BG Официален вестник на Европейския съюз C 200/1

Становище на Европейския надзорен орган по защита на данните относно предложението за регламент на Европейския парламент и на Съвета за изменение на Регламент (EO) № 2252/2004 на Съвета относно стандартите за отличителните знаци за сигурност и биометричните данни в паспортите и документите за пътуване, издавани от държавите-членки

(2008/C 200/01)

ЕВРОПЕЙСКИЯТ НАДЗОРЕН ОРГАН ПО ЗАЩИТА НА ДАННИТЕ,

като взе предвид Договора за създаване на Европейската общност, и по-специално член 286 от него,

като взе предвид Хартата на основните права на Европейския съюз, и по-специално член 8 от нея,

като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни,

като взе предвид Регламент (ЕО) № 45/2001 на Европейския парламент и на Съвета от 18 декември 2000 г. относно защитата на лицата по отношение на обработката на лични данни от институции и органи на Общността и за свободното движение на такива данни, и по- специално член 41 от него,

ПРИЕ СЛЕДНОТО СТАНОВИЩЕ:

1. ВЪВЕДЕНИЕ

1. На 18 октомври 2007 г. Европейската комисия внесе в Европейския парламент и в Съвета предложение за регламент (наричано по-нататък „предложението“) с цел изменение на Регламент (ЕО) № 2252/2004 (1). Консултация с Европейския надзорен орган по защита на данните (ЕНОЗД) не е потърсена по повод на това предложение, въпреки че съгласно член 28, параграф 2 от Регламент (ЕО) № 45/2001 Комисията се консултира с ЕНОЗД, когато приема законодателни предложения, свързани със защитата на личните права и свободи по отношение на обработването на лични данни.

2. ЕНОЗД изразява съжалението си, че Комисията не е спазила правното си задължение да се консултира с него и очаква в бъдеще да се консултират с него по всички предложения, които попадат в обхвата на член 28, параграф 2. ЕНОЗД реши да издаде становище по собствена инициатива. Предвид задължителния характер на член 28, параграф 2, настоящото становище следва да бъде упоменато в преамбюла на текста.

3. Предисторията на предложението е както следва: на 13 декември 2004 г. Съветът прие Регламент (ЕО) № 2252/2004 относно стандартите за отличителните знаци за сигурност и биометричните данни в паспортите и документите за пътуване, издавани от държавите-членки, с цел да се въведат в паспортите биометрични данни. Наред с елементите на сигурност, биометричните данни имат за цел да засилят връзката между паспорта и притежателя на документа. На 28 февруари 2005 г. Комисията прие първата част от техническите спецификации (2), свързани със съхранението на портретна снимка на притежателя върху безконтактен чип. На 28 юни 2006 г. Комисията прие второ Решение (3) във връзка с допълнителното съхраняване на два пръстови отпечатъка в паспортния чип.

4. С цел хармонизиране на изключенията при биометричните паспорти, в предложението са добавени следните мерки: деца на възраст под шест години се освобождават от задължението да предоставят пръстови отпечатъци, а лицата, които нямат физическа възможност да предоставят пръстови отпечатъци, следва също така да бъдат освободени от това изискване.

5. Освен това, в предложението се въвежда задължението за „едно лице — един паспорт“, което е описано като допълнителна мярка за сигурност и допълнителна защита на децата.

6. ЕНОЗД приветства факта, че Комисията е взела предвид съображението във връзка с помощните процедури, изтъкнато в предходното му становище, както е посочено в обяснителния меморандум на предложението.

7. ЕНОЗД изразява съжаление, че Комисията не е извършила оценка на въздействието за това предложение. Поради това остава неясен начинът, по който Комисията е била в състояние правилно да оцени необходимостта и пропорционалността на предложението по отношение на въпросите, касаещи защитата на данните, без подкрепата на стриктна оценка на въздействието. Този анализ не бива да се ограничава до разходите, които новите мерки биха породили, и би могъл да се възползва от подобни въпроси, повдигани преди това в контекста на други предложения, например предложението относно прегледа на Общите консулски инструкции (4). Липсата на оценка на въздействието също подчертава необходимостта от преглед на възрастовите граници, посочени в предложението, както е обяснено допълнително в част 2.1 от настоящото становище.

2. АНАЛИЗ НА ПРЕДЛОЖЕНИЕТО

2.1. Освобождаване от задължението за предоставяне на биометрични данни

8. ЕНОЗД нееднократно е отбелязвал предимствата на използването на биометрични данни, но също така подчертава, че ползата от тях зависи от прилагането на стриктни предпазни мерки. В становището си относно ШИС II (5) ЕНОЗД предлага неизчерпателен списък на общите задължения или изисквания, които следва да бъдат спазвани при използването на биометрични данни в дадена система. Тези елементи ще спомогнат да се избегне положение, при което притежателят на паспорта трябва да понесе тежестта на несъвършенствата на системата, като например последиците от погрешна идентификация или пропуск при картотекирането.

9. Поради това ЕНОЗД изразява своята силна подкрепа за предложението на Комисията да се въведат изключения от изискването за предоставяне на пръстови отпечатъци на основание възрастта на лицето или неспособността му да предостави пръстови отпечатъци. Тези изключения са част от помощните процедури, които следва да се прилагат. ЕНОЗД приветства също така усилията на Комисията за възприемане на съгласуван подход при различните инструменти, които се занимават със сходни въпроси, като предложение за изключения е внесено също и в предложението относно прегледа на Общите консулски инструкции.

10. ЕНОЗД все пак продължава да счита тези изключения за незадоволителни, тъй като те не предоставят решение на всички възможни и съществени въпроси, породени от присъщите на биометричните системи несъвършенства, по-специално — въпросите, свързани с деца и хора в напреднала възраст.

По случая за децата

11. В обяснителния меморандум на предложението Комисията се позовава на осъществени в някои държави-членки пилотни проекти, които показват, че пръстовите отпечатъци на „децата под 6-годишна възраст не са с необходимото качество за проверка на самоличността при сравняване едно-към-едно“. Но информацията, която се дава за тези пилотни изследвания и за обстоятелствата, при които са проведени, е недостатъчна или отсъства такава; до момента не е дадено определение на значението на израза „с необходимото качество“.

12. Според ЕНОЗД възрастовите граници за предоставяне на пръстови отпечатъци от деца следва да се определят на базата на систематично и задълбочено проучване, с което да се установи правилно точността на системите в реални условия и което отразява многообразието на обработваните данни. Пилотните проекти сами по себе си не предоставят достатъчно информация, на която законодателят на Общността може да се основава при вземането на фундаментални решения за предпочитания от него вариант.

13. В своето становище (6) относно предложението за регламент за изменение на Общите консулски инструкции ЕНОЗД също подчертава необходимостта от такова проучване преди да се определят каквито и да било възрастови граници. В наличната научна литература и в предходното проучване на въздействието, проведено от Комисията в рамките на предложението за Визовата информационна система (7), няма представени решаващи доказателства за солидно обосновани възрастови граници за децата.

14. Поради това ЕНОЗД препоръчва възрастовите граници, дадени в предложението, да се считат за примерни. Възрастовите граници следва да се преразгледат след период от три години на базата на мащабно и задълбочено проучване. Предвид чувствителния характер на биометричните данни, както и конкурентния аспект на биометричните системи, ЕНОЗД предлага това проучване да се извърши най-добре под ръководството на една европейска институция, която има доказан опит и материална база за изследвания в тази област (8). Всички заинтересовани участници — от представителите на съответния сектор до съответните органи на държавите-членки, следва да бъдат поканени да дадат своя принос към проучването.

15. Преди да се определи ясно възрастовата група чрез това проучване и за да се избегнат евентуални рискови последици, ЕНОЗД препоръчва приложимите възрастови граници да съответстват на вече възприетите за големи групи хора по силата на Регламента за системата „Евродак“ (9) във връзка с лицата, търсещи убежище (възрастовата граница за вземане на пръстови отпечатъци от деца е 14 години) или програмата на САЩ за посетители (10) (също с възрастова граница 14 години). Възрастовите граници могат да бъдат дори малко по-ниски, тъй като използването на биометрични данни се ограничава само до процеса на удостоверяване (сравняване едно към едно) съгласно член 4, параграф 3 от Регламент (ЕО) № 2252/2004. Факт е, че при този процес се получават по-малко грешки в сравнение с процеса на идентифициране (сравняване едно към повече), където процентът на грешките е по-голям.

По случая за лицата в напреднала възраст

16. Несъвършенството на системите за пръстови отпечатъци засяга не само лицата в ранна детска възраст, но и тези в напреднала възраст. Доказано е, че точността и годността на пръстовите отпечатъци намаляват с напредването на възрастта (11), а също така от особено значение са и някои аспекти, свързани с удобството и ергономиката. Следвайки обосновката във връзка с възрастовите граници за деца, препоръката на ЕНОЗД е като допълнително изключение да се въведе възрастова граница за лица в напреднала възраст, която може да се основава на вече възприет в практиката подобен опит (в Програмата на САЩ за посетители възрастовата граница е 79 години). Качеството на пръстовите отпечатъци на хора в напреднала възраст, взети за целите на картотекирането и сравняването, също трябва да бъде част от предложеното по-горе проучване.

17. Накрая ЕНОЗД припомня, че с тези изключения по никакъв начин не бива да се заклеймяват или дискриминират лицата, за които се отнасят, поради тяхната възраст, в качеството им на предпазна мярка или защото очевидно предоставят неясни пръстови отпечатъци.

2.2. „Едно лице — един паспорт“

18. Съгласно обясненията, предоставени на уебсайта на Международната организация за гражданско въздухоплаване (ИКАО), препоръката за „едно лице — един паспорт“ (12) е предназначена главно като евентуално решение на проблема за отсъствието на стандартизация по отношение на семейните паспорти и появата на паспорти за машинно разчитане. ЕНОЗД признава, че тази концепция би могла — като допълнителна полза — да допринесе за борбата срещу трафика на деца. Основната цел на паспортите обаче е да се улесни пътуването на европейските граждани, а не борбата с отвличането на деца, за което са разработени допълнително конкретни и ефикасни мерки.

19. Според направено неотдавна проучване (13), повечето рискове от трафик и отвличане са насочени предимно към малолетни, които пътуват сами. Видно е, че за тази категория лица притежаването на личен документ за пътуване представлява допълнителна защита. Трябва обаче да се подчертае, че според Международната асоциация за въздушен транспорт (IATA) не се разрешава пътуване на деца на възраст под 6 години, без да са придружавани от лице със съответните родителски права.

20. В обяснителния меморандум на предложението Комисията посочва като пример за необходимостта от тази мярка за сигурност случая, в който родителят и децата са регистрирани в един и същ паспорт, и факта, че в чипа на паспорта няма да има съхранени биометрични данни на децата, а само на родителя. Трябва да се подчертае, че за децата, които са на възраст под предлаганата от Комисията възрастова граница, биометричните им данни и без това няма да се съхраняват в паспорта. В този случай тежестта на допълнителните разходи и процедурата за родителите, както и допълнителното събиране на лични данни, свързани с децата, изглеждат прекомерни, като се вземе предвид възможната добавена стойност, която се предлага от този принцип.

21. Трябва също така да се подчертае, че осигуряването на техническа възможност (ако на децата, освободени от това изискване, се предостави биометричен паспорт) в много случаи се превръща в мощен стимул за действително събиране или предоставяне на достъп до тези данни. Със сигурност се знае, че когато са налице технически средства, те ще се използват; с други думи — понякога средството оправдава целта, а не обратното. Вследствие на това може да възникнат искания за облекчаване на правните норми (и по-ниска възрастова граница), за да се улесни използването на наличните технически възможности. При това положение правните изменения биха могли единствено да потвърдят вече възприетата практика.

22. Препоръката на ЕНОЗД е да се прилага принципът на „едно лице — един паспорт“ само за децата на възраст, над предложената от Комисията или над тази, която бъде разгледана и потвърдена от посоченото по-горе проучване.

2.3. „Пораждащи“ документи

23. Издаването на паспорти в държавите-членки на ЕС се урежда от националното законодателство на съответните държави-членки. Националното законодателство изисква да се представят различни документи, като свидетелство за раждане, свидетелство за гражданство, семеен регистър, удостоверение за родителски права, шофьорска книжка, финансов документ за плащане на комунални услуги и др. Тези документи обикновено се наричат „пораждащи“ документи, тъй като е възможно издаването на паспорт на тяхна основа.

24. Законодателството в различните държави-членки на ЕС се различава доста съществено в това отношение. При начините на издаване на „пораждащите“ документи в държавите-членки, както и документите, които се изискват за издаването на паспорт, се наблюдава голямо разнообразие от ситуации и процедури, които неизбежно понижават качеството на данните в паспортите и дори увеличават риска от кражба на идентичност.

25. При „пораждащите“ документи, в които обикновено са включени по-малко елементи за сигурност, има по-голяма вероятност да бъдат подправени и фалшифицирани отколкото при паспортите със засилена степен на сигурност, в които се използват биометрични данни, защитени със системи с инфраструктура за публичен ключ (PKI).

26. ЕНОЗД приветства целта на Комисията да засили мерките за сигурност на паспортите, но едновременно с това би желал да подчертае, че паспортът е само едно звено във веригата на сигурността, която започва от т.нар. „пораждащи“ документи и завършва с контролно-пропускателните пунктове; както и че сигурността на тази верига се равнява на сигурността на най-слабото ѝ звено. Поради това препоръката на ЕНОЗД е Комисията да предложи допълнителни мерки за хармонизиране на начините, по които се издават „пораждащи“ документи, както и да се уточни кои от тях се изискват за издаване на паспорт.

2.4. Прилагане на Регламент (EO) № 2252/2004 и нововъзникнали въпроси

Съхранение на биометричните данни

27. Според задълбоченото проучване (14), което е проведено от работна група „Защита на данните/член 29“ по заявка на комисията по граждански свободи, правосъдие и вътрешни работи към Европейския парламент и което е насочено към практиките за прилагането на Регламент (EO) № 2252/2004, няколко държави-членки предвиждат създаването на централна база данни за съхранение на паспортни биометрични данни. Макар да е възможно държавите-членки да въведат само процедура за верифициране на биометричните данни посредством централизирана база данни съгласно изричното уточнение в Регламента, този вариант поставя допълнителни рискове по отношение на защитата на личните данни, като например появата на допълнителни цели, непредвидени в регламента, и дори опити за незаконно извличане на данни от базата, на които ще е трудно да се противодейства (15).

28. ЕНОЗД препоръчва Комисията да изготви предложение за по-нататъшни мерки за хармонизация, с цел по отношение на биометричните данни, събирани за издаваните в държавите-членки на ЕС паспорти, да се въведе само децентрализирано съхранение (в безконтактния чеп на паспорта).

Процеси на картотекиране и сравняване

29. В решението на Комисията от 28 юни 2006 г. (16), C(2006) 2909, се определят само форматът и качеството на изображенията на пръстови отпечатъци, които следва да се обработват, както и по какъв начин трябва да бъдат защитени (разширен контрол върху достъпа). В предложението не се посочва нито процентът на евентуалните пропуски в картотекирането (Failure to Enrol Rate — FER), нито съответните проценти на грешка в процеса на сравняване. Вярно е, че в предложението се предвижда помощна процедура за малки деца (възрастова граница), но не се определя праг на възрастта, извън който пръстовите отпечатъци са негодни за картотекиране.

30. По отношение на процеса на сравняване, в предложението не се определя и какъв процент на погрешно отхвърляне (False Rejection Rate — FRR) следва да се прилага на граничния пункт, нито как следва да се постъпи с лицата, за които е видно, че са били погрешно отхвърлени. Липсата на единни параметри може да доведе до различия в процесите за работа с биометрични данни на гражданите на ЕС в зависимост от границата, която лицето е избрало за влизане в Шенгенското пространство, което пък може да доведе до липса на еднакво третиране на европейските граждани поради остатъчния риск в системите за биометрични данни. Тъй като става дума за верификационен процес, ЕНОЗД съзнава, че процентът на погрешно отхвърляне (FRR) ще бъде по-нисък отколкото прилагания в процеса на идентификация и следователно тези случаи ще са по-малко на брой. Необходимо е обаче и помощните процедури за тези лица да се определят по хармонизиран и задоволителен начин.

31. Препоръката на ЕНОЗД е Комисията, съвместно със съответните органи на държавите-членки, да изготви предложение за общи параметри за процесите на картотекиране и сравняване, допълнени с помощни процедури.

3. ЗАКЛЮЧЕНИЕ

32. Предложените изменения на действащите правила за стандартите за елементите на сигурност и биометрични данни в паспортите и документите за пътуване, издавани от държавите-членки, са повод за повдигане на въпроси, сходни с повдигнатите в предходни становища, въпреки че ЕНОЗД приветства факта, че необходимостта от помощни процедури е взета предвид.

33. ЕНОЗД приветства също така въвеждането на изключения на основата на възрастта на лицето или на способността му да предостави пръстови отпечатъци, както и усилието да се възприеме съгласуван подход в различните инструменти, с които се работи по сходни въпроси.

34. ЕНОЗД все пак продължава да счита тези изключения за незадоволителни, тъй като те не предоставят решение на всички възможни и съществени въпроси, породени от присъщите на биометричните системи несъвършенства, по-специално — въпросите, свързани с деца и хора в напреднала възраст.

35. Възрастовата граница за предоставяне на пръстови отпечатъци от деца следва да се определи на базата на систематично и задълбочено проучване, с което да се установи правилно прецизността на системите в реални условия, както и да се отрази многообразието на обработваните данни. Проучването следва да се извърши от европейска институция с доказан експертен опит и със съответната материална база в тази сфера.

36. Преди на базата на проучването да се определи възрастовата граница и за да се избегнат евентуални рискови последици, примерната възрастова граница следва да съответства на вече възприетите за големи групи хора или в системата „Евродак“, или по програмата на САЩ за посетители (възраст 14 години), или да бъде малко по-ниска, тъй като касае само процеса на верифициране.

37. Като допълнително изключение следва да се въведе възрастова граница за лица в напреднала възраст, която може да се основава на подобен опит (Програма на САЩ за посетители: възраст 79 години). Тези изключения не бива по никакъв начин да заклеймяват или дискриминират засегнатите лица.

38. Принципът „едно лица — един паспорт“ следа да се прилага само за деца на възраст по-голяма от съответната възрастова граница.

39. С оглед на разнообразието от национални норми по отношение на документите, които се изискват за издаване на паспорти, Комисията следва да предложи допълнителни мерки за хармонизиране на издаването и използването на този вид „пораждащи“ документи.

40. Комисията следва също така да изготви предложение за по-нататъшни мерки за хармонизиране, с цел да се въведе само децентрализирано съхранение на биометричните данни, събирани за паспортите в държавите-членки.

41. Накрая, Комисията, съвместно със съответните органи на държавите-членки, следва да изготви предложение за общи параметри за процесите на картотекиране и сравняване, допълнени с помощни процедури.

Съставено в Брюксел на 26 март 2008 г. Peter HUSTINX Европейски надзорен орган по защита на данните

(1) COM(2007) 619 окончателен.

(2) Решение C(2005) 409 се намира на следния адрес:

http://ec.europa.eu/justice_home/doc_centre/freetravel/documents/doc_freetravel_documents_en.htm

(3) Решение C(2006) 2909 се намира на следния адрес:

http://ec.europa.eu/justice_home/doc_centre/freetravel/documents/doc_freetravel_documents_en.htm

(4) Предложение за регламент на Европейския парламент и на Съвета за изменение на Общите консулски инструкции за издаване на визи от дипломатическите и консулските служби във връзка с въвеждането на биометрични данни и за включване на разпоредби относно организацията на приемането и обработването на заявления за издаване на визи (COM(2006) 269 окончателен).

(5) Становище от 19 октомври 2005 г. по три предложения относно второто поколение Шенгенска информационна система (ШИС II) (COM(2005) 230 окончателен, COM(2005) 236 окончателен и COM(2005) 237 окончателен) (ОВ C 91, 19.4.2006 г., стр. 38).

(6) Становище от 27 октомври 2006 г. относно предложението за регламент на Европейския парламент и на Съвета за изменение на Общите консулски инструкции за издаване на визи от дипломатическите и консулските служби във връзка с въвеждането на биометрични данни и за включване на разпоредби относно организацията на приемането и обработването на заявления за издаване на визи (COM(2006) 269 окончателен) — 2006/0088 (COD) (ОВ C 321, 29.12.2006 г., стр. 38).

(7) Предложение за регламент на Европейския парламент и на Съвета относно визовата информационна система (ВИС) и обмена на данни между държавите-членки относно визите за краткосрочно пребиваване (COM(2004) 0835 окончателен), представено от Комисията на 28 декември 2004 г.

(8) Предложението на ЕНОЗД в тази връзка е въпросната задача да се възложи на Съвместния изследователски център на Европейската комисия.

(9) Регламент (ЕО) № 2725/2000 на Съвета от 11 декември 2000 г. за създаване на система „Евродак“ за сравняване на дактилоскопични отпечатъци с оглед ефективното прилагане на Дъблинската конвенция (ОВ L 316, 15.12.2000 г., стр. 1).

(10) Изключенията в рамките на Програмата на САЩ за посетители могат да се намерят на следния адрес:

http://www.dhs.gov/xtrvlsec/programs/editorial_0527.shtm

(11) Оценка на качеството на изображенията на пръстови отпечатъци: лица в напреднала и ранна възраст [Fingerprint Image Quality Evaluation: Elderly and Younger Populations] N.C. Sickler & S.J. Elliott, Ph.D., Department of Industrial Technology, School of Technology, Purdue University, West Lafayette, IN 47907,

A. Hicklin and R. Khanna, Ролята на качеството на данните в биометричните системи [The Role of Data Quality in Biometric Systems], MTS, 9 февруари 2006 г.

(12) http://www.icao.int/icao/en/atb/fal/passport_concept.htm

(13) Проучването може да се намери тук:

http://www.childfocus.be/fr/activities_5_2.php?id=112

Резюме на проучването на английски език може да се намери тук:

http://www.childfocus.be/uploads/documents/114-414-samenvatting %20eng %20definitief.doc

(14) Вж. писмото от 10 декември 2007 г., със съответното приложение, на председателя на работната група по член 29 до председателя на комисията по граждански свободи, правосъдие и вътрешни работи относно паспортите в ЕС, което може да се намери на следните адреси:

http://ec.europa.eu/justice_home/fsj/privacy/docs/wpdocs/others/2007_12_10_letter_cavada_biopassports_en.pdf

http://ec.europa.eu/justice_home/fsj/privacy/docs/wpdocs/others/2007_12_10_letter_cavada_biopassports_replies_en.pdf

(15) Вж. становището на работна група „Защита на данните/член 29“, док. 3/2005 от 30 септември 2005 г. (WP 112).

(16) Вж. бележка под линия 3.