DA Den Europæiske Unions Tidende C 463/14

Resumé af udtalelse fra Den Europæiske Tilsynsførende for Databeskyttelse om EU's anden pakke om intelligente grænser

(Udtalelsen findes i sin helhed på engelsk, fransk og tysk på den tilsynsførendes websted www.edps.europa.eu)

(2016/C 463/11)

RESUMÉ

EU-lovgiveren har længe haft planer om at oprette et ind- og udrejsesystem (EES), der registrerer tredjelandsstatsborgeres indrejse til og udrejse fra Den Europæiske Unions område. Kommissionen vedtog i 2013 tre forslag som led i den første pakke om intelligente grænser. Medlovgiverne gav dog udtryk for alvorlige betænkeligheder, og der blev ikke opnået konsensus om pakken. Kommissionen indledte dernæst en »proof of concept«-øvelse som svar på disse betænkeligheder, og den fremlagde i år en anden pakke om intelligente grænser, som nu består af to reviderede forslag.

Den tilsynsførende har nøje analyseret disse forslag og fremsætter anbefalinger med henblik på at bistå lovgiveren og sikre, at de retlige rammer for ind- og udrejsesystemet er i fuld overensstemmelse med EU-lovgivningen om databeskyttelse og privatlivets fred, særlig artikel 7 og 8 i EU's charter om grundlæggende rettigheder.

Den tilsynsførende anerkender nødvendigheden af sammenhængende og effektive informationssystemer, når det gælder grænser og sikkerhed. Disse forslag kommer på et afgørende tidspunkt, hvor EU står over for nogle alvorlige udfordringer på dette område. Den tilsynsførende understreger dog, at den foreslåede behandling af personoplysninger i ind- og udrejsesystemet er af væsentlig og potentielt indgribende karakter, og at den derfor bør tages i betragtning i henhold til både artikel 7 og 8 i chartret. Ind- og udrejsesystemets nødvendighed og forholdsmæssighed skal både vurderes globalt, idet der tages højde for de allerede eksisterende store IT-systemer i EU, og specifikt, i det specifikke tilfælde med de tredjelandsstatsborgere, som er lovlige besøgende i EU. Den tilsynsførende bemærker, at EES-oplysningerne vil blive behandlet med to forskellige formål, dels med henblik på grænseforvaltning og lettere grænsepassage og dels med henblik på retshåndhævelse. Den tilsynsførende anbefaler kraftigt, at der klart indføres en skelnen mellem disse målsætninger i hele EES-forslaget 2016, da disse formål har forskellig indvirkning på retten til databeskyttelse og privatlivets fred.

Selv om den tilsynsførende glæder sig over, at man er opmærksom på de betænkeligheder vedrørende databeskyttelse og privatlivets fred, der er givet udtryk for tidligere, og over forbedringerne i de reviderede forslag, giver den tilsynsførende udtryk for alvorlige betænkeligheder med hensyn til flere aspekter af EES-forslaget, som bør begrundes bedre eller endda genovervejes af lovgiveren, navnlig:

— lagringsperioden for EES-oplysninger på fem år. Den tilsynsførende bemærker, at nødvendigheden af at gemme oplysninger om personer, hvis opholdstilladelse er udløbet, i fem år, bør dokumenteres bedre, og at en lagringsperiode på fem år for alle personoplysninger gemt i EES synes at være uforholdsmæssig

— indsamlingen af ansigtsbilleder af visumpligtige rejsende, hvis ansigtsbilleder allerede er gemt i VIS

— nødvendigheden af, at de retshåndhævende myndigheder har adgang til EES-oplysningerne, hvilket ikke er tilstrækkeligt underbygget med overbevisende dokumentation

— kravet om, at de registrerede skal afgive fingeraftryk, når de udøver deres rettigheder til adgang til, rettelse af og/eller sletning af deres personoplysninger, hvilket kunne være en væsentlig hindring for en effektiv udøvelse af disse rettigheder.

Udtalelsen indeholder desuden yderligere anbefalinger med hensyn til databeskyttelse og privatlivets fred, som bør tages i betragtning i lovgivningsprocessen, også hvad angår systemets sikkerhed.

I. INDLEDNING OG BAGGRUND

1. I 2008 bekendtgjorde Kommissionen for første gang, at den havde til hensigt at oprette et europæisk ind- og udrejsesystem med henblik på at kontrollere tredjelandsstatsborgeres indrejse på og udrejse fra Den Europæiske Unions område (1). Den tilsynsførende fremsatte på dette tidspunkt først sine foreløbige bemærkninger (2) til forslaget, og han understregede herefter nogle specifikke spørgsmål i en udtalelse fra juli 2011 (3). Kommissionen uddybede sine synspunkter i en meddelelse (4) om »Intelligente grænser — valgmuligheder og vejen videre frem« fra oktober 2011, som Artikel 29-Gruppen fremsatte bemærkninger til (5). Den tilsynsførende bidrog også til en fælles rundbordsdrøftelse med forskellige interessenter (6).

2. I februar 2013 vedtog Kommissionen tre forslag som led i den første pakke om intelligente grænser: et forslag om oprettelse af et ind- og udrejsesystem (7) (herefter kaldet »EES-forslaget 2013«), et forslag om indførelse af et program for registrerede rejsende (8) (herefter kaldet »RTP-forslaget 2013«) og et forslag om ændring af Schengengrænsekodeksen (9) for at indføre disse ændringer i overensstemmelse hermed. Pakken blev øjeblikkeligt genstand for kritik fra begge medlovgivere som følge af tekniske, operationelle og omkostningsmæssige problematikker samt vigtige databeskyttelsesproblematikker. Samme år fremsatte den tilsynsførende sine første konkrete anbefalinger om de tre forslag i form af en udtalelse (10). Artikel 29-Gruppen vedtog ligeledes en udtalelse (11), som den tilsynsførende bidrog til, og som satte spørgsmålstegn ved nødvendigheden af ind- og udrejsesystemet som sådan.

3. I starten af 2014 meddelte Kommissionen som svar på disse betænkeligheder, at der ville blive indledt en »proof of concept«-øvelse, som bestod af to trin: først en teknisk undersøgelse (12) og en omkostningsundersøgelse (13) for at identificere de mest velegnede muligheder og løsninger i forbindelse med de intelligente grænsers gennemførelse og herefter, i løbet af 2015, et pilotprojekt (14) ledet af Det Europæiske Agentur for den Operationelle Forvaltning af Store IT-Systemer inden for Området med Frihed, Sikkerhed og Retfærdighed (herefter kaldet »eu-LISA«) for at teste de forskellige muligheder, der blev identificeret. Sideløbende hermed iværksatte Kommissionen i juli 2015 en offentlig høring (15) af tre måneders varighed med det formål at indsamle synspunkter og udtalelser fra borgere og organisationer. Den tilsynsførende bidrog ligeledes til denne høring (16).

4. Den 6. april 2016 fremlagde Kommissionen en anden pakke om intelligente grænser (17). Denne gang blev der kun foreslået ét system, nemlig ind- og udrejsesystemet (herefter kaldet »EES«). Kommissionen besluttede at revidere sit EES-forslag fra 2013 og forslaget fra 2013 om ændring af Schengengrænsekodeksen, men at trække sit RTP-forslag fra 2013 tilbage. I dag består pakken om intelligente grænser af: — en meddelelse om »Stærkere og mere intelligente informationssystemer for grænser og sikkerhed« (18) — et forslag til Europa-Parlamentets og Rådets forordning om oprettelse af et ind- og udrejsesystem til registrering af ind- og udrejseoplysninger og oplysninger om nægtelse af indrejse vedrørende tredjelandsstatsborgere, der passerer Den Europæiske Unions medlemsstaters ydre grænser, og om fastlæggelse af betingelserne for adgang til ind- og udrejsesystemet til retshåndhævelsesformål og om ændring af forordning (EF) nr. 767/2008 og forordning (EU) nr. 1077/2011 (19) (herefter kaldet »EES-forslaget 2016«) og — et forslag til Europa-Parlamentets og Rådets forordning om ændring af forordning (EU) 2016/399 (20) for så vidt angår brugen af ind- og udrejsesystemet (21) (herefter kaldet »forslaget om ændring af Schengengrænsekodeksen 2016«).

5. Desuden ledsager en detaljeret konsekvensanalyse (22) de to forslag.

6. Pakken om intelligente grænser fik et nyt afsæt efter den aktuelle migrationskrise og de nylige terrorangreb i Europa. Det nederlandske formandskab og det slovakiske formandskab meddelte, at det var deres hensigt at arbejde intenst med pakken for at nå frem til en politisk aftale ved udgangen af 2016 (23).

7. Den tilsynsførende glæder sig over, at han blev uformelt hørt af Kommissionen inden de nye forslags vedtagelse. Han glæder sig ligeledes over det gode samarbejde (24) mellem GD for Migration og Indre Anliggender og den tilsynsførende under hele processen med at revidere den første pakke om intelligente grænser.

IV. KONKLUSION

90. Den tilsynsførende bifalder det arbejde, som Kommissionen har udført i EES-forslaget 2016 for at tage de databeskyttelsesbetænkeligheder op, der blev givet udtryk for i forbindelse med pakken om intelligente grænser fra 2013. Nogle af anbefalingerne og bemærkningerne fra den tilsynsførende i hans tidligere udtalelse om pakken er behørigt taget i betragtning, f.eks. når det gælder indførelsen af nødprocedurer, såfremt det er teknisk umuligt at indlæse oplysninger eller i tilfælde af systemsvigt.

91. Den tilsynsførende bifalder Kommissionens indsats for at begrunde nødvendigheden af ind- og udrejsesystemets oprettelse. Den tilsynsførendes hovedanbefalinger er dog direkte forbundet med dets forholdsmæssighed med henblik på at sikre, at ind- og udrejsesystemet til fulde opfylder det vigtige krav i chartrets artikel 52, stk. 1, om både nødvendighed og forholdsmæssighed. Han påpeger, at ind- og udrejsesystemets nødvendighed og forholdsmæssighed skal vurderes både globalt, idet der tages højde for de allerede eksisterende store IT-systemer i EU, og specifikt, nemlig i det specifikke tilfælde med de tredjelandsstatsborgere, som er lovlige besøgende i EU. Han er af den opfattelse, at en lagringsperiode på fem år for alle personoplysninger gemt i EES bør begrundes fuldstændigt. Han understreger ligeledes, at følgende aspekter af EES-forslaget 2016 bør begrundes bedre og underbygges med overbevisende dokumentation: indsamlingen af ansigtsbilleder af visumpligtige rejsende, den femårige lagringsperiode for personer, hvis opholdstilladelse er udløbet, og nødvendigheden af, at de retshåndhævende myndigheder har adgang til EES-oplysningerne. Dette er ikke sket, og EU-lovgiveren bør derfor tage disse aspekter op til fornyet overvejelse.

92. I betragtning af den omfattende indgriben i tredjelandsstatsborgeres grundlæggende rettigheder til databeskyttelse og privatlivets fred mener den tilsynsførende endvidere, at ind- og udrejsesystemet bør forblive et grænseforvaltningsredskab, som udelukkende er udviklet med dette formål for øje. Forskellen mellem de angivne målsætninger med ind- og udrejsesystemet, dvs. grænseforvaltning og lettere grænsepassage som primær målsætning og retshåndhævelse som sekundær målsætning, bør således klart medtages og afspejles i hele EES-forslaget 2016, navnlig når det gælder artikel 1 og 5.

93. Den tilsynsførende har desuden nogle betænkeligheder med hensyn til kravet om, at alle registrerede under alle omstændigheder skal afgive fingeraftryk for at indgive anmodning om adgang til, rettelse af og sletning af deres personoplysninger. Dette kunne udgøre en væsentlig hindring for en effektiv udøvelse af retten til adgang, som er en vigtig garanti for de registrerede og er medtaget i artikel 8, stk. 2, i EU's charter.

94. Andre anbefalinger fra den tilsynsførende i denne udtalelse vedrører følgende aspekter og artikler: — Artikel 14 bør formuleres således, at der, når der tages ansigtsbilleder på stedet af tredjelandsstatsborgere, sikres et minimumskvalitetsniveau for disse billeder, og det bør angives i artikel 33, at Kommissionen vil sørge for detaljerede oplysninger om, hvordan det nødvendige kvalitetsniveau for ansigtsbilleder, der tages på stedet, skal opnås. — Artikel 15, stk. 3, bør ændres, så det angives, hvilke oplysninger der kan indsamles, gemmes og anvendes af grænsemyndighederne, når de anmoder om yderligere oplysninger om, hvorfor det midlertidigt er umuligt at afgive fingeraftryk. — I artikel 39 bør der tages højde for det store behov for koordinering mellem eu-LISA og medlemsstaterne, når det gælder om at sørge for ind- og udrejsesystemets sikkerhed. — Sikkerhedsansvaret bør fremgå klart af forslaget, i tilfælde af at medlemsstaternes nationale lempelsesprogrammer sammenkobles med ind- og udrejsesystemet. Det bør angives i den nye artikel 8e i Schengengrænsekodeksen, at sikkerheden skal garanteres efter en korrekt risikovurdering af informationssikkerheden, og de nødvendige sikkerhedsforanstaltninger bør beskrives. — Det bør klart angives i forslaget, at eu-LISA er ansvarligt for webtjenestens sikkerhed, sikkerheden for de personoplysninger, som den indeholder, og processen med at få personoplysningerne fra det centrale system ind i webtjenesten. — Artikel 44, stk. 1, bør ændres, så følgende medtages i informationen til de registrerede: den lagringsperiode, der gælder for deres oplysninger, retten til, at personer, hvis opholdstilladelse er udløbet, kan få deres personoplysninger slettet, hvis de fremlægger dokumentation for, at de har overskredet den tilladte opholdsvarighed som følge af uforudsete og alvorlige hændelser, og information om, at EES-oplysningerne vil blive tilgået med henblik på grænseforvaltning og lettere grænsepassage. — I artikel 46, stk. 1, bør der fastlægges en streng, harmoniseret tidsfrist på højst et par måneder for besvarelsen af anmodninger om adgang. — Artikel 9, stk. 2, bør ændres, så der medtages en klar beskrivelse af de foranstaltninger, som skal sikre, at der tages behørigt hensyn til oplysninger om børn, ældre og handicappede. — Artikel 57 bør ændres, så det bliver et krav, at eu-LISA udvikler funktioner, som gør det muligt for medlemsstaterne, Kommissionen, eu-LISA og Frontex automatisk at udtrække de nødvendige statistikker direkte fra det centrale ind- og udrejsesystem, uden at der er behov for et ekstra lager. — Forslaget bør give den tilsynsførende passende information og ressourcer, så hans nye ansvar som tilsynsførende for det kommende ind- og udrejsesystem kan udøves på en effektiv måde. — Artikel 28, stk. 2, bør medtage en streng tidsfrist for kontrolmyndighedernes udførelse af den efterfølgende kontrol af betingelserne for adgang til EES-oplysningerne til retshåndhævelsesformål i nødsituationer. — Artikel 28, stk. 3, bør ændres, så det bliver et krav, at de udpegede myndigheder og kontrolmyndigheden ikke tilhører samme organisation.

95. Den tilsynsførende understreger nødvendigheden af at tage disse spørgsmål op i et globalt perspektiv. Han opfordrer lovgiveren til at fortsætte øvelsen med at kortlægge de forskellige databaser i grænse- og migrationssammenhæng, sørge for bedre koordinering og undgå overlapning mellem de forskellige systemer under fuld overholdelse af databeskyttelsesstandarderne, også i forbindelserne til tredjelandene.

Udfærdiget i Bruxelles, den 21. september 2016. Giovanni BUTTARELLI Den Europæiske Tilsynsførende for Databeskyttelse

(1) Kommissionens meddelelse af 13. februar 2008 om »Forberedelse af de kommende faser af grænseforvaltningen i EU«, KOM(2008) 69 final.

(2) Udtalelse fra Den Europæiske Tilsynsførende for Databeskyttelse af 3. marts 2008 om tre meddelelser om grænseforvaltning.

(3) Udtalelse fra Den Europæiske Tilsynsførende for Databeskyttelse af 7. juli 2011 om Kommissionens meddelelse om migration.

(4) Kommissionens meddelelse af 25. oktober 2011 om »Intelligente grænser — valgmuligheder og vejen videre frem«, KOM(2011) 680 final.

(5) Artikel 29-Gruppen fremsatte sine bemærkninger til Kommissionens meddelelse om intelligente grænser i et brev sendt til kommissær Malmström den 12. juni 2012.

(6) Den Europæiske Tilsynsførende for Databeskyttelses rundbordsdrøftelse om pakken om intelligente grænser og databeskyttelsesmæssige konsekvenser, Bruxelles, den 10. april 2013. Se resuméet, som er tilgængeligt på: http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/EDPS/PressNews/Events/2013/13-04-10_Summary_smart_borders_final_EN.pdf

(7) Forslag til Europa-Parlamentets og Rådets forordning om oprettelse af et ind- og udrejsesystem til registrering af ind- og udrejseoplysninger om tredjelandsstatsborgere, der passerer Den Europæiske Unions medlemsstaters ydre grænser, COM(2013) 95 final.

(8) Forslag til Europa-Parlamentets og Rådets forordning om indførelse af et program for registrerede rejsende, COM(2013) 97 final.

(9) Forslag til Europa-Parlamentets og Rådets forordning om ændring af forordning (EF) nr. 562/2006 for så vidt angår brugen af ind- og udrejsesystemet og programmet for registrerede rejsende, COM(2013) 96 final.

(10) Den Europæiske Tilsynsførende for Databeskyttelses udtalelse af 18. juli 2013 om forslaget til forordning om oprettelse af et ind- og udrejsesystem (EES) og forslaget til forordning om indførelse af et program for registrerede rejsende (RTP).

(11) Artikel 29-Gruppens udtalelse 05/2013 af 6. juni 2013 om intelligente grænser.

(12) Teknisk undersøgelse om intelligente grænser — endelig rapport, oktober 2014, tilgængelig på: http://ec.europa.eu/dgs/home-affairs/what-we-do/policies/borders-and-visas/smart-borders/docs/smart_borders_technical_study_en.pdf

(13) Teknisk undersøgelse om intelligente grænser — omkostningsanalyse, oktober 2014, tilgængelig på: http://ec.europa.eu/dgs/home-affairs/what-we-do/policies/borders-and-visas/smart-borders/docs/smart_borders_costs_study_en.pdf

(14) eu-LISA, endelig rapport fra pilotprojektet om intelligente grænser, december 2015, tilgængelig på: http://ec.europa.eu/dgs/home-affairs/what-we-do/policies/borders-and-visas/smart-borders/index_en.htm

(15) Kommissionens offentlige høring om intelligente grænser, tilgængelig på: http://ec.europa.eu/dgs/home-affairs/what-is-new/public-consultation/2015/consulting_0030_en.htm

(16) Den Europæiske Tilsynsførende for Databeskyttelses formelle bemærkninger af 3. november 2015 om Kommissionens offentlige høring om intelligente grænser.

(17) Se pressemeddelelsen, som er tilgængelig på: http://europa.eu/rapid/press-release_IP-16-1247_da.htm

(18) Kommissionens meddelelse af 6. april 2016 om »Stærkere og mere intelligente informationssystemer for grænser og sikkerhed«, COM(2016) 205 final.

(19) COM(2016) 194 final.

(20) Europa-Parlamentets og Rådets forordning (EU) 2016/399 af 9. marts 2016 om en EU-kodeks for personers grænsepassage (Schengengrænsekodeks) (kodifikation) (EUT L 77, 23.3.2016, s. 1).

(21) COM(2016) 196 final.

(22) Arbejdsdokument fra Kommissionens tjenestegrene af 6. april 2016 med titlen »Impact Assessment on the establishment of an EU Entry/Exit System accompanying the 2016 EES Proposal and the 2016 Proposal amending the Schengen Borders Code«, SWD(2016) 115 final (herefter kaldet »konsekvensanalysen«).

(23) http://data.consilium.europa.eu/doc/document/ST-8485-2016-INIT/en/pdf

(24) Der blev afholdt to workshops i 2015 mellem GD for Migration og Indre Anliggender og den tilsynsførende om aspekterne af intelligente grænser, nemlig en workshop den 20. marts, der specifikt drejede sig om udarbejdelsen af forslagene om intelligente grænser, og en interaktiv workshop den 21. september 2015 om overvejelser vedrørende databeskyttelse og privatlivets fred i forbindelse med politikker om migration og indre anliggender, hvor også forslagene om intelligente grænser blev berørt. Se protokollen for workshoppen den 20. marts i bilag 16 til konsekvensanalysen.