CS Úřední věstník Evropské unie C 55/4

Shrnutí stanoviska evropského inspektora ochrany údajů k návrhu nařízení o systému ECRIS-TCN

[Úplné znění tohoto stanoviska je k dispozici v angličtině, francouzštině a němčině na webových stránkách evropského inspektora ochrany údajů na adrese www.edps.europa.eu.]

(2018/C 55/05)

Současný Evropský informační systém rejstříku trestů (ECRIS), zřízený rámcovým rozhodnutím Rady 2009/315/SVV (1), podporuje výměnu informací o odsouzení v trestním řízení zejména v souvislosti se soudní spoluprací. ECRIS lze používat rovněž k jiným účelům, než jsou trestní řízení, v souladu s vnitrostátním právem dožadujícího a dožádaného členského státu. Přestože lze současný systém ECRIS používat pro státní příslušníky třetích zemí (dále jen „TCN“ – third country nationals), nečiní se tak efektivně. Z tohoto důvodu jsou zlepšení oprávněná.

Účinnost ECRIS pro státní příslušníky třetích zemí byla zdůrazněna v Evropském programu pro bezpečnost a stala se legislativní prioritou pro rok 2017. Již v roce 2016 přijala Komise návrh směrnice, kterou se mění stávající právní předpisy a zavádí zlepšení pro státní příslušníky třetích zemí prostřednictvím decentralizovaného systému s použitím index-filtru s otisky prstů uloženými ve formě hašovaných šablon. Toto řešení narazilo na technické problémy. Návrh nařízení o systému ECRIS-TCN, přijatý dne 29. června 2017, vytváří centrální databázi EU, kde jsou uloženy informace o totožnosti státních příslušníků třetích zemí, včetně otisků prstů a zobrazení obličeje, a určeny k použití na základě vyhledávání shody za účelem zjištění členského státu, který má informace o odsouzení státního příslušníka třetí země v trestním řízení. Kromě toho je návrh centrálního systému ECRIS-TCN částečně odůvodněný jako podpora budoucí interoperability rozsáhlých systémů EU v prostoru svobody, bezpečnosti a práva.

Evropský inspektor ochrany údajů (EIOÚ) sleduje věc od zahájení jednání o vytvoření systému ECRIS. Vydal již dvě stanoviska a vzal na vědomí důležitost účinné výměny informací pro občany EU, jakož i pro státní příslušníky třetích zemí. Tento postoj se nemění.

Toto stanovisko se zabývá konkrétními problémy, které návrh nařízení přináší. Podle potřeby se odkazuje na návrh směrnice, neboť oba návrhy se mají vzájemně doplňovat. EIOÚ vyjadřuje čtyři hlavní obavy a další doplňující doporučení, blíže popsaná ve stanovisku. V souhrnu EIOÚ doporučuje, aby vzhledem k tomu, že ECRIS je systém přijatý Evropskou unií před Lisabonskou smlouvou, tyto nové návrhy směrnice a nařízení pozvedly systém na úroveň požadovanou článkem 16 Smlouvy o fungování Evropské unie a Listiny základních práv EU, včetně splnění požadavků ohledně zákonného omezení základních práv.

Potřeba centrálního systému EU by měla být předmětem posouzení dopadů, které by mělo rovněž přihlížet k dopadu koncentrace řízení všech rozsáhlých databází EU v prostoru svobody, bezpečnosti a práva v jediné agentuře. Očekávat v této souvislosti interoperabilitu by bylo předčasné, neboť tato koncepce by měla být nejprve postavena na právním základě a mělo by být zajištěno, aby splňovala zásady ochrany údajů.

Jiné účely zpracování údajů, než je trestní řízení, které se v případě ECRIS a ECRIS-TCN předpokládají, by měly být jasně vymezeny v souladu se zásadou omezení účelu v rámci zásad ochrany údajů. To platí také pro přístup ze strany unijních orgánů, který by rovněž měl být vyhodnocen s ohledem na právo na rovné zacházení s občany EU a státními příslušníky třetích zemí. Musí být prokázáno, že přístup ze strany orgánů EU je nezbytný, přiměřený, v souladu s účelem ECRIS a přísně se omezující na relevantní úkoly, jež jsou součástí mandátu takových orgánů EU.

Zpracování dotčených osobních údajů, jež jsou ze své povahy velmi citlivé, by se mělo přísně řídit zásadou nezbytnosti: shoda by měla být při vyhledávání nalezena pouze v případě, že dožádaný členský stát je podle svého vnitrostátního práva oprávněn poskytovat informace o odsouzení v trestním řízení pro jiné účely než pro účely trestního řízení. Zpracování otisků prstů by mělo být omezeno z hlediska rozsahu a mělo by k němu docházet pouze v případě, že totožnost určitého státního příslušníka třetí země nelze zjistit jinými prostředky. Pokud jde o zobrazení obličeje, EIOÚ doporučuje provést nebo zpřístupnit (pokud již bylo provedeno) důkazy podložené posouzení potřeby shromažďovat takové údaje a používat je pro účely ověření nebo také zjištění totožnosti.

Návrh nařízení nepřesně označuje agenturu eu-LISA za zpracovatele. EIOÚ doporučuje agenturu eu-LISA a ústřední orgány členských států určit jako společné správce údajů. Dále doporučuje v hmotněprávním ustanovení jednoznačně uvést, že agentura eu-LISA nese odpovědnost za případné porušení tohoto návrhu nařízení a nařízení Evropského parlamentu a Rady (ES) č. 45/2001 (2).

1. ÚVOD A ZÁKLADNÍ INFORMACE

1. Dne 29. června 2017 Evropská komise zveřejnila návrh nařízení, kterým se zřizuje centralizovaný systém pro zjišťování členských států, jež mají informace o odsouzeních státních příslušníků třetích zemí a osob bez státní příslušnosti, za účelem doplnění a podpory Evropského informačního systému rejstříku trestů (systém ECRIS-TCN) a mění nařízení (EU) č. 1077/2011 (dále jen „návrh nařízení“) (3). K návrhu je přiložen analytický podpůrný dokument (4). Ve stejný den Evropská komise přijala první statistickou zprávu o výměně informací z rejstříku trestů mezi členskými státy prostřednictvím Evropského informačního systému rejstříku trestů (ECRIS), jak předpokládá článek 7 rozhodnutí Rady 2009/316/SVV (5).

2. Cílem návrhu nařízení je zlepšit výměnu informací o státních příslušnících třetích zemí a občanech EU, kteří jsou rovněž státními příslušníky třetích zemí. Základní zásadou stávajícího systému ECRIS je, že informace o odsouzení občanů EU v trestním řízení lze získat od členského státu, jehož je dotyčná osoba státním příslušníkem a který uchovává informace o veškerých odsouzeních v trestním řízení bez ohledu na to, kde v EU byla vydána. Pokud jde o státní příslušníky třetích zemí, každý členský stát uchovává informace o odsouzeních, která vydal. Proto musí být žádost o informace zaslána všem členským státům. Odpovídání na „plošné žádosti“ přináší podle Komise administrativní zátěž a vysoké náklady, pokud by systém ECRIS měl být používán systematicky k získávání informací o státních příslušnících třetích zemí. Členské státy s používáním systému váhají (podle statistické zprávy se státních příslušníků třetích zemí týká 10 % žádostí (6)), a informace o dřívější trestné činnosti státních příslušníků třetích zemí nejsou dostupné tak, jak se předpokládalo (7). Zlepšování účinnosti systému ECRIS ve vztahu ke státním příslušníkům třetích zemí je urychleno Evropským programem pro bezpečnost (8) a je jednou z legislativních priorit pro rok 2017 (9).

3. Návrh nařízení doplňuje Komise návrhem směrnice ze dne 19. ledna 2016, kterým se mění Rámcové rozhodnutí Rady 2009/315/SVV, pokud jde o výměnu informací o státních příslušnících třetích zemí a o Evropský informační systém rejstříku trestů (ECRIS), a nahrazuje rozhodnutí Rady 2009/316/SVV (dále jen „návrh směrnice“).

4. Oběma návrhům je společné to, že zřizují systém pro určování členských států, které mají informace o odsouzeních státních příslušníků třetích zemí a občanů EU, kteří mají rovněž státních občanství třetí země. Návrh směrnice předpokládá decentralizovaný systém, který nebude jednotnou databází EU, nýbrž v němž bude každý členský stát udržovat soubor „index-filtru“. Uvažovalo se o tom, že tento soubor bude v kódované podobě dostávat informace o státních příslušnících třetích zemí z rejstříků trestů členských států a předáván do všech členských států. Členské státy by pak srovnávaly svoje vlastní údaje s dotyčným souborem a na základě systému nalezení či nenalezení shody by zjistily, který členský stát má informace o odsouzení určitého státního příslušníka třetí země. Zpracování otisků prstů předpokládal již návrh směrnice, avšak v posouzení dopadů z roku 2016 bylo použití otisků prstů zvažováno jako jedna z možností, na rozdíl od návrhu nařízení, který jejich používání ukládá povinně. Komise vysvětluje, že teroristické útoky uspíšily podporu systematického používání otisků prstů pro účely zjištění totožnosti (10). Po přijetí návrhu směrnice studie ukázala studie proveditelnosti, že v současnosti neexistuje žádná vyspělá technologie pro porovnání jednoho s mnoha otisky prstů s použitím hašovaných šablon.

5. Návrh nařízení v reakci na zjištěné technické problémy předpokládá namísto toho centralizovaný systém, který obsahuje alfanumerické údaje, otisky prstů a zobrazení obličeje státních příslušníků třetích zemí. Alfanumerické údaje a otisky prstů lze používat k zjištění totožnosti státních příslušníků třetích zemí a zobrazení obličeje nejprve pro účely ověření a poté, co bude technologie důkladně propracována, také k zjištění totožnosti. „Ústřední orgán“ členského státu, který rozsudek vydal, zadává údaje do místního systému ECRIS TCN, který tyto údaje předává do centrálního systému EU. Na základě vyhledávání shody může dožadující členský stát určit členské státy, které mají informace o odsouzeních státního příslušníka třetí země, a pak si tyto informace vyžádat pomocí stávajícího systému ECRIS, který vylepšuje návrh směrnice. Jsou-li k zjištění totožnosti použity otisky prstů, bylo by rovněž možné poskytnout příslušné alfanumerické údaje. Databáze EU je svěřena agentuře eu-LISA a za tímto účelem návrh nařízení mění nařízení o agentuře eu-LISA (EU) č. 1077/2011.

6. Dále je řešení centralizovaného systému dáno do souvislosti s předpokládanou interoperabilitou všech informačních systémů pro bezpečnost, správu hranic a řízení migrace. Ve skutečnosti je mezi důvody pro zvolení centralizovaného systému zdůrazňována právě interoperabilita spíše než zjištěné technické problémy (11). ECRIS je rovněž součástí plánu Rady na posílení výměny informací a správy informací a řešení interoperability (12). Interoperabilita se systémem ECRIS se rovněž předpokládá v návrhu systému ETIAS (13).

7. Po vzájemném sladění se oba návrhy mají doplňovat. Zatímco návrh nařízení by měl řešit otázky týkající se centralizovaného systému, návrh směrnice by měl upravovat otázky obecné povahy týkající se fungování systému ECRIS pro státní příslušníky třetích zemí i občany EU (14). Výbor LIBE Evropského parlamentu v roce 2016 přijal zprávu o návrhu směrnice (15), zatímco návrh zprávy o návrhu nařízení přijal dne 30. října 2017 (16). Rada nejprve pozastavila jednání o návrhu směrnice na základě žádosti členských států o předložení návrhu na vytvoření centralizovaného systému, který byl Komisi předán na jednání Rady dne 9. června 2016 (17), a v současnosti zkoumá souběžně oba návrhy (18).

8. ECRIS-TCN je důležitou iniciativou zabývající se informačními systémy v prostoru svobody, bezpečnosti a práva. EIOÚ sleduje věc od zahájení jednání o vytvoření systému ECRIS. První stanovisko k systému ECRIS bylo vydáno v roce 2006 (19), jak bylo tehdy určeno rámcovým rozhodnutím Rady 2009/315/SVV, a v roce 2016 se EIOÚ ve stanovisku 3/2016 zabýval návrhem směrnice (20).

9. V obou stanoviscích EIOÚ bere na vědomí důležitost efektivní výměny informací z rejstříků trestů odsouzených osob i potřebu mít systém, který účinně funguje pro státní příslušníky třetích zemí, zejména v souvislosti s přijetím Evropského programu pro bezpečnost (21). Tento postoj se nemění.

10. Toto stanovisko vychází ze stanoviska 3/2016 a zabývá se konkrétními problémy, které návrh nařízení přináší. Podle potřeby se stanovisko rovněž odkazuje na návrh směrnice. V oddíle 2 EIOÚ uvádí své hlavní obavy a poskytuje doporučení, jak je vyřešit. Další obavy a doporučení týkající se dalších zlepšení jsou popsány v oddíle 3.

3. ZÁVĚR

66. Po pečlivé analýze návrhu systému ECRIS-TCN vydává EIOÚ následující doporučení:

67. EIOÚ doporučuje při vytváření nové centrální databáze EU a změně stávajících právních předpisů o systému ECRIS zohlednit požadavky Listiny základních práv EU týkající se zákonného omezení základních práv a zajistit dostatečnou úroveň ochrany osobních údajů v souvislosti s návrhem nařízení.

68. EIOÚ zejména připomíná potřebu objektivně prokázat nezbytnost vytvoření centralizovaného systému na úrovni EU. V této souvislosti by interoperabilita měla být nejprve posouzena z hlediska dopadu na základní práva a její účely by měly být jednoznačně vymezeny spolu s účely systému ECRIS. Pokud jde o tento aspekt, návrh nařízení by mělo doplňovat odpovídající posouzení dopadů na základní práva na soukromí a ochranu osobních údajů a posouzení dopadů koncentrace všech systémů v jediné agentuře.

69. Vytvoření nové centrální databáze EU a změna stávajících právních předpisů o systému ECRIS by měly splňovat požadavky na zákonné omezení základních práv v souladu se zavedenou judikaturou. Do této míry by jiné účely zpracování údajů, než je trestní řízení, které se v případě ECRIS a ECRIS-TCN předpokládají, měly být posouzeny z pohledu jejich nezbytnosti a přiměřenosti a jasně vymezeny v souladu se zásadou omezení účelu v rámci zásad ochrany údajů. Kromě toho by přístup unijních orgánů, jako je Europol, k systému to ECRIS-TCN měl být v souladu s účelem stávajícího systému ECRIS a právem na rovné zacházení s občany EU a státními příslušníky třetích zemí a měl by se omezovat na úkoly, jež jsou součástí mandátu takových orgánů a u kterých je přístup přísně nezbytný. Jakékoliv zamýšlené rozšíření stávajících účelů by mělo být provedeno hmotněprávním ustanovením (odůvodnění není dostatečné).

70. Vzhledem k tomu, že systém ECRIS-TCN předpokládá zpracování osobních údajů, jež jsou ze své povahy velmi citlivé, doporučuje EIOÚ doplnit odpovídající podmínky pro zpracování osobních údajů v souladu se zásadou nezbytnosti: shoda by měla být při vyhledávání nalezena pouze v případě, že dožádaný člen je podle svého vnitrostátního práva oprávněn poskytovat informace o odsouzení v trestním řízení pro jiné účely než pro účely trestního řízení. Zpracování otisků prstů by mělo být omezeno z hlediska rozsahu a pouze v případě, že totožnost určitého státního příslušníka třetí země nelze zjistit jinými prostředky. Pokud jde o zobrazení obličeje, EIOÚ doporučuje provést nebo zpřístupnit důkazy podložené posouzení potřeby zaznamenávat takové údaje a používat je pro účely ověření a/nebo zjištění totožnosti.

71. Dále by agentura eu-LISA a ústřední orgány členských států měly být určeny jako společní správci údajů, neboť sdílejí odpovědnost za vymezení účelů a prostředků předpokládaného zpracování údajů. Určení agentury eu-LISA zpracovatelem údajů by řádně neodráželo současný stav a nebylo by přínosné z hlediska zajištění vysoké úrovně ochrany údajů ani z hlediska oprávněných zájmů členských států. Dále by návrh o systému ECRIS-TCN měla jednoznačně uvádět odpovědnost agentury eu-LISA za případné porušení tohoto návrhu nařízení nebo nařízení (ES) č. 45/2001.

72. Kromě hlavních obav, tak jak jsou uvedeny výše, se doporučení EIOÚ v tomto stanovisku týkají zlepšení navrhovaných ustanovení vztahujících se k následujícímu: — odkazy na použitelnost směrnice (EU) 2016/680 a nařízení (ES) č. 45/2001, — práva subjektů údajů, — statistika, centrální úložiště a monitorování, — bezpečnost údajů, — role evropského inspektora ochrany údajů, — vnitrostátní orgány dohledu.

73. EIOÚ zůstává k dispozici a je připraven poskytnout další poradenství ve vztahu k návrhu nařízení a návrhu směrnice, rovněž ve vztahu k jakémukoliv aktu v přenesené pravomoci nebo prováděcímu aktu přijatému na základě navrhovaných předpisů a týkajícího se zpracování osobních údajů.

V Bruselu dne 12. prosince 2017. Giovanni BUTTARELLI evropský inspektor ochrany údajů

(1) Úř. věst. L 93, 7.4.2009, s. 23.

(2) Úř. věst. L 8, 12.1.2001, s. 1.

(3) COM(2017) 344 final.

(4) SWD(2017) 248 final.

(5) COM(2017) 341 final. Tuto zprávu doplňuje pracovní dokument útvarů Komise SWD(2017) 242 final.

(6) COM(2017) 341 final, s. 15.

(7) Důvodová zpráva k návrhu, COM(2017) 344 final, s. 2.

(8) COM(2015) 185 final.

(9) Společné prohlášení o legislativních prioritách EU na rok 2017, https://ec.europa.eu/commission/sites/beta-political/files/joint-declaration-legislative-priorities-2017-jan2017_cs.pdf.

(10) Důvodová zpráva k návrhu, COM(2017) 344 final, s. 3; průvodní analytický podpůrný dokument, SWD(2017) 248 final, s. 3.

(11) Důvodová zpráva k návrhu, COM(2017) 344 final, s. 3.

(12) Plán na posílení výměny informací a správy informací včetně řešení interoperability v oblasti spravedlnosti a vnitřních věcí, 9368/1/16, http://data.consilium.europa.eu/doc/document/ST-9368-2016-REV-1/cs/pdf; první zpráva Rady ze dne 8. listopadu 2016, http://statewatch.org/news/2016/dec/eu-council-info-exhang-interop-sop-13554-REV-1-16.pdf; druhá zpráva Rady ze dne 11. května 2017, http://www.statewatch.org/news/2017/may/eu-council-information-management-strategy-second-implementation-report-8433-17.pdf.

(13) COM(2016) 731 final.

(14) Důvodová zpráva k návrhu, COM(2017) 344 final, s. 4.

(15) A8-0219/2016.

(16) PE 612.310v01-00.

(17) Výsledky zasedání Rady (SVV), 9979/16, http://data.consilium.europa.eu/doc/document/ST-9979-2016-INIT/en/pdf.

(18) Viz pořad jednání Výboru stálých zástupců ze dne 29. listopadu 2017, http://data.consilium.europa.eu/doc/document/CM-5236-2017-INIT/en/pdf.

(19) Stanovisko EIOÚ k návrhu rámcového rozhodnutí Rady o organizaci a obsahu výměny informací z rejstříků trestů mezi členskými státy (KOM(2005) 690 v konečném znění) (Úř. věst. C 313, 20.12.2006, s. 26). https://edps.europa.eu/sites/edp/files/publication/06-05-29_criminal_records_cs.pdf.

(20) Stanovisko EIOÚ 3/2016 k systému ECRIS, https://edps.europa.eu/sites/edp/files/publication/16-04-13_ecris_en.pdf.

(21) Stanovisko EIOÚ 3/2016 k systému ECRIS, s. 12, s dalším odkazem 38 na stanovisko EIOÚ z roku 2006.