indien in een eerder stadium verstrekt, een nuttige rol hadden kunnen vervullen bij de aanpak van enkele van de kwesties die in dit advies aan de orde komen.

Doelstellingen en toepassingsgebied van de mededeling

| 3. | Het doel van de mededeling is om recente en toekomstige beleidsvoorstellen in te bedden in een kader dat rekening houdt met alle relevante aspecten van migratie en om „een kortetermijnbenadering die beperkt is tot grenscontroles en waarbij geen rekening wordt gehouden met langetermijnkwesties” te voorkomen (4). De mededeling is voornamelijk opgesteld in reactie op de recente gebeurtenissen in Noord-Afrika, in het bijzonder het conflict in Libië. |
| --- | --- |

3.

Het doel van de mededeling is om recente en toekomstige beleidsvoorstellen in te bedden in een kader dat rekening houdt met alle relevante aspecten van migratie en om „een kortetermijnbenadering die beperkt is tot grenscontroles en waarbij geen rekening wordt gehouden met langetermijnkwesties” te voorkomen (4). De mededeling is voornamelijk opgesteld in reactie op de recente gebeurtenissen in Noord-Afrika, in het bijzonder het conflict in Libië.

| 4. | Om dit doel te verwezenlijken wordt in de mededeling ingegaan op onderwerpen als humanitaire hulp, grensbeheer, visa, asiel en de economische noodzaak van immigratie en integratie. In de mededeling wordt verwezen naar een aantal wetgevingsvoorstellen, waarvan er enkele nieuw zijn en andere reeds zijn ingediend. Veel van deze voorstellen hebben betrekking op grensbeheer, dat een belangrijk onderwerp van de mededeling is. Enkele van deze voorstellen brengen een grootschalige verwerking van persoonsgegevens met zich mee. |
| --- | --- |

4.

Om dit doel te verwezenlijken wordt in de mededeling ingegaan op onderwerpen als humanitaire hulp, grensbeheer, visa, asiel en de economische noodzaak van immigratie en integratie. In de mededeling wordt verwezen naar een aantal wetgevingsvoorstellen, waarvan er enkele nieuw zijn en andere reeds zijn ingediend. Veel van deze voorstellen hebben betrekking op grensbeheer, dat een belangrijk onderwerp van de mededeling is. Enkele van deze voorstellen brengen een grootschalige verwerking van persoonsgegevens met zich mee.

| 5. | De mededeling is de eerste in een reeks mededelingen en voorstellen die in de nabije toekomst zullen worden ingediend en waarvan elk betrekking heeft op afzonderlijke aspecten die in de voorliggende mededeling worden genoemd. In dit verband wordt in de conclusies van de Europese Raad van 23-24 juni 2011 (5) het volgende opgemerkt: „Deze inspanningen zullen tevens worden aangevuld door snel vooruitgang te boeken op het gebied van „slimme grenzen”, met als doel nieuwe technologieën gebruiksklaar te maken voor grenscontrole. In het bijzonder moeten er een inreis-/uitreissysteem en een programma voor geregistreerde reizigers komen. De Europese Raad is verheugd over het akkoord dat bereikt is inzake het agentschap voor het operationele beheer van grootschalige IT-systemen op het gebied van vrijheid, veiligheid en recht”. |
| --- | --- |

5.

De mededeling is de eerste in een reeks mededelingen en voorstellen die in de nabije toekomst zullen worden ingediend en waarvan elk betrekking heeft op afzonderlijke aspecten die in de voorliggende mededeling worden genoemd. In dit verband wordt in de conclusies van de Europese Raad van 23-24 juni 2011 (5) het volgende opgemerkt: „Deze inspanningen zullen tevens worden aangevuld door snel vooruitgang te boeken op het gebied van „slimme grenzen”, met als doel nieuwe technologieën gebruiksklaar te maken voor grenscontrole. In het bijzonder moeten er een inreis-/uitreissysteem en een programma voor geregistreerde reizigers komen. De Europese Raad is verheugd over het akkoord dat bereikt is inzake het agentschap voor het operationele beheer van grootschalige IT-systemen op het gebied van vrijheid, veiligheid en recht”.

Doel van het advies van de EDPS

| 6. | Hoewel kwesties op het gebied van gegevensbescherming niet de kern van de mededeling vormen, worden in de mededeling diverse initiatieven en voorstellen op het gebied van grensbeheer genoemd, zoals het inreis-/uitreissysteem en het programma voor geregistreerde reizigers, die een significant effect op het grondrecht van gegevensbescherming zullen hebben. In dit verband wordt er in de mededeling op gewezen dat grensbeheer een belangrijke bijdrage levert aan de bestrijding van criminaliteit en wordt verwezen naar de in 2010 door de Commissie gepresenteerde interneveiligheidsstrategie (6). |
| --- | --- |

6.

Hoewel kwesties op het gebied van gegevensbescherming niet de kern van de mededeling vormen, worden in de mededeling diverse initiatieven en voorstellen op het gebied van grensbeheer genoemd, zoals het inreis-/uitreissysteem en het programma voor geregistreerde reizigers, die een significant effect op het grondrecht van gegevensbescherming zullen hebben. In dit verband wordt er in de mededeling op gewezen dat grensbeheer een belangrijke bijdrage levert aan de bestrijding van criminaliteit en wordt verwezen naar de in 2010 door de Commissie gepresenteerde interneveiligheidsstrategie (6).

| 7. | Veel van deze initiatieven en voorstellen zullen in de toekomst nader worden uitgewerkt; de mededeling biedt derhalve een goede gelegenheid om deze initiatieven in een vroeg stadium te becommentariëren. Voor de initiatieven die reeds zijn ingediend, zoals het voorstel voor een verordening tot wijziging van de Frontex-verordening (7), biedt dit een gelegenheid om, in afwachting van de definitieve aanneming ervan door de Raad en het Europees Parlement, enkele van de meest essentiële opmerkingen die bij eerdere gelegenheden zijn gemaakt te herhalen. |
| --- | --- |

7.

Veel van deze initiatieven en voorstellen zullen in de toekomst nader worden uitgewerkt; de mededeling biedt derhalve een goede gelegenheid om deze initiatieven in een vroeg stadium te becommentariëren. Voor de initiatieven die reeds zijn ingediend, zoals het voorstel voor een verordening tot wijziging van de Frontex-verordening (7), biedt dit een gelegenheid om, in afwachting van de definitieve aanneming ervan door de Raad en het Europees Parlement, enkele van de meest essentiële opmerkingen die bij eerdere gelegenheden zijn gemaakt te herhalen.

| 8. | Het doel van dit advies is niet om alle in de mededeling genoemde beleidsterreinen en voorstellen te analyseren, maar om:






  — | verschillende gegevensbeschermingsbeginselen en -begrippen aan de orde te stellen, zoals doelbinding, noodzaak, evenredigheid en „privacy by design”, die in aanmerking moeten worden genomen bij het in de praktijk brengen van de in de mededeling uiteengezette aanpak; |
| --- | --- | --- |

8.

Het doel van dit advies is niet om alle in de mededeling genoemde beleidsterreinen en voorstellen te analyseren, maar om:

—

verschillende gegevensbeschermingsbeginselen en -begrippen aan de orde te stellen, zoals doelbinding, noodzaak, evenredigheid en „privacy by design”, die in aanmerking moeten worden genomen bij het in de praktijk brengen van de in de mededeling uiteengezette aanpak;

| — | de specifieke maatregelen die in de mededeling worden voorgesteld te bekijken vanuit het perspectief van gegevensbescherming en reeds in deze fase advies te verstrekken over de wijze waarop de eerbiediging van de grondrechten, en met name het recht op bescherming van persoonsgegevens, kan worden gewaarborgd. |
| --- | --- |

—

de specifieke maatregelen die in de mededeling worden voorgesteld te bekijken vanuit het perspectief van gegevensbescherming en reeds in deze fase advies te verstrekken over de wijze waarop de eerbiediging van de grondrechten, en met name het recht op bescherming van persoonsgegevens, kan worden gewaarborgd.

| 9. | Hiertoe is het advies onderverdeeld in twee hoofddelen. In het eerste deel wordt ingegaan op de algemene benadering waarvoor in de mededeling is gekozen en worden horizontale overwegingen met betrekking tot de mededeling gegeven, zoals de noodzaak om evaluaties uit te voeren en de implicaties van de eerbiediging van grondrechten voor het ontwerp van IT-systemen. Het tweede deel bevat gerichte opmerkingen over specifieke initiatieven en voorstellen (8). |
| --- | --- |

9.

Hiertoe is het advies onderverdeeld in twee hoofddelen. In het eerste deel wordt ingegaan op de algemene benadering waarvoor in de mededeling is gekozen en worden horizontale overwegingen met betrekking tot de mededeling gegeven, zoals de noodzaak om evaluaties uit te voeren en de implicaties van de eerbiediging van grondrechten voor het ontwerp van IT-systemen. Het tweede deel bevat gerichte opmerkingen over specifieke initiatieven en voorstellen (8).

II.   ALGEMENE OPMERKINGEN

De in de mededeling gekozen benadering

| 10. | De EDPS verwelkomt het oogmerk van de Commissie om „een kortetermijnbenadering die beperkt is tot grenscontroles en waarbij geen rekening wordt gehouden met langetermijnkwesties” (9) te voorkomen. Een brede en doelmatige benadering van migratie kan niet alleen uit grenscontroles bestaan, maar dient ook andere aspecten te omvatten. |
| --- | --- |

10.

De EDPS verwelkomt het oogmerk van de Commissie om „een kortetermijnbenadering die beperkt is tot grenscontroles en waarbij geen rekening wordt gehouden met langetermijnkwesties” (9) te voorkomen. Een brede en doelmatige benadering van migratie kan niet alleen uit grenscontroles bestaan, maar dient ook andere aspecten te omvatten.

| 11. | In een dergelijke alomvattende benadering moeten de grondrechten van migranten en vluchtelingen worden geëerbiedigd, met inbegrip van hun recht op gegevensbescherming. Dit is des te belangrijker omdat deze groepen zich vaak in een kwetsbare positie bevinden. |
| --- | --- |

11.

In een dergelijke alomvattende benadering moeten de grondrechten van migranten en vluchtelingen worden geëerbiedigd, met inbegrip van hun recht op gegevensbescherming. Dit is des te belangrijker omdat deze groepen zich vaak in een kwetsbare positie bevinden.

| 12. | In dit verband wordt in de mededeling opgemerkt dat de dubbele doelstelling van de Unie moet zijn om te zorgen voor een hoog veiligheidsniveau en tegelijkertijd ook de grensoverschrijding te vergemakkelijken voor „personen die moeten worden toegelaten, met volledige eerbiediging van hun grondrechten” (10). Deze formulering zou de indruk kunnen wekken dat de grondrechten van personen die — om verschillende redenen — niet moeten worden toegelaten, niet hoeven te worden geëerbiedigd. Volgens de EDPS is het evident dat hun rechten niet noodzakelijkerwijs het recht omvatten om zich op EU-grondgebied te vestigen, in welk geval passende acties, zoals terugkeeroperaties, zouden moeten worden ondernomen, waarbij de grondrechten overigens altijd moeten worden geëerbiedigd. |
| --- | --- |

12.

In dit verband wordt in de mededeling opgemerkt dat de dubbele doelstelling van de Unie moet zijn om te zorgen voor een hoog veiligheidsniveau en tegelijkertijd ook de grensoverschrijding te vergemakkelijken voor „personen die moeten worden toegelaten, met volledige eerbiediging van hun grondrechten” (10). Deze formulering zou de indruk kunnen wekken dat de grondrechten van personen die — om verschillende redenen — niet moeten worden toegelaten, niet hoeven te worden geëerbiedigd. Volgens de EDPS is het evident dat hun rechten niet noodzakelijkerwijs het recht omvatten om zich op EU-grondgebied te vestigen, in welk geval passende acties, zoals terugkeeroperaties, zouden moeten worden ondernomen, waarbij de grondrechten overigens altijd moeten worden geëerbiedigd.

| 13. | Opgemerkt wordt dat met betrekking tot grensbeheer in de mededeling een benadering wordt bepleit die sterk is gebaseerd op het gebruik van technologie. Zo toont de Commissie zich voorstander van versterkt toezicht aan de grenzen (zie het voorziene Europees grensbewakingssysteem Eurosur) (11). Ook wordt voorgesteld om de mogelijke toepassing van nieuwe grootschalige IT-systemen voor de verwerking van informatie over reizigers te onderzoeken (een inreis-/uitreissysteem en een programma voor geregistreerde reizigers) (12). Tot slot wordt gepleit voor de uitbreiding van de toepassing van bestaande systemen (zoals Eurodac) naar nieuwe gebruikers (13). Deze nadruk die op technologie wordt gelegd, past in een algemene tendens die zich de afgelopen jaren heeft afgetekend. |
| --- | --- |

13.

Opgemerkt wordt dat met betrekking tot grensbeheer in de mededeling een benadering wordt bepleit die sterk is gebaseerd op het gebruik van technologie. Zo toont de Commissie zich voorstander van versterkt toezicht aan de grenzen (zie het voorziene Europees grensbewakingssysteem Eurosur) (11). Ook wordt voorgesteld om de mogelijke toepassing van nieuwe grootschalige IT-systemen voor de verwerking van informatie over reizigers te onderzoeken (een inreis-/uitreissysteem en een programma voor geregistreerde reizigers) (12). Tot slot wordt gepleit voor de uitbreiding van de toepassing van bestaande systemen (zoals Eurodac) naar nieuwe gebruikers (13). Deze nadruk die op technologie wordt gelegd, past in een algemene tendens die zich de afgelopen jaren heeft afgetekend.

Evaluatie van bestaande instrumenten voordat nieuwe worden voorgesteld en de noodzakelijkheidstoets

| 14. | De EDPS heeft bij een groot aantal gelegenheden benadrukt dat bestaande instrumenten moeten worden geëvalueerd voordat nieuwe worden voorgesteld (14). In dit verband wijst de EDPS erop, verwijzend naar de jurisprudentie van het Europees Hof voor de rechten van de mens (15) en het Europees Hof van Justitie (16), dat beperkingen van het recht op een privéleven moeten voldoen aan de norm dat deze „nodig (zijn) in een democratische samenleving” en aan het evenredigheidsbeginsel. Het begrip „nodig” impliceert een striktere bewijslast dan alleen de overweging dat iets „nuttig” is (17). Dit brengt met zich mee dat elk relevant voorstel vergezeld moeten gaan van duidelijk bewijs dat het voorstel nodig en evenredig is. |
| --- | --- |

14.

De EDPS heeft bij een groot aantal gelegenheden benadrukt dat bestaande instrumenten moeten worden geëvalueerd voordat nieuwe worden voorgesteld (14). In dit verband wijst de EDPS erop, verwijzend naar de jurisprudentie van het Europees Hof voor de rechten van de mens (15) en het Europees Hof van Justitie (16), dat beperkingen van het recht op een privéleven moeten voldoen aan de norm dat deze „nodig (zijn) in een democratische samenleving” en aan het evenredigheidsbeginsel. Het begrip „nodig” impliceert een striktere bewijslast dan alleen de overweging dat iets „nuttig” is (17). Dit brengt met zich mee dat elk relevant voorstel vergezeld moeten gaan van duidelijk bewijs dat het voorstel nodig en evenredig is.

| 15. | Dergelijk bewijs moet worden verstrekt in de vorm van een privacy-effectbeoordeling (18) op basis van voldoende bewijs (19). Een selectief gebruik van statistieken en ramingen is niet voldoende. De EDPS is zich ervan bewust dat het verzamelen van betrouwbare informatie over verschijnselen als illegale migratie moeilijk is. In deze effectbeoordelingen zouden echter ook alternatieve oplossingen voor de problemen moeten worden overwogen teneinde het effect op de grondrechten te minimaliseren (20). Het zuivere feit dat technologische oplossingen haalbaar zijn betekent nog niet dat ze nodig en evenredig zijn. |
| --- | --- |

15.

Dergelijk bewijs moet worden verstrekt in de vorm van een privacy-effectbeoordeling (18) op basis van voldoende bewijs (19). Een selectief gebruik van statistieken en ramingen is niet voldoende. De EDPS is zich ervan bewust dat het verzamelen van betrouwbare informatie over verschijnselen als illegale migratie moeilijk is. In deze effectbeoordelingen zouden echter ook alternatieve oplossingen voor de problemen moeten worden overwogen teneinde het effect op de grondrechten te minimaliseren (20). Het zuivere feit dat technologische oplossingen haalbaar zijn betekent nog niet dat ze nodig en evenredig zijn.

| 16. | Als een beoordeling tot de conclusie leidt dat nieuwe grootschalige IT-systemen nodig zijn, moet bij het ontwerpen van die systemen het concept „privacy by design” worden toegepast. Degenen die voor de verwerking van persoonsgegevens verantwoordelijk zijn, moeten kunnen aantonen dat er passende maatregelen zijn genomen om ervoor te zorgen dat in het ontwerp van hun systemen aan de privacyvereisten is voldaan. Daarmee kan het negatieve effect van nieuwe maatregelen op de privacy worden beperkt (of het positieve effect worden versterkt). Deze benadering is bekrachtigd door de Commissie (21). De toepassing van „privacy by design” in systemen als het in de mededeling genoemde inreis-/uitreissysteem zal ertoe leiden dat het verzamelen van persoonsgegevens wordt beperkt tot het noodzakelijke minimum, terwijl de bewaringstermijnen aan banden worden gelegd en de verwerking van persoonsgegevens privacyvriendelijker en transparanter voor de betrokkenen wordt. |
| --- | --- |

16.

Als een beoordeling tot de conclusie leidt dat nieuwe grootschalige IT-systemen nodig zijn, moet bij het ontwerpen van die systemen het concept „privacy by design” worden toegepast. Degenen die voor de verwerking van persoonsgegevens verantwoordelijk zijn, moeten kunnen aantonen dat er passende maatregelen zijn genomen om ervoor te zorgen dat in het ontwerp van hun systemen aan de privacyvereisten is voldaan. Daarmee kan het negatieve effect van nieuwe maatregelen op de privacy worden beperkt (of het positieve effect worden versterkt). Deze benadering is bekrachtigd door de Commissie (21). De toepassing van „privacy by design” in systemen als het in de mededeling genoemde inreis-/uitreissysteem zal ertoe leiden dat het verzamelen van persoonsgegevens wordt beperkt tot het noodzakelijke minimum, terwijl de bewaringstermijnen aan banden worden gelegd en de verwerking van persoonsgegevens privacyvriendelijker en transparanter voor de betrokkenen wordt.

| 17. | Ook moet het doelbindingsbeginsel worden nageleefd. „Functieverschuiving” moet worden voorkomen. Zo voorziet de mededeling in het opnieuw indienen van het voorstel om rechtshandhavingsinstanties toegang tot Eurodac te geven (22), hetgeen de tendens om rechtshandhavingsinstanties toegang tot grootschalige IT-systemen van de EU te verlenen lijkt te bevestigen en het vraagstuk van de uitbreiding van het oorspronkelijke doel van systemen opwerpt. Het verlenen van toegang tot gegevensbanken aan andere autoriteiten kan ernstige gevolgen hebben: een gegevensbank die, gebruikt voor een specifiek doel, als evenredig wordt beschouwd, kan onevenredig worden wanneer het gebruik ervan wordt uitgebreid naar andere doeleinden (23). |
| --- | --- |

17.

Ook moet het doelbindingsbeginsel worden nageleefd. „Functieverschuiving” moet worden voorkomen. Zo voorziet de mededeling in het opnieuw indienen van het voorstel om rechtshandhavingsinstanties toegang tot Eurodac te geven (22), hetgeen de tendens om rechtshandhavingsinstanties toegang tot grootschalige IT-systemen van de EU te verlenen lijkt te bevestigen en het vraagstuk van de uitbreiding van het oorspronkelijke doel van systemen opwerpt. Het verlenen van toegang tot gegevensbanken aan andere autoriteiten kan ernstige gevolgen hebben: een gegevensbank die, gebruikt voor een specifiek doel, als evenredig wordt beschouwd, kan onevenredig worden wanneer het gebruik ervan wordt uitgebreid naar andere doeleinden (23).

| 18. | Dientengevolge wenst de EDPS dat (huidige en nieuwe) voorstellen die een beperking van het grondrecht van gegevensbescherming behelzen, vergezeld gaan van duidelijk bewijs van de noodzaak daarvan (24). Bovendien moeten grootschalige IT-systemen, wanneer deze nodig worden geacht, worden ontworpen met inachtneming van het beginsel van „privacy by design”. Voorts moeten ten uitvoer gelegde maatregelen regelmatig worden geëvalueerd om te bepalen of ze nog steeds nodig zijn. |
| --- | --- |

18.

Dientengevolge wenst de EDPS dat (huidige en nieuwe) voorstellen die een beperking van het grondrecht van gegevensbescherming behelzen, vergezeld gaan van duidelijk bewijs van de noodzaak daarvan (24). Bovendien moeten grootschalige IT-systemen, wanneer deze nodig worden geacht, worden ontworpen met inachtneming van het beginsel van „privacy by design”. Voorts moeten ten uitvoer gelegde maatregelen regelmatig worden geëvalueerd om te bepalen of ze nog steeds nodig zijn.

III.   SPECIFIEKE OPMERKINGEN

Eurodac

| 19. | In de mededeling wordt gesproken over toegang van rechtshandhavingsinstanties tot Eurodac, waarbij wordt opgemerkt dat Eurodac niet alleen moet blijven bijdragen tot de doeltreffendheid van de Dublin-verordening, maar ook moet voorzien „in de behoeften van andere wetshandhavingsinstanties” (25). |
| --- | --- |

19.

In de mededeling wordt gesproken over toegang van rechtshandhavingsinstanties tot Eurodac, waarbij wordt opgemerkt dat Eurodac niet alleen moet blijven bijdragen tot de doeltreffendheid van de Dublin-verordening, maar ook moet voorzien „in de behoeften van andere wetshandhavingsinstanties” (25).

| 20. | Het voorstel van december 2008 voor een herziening van de Eurodac-verordening (26) bevatte geen bepalingen over toegang voor rechtshandhavingsinstanties. Deze werden opgenomen in een voorstel dat door de Commissie in september 2009 werd ingediend (27). In oktober 2010 heeft de Commissie een gewijzigd voorstel (28) aangenomen dat niet langer bepalingen over toegang voor rechtshandhavingsinstanties bevatte, zoals dat in het oorspronkelijke voorstel ook het geval was. |
| --- | --- |

20.

Het voorstel van december 2008 voor een herziening van de Eurodac-verordening (26) bevatte geen bepalingen over toegang voor rechtshandhavingsinstanties. Deze werden opgenomen in een voorstel dat door de Commissie in september 2009 werd ingediend (27). In oktober 2010 heeft de Commissie een gewijzigd voorstel (28) aangenomen dat niet langer bepalingen over toegang voor rechtshandhavingsinstanties bevatte, zoals dat in het oorspronkelijke voorstel ook het geval was.

| 21. | In zijn advies van 15 december 2010 over Eurodac verwelkomde de EDPS het schrappen van de bepalingen met betrekking tot de toegang voor rechtshandhavingsinstanties (29) en herinnerde hij eraan dat een dergelijk gebruik voor een ander doel moet zijn gebaseerd op substantieel bewijs voor een verband tussen asielaanvragers en terrorisme en/of ernstige criminaliteit. Bovendien moet bij het analyseren van de noodzaak en de evenredigheid van een dergelijke toegang rekening worden gehouden met de onzekere situatie van asielzoekers. |
| --- | --- |

21.

In zijn advies van 15 december 2010 over Eurodac verwelkomde de EDPS het schrappen van de bepalingen met betrekking tot de toegang voor rechtshandhavingsinstanties (29) en herinnerde hij eraan dat een dergelijk gebruik voor een ander doel moet zijn gebaseerd op substantieel bewijs voor een verband tussen asielaanvragers en terrorisme en/of ernstige criminaliteit. Bovendien moet bij het analyseren van de noodzaak en de evenredigheid van een dergelijke toegang rekening worden gehouden met de onzekere situatie van asielzoekers.

| 22. | De herziening van de Eurodac-verordening is onderdeel van de totstandbrenging van een Europees asielstelsel, dat volgens het Stockholmprogramma in 2012 moet zijn opgezet (30). Een van de redenen die de Commissie heeft gegeven voor het weglaten van de toegang van rechtshandhavingsinstanties tot Eurodac in het voorstel van oktober 2010 was dat het niet in het voorstel opnemen van deze controversiële maatregel de tijdige aanneming van het asielpakket zou kunnen vergemakkelijken (31). Dit houdt eveneens verband met de oprichting van een Agentschap voor het operationele beheer van grootschalige IT-systemen op het gebied van vrijheid, veiligheid en recht (32). |
| --- | --- |

22.

De herziening van de Eurodac-verordening is onderdeel van de totstandbrenging van een Europees asielstelsel, dat volgens het Stockholmprogramma in 2012 moet zijn opgezet (30). Een van de redenen die de Commissie heeft gegeven voor het weglaten van de toegang van rechtshandhavingsinstanties tot Eurodac in het voorstel van oktober 2010 was dat het niet in het voorstel opnemen van deze controversiële maatregel de tijdige aanneming van het asielpakket zou kunnen vergemakkelijken (31). Dit houdt eveneens verband met de oprichting van een Agentschap voor het operationele beheer van grootschalige IT-systemen op het gebied van vrijheid, veiligheid en recht (32).

| 23. | Tegen deze achtergrond en in het licht van eerdere opmerkingen neemt de EDPS het standpunt in dat er tot nu toe onvoldoende duidelijk en betrouwbaar bewijs is aangedragen voor de noodzaak om opnieuw voor te stellen rechtshandhavingsinstanties toegang tot Eurodac te verlenen. Alleen na een nieuwe effectbeoordeling waarin rekening wordt gehouden met privacyaspecten, kan worden nagedacht over een nieuw voorstel met die strekking. Bovendien vereist het verlenen van toegang aan rechtshandhavingsinstanties belangrijke wijzigingen in de gegevensbank van Eurodac om deze toegang op een veilige manier mogelijk te maken. Ook de technische en financiële gevolgen hiervan zouden in een nieuwe effectbeoordeling in aanmerking moeten worden genomen (33). |
| --- | --- |

23.

Tegen deze achtergrond en in het licht van eerdere opmerkingen neemt de EDPS het standpunt in dat er tot nu toe onvoldoende duidelijk en betrouwbaar bewijs is aangedragen voor de noodzaak om opnieuw voor te stellen rechtshandhavingsinstanties toegang tot Eurodac te verlenen. Alleen na een nieuwe effectbeoordeling waarin rekening wordt gehouden met privacyaspecten, kan worden nagedacht over een nieuw voorstel met die strekking. Bovendien vereist het verlenen van toegang aan rechtshandhavingsinstanties belangrijke wijzigingen in de gegevensbank van Eurodac om deze toegang op een veilige manier mogelijk te maken. Ook de technische en financiële gevolgen hiervan zouden in een nieuwe effectbeoordeling in aanmerking moeten worden genomen (33).

| 24. | Voorts kan het opnieuw indienen van het voorstel een aanmerkelijk effect op het tijdschema voor de aanneming van het asielpakket als geheel hebben. De Commissie noemt geen datum voor een mogelijke indiening van een nieuw voorstel en vermeldt niet of een mogelijk nieuw voorstel vergezeld zal gaan van een nieuwe effectbeoordeling. |
| --- | --- |

24.

Voorts kan het opnieuw indienen van het voorstel een aanmerkelijk effect op het tijdschema voor de aanneming van het asielpakket als geheel hebben. De Commissie noemt geen datum voor een mogelijke indiening van een nieuw voorstel en vermeldt niet of een mogelijk nieuw voorstel vergezeld zal gaan van een nieuwe effectbeoordeling.

Inreis-/uitreissysteem

| 25. | In de mededeling wordt ook een mededeling over slimme grenzen aangekondigd, waarvan de publicatie staat gepland voor september 2011. In deze mededeling zullen de initiatieven voor een inreis/-uitreissysteem en een programma voor geregistreerde reizigers naar verwachting nader worden uitgewerkt. De Commissie erkent dat deze projecten „aanzienlijke investeringen” zouden vergen om een „een hoog niveau van bescherming van persoonsgegevens” te waarborgen (34). |
| --- | --- |

25.

In de mededeling wordt ook een mededeling over slimme grenzen aangekondigd, waarvan de publicatie staat gepland voor september 2011. In deze mededeling zullen de initiatieven voor een inreis/-uitreissysteem en een programma voor geregistreerde reizigers naar verwachting nader worden uitgewerkt. De Commissie erkent dat deze projecten „aanzienlijke investeringen” zouden vergen om een „een hoog niveau van bescherming van persoonsgegevens” te waarborgen (34).

| 26. | Wat betreft het inreis-/uitreissysteem rechtvaardigt de Commissie dit initiatief door te stellen dat „overschrijding van de visumduur” de „voornaamste bron van illegale immigratie in de EU” is (35). Afgezien hiervan wordt in de mededeling geen toelichting op het doel van dit systeem gegeven. |
| --- | --- |

26.

Wat betreft het inreis-/uitreissysteem rechtvaardigt de Commissie dit initiatief door te stellen dat „overschrijding van de visumduur” de „voornaamste bron van illegale immigratie in de EU” is (35). Afgezien hiervan wordt in de mededeling geen toelichting op het doel van dit systeem gegeven.

| 27. | Vermindering van het aantal personen dat de toegestane verblijfsduur overschrijdt kan zeker positieve effecten hebben. De EDPS begrijpt dat een inreis-/uitreissysteem onderdanen van derde landen ervan kan weerhouden om de hun toegestane verblijfsduur te overschrijden in de wetenschap dat ze waarschijnlijk automatisch zullen worden geïdentificeerd zodra hun visum verloopt. Er blijven echter nog verschillende vragen onbeantwoord. |
| --- | --- |

27.

Vermindering van het aantal personen dat de toegestane verblijfsduur overschrijdt kan zeker positieve effecten hebben. De EDPS begrijpt dat een inreis-/uitreissysteem onderdanen van derde landen ervan kan weerhouden om de hun toegestane verblijfsduur te overschrijden in de wetenschap dat ze waarschijnlijk automatisch zullen worden geïdentificeerd zodra hun visum verloopt. Er blijven echter nog verschillende vragen onbeantwoord.

| 28. | Tot dusver voeren de lidstaten geen consistent beleid met betrekking tot het verschijnsel overschrijding van de toegestane verblijfsduur. Het begrip „overschrijding van de toegestane verblijfsduur” in algemene zin is niet goed gedefinieerd; het vaststellen van een gemeenschappelijke definitie van de term is een noodzakelijke eerste stap op weg naar een duidelijk begrip van het verschijnsel (36). |
| --- | --- |

28.

Tot dusver voeren de lidstaten geen consistent beleid met betrekking tot het verschijnsel overschrijding van de toegestane verblijfsduur. Het begrip „overschrijding van de toegestane verblijfsduur” in algemene zin is niet goed gedefinieerd; het vaststellen van een gemeenschappelijke definitie van de term is een noodzakelijke eerste stap op weg naar een duidelijk begrip van het verschijnsel (36).

| 29. | Daar komt bij dat alle tot nu toe beschikbare cijfers schattingen zijn (37). Een goed onderbouwde beoordeling van de noodzaak is pas mogelijk als eerst duidelijkheid over de omvang van het probleem is verkregen. |
| --- | --- |

29.

Daar komt bij dat alle tot nu toe beschikbare cijfers schattingen zijn (37). Een goed onderbouwde beoordeling van de noodzaak is pas mogelijk als eerst duidelijkheid over de omvang van het probleem is verkregen.

| 30. | Signaleringen op grond van artikel 96 van de Uitvoeringsovereenkomst van Schengen vormen een bestaande maatregel om specifieke personen de toegang tot het Schengengrondgebied te weigeren. Deze signaleringen kunnen worden gebruikt om bekende „personen die de toegestane verblijfsduur overschrijden” te verhinderen het Schengengebied opnieuw te betreden (38). In een recente mededeling heeft de Commissie de lidstaten verzocht om zo veel mogelijk van deze mogelijkheid gebruik te maken (39). Dit betekent dat de maatregel op dit moment niet volledig wordt benut. |
| --- | --- |

30.

Signaleringen op grond van artikel 96 van de Uitvoeringsovereenkomst van Schengen vormen een bestaande maatregel om specifieke personen de toegang tot het Schengengrondgebied te weigeren. Deze signaleringen kunnen worden gebruikt om bekende „personen die de toegestane verblijfsduur overschrijden” te verhinderen het Schengengebied opnieuw te betreden (38). In een recente mededeling heeft de Commissie de lidstaten verzocht om zo veel mogelijk van deze mogelijkheid gebruik te maken (39). Dit betekent dat de maatregel op dit moment niet volledig wordt benut.

| 31. | Het inreis-/uitreissysteem zal waarschijnlijk ook stoelen op het gebruik van biometrische gegevens. Hoewel de EDPS de mogelijke voordelen van het gebruik van biometrische gegevens onderkent, ziet hij zich ook genoodzaakt om op de zwakke kanten daarvan te wijzen. Elk gebruik van biometrische gegevens moet zijn gebonden aan strikte voorwaarden, waarbij rekening moet worden gehouden met het risico van fouten (40). In dit verband pleit de EDPS ervoor dat er een aantal minimumcriteria voor het gebruik van biometrische gegevens wordt vastgesteld, bijvoorbeeld met betrekking tot de betrouwbaarheid van dergelijke gegevens, het uitvoeren van gerichte effectbeoordelingen van het gebruik van biometrische gegevens, de nauwkeurigheid ervan en een vangnetprocedure (41). Bovendien kunnen bij een zeker percentage van de betrokken populatie geen vingerafdrukken worden genomen die door een dergelijk systeem kunnen worden gelezen (42). Als in het inreis-/uitreissysteem gebruik moet worden gemaakt van biometrische gegevens, moet dit systeem een vangnetprocedure voor deze reizigers omvatten (43). |
| --- | --- |

31.

Het inreis-/uitreissysteem zal waarschijnlijk ook stoelen op het gebruik van biometrische gegevens. Hoewel de EDPS de mogelijke voordelen van het gebruik van biometrische gegevens onderkent, ziet hij zich ook genoodzaakt om op de zwakke kanten daarvan te wijzen. Elk gebruik van biometrische gegevens moet zijn gebonden aan strikte voorwaarden, waarbij rekening moet worden gehouden met het risico van fouten (40). In dit verband pleit de EDPS ervoor dat er een aantal minimumcriteria voor het gebruik van biometrische gegevens wordt vastgesteld, bijvoorbeeld met betrekking tot de betrouwbaarheid van dergelijke gegevens, het uitvoeren van gerichte effectbeoordelingen van het gebruik van biometrische gegevens, de nauwkeurigheid ervan en een vangnetprocedure (41). Bovendien kunnen bij een zeker percentage van de betrokken populatie geen vingerafdrukken worden genomen die door een dergelijk systeem kunnen worden gelezen (42). Als in het inreis-/uitreissysteem gebruik moet worden gemaakt van biometrische gegevens, moet dit systeem een vangnetprocedure voor deze reizigers omvatten (43).

| 32. | De EDPS wil ook aandacht vragen voor de ervaringen met US-VISIT (United States Visitor and Immigrant Status Indicator Technology), een vergelijkbaar systeem dat door de Verenigde Staten wordt gebruikt. US-VISIT verplicht de meeste onderdanen van derde landen om bij het betreden van het grondgebied van de Verenigde Staten biometrische gegevens te verstrekken. De „uitreis”-component van dit systeem is nog in ontwikkeling. In 2009 werden twee proefprojecten op het gebied van het verzamelen van biometrische gegevens voor dit onderdeel van het systeem uitgevoerd (44). Na afloop van deze proefprojecten stelde het ministerie van Binnenlandse Veiligheid vast dat de resultaten van deze tests „te positief zijn uitgevallen als gevolg van systeembeperkingen die ertoe hebben geleid dat ADIS-bestanden de actuele status van reizigers niet weergaven wanneer deze status recentelijk was veranderd of uitgebreid” (45). In de tests werd ook nagegaan of passagiers op (verschillende) toezichtlijsten stonden, maar „geen enkele van de [...] hits zou een vertrek hebben verhinderd” (46). In totaal heeft het ministerie van Binnenlandse Veiligheid circa 1,3 miljard USD aan de ontwikkeling van de inreiscomponent van US-VISIT besteed (47). Dit werpt de vraag op of een inreis-/uitreissysteem een kostenefficiënte maatregel is om het aantal „overschrijdingen van de toegestane verblijfsduur” terug te dringen. |
| --- | --- |

32.

De EDPS wil ook aandacht vragen voor de ervaringen met US-VISIT (United States Visitor and Immigrant Status Indicator Technology), een vergelijkbaar systeem dat door de Verenigde Staten wordt gebruikt. US-VISIT verplicht de meeste onderdanen van derde landen om bij het betreden van het grondgebied van de Verenigde Staten biometrische gegevens te verstrekken. De „uitreis”-component van dit systeem is nog in ontwikkeling. In 2009 werden twee proefprojecten op het gebied van het verzamelen van biometrische gegevens voor dit onderdeel van het systeem uitgevoerd (44). Na afloop van deze proefprojecten stelde het ministerie van Binnenlandse Veiligheid vast dat de resultaten van deze tests „te positief zijn uitgevallen als gevolg van systeembeperkingen die ertoe hebben geleid dat ADIS-bestanden de actuele status van reizigers niet weergaven wanneer deze status recentelijk was veranderd of uitgebreid” (45). In de tests werd ook nagegaan of passagiers op (verschillende) toezichtlijsten stonden, maar „geen enkele van de [...] hits zou een vertrek hebben verhinderd” (46). In totaal heeft het ministerie van Binnenlandse Veiligheid circa 1,3 miljard USD aan de ontwikkeling van de inreiscomponent van US-VISIT besteed (47). Dit werpt de vraag op of een inreis-/uitreissysteem een kostenefficiënte maatregel is om het aantal „overschrijdingen van de toegestane verblijfsduur” terug te dringen.

| 33. | Samengevat is noch het doel van een dergelijk systeem, noch de wijze waarop het zou moeten worden opgezet en toegepast, voldoende duidelijk. Wat betreft de noodzaak om actie te ondernemen moet worden opgemerkt dat er geen duidelijke definitie van de centrale term „overschrijding van de toegestane verblijfsduur” bestaat; dientengevolge zijn er geen betrouwbare statistieken over de omvang van het probleem. Wat betreft de te ondernemen actie worden de bestaande instrumenten waarmee bekende „personen die de hun toegestane verblijfsduur overschrijden” kunnen worden belet om het grondgebied opnieuw te betreden, waarschijnlijk niet gebruikt in de mate waarin ze zouden moeten worden gebruikt; daarnaast werpt de biometrische component van het inreis-/uitreissysteem vragen op. Wat betreft de haalbaarheid en de kosten van dit systeem duiden de ervaringen in de Verenigde Staten erop dat de toepassing van een inreis-/uitreissysteem een kostbare zaak zal worden. Deze punten roepen twijfels op over de noodzaak en de kosteneffectiviteit van een inreis-/uitreissysteem. |
| --- | --- |

33.

Samengevat is noch het doel van een dergelijk systeem, noch de wijze waarop het zou moeten worden opgezet en toegepast, voldoende duidelijk. Wat betreft de noodzaak om actie te ondernemen moet worden opgemerkt dat er geen duidelijke definitie van de centrale term „overschrijding van de toegestane verblijfsduur” bestaat; dientengevolge zijn er geen betrouwbare statistieken over de omvang van het probleem. Wat betreft de te ondernemen actie worden de bestaande instrumenten waarmee bekende „personen die de hun toegestane verblijfsduur overschrijden” kunnen worden belet om het grondgebied opnieuw te betreden, waarschijnlijk niet gebruikt in de mate waarin ze zouden moeten worden gebruikt; daarnaast werpt de biometrische component van het inreis-/uitreissysteem vragen op. Wat betreft de haalbaarheid en de kosten van dit systeem duiden de ervaringen in de Verenigde Staten erop dat de toepassing van een inreis-/uitreissysteem een kostbare zaak zal worden. Deze punten roepen twijfels op over de noodzaak en de kosteneffectiviteit van een inreis-/uitreissysteem.

Programma voor geregistreerde reizigers

| 34. | In de mededeling wordt ook gesproken over de invoering van een programma voor geregistreerde reizigers. Het is niet helemaal duidelijk wat de toegevoegde waarde van dit systeem zou zijn, vergeleken met bijvoorbeeld het gebruik van meervoudige inreisvisa met een lange geldigheidsduur. De doelgroep zou dezelfde zijn (frequente reizigers). Het feit dat dergelijke visa nog steeds „slechts schoorvoetend” (48) worden afgegeven, kan op zichzelf geen reden vormen om in plaats daarvan nieuwe maatregelen voor te stellen, terwijl met de bestaande maatregelen — mits optimaal benut — dezelfde doelstellingen zouden kunnen worden verwezenlijkt. De EDPS is er dan ook niet volledig van overtuigd dat het systeem werkelijk nodig is. |
| --- | --- |

34.

In de mededeling wordt ook gesproken over de invoering van een programma voor geregistreerde reizigers. Het is niet helemaal duidelijk wat de toegevoegde waarde van dit systeem zou zijn, vergeleken met bijvoorbeeld het gebruik van meervoudige inreisvisa met een lange geldigheidsduur. De doelgroep zou dezelfde zijn (frequente reizigers). Het feit dat dergelijke visa nog steeds „slechts schoorvoetend” (48) worden afgegeven, kan op zichzelf geen reden vormen om in plaats daarvan nieuwe maatregelen voor te stellen, terwijl met de bestaande maatregelen — mits optimaal benut — dezelfde doelstellingen zouden kunnen worden verwezenlijkt. De EDPS is er dan ook niet volledig van overtuigd dat het systeem werkelijk nodig is.

| 35. | Voorts wordt in de mededeling (blz. 11) het begrip „bona fide reizigers” gebruikt, met name met betrekking tot het programma voor geregistreerde reizigers. Deze bewoording kan worden gelezen als zou er, impliciet, dus ook een categorie van „mala fide reizigers” kunnen ontstaan. Alleen reizigers die extra stappen ondernemen, door zich in te schrijven voor het programma voor geregistreerde reizigers en aanvullende persoonlijke informatie te verstrekken, zouden als „bona fide” worden beschouwd. Het uitgangspunt zou niet langer zijn dat reizigers over het algemeen worden geacht de Unie te goeder trouw binnen te komen, tenzij specifiek bewijs aanleiding geeft tot verdenking, maar dat het aan de reizigers is om hun onschuld aan te tonen door aanvullende informatie over zichzelf te verstrekken, ook als er geen enkel bewijs is. Het „bona fide” verklaren van alleen een bepaalde groep reizigers impliceert dat reizigers die niet bereid zijn aanvullende informatie te verstrekken de facto als „mala fide” worden bestempeld, hoewel een weigering om aanvullende informatie te verstrekken legitieme gronden kan hebben, bijvoorbeeld dat iemand niet frequent reist (49). |
| --- | --- |

35.

Voorts wordt in de mededeling (blz. 11) het begrip „bona fide reizigers” gebruikt, met name met betrekking tot het programma voor geregistreerde reizigers. Deze bewoording kan worden gelezen als zou er, impliciet, dus ook een categorie van „mala fide reizigers” kunnen ontstaan. Alleen reizigers die extra stappen ondernemen, door zich in te schrijven voor het programma voor geregistreerde reizigers en aanvullende persoonlijke informatie te verstrekken, zouden als „bona fide” worden beschouwd. Het uitgangspunt zou niet langer zijn dat reizigers over het algemeen worden geacht de Unie te goeder trouw binnen te komen, tenzij specifiek bewijs aanleiding geeft tot verdenking, maar dat het aan de reizigers is om hun onschuld aan te tonen door aanvullende informatie over zichzelf te verstrekken, ook als er geen enkel bewijs is. Het „bona fide” verklaren van alleen een bepaalde groep reizigers impliceert dat reizigers die niet bereid zijn aanvullende informatie te verstrekken de facto als „mala fide” worden bestempeld, hoewel een weigering om aanvullende informatie te verstrekken legitieme gronden kan hebben, bijvoorbeeld dat iemand niet frequent reist (49).

Frontex en onderlinge samenwerking tussen agentschappen

| 36. | In de mededeling wordt „nauwe onderlinge samenwerking” tussen Europol, Frontex en de nationale douane- en politiediensten, in het bijzonder tussen grensbewakingsautoriteiten en douanediensten, „van essentieel belang” genoemd (50). Deze samenwerking zal worden ondersteund door voorstellen waarin goede werkmethoden zullen worden aanbevolen, en die in 2012 zullen worden ingediend. De Commissie kondigt in de mededeling ook aan dat in 2011 een wetgevingsvoorstel zal worden gepresenteerd dat de autoriteiten van de lidstaten in staat moet stellen om grensbewakingsactiviteiten uit te voeren, „operationele informatie te delen, en onderling en met Frontex samen te werken” (51). Tot slot wordt momenteel in de Raad en het Europees Parlement onderhandeld over het voorstel om het juridische kader van Frontex bij te werken „teneinde de operationele capaciteit van het agentschap doeltreffender te kunnen inzetten” (52). |
| --- | --- |

36.

In de mededeling wordt „nauwe onderlinge samenwerking” tussen Europol, Frontex en de nationale douane- en politiediensten, in het bijzonder tussen grensbewakingsautoriteiten en douanediensten, „van essentieel belang” genoemd (50). Deze samenwerking zal worden ondersteund door voorstellen waarin goede werkmethoden zullen worden aanbevolen, en die in 2012 zullen worden ingediend. De Commissie kondigt in de mededeling ook aan dat in 2011 een wetgevingsvoorstel zal worden gepresenteerd dat de autoriteiten van de lidstaten in staat moet stellen om grensbewakingsactiviteiten uit te voeren, „operationele informatie te delen, en onderling en met Frontex samen te werken” (51). Tot slot wordt momenteel in de Raad en het Europees Parlement onderhandeld over het voorstel om het juridische kader van Frontex bij te werken „teneinde de operationele capaciteit van het agentschap doeltreffender te kunnen inzetten” (52).

| 37. | Om vanuit het oogpunt van gegevensbescherming voor consistentie te zorgen en toegevoegde waarde te creëren, moeten de respectieve bepalingen in de rechtsgrondslagen voor het sluiten van mogelijke samenwerkingsovereenkomsten en het uitwisselen van persoonsgegevens tussen Frontex en de agentschappen waarmee Frontex zal samenwerken, samenhangend en consistent zijn teneinde volledige samenwerking tussen de organen op het gebied van gegevensbeschermingsvoorschriften te waarborgen. |
| --- | --- |

37.

Om vanuit het oogpunt van gegevensbescherming voor consistentie te zorgen en toegevoegde waarde te creëren, moeten de respectieve bepalingen in de rechtsgrondslagen voor het sluiten van mogelijke samenwerkingsovereenkomsten en het uitwisselen van persoonsgegevens tussen Frontex en de agentschappen waarmee Frontex zal samenwerken, samenhangend en consistent zijn teneinde volledige samenwerking tussen de organen op het gebied van gegevensbeschermingsvoorschriften te waarborgen.

| 38. | De EDPS herhaalt voorts de punten die hij heeft aangedragen in zijn advies over het voorstel voor een herziening van de Frontex-verordening (53), met name de noodzaak van een duidelijke rechtsgrondslag voor de verwerking van persoonsgegevens. Als Frontex een mandaat krijgt om persoonsgegevens uit te wisselen, moet dit mandaat krachtige en duidelijke bepalingen over de rechten van de betrokkenen bevatten, evenals andere waarborgen. Elke bepaling die Frontex toestaat om persoonsgegevens te verwerken en/of uit te wisselen, moet nauwkeurig en duidelijk omlijnd zijn. |
| --- | --- |

38.

De EDPS herhaalt voorts de punten die hij heeft aangedragen in zijn advies over het voorstel voor een herziening van de Frontex-verordening (53), met name de noodzaak van een duidelijke rechtsgrondslag voor de verwerking van persoonsgegevens. Als Frontex een mandaat krijgt om persoonsgegevens uit te wisselen, moet dit mandaat krachtige en duidelijke bepalingen over de rechten van de betrokkenen bevatten, evenals andere waarborgen. Elke bepaling die Frontex toestaat om persoonsgegevens te verwerken en/of uit te wisselen, moet nauwkeurig en duidelijk omlijnd zijn.

Eurosur

| 39. | In de mededeling wordt eveneens aangekondigd dat in december 2011 een wetgevingsvoorstel tot vaststelling van de doelstelling, het toepassingsgebied en het technisch en operationeel kader van het Europees grensbewakingssysteem (Eurosur) zal worden ingediend (54). Dit voorstel moet ervoor zorgen dat er „aan de land- en zeegrenzen meer gebruik [wordt] gemaakt van moderne technologie” (55) en dat er operationele informatie over incidenten aan de buitengrenzen wordt uitgewisseld (56). Dit heeft ook betrekking op Frontex, aangezien de Commissie voornemens is om nog een ander voorstel in te dienen, dat de autoriteiten van de lidstaten die grensbewakingsactiviteiten uitvoeren in staat moet stellen om onderling en met Frontex operationele informatie uit te wisselen (57). |
| --- | --- |

39.

In de mededeling wordt eveneens aangekondigd dat in december 2011 een wetgevingsvoorstel tot vaststelling van de doelstelling, het toepassingsgebied en het technisch en operationeel kader van het Europees grensbewakingssysteem (Eurosur) zal worden ingediend (54). Dit voorstel moet ervoor zorgen dat er „aan de land- en zeegrenzen meer gebruik [wordt] gemaakt van moderne technologie” (55) en dat er operationele informatie over incidenten aan de buitengrenzen wordt uitgewisseld (56). Dit heeft ook betrekking op Frontex, aangezien de Commissie voornemens is om nog een ander voorstel in te dienen, dat de autoriteiten van de lidstaten die grensbewakingsactiviteiten uitvoeren in staat moet stellen om onderling en met Frontex operationele informatie uit te wisselen (57).

| 40. | Het is niet duidelijk of en in hoeverre dit verwerking van persoonsgegevens omvat (58). De EDPS spoort de Commissie aan om in de komende voorstellen opheldering over deze kwesties te verschaffen. |
| --- | --- |

40.

Het is niet duidelijk of en in hoeverre dit verwerking van persoonsgegevens omvat (58). De EDPS spoort de Commissie aan om in de komende voorstellen opheldering over deze kwesties te verschaffen.

Europees systeem van grenswachten

| 41. | In de mededeling wordt opgemerkt dat moet worden nagegaan of het haalbaar is om een Europees systeem van grenswachten in te stellen. Uit de tekst blijkt niet duidelijk hoe dit systeem eruit zou kunnen zien. Volgens de tekst zou er niet „noodzakelijkerwijs” (59) een gecentraliseerde administratie hoeven te worden opgericht, wat de mogelijkheid openlaat dat deze er toch zal komen. Als er geen centrale administratie wordt opgericht, stelt de Commissie voor om — onder meer — „gedeelde capaciteit” tot stand te brengen en de „praktische samenwerking” te verbeteren (60). |
| --- | --- |

41.

In de mededeling wordt opgemerkt dat moet worden nagegaan of het haalbaar is om een Europees systeem van grenswachten in te stellen. Uit de tekst blijkt niet duidelijk hoe dit systeem eruit zou kunnen zien. Volgens de tekst zou er niet „noodzakelijkerwijs” (59) een gecentraliseerde administratie hoeven te worden opgericht, wat de mogelijkheid openlaat dat deze er toch zal komen. Als er geen centrale administratie wordt opgericht, stelt de Commissie voor om — onder meer — „gedeelde capaciteit” tot stand te brengen en de „praktische samenwerking” te verbeteren (60).

| 42. | Het is niet duidelijk of dit gericht is op een betere toepassing van bestaande maatregelen of dat hier gezinspeeld wordt op nieuwe, nog niet aangekondigde voorstellen. Aangezien „praktische samenwerking” waarschijnlijk de uitwisseling van persoonsgegevens zal omvatten, welke uitwisseling noodzakelijkerwijs een rechtsgrondslag zal moeten hebben, zou dit, als het project wordt doorgezet, nader moeten worden verklaard in toekomstige voorstellen. |
| --- | --- |

42.

Het is niet duidelijk of dit gericht is op een betere toepassing van bestaande maatregelen of dat hier gezinspeeld wordt op nieuwe, nog niet aangekondigde voorstellen. Aangezien „praktische samenwerking” waarschijnlijk de uitwisseling van persoonsgegevens zal omvatten, welke uitwisseling noodzakelijkerwijs een rechtsgrondslag zal moeten hebben, zou dit, als het project wordt doorgezet, nader moeten worden verklaard in toekomstige voorstellen.

IV.   CONCLUSIE EN AANBEVELINGEN

| 43. | In overeenstemming met de vaste rechtspraak van het Europees Hof van Justitie en het Europees Hof voor de rechten van de mens herinnert de EDPS aan de vereisten van noodzakelijkheid en evenredigheid voor alle (huidige en nieuwe) voorstellen die inbreuk maken op het grondrecht op privacy en het grondrecht op gegevensbescherming. Voor elk voorstel geldt dat de noodzakelijkheid moet worden aangetoond in een privacy-effectbeoordeling. |
| --- | --- |

43.

In overeenstemming met de vaste rechtspraak van het Europees Hof van Justitie en het Europees Hof voor de rechten van de mens herinnert de EDPS aan de vereisten van noodzakelijkheid en evenredigheid voor alle (huidige en nieuwe) voorstellen die inbreuk maken op het grondrecht op privacy en het grondrecht op gegevensbescherming. Voor elk voorstel geldt dat de noodzakelijkheid moet worden aangetoond in een privacy-effectbeoordeling.

| 44. | Bij het voorstellen en ontwerpen van nieuwe grootschalige IT-systemen moeten het beginsel van „privacy by design” en het doelbindingsbeginsel worden geëerbiedigd. |
| --- | --- |

44.

Bij het voorstellen en ontwerpen van nieuwe grootschalige IT-systemen moeten het beginsel van „privacy by design” en het doelbindingsbeginsel worden geëerbiedigd.

| 45. | De EDPS benadrukt dat het gebruik van biometrische gegevens gepaard moet gaan met strikte waarborgen en vangnetprocedures voor personen die zich niet kunnen inschrijven. In algemenere zin zouden minimumvoorwaarden voor het gebruik van biometrische gegevens moeten worden vastgesteld. |
| --- | --- |

45.

De EDPS benadrukt dat het gebruik van biometrische gegevens gepaard moet gaan met strikte waarborgen en vangnetprocedures voor personen die zich niet kunnen inschrijven. In algemenere zin zouden minimumvoorwaarden voor het gebruik van biometrische gegevens moeten worden vastgesteld.

| 46. | Voorts dringt de EDPS er bij de Commissie op aan om het toepassingsgebied en de inhoud van de in dit advies genoemde voorstellen te verduidelijken. Dit geldt voor de aangekondigde wetgevingsvoorstellen met betrekking tot het inreis-/uitreissysteem, het programma voor geregistreerde reizigers, Eurosur, Frontex en de onderlinge samenwerking tussen agentschappen, evenals voor de mededeling over slimme grenzen en de studie naar een Europees systeem van grenswachten. |
| --- | --- |

46.

Voorts dringt de EDPS er bij de Commissie op aan om het toepassingsgebied en de inhoud van de in dit advies genoemde voorstellen te verduidelijken. Dit geldt voor de aangekondigde wetgevingsvoorstellen met betrekking tot het inreis-/uitreissysteem, het programma voor geregistreerde reizigers, Eurosur, Frontex en de onderlinge samenwerking tussen agentschappen, evenals voor de mededeling over slimme grenzen en de studie naar een Europees systeem van grenswachten.

| 47. | Ook verzoekt de EDPS de Commissie om het voorstel voor het verlenen van toegang tot Eurodac aan rechtshandhavingsinstanties niet opnieuw in te dienen, tenzij de noodzaak van het voorstel duidelijk naar voren komt uit een nieuwe effectbeoordeling, die ook de technische en financiële implicaties van het systeem dient te omvatten. |
| --- | --- |

47.

Ook verzoekt de EDPS de Commissie om het voorstel voor het verlenen van toegang tot Eurodac aan rechtshandhavingsinstanties niet opnieuw in te dienen, tenzij de noodzaak van het voorstel duidelijk naar voren komt uit een nieuwe effectbeoordeling, die ook de technische en financiële implicaties van het systeem dient te omvatten.

| 48. | De EDPS zal deze ontwikkelingen nauwlettend volgen en zo nodig aanvullende opmerkingen indienen. De EDPS is beschikbaar voor nadere raadplegingen, in een geest van goede samenwerking. |
| --- | --- |

48.

De EDPS zal deze ontwikkelingen nauwlettend volgen en zo nodig aanvullende opmerkingen indienen. De EDPS is beschikbaar voor nadere raadplegingen, in een geest van goede samenwerking.

Gedaan te Brussel, 7 juli 2011.

Peter HUSTINX

Europese Toezichthouder voor gegevensbescherming

---

(1)  PB L 281 van 23.11.1995, blz. 31.

1

(2)  PB L 8 van 12.1.2001, blz. 1.

2

(3)  COM(2011) 248 definitief.

3

(4)  Mededeling, blz. 2.

4

(5)  Conclusies van de Europese Raad van 23-24 juni 2011, EUCO 23/11.

5

(6)  Mededeling van de Commissie: „De EU-interneveiligheidsstrategie in actie: vijf stappen voor een veiliger Europa”, COM(2010) 673.

6

(7)  Voorstel voor een verordening tot wijziging van Verordening (EG) nr. 2007/2004 tot oprichting van een Europees agentschap voor het beheer van de operationele samenwerking aan de buitengrenzen van de lidstaten van de Europese Unie (Frontex), COM(2010) 61.

7

(8)  In dit advies zal in het bijzonder worden geput uit het advies van de EDPS van 17 december 2010 over de mededeling „De EU-interneveiligheidsstrategie in actie” („het advies van de EDPS van 17 december 2010”) (PB C 101 van 1.4.2011, blz. 6); het advies van de EDPS van 15 december 2010 over het gewijzigde voorstel voor een verordening van het Europees Parlement en de Raad betreffende de instelling van „Eurodac” („het advies van de EDPS van 15 december 2010”) (PB C 101 van 1.4.2011, blz. 14); het advies van de EDPS van 30 september 2010 over de mededeling „Overzicht van het informatiebeheer op het gebied van vrijheid, veiligheid en recht” („het advies van de EDPS van 30 september 2010”) (PB C 355 van 29.12.2010, blz. 16); en de voorlopige opmerkingen van de EDPS van 3 maart 2008 over het grenspakket („de voorlopige opmerkingen van de EDPS van 3 maart 2008”), die te vinden zijn op de website van de EDPS.

8

(9)  Mededeling, blz. 2.

9

(10)  Mededeling, blz. 6.

10

(11)  Mededeling, blz. 7. Zie ook paragraaf 42 tot en met 44 van dit advies.

11

(12)  Mededeling, blz. 10.

12

(13)  Mededeling, blz. 15.

13

(14)  Zie het advies van de EDPS van 30 september 2010, hierboven genoemd; zie ook de hierboven genoemde voorlopige opmerkingen van de EDPS over het grenspakket. In dit verband verwelkomt de EDPS de werkzaamheden van het team dat belast is met het in kaart brengen van de mogelijkheden voor het informatieproject („Information Project Mapping Team”) in het kader van de werkzaamheden voor het Europees model voor informatie-uitwisseling. De reikwijdte van deze werkzaamheden moet echter worden uitgebreid en in de toekomstige werkzaamheden op dit gebied moet een breder perspectief worden gehanteerd.

14

(15)  Zie bijvoorbeeld het Europees Hof voor de rechten van de mens, S. en Marper/Verenigd Koninkrijk, nrs. 30562/04 en 30566/04, geselecteerd voor publicatie in Recueil des arrêts et décisions.

15

S. en Marper/Verenigd Koninkrijk

(16)  Zie bijvoorbeeld de gevoegde zaken C-92/09 en C-93/09, Volker en Markus Schecke, Hartmut Eifert/Land Hessen [2010], nog niet gepubliceerd in de Jurisprudentie („Schecke”).

16

Volker en Markus Schecke, Hartmut Eifert/Land Hessen

(17)  Diverse arresten sinds het arrest van het Europees Hof voor de rechten van de mens Handyside/Verenigd Koninkrijk, nr. 5493/72, Serie A, nr. 24, punt 48.

17

Handyside/Verenigd Koninkrijk

(18)  Deze kan de vorm aannemen van een afzonderlijke beoordeling van de gevolgen voor de privacy en de gegevensbescherming of van een beoordeling die wordt geïntegreerd in de algemene effectbeoordeling. De huidige richtsnoeren voor het uitvoeren van effectbeoordelingen (Richtsnoeren voor effectbeoordeling van de Europese Commissie, SEC(2009) 92), voorzien niet in een afzonderlijke effectbeoordeling voor de effecten met betrekking tot de grondrechten, zoals gegevensbescherming; deze aspecten moeten worden geïntegreerd in de algemene effectbeoordeling. Ondertussen zijn, na de mededeling van de Commissie over een strategie voor een doeltreffende tenuitvoerlegging van het Handvest van de grondrechten door de Europese Unie (COM(2010) 573), aanvullende richtsnoeren opgesteld in de vorm van een werkdocument van de Commissie over operationele richtsnoeren voor het in aanmerking nemen van grondrechten in effectbeoordelingen door de Commissie (SEC(2011) 567).

18

(19)  Zie in dit verband ook het advies van de EDPS van 25 maart 2011 over het voorstel voor een richtlijn van het Europees Parlement en de Raad betreffende het gebruik van persoonsgegevens van passagiers voor het voorkomen, opsporen, onderzoeken en vervolgen van terroristische misdrijven en zware criminaliteit („advies van de EDPS van 25 maart 2011”), nog niet gepubliceerd in het Publicatieblad, met name punt 25.

19

(20)  Voor de noodzaak om alternatieve oplossingen te overwegen, zie ook de jurisprudentie van het Hof van Justitie in de hierboven genoemde zaak Schecke.

20

Schecke

(21)  Mededeling van de Commissie over een integrale aanpak van de bescherming van persoonsgegevens in de Europese Unie, COM(2010) 609, blz. 12. Zie ook het advies van de EDPS van 14 januari 2011 betreffende de mededeling van de Commissie aan het Europees Parlement, de Raad, het Economisch en Sociaal Comité en het Comité van de Regio's — „Een integrale aanpak van de bescherming van persoonsgegevens in de Europese Unie” (PB C 181 van 22.6.2011, blz. 1), paragrafen 108 tot en met 115.

21

(22)  Mededeling, blz. 15.

22

(23)  Zie de voorlopige opmerkingen van de EDPS over het grenspakket, hierboven genoemd, blz. 3.

23

(24)  Zie ook het advies van de EDPS van 31 mei 2011 over het verslag van de Commissie aan de Raad en het Europees Parlement betreffende de evaluatie van de richtlijn gegevensbewaring (Richtlijn 2006/24/EG), nog niet gepubliceerd in het Publicatieblad, en het advies van de EDPS van 25 maart 2011.

24

(25)  Mededeling, blz. 15.

25

(26)  Voorstel voor een verordening betreffende de instelling van „Eurodac” voor de vergelijking van vingerafdrukken ten behoeve van een doeltreffende toepassing van Verordening (EG) nr. (.../...) (tot vaststelling van de criteria en instrumenten om te bepalen welke lidstaat verantwoordelijk is voor de behandeling van een verzoek om internationale bescherming dat door een onderdaan van een derde land of een staatloze bij een van de lidstaten wordt ingediend) (Herschikking), COM(2008) 825.

26

(27)  Gewijzigd voorstel voor een verordening van het Europees Parlement en de Raad betreffende de instelling van „Eurodac” voor de vergelijking van vingerafdrukken ten behoeve van een doeltreffende toepassing van Verordening (EG) nr. (.../...) (tot vaststelling van de criteria en instrumenten om te bepalen welke lidstaat verantwoordelijk is voor de behandeling van een verzoek om internationale bescherming dat door een onderdaan van een derde land of een staatloze bij een van de lidstaten wordt ingediend) (Herschikking), COM(2009) 342. De EDPS heeft advies over dit voorstel uitgebracht, zie het advies van de EDPS van 7 oktober 2009 over het gewijzigde voorstel voor een verordening van het Europees Parlement en de Raad betreffende de instelling van „Eurodac” voor de vergelijking van vingerafdrukken ten behoeve van een doeltreffende toepassing van Verordening (EG) nr. (.../...) (tot vaststelling van de criteria en instrumenten om te bepalen welke lidstaat verantwoordelijk is voor de behandeling van een verzoek om internationale bescherming dat door een onderdaan van een derde land of een staatloze bij een van de lidstaten wordt ingediend), alsmede over het voorstel voor een besluit van de Raad over rechtshandhavingsinstanties van de lidstaten en Europol die voor rechtshandhavingsdoeleinden verzoeken om vergelijking met Eurodac-gegevens („advies van de EDPS van 7 oktober 2009”) (PB C 92 van 10.4.2010, blz. 1).

27

(28)  Gewijzigd voorstel voor een verordening betreffende de instelling van „Eurodac” voor de vergelijking van vingerafdrukken ten behoeve van een doeltreffende toepassing van Verordening (EG) nr. (.../...) (tot vaststelling van de criteria en instrumenten om te bepalen welke lidstaat verantwoordelijk is voor de behandeling van een verzoek om internationale bescherming dat door een onderdaan van een derde land of een staatloze bij een van de lidstaten wordt ingediend) (Herschikking), COM(2010) 555 („COM(2010) 555”). De EDPS heeft een advies over dit voorstel uitgebracht, zie het advies van de EDPS van 15 december 2010, hierboven genoemd, met name de paragrafen 18 tot en met 22, 28 tot en met 33 en 51 tot en met 57.

28

(29)  Advies van de EDPS van 15 december 2010, met name de paragrafen 12 tot en met 17.

29

(30)  Europese Raad: Het programma van Stockholm — Een open en veilig Europa ten dienste en ter bescherming van de burger, blz. 5 (PB C 115 van 4.5.2010, blz. 1).

30

(31)  COM(2010) 555, hierboven genoemd, blz. 3.

31

(32)  Ibid.

32

(33)  Het voorstel van oktober 2010 ging niet vergezeld van een effectbeoordeling. In plaats daarvan verwees de Commissie naar de effectbeoordeling die was verricht voor het voorstel uit 2009, zie het werkdocument van de Commissie — Begeleidend document bij het Gewijzigd voorstel voor een verordening van het Europees Parlement en de Raad betreffende de instelling van „Eurodac” voor de vergelijking van vingerafdrukken ten behoeve van een doeltreffende toepassing van Verordening (EG) nr. (.../...) (tot vaststelling van de criteria en instrumenten om te bepalen welke lidstaat verantwoordelijk is voor de behandeling van een verzoek om internationale bescherming dat door een onderdaan van een derde land of een staatloze bij een van de lidstaten wordt ingediend) (Herschikking), en bij het voorstel voor een besluit van de Raad over rechtshandhavingsinstanties van de lidstaten en Europol die voor rechtshandhavingsdoeleinden verzoeken om vergelijking met Eurodac-gegevens — effectbeoordeling, SEC(2009) 936. Zie ook COM(2010) 555, hierboven genoemd, blz. 3.

33

(34)  Mededeling, blz. 10.

34

(35)  Mededeling, blz. 10.

35

(36)  Daarbij moet ook duidelijk worden gemaakt welke uitzonderingen van toepassing zijn, bijvoorbeeld om medische of humanitaire redenen.

36

(37)  Zie het advies van de EDPS van 30 september 2010, hierboven genoemd, paragrafen 52 tot en met 56.

37

(38)  Zie de voorlopige opmerkingen van de EDPS van 3 maart 2008, hierboven genoemd, blz. 4.

38

(39)  Mededeling van de Commissie: Jaarverslag over immigratie en asiel, COM(2011) 291, blz. 9.

39

(40)  Zie bijvoorbeeld het advies van de EDPS van 16 oktober 2006 over het gewijzigd voorstel voor de verordening van de Raad tot wijziging van Verordening (EG) nr. 1030/2002 betreffende de invoering van een uniform model voor verblijfstitels voor onderdanen van derde landen (PB C 320 van 28.12.2006, blz. 21); zie ook het advies nr. 3/2007 van de Groep gegevensbescherming artikel 29 over het voorstel voor een verordening van het Europees Parlement en de Raad tot wijziging van de gemeenschappelijke visuminstructies aan de diplomatieke en consulaire beroepsposten in verband met de invoering van biometrische identificatiemiddelen, met inbegrip van bepalingen over de organisatie van de inontvangstneming en de behandeling van visumaanvragen (COM(2006) 269 definitief), WP134 van 1 maart 2007.

40

(41)  Zie bijvoorbeeld het advies van de EDPS van 19 oktober 2005 over het voorstel voor een besluit van de Raad betreffende de instelling, de werking en het gebruik van het Schengeninformatiesysteem van de tweede generatie (SIS II) (COM(2005) 230 definitief); het voorstel voor een verordening van het Europees Parlement en de Raad betreffende de instelling, de werking en het gebruik van het Schengeninformatiesysteem van de tweede generatie (SIS II) (COM(2005) 236 definitief) (PB C 91 van 19.4.2006, blz. 38); en „Op weg naar een meer omvattende gegevensbescherming in Europa, met inbegrip van het gebruik van biometrische gegevens — een Europees perspectief”, 12e conferentie — Biometrics Institute Australia, Sydney, 26 mei 2011:

41

http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/EDPS/Publications/Speeches/2011/11-05-26_Biometrics_Institute_EN.pdf

(42)  Dat kan bijvoorbeeld zijn vanwege ziekten, handicaps of wonden, zoals brandwonden. Ook lijkt het voor te komen, in een niet-triviaal aantal gevallen, dat de vingerafdrukken van personen die werkzaam zijn in de landbouw of de bouw zodanig beschadigd zijn dat ze onleesbaar zijn. Zie ook het advies van de EDPS van 15 december 2010, hierboven genoemd, paragraaf 19.

42

(43)  Voor vergelijkbare opmerkingen in het kader van Eurodac, zie het advies van de EDPS van 15 december 2010, paragrafen 18 tot en met 25.

43

(44)  Op een van de voor de tests geselecteerde luchthavens bedroegen de arbeids- en overige kosten voor 35 dagen aan testactiviteiten, waarin 90 gevallen van vermoedelijke „overschrijding van de toegestane verblijfsduur” aan het licht werden gebracht, 393 410 USD. Een tweede test, die tegelijkertijd werd uitgevoerd, leverde 44 vermoedelijke hits op, tegen 77 501 USD aan kosten. Deze bedragen omvatten geen ontwikkelingskosten. Voor een beoordeling van deze tests, zie: United States Government Accountability Office: US-VISIT Pilot Evaluations Offer Limited Understanding of Air Exit Options, augustus 2010, GAO-10-860, te vinden op: http://www.gao.gov/new.items/d10860.pdf („US GAO: US-VISIT Pilot Evaluations”).

44

(45)  Gereproduceerd in US GAO: US-VISIT Pilot Evaluations, blz. 72.

45

(46)  US GAO: US-VISIT Pilot Evaluations, blz. 72.

46

(47)  Zie de voorlopige opmerkingen van de EDPS van 3 maart 2008, hierboven genoemd, blz. 4.

47

(48)  Mededeling, blz. 11.

48

(49)  Zie ook de voorlopige opmerkingen van de EDPS van 3 maart 2008, hierboven genoemd.

49

(50)  Mededeling, blz. 10.

50

(51)  Mededeling, blz. 7.

51

(52)  Mededeling, blz. 7.

52

(53)  Advies van de EDPS van 17 mei 2010 over het voorstel voor een verordening van het Europees Parlement en de Raad tot wijziging van Verordening (EG) nr. 2007/2004 tot oprichting van een Europees Agentschap voor het beheer van de operationele samenwerking aan de buitengrenzen van de lidstaten van de Europese Unie (Frontex), nog niet gepubliceerd in het Publicatieblad; zie ook het advies van de EDPS van 17 december 2010, hierboven genoemd, paragrafen 48 tot en met 51.

53

(54)  Mededeling, blz. 18.

54

(55)  Mededeling, blz. 7.

55

(56)  Mededeling, blz. 7.

56

(57)  Mededeling, blz. 7.

57

(58)  Zie ook het advies van de EDPS van 17 december 2010, hierboven genoemd, paragrafen 46 en 47, waarin deze kwestie reeds aan de orde is gesteld. In dit advies wordt ook ingegaan op de tot nu toe nog niet opgeloste kwestie van de aard van de voorziene relaties tussen Frontex en Eurosur.

58

(59)  Mededeling, blz. 7.

59

(60)  Mededeling, blz. 7.

60

---

IV Informatie

INFORMATIE AFKOMSTIG VAN DE INSTELLINGEN, ORGANEN EN INSTANTIES VAN DE EUROPESE UNIE

Europese Commissie

| 8.2.2012 | NL | Publicatieblad van de Europese Unie | C 34/27 |
| --- | --- | --- | --- |

8.2.2012

NL

Publicatieblad van de Europese Unie

C 34/27

---

Wisselkoersen van de euro (1)

7 februari 2012

2012/C 34/03

1 euro =

| | Munteenheid | Koers |
| --- | --- | --- |
| USD | US-dollar | 1,3113 |
| JPY | Japanse yen | 100,67 |
| DKK | Deense kroon | 7,4336 |
| GBP | Pond sterling | 0,83020 |
| SEK | Zweedse kroon | 8,8215 |
| CHF | Zwitserse frank | 1,2087 |
| ISK | IJslandse kroon | |
| NOK | Noorse kroon | 7,6225 |
| BGN | Bulgaarse lev | 1,9558 |
| CZK | Tsjechische koruna | 25,000 |
| HUF | Hongaarse forint | 291,66 |
| LTL | Litouwse litas | 3,4528 |
| LVL | Letlandse lat | 0,6990 |
| PLN | Poolse zloty | 4,1783 |
| RON | Roemeense leu | 4,3523 |
| TRY | Turkse lira | 2,3076 |
| AUD | Australische dollar | 1,2161 |
| CAD | Canadese dollar | 1,3088 |
| HKD | Hongkongse dollar | 10,1682 |
| NZD | Nieuw-Zeelandse dollar | 1,5747 |
| SGD | Singaporese dollar | 1,6370 |
| KRW | Zuid-Koreaanse won | 1 467,38 |
| ZAR | Zuid-Afrikaanse rand | 9,9577 |
| CNY | Chinese yuan renminbi | 8,2763 |
| HRK | Kroatische kuna | 7,5750 |
| IDR | Indonesische roepia | 11 791,87 |
| MYR | Maleisische ringgit | 3,9509 |
| PHP | Filipijnse peso | 55,715 |
| RUB | Russische roebel | 39,2870 |
| THB | Thaise baht | 40,611 |
| BRL | Braziliaanse real | 2,2636 |
| MXN | Mexicaanse peso | 16,6601 |
| INR | Indiase roepie | 64,7060 |

Munteenheid

Koers

USD

US-dollar

1,3113

JPY

Japanse yen

100,67

DKK

Deense kroon

7,4336

GBP

Pond sterling

0,83020

SEK

Zweedse kroon

8,8215

CHF

Zwitserse frank

1,2087

ISK

IJslandse kroon

NOK

Noorse kroon

7,6225

BGN

Bulgaarse lev

1,9558

CZK

Tsjechische koruna

25,000

HUF

Hongaarse forint

291,66

LTL

Litouwse litas

3,4528

LVL

Letlandse lat

0,6990

PLN

Poolse zloty

4,1783

RON

Roemeense leu

4,3523

TRY

Turkse lira

2,3076

AUD

Australische dollar

1,2161

CAD

Canadese dollar

1,3088

HKD

Hongkongse dollar

10,1682

NZD

Nieuw-Zeelandse dollar

1,5747

SGD

Singaporese dollar

1,6370

KRW

Zuid-Koreaanse won

1 467,38

ZAR

Zuid-Afrikaanse rand

9,9577

CNY

Chinese yuan renminbi

8,2763

HRK

Kroatische kuna

7,5750

IDR

Indonesische roepia

11 791,87

MYR

Maleisische ringgit

3,9509

PHP

Filipijnse peso

55,715

RUB

Russische roebel

39,2870

THB

Thaise baht

40,611

BRL

Braziliaanse real

2,2636

MXN

Mexicaanse peso

16,6601

INR

Indiase roepie

64,7060

---

(1)  Bron: door de Europese Centrale Bank gepubliceerde referentiekoers.

---

V Adviezen

ANDERE HANDELINGEN

Europese Commissie

| 8.2.2012 | NL | Publicatieblad van de Europese Unie | C 34/28 |
| --- | --- | --- | --- |

8.2.2012

NL

Publicatieblad van de Europese Unie

C 34/28

---

Kennisgeving aan Monir Chouka, Yassin Chouka en Mevlüt Kar die zijn toegevoegd aan de lijst bedoeld in de artikelen 2, 3 en 7 van Verordening (EG) nr. 881/2002 van de Raad tot vaststelling van beperkende maatregelen tegen sommige personen en entiteiten die banden hebben met het Al-Qaida-netwerk, op grond van Verordening (EU) nr. 97/2012 van de Commissie

| 1. | Gemeenschappelijk Standpunt 2002/402/GBVB (1) roept de Unie op de tegoeden en economische middelen te bevriezen van de leden van de Al-Qaida-organisatie en andere daarmee verbonden personen, groepen, ondernemingen en entiteiten, als bedoeld in de lijst die is opgesteld op grond van Resolutie 1267 (1999) en Resolutie 1333 (2000) van de VN-Veiligheidsraad, die regelmatig wordt bijgewerkt door het VN-Comité dat is ingesteld bij Resolutie 1267 (1999) van de VN-Veiligheidsraad.
  De lijst die is opgesteld door het VN-Comité omvat:






  — | Al-Qaida; |
| --- | --- | --- |

1.

Gemeenschappelijk Standpunt 2002/402/GBVB (1) roept de Unie op de tegoeden en economische middelen te bevriezen van de leden van de Al-Qaida-organisatie en andere daarmee verbonden personen, groepen, ondernemingen en entiteiten, als bedoeld in de lijst die is opgesteld op grond van Resolutie 1267 (1999) en Resolutie 1333 (2000) van de VN-Veiligheidsraad, die regelmatig wordt bijgewerkt door het VN-Comité dat is ingesteld bij Resolutie 1267 (1999) van de VN-Veiligheidsraad.

De lijst die is opgesteld door het VN-Comité omvat:

—

Al-Qaida;

| — | natuurlijke personen, rechtspersonen, entiteiten en lichamen die met Al-Qaida verbonden zijn; alsmede |
| --- | --- |

—

natuurlijke personen, rechtspersonen, entiteiten en lichamen die met Al-Qaida verbonden zijn; alsmede

| — | rechtspersonen, entiteiten en lichamen die in handen zijn van of gecontroleerd worden door, of op enige andere wijze ondersteuning bieden aan deze personen, entiteiten, lichamen en groepen. |
| --- | --- |

—

rechtspersonen, entiteiten en lichamen die in handen zijn van of gecontroleerd worden door, of op enige andere wijze ondersteuning bieden aan deze personen, entiteiten, lichamen en groepen.

Handelingen of activiteiten die erop wijzen dat een persoon, groep, onderneming of entiteit „banden heeft met” Al-Qaida, zijn:

| a) | deelnemen aan het financieren, plannen, faciliteren, voorbereiden of uitvoeren van handelingen of activiteiten van, in samenhang met, uit naam van, ten behoeve of ter ondersteuning van Al-Qaida, of een cel, afdeling, splintergroepering of afsplitsing daarvan; |
| --- | --- |

a)

deelnemen aan het financieren, plannen, faciliteren, voorbereiden of uitvoeren van handelingen of activiteiten van, in samenhang met, uit naam van, ten behoeve of ter ondersteuning van Al-Qaida, of een cel, afdeling, splintergroepering of afsplitsing daarvan;

| b) | leveren, verkopen of overdragen van wapens of daarmee verband houdend materieel aan bedoelde personen of organisaties; |
| --- | --- |

b)

leveren, verkopen of overdragen van wapens of daarmee verband houdend materieel aan bedoelde personen of organisaties;

| c) | aanwerven van personeel voor bedoelde personen of organisaties; of |
| --- | --- |

c)

aanwerven van personeel voor bedoelde personen of organisaties; of

| d) | op andere wijze ondersteunen van handelingen of activiteiten van bedoelde personen of organisaties. |
| --- | --- |

d)

op andere wijze ondersteunen van handelingen of activiteiten van bedoelde personen of organisaties.

| 2. | Het VN-Comité heeft op 25 januari 2012 besloten Monir Chouka, Yassin Chouka en Mevlüt Kar toe te voegen aan de bedoelde lijst. De betrokkenen kunnen te allen tijde een verzoek aan de ombudsman van de VN richten, met ondersteunende documentatie, tot heroverweging van de gronden waarop zij op de bovengenoemde VN-lijst zijn geplaatst. Dit verzoek dient aan het volgende adres te worden gericht:





  United Nations — Office of the Ombudsperson |
| --- | --- |
| Room TB-08041D |
| New York, NY 10017 |
| UNITED STATES OF AMERICA |
| Tel. +1 2129632671 |
| Fax +1 2129631300 / 3778 |
| E-mail: ombudsperson@un.org |

2.

Het VN-Comité heeft op 25 januari 2012 besloten Monir Chouka, Yassin Chouka en Mevlüt Kar toe te voegen aan de bedoelde lijst. De betrokkenen kunnen te allen tijde een verzoek aan de ombudsman van de VN richten, met ondersteunende documentatie, tot heroverweging van de gronden waarop zij op de bovengenoemde VN-lijst zijn geplaatst. Dit verzoek dient aan het volgende adres te worden gericht:

United Nations — Office of the Ombudsperson

Room TB-08041D

New York, NY 10017

UNITED STATES OF AMERICA

Tel. +1 2129632671

Fax +1 2129631300 / 3778

E-mail: ombudsperson@un.org

Voor meer informatie zie: http://www.un.org/sc/committees/1267/delisting.shtml

| 3. | Naar aanleiding van het in punt 2 genoemde besluit van de VN heeft de Commissie Verordening (EU) nr. 97/2012 vastgesteld (2) tot wijziging van bijlage I bij Verordening (EG) nr. 881/2002 van de Raad tot vaststelling van beperkende maatregelen tegen sommige personen en entiteiten die banden hebben met het Al-Qaida-netwerk (3). Bij die wijziging, die overeenkomstig artikel 7, lid 1, onder a), en artikel 7 bis, lid 1, van Verordening (EG) nr. 881/2002 is verricht, worden Monir Chouka, Yassin Chouka en Mevlüt Kar aan de lijst in bijlage I bij die verordening (hierna „bijlage I” genoemd) toegevoegd.
  De onderstaande maatregelen van Verordening (EG) nr. 881/2002 zijn van toepassing op de aan bijlage I toegevoegde personen en entiteiten:






  1. | de bevriezing van alle tegoeden en economische middelen die toebehoren aan, eigendom zijn of in het bezit zijn van deze personen en entiteiten, alsmede het voor iedereen geldend verbod op de terbeschikkingstelling, direct of indirect, van tegoeden en economische middelen aan of ten behoeve van deze personen (artikelen 2 en 2 bis (4)); alsmede |
| --- | --- | --- |

3.

Naar aanleiding van het in punt 2 genoemde besluit van de VN heeft de Commissie Verordening (EU) nr. 97/2012 vastgesteld (2) tot wijziging van bijlage I bij Verordening (EG) nr. 881/2002 van de Raad tot vaststelling van beperkende maatregelen tegen sommige personen en entiteiten die banden hebben met het Al-Qaida-netwerk (3). Bij die wijziging, die overeenkomstig artikel 7, lid 1, onder a), en artikel 7 bis, lid 1, van Verordening (EG) nr. 881/2002 is verricht, worden Monir Chouka, Yassin Chouka en Mevlüt Kar aan de lijst in bijlage I bij die verordening (hierna „bijlage I” genoemd) toegevoegd.

De onderstaande maatregelen van Verordening (EG) nr. 881/2002 zijn van toepassing op de aan bijlage I toegevoegde personen en entiteiten:

1.

de bevriezing van alle tegoeden en economische middelen die toebehoren aan, eigendom zijn of in het bezit zijn van deze personen en entiteiten, alsmede het voor iedereen geldend verbod op de terbeschikkingstelling, direct of indirect, van tegoeden en economische middelen aan of ten behoeve van deze personen (artikelen 2 en 2 bis (4)); alsmede

| 2. | het verbod op de directe of indirecte verstrekking, verkoop, levering of overdracht aan deze personen en entiteiten van technisch advies, bijstand of opleiding in verband met militaire activiteiten (artikel 3); |
| --- | --- |

2.

het verbod op de directe of indirecte verstrekking, verkoop, levering of overdracht aan deze personen en entiteiten van technisch advies, bijstand of opleiding in verband met militaire activiteiten (artikel 3);

| 4. | Artikel 7 bis van Verordening (EG) nr. 881/2002 (5) voorziet in een toetsing wanneer opmerkingen zijn ingediend over de gronden voor opname op de lijst door op de lijst geplaatste personen of entiteiten. De personen en entiteiten die bij Verordening (EU) nr. 97/2012 aan bijlage I zijn toegevoegd, kunnen de Commissie verzoeken om een toelichting over de redenen waarom zij op de lijst zijn opgenomen. Dit verzoek dient aan het volgende adres te worden gericht:





  Europese Commissie |
| --- | --- |
| Beperkende maatregelen |
| Wetstraat 200 |
| 1049 Brussel |
| BELGIË |

4.

Artikel 7 bis van Verordening (EG) nr. 881/2002 (5) voorziet in een toetsing wanneer opmerkingen zijn ingediend over de gronden voor opname op de lijst door op de lijst geplaatste personen of entiteiten. De personen en entiteiten die bij Verordening (EU) nr. 97/2012 aan bijlage I zijn toegevoegd, kunnen de Commissie verzoeken om een toelichting over de redenen waarom zij op de lijst zijn opgenomen. Dit verzoek dient aan het volgende adres te worden gericht:

Europese Commissie

Beperkende maatregelen

Wetstraat 200

1049 Brussel

BELGIË

| 5. | De betrokken personen en entiteiten worden er tevens op geattendeerd dat zij tegen Verordening (EU) nr. 97/2012 beroep kan instellen bij het Gerecht van de Europese Unie, in overeenstemming met artikel 263, vierde en zesde alinea, van het Verdrag betreffende de werking van de Europese Unie; |
| --- | --- |

5.

De betrokken personen en entiteiten worden er tevens op geattendeerd dat zij tegen Verordening (EU) nr. 97/2012 beroep kan instellen bij het Gerecht van de Europese Unie, in overeenstemming met artikel 263, vierde en zesde alinea, van het Verdrag betreffende de werking van de Europese Unie;

| 6. | Voor de goede orde worden de aan bijlage I toegevoegde personen en entiteiten erop geattendeerd dat zij een verzoek kunnen richten tot de bevoegde autoriteiten van de lidstaat of lidstaten, als vermeld in bijlage II bij Verordening (EG) nr. 881/2002, om een machtiging te verkrijgen om bevroren tegoeden, andere financiële activa of economische middelen te gebruiken voor essentiële behoeften of specifieke betalingen, in overeenstemming met artikel 2 bis van die verordening. |
| --- | --- |

6.

Voor de goede orde worden de aan bijlage I toegevoegde personen en entiteiten erop geattendeerd dat zij een verzoek kunnen richten tot de bevoegde autoriteiten van de lidstaat of lidstaten, als vermeld in bijlage II bij Verordening (EG) nr. 881/2002, om een machtiging te verkrijgen om bevroren tegoeden, andere financiële activa of economische middelen te gebruiken voor essentiële behoeften of specifieke betalingen, in overeenstemming met artikel 2 bis van die verordening.

---

(1)  PB L 139 van 29.5.2002, blz. 4.

(2)  PB L 35 van 8.2.2012, blz. 4.

(3)  PB L 139 van 29.5.2002, blz. 9.

(4)  Artikel 2 bis is ingevoegd bij Verordening (EG) nr. 561/2003 van de Raad (PB L 82 van 29.3.2003, blz. 1).

(5)  Artikel 7 bis is ingevoegd bij Verordening (EU) nr. 1286/2009 van de Raad (PB L 346 van 23.12.2009, blz. 42).

---