DA Den Europæiske Unions Tidende C 55/4

Resumé af udtalelse fra Den Europæiske Tilsynsførende for Databeskyttelse om forslaget til forordning om ECRIS-TCN

(Udtalelsen findes i sin helhed på engelsk, fransk og tysk på den tilsynsførendes websted www.edps.europa.eu)

(2018/C 55/05)

Det nuværende ECRIS-system, der blev oprettet ved Rådets rammeafgørelse 2009/315/RIA (1), støtter udvekslingen af oplysninger om straffedomme hovedsagelig inden for rammerne af det retlige samarbejde. ECRIS kan også anvendes til andre formål end straffesager i overensstemmelse med den anmodende og den anmodede medlemsstats nationale lovgivning. Selv om det nuværende ECRIS-system kan anvendes til tredjelandsstatsborgere, sker dette ikke effektivt. Derfor er forbedringer berettigede.

Effektiviteten af ECRIS i forbindelse med tredjelandsstatsborgere blev fremhævet i EU's dagsorden om sikkerhed og blev en lovgivningsmæssig prioritet for 2017. Allerede i 2016 vedtog Kommissionen et forslag til direktiv om ændring af den nuværende lovgivning og indførelse af forbedringer for tredjelandsstatsborgere gennem et decentralt system ved hjælp af et indeksfilter med fingeraftryk, der lagres i form af hashede skabeloner. Der opstod tekniske problemer i forbindelse med denne løsning. Forslaget til forordning om ECRIS-TCN, der blev vedtaget den 29. juni 2017, skaber en central EU-database, hvor identitetsoplysninger om tredjelandsstatsborgere, herunder fingeraftryk og ansigtsbilleder, lagres og er bestemt til brug i en »hit/intet hit«-søgning med henblik på at bestemme, hvilken medlemsstat der ligger inde med oplysninger om straffedomme afsagt over tredjelandsstatsborgere. Endvidere er forslaget til et centralt ECRIS-TCN-system delvis berettiget som en støtte til en fremtidig interoperabilitet mellem store systemer i EU inden for området med frihed, sikkerhed og retfærdighed.

Den tilsynsførende har fulgt sagen fra starten af forhandlingerne om oprettelse af ECRIS. Han har allerede afgivet to udtalelser og anerkendt betydningen af en effektiv udveksling af oplysninger om både EU-borgere og tredjelandsstatsborgere. Denne holdning er forblevet uændret.

Denne udtalelse behandler særlige spørgsmål, der er rejst i forslaget til forordning. Når det er nødvendigt, henviser den til forslaget til direktiv, da begge forslag efter planen skal supplere hinanden. Den tilsynsførende giver udtryk for betænkeligheder på hovedsagelig fire områder og fremsætter andre yderligere henstillinger, der er nærmere beskrevet i udtalelsen. Kort sagt anbefaler den tilsynsførende, at da ECRIS er et system, der blev vedtaget af EU inden Lissabontraktaten, skal disse nye forslag til direktiv og forordning sikre, at systemet lever op til de standarder, der kræves i artikel 16 TEUF og EU's charter om grundlæggende rettigheder, herunder at det opfylder kravene om en lovlig begrænsning af grundlæggende rettigheder.

Nødvendigheden af et centralt system i EU bør gøres til genstand for en konsekvensanalyse, som også bør tage hensyn til virkningen af, at forvaltningen af alle store EU databaser inden for området med frihed, sikkerhed og retfærdighed koncentreres hos et enkelt agentur. Det ville være for tidligt at forvente interoperabilitet i denne forbindelse, da dette koncept først skal have et retsgrundlag, og det skal sikres, at det er i overensstemmelse med databeskyttelsesprincipper.

Andre formål med databehandling end i forbindelse med straffesager, som ECRIS og ECRIS-TCN tager sigte på, bør defineres klart i overensstemmelse med databeskyttelsesprincippet om formålsbegrænsning. Dette gælder også for adgangen for Unionens organer, som ligeledes bør vurderes i lyset af EU-borgeres og tredjelandsstatsborgeres ret til ligebehandling. Det skal dokumenteres, at enhver adgang for EU-organer er nødvendig, forholdsmæssig og i overensstemmelse med formålet med ECRIS og strengt begrænset til relevante opgaver inden for disse EU-organers mandat.

Den omhandlede behandling af personoplysninger har en meget følsom karakter og bør derfor nøje overholde nødvendighedsprincippet: Et »hit« bør kun udløses, når den anmodede medlemsstat i henhold til sin nationale lovgivning har lov til at fremsende oplysninger om straffedomme til andre formål end i forbindelse med straffesager. Behandlingen af fingeraftryk bør begrænses omfangsmæssigt og kun finde sted, når det ikke er muligt at identificere en bestemt tredjelandsstatsborger på anden vis. Med hensyn til ansigtsbilleder anbefaler den tilsynsførende, at der foretages — eller (hvis en sådan allerede er foretaget) at der tilvejebringes — en evidensbaseret vurdering af behovet for at indsamle sådanne oplysninger og anvende dem til kontrolformål og også identifikationsformål.

I forslaget til forordning betegnes eu-LISA ukorrekt som registerfører. Den tilsynsførende anbefaler, at eu-LISA og medlemsstaternes centrale myndigheder udpeges som fælles dataansvarlige. Endvidere anbefaler han, at det klar anføres i en materiel bestemmelse, at eu-LISA skal være ansvarligt for enhver overtrædelse af dette forslag til forordning og Europa-Parlamentet og Rådets forordning (EF) nr. 45/2001 (2).

1. INDLEDNING OG BAGGRUND

1. Den 29. juni 2017 offentliggjorde Europa-Kommissionen et forslag til forordning om oprettelse af et centralt system til bestemmelse af, hvilke medlemsstater der ligger inde med oplysninger om straffedomme afsagt over tredjelandsstatsborgere og statsløse personer (tredjelandsstatsborgere) for at supplere og understøtte det europæiske informationssystem vedrørende strafferegistre (ECRIS-TCN-systemet), og om ændring af forordning (EU) nr. 1077/2011 (herefter »forslaget til forordning«) (3). Forslaget ledsages af et analysenotat (4). Samme dag vedtog Europa-Kommissionen den første statistiske rapport om udvekslingen af oplysninger fra strafferegistre mellem medlemsstaterne gennem det europæiske informationssystem vedrørende strafferegistre (ECRIS), jf. artikel 7 i Rådets afgørelse 2009/316/RIA (5).

2. Forslaget til forordning har til formål at forbedre udvekslingen af oplysninger om tredjelandsstatsborgere og EU-borgere, der også er statsborgere i et tredjeland. Det grundlæggende princip i det eksisterende ECRIS er, at der kan indhentes oplysninger om EU-borgeres straffedomme i den medlemsstat, hvori den pågældende person er statsborger, som lagrer alle straffedomme, uanset hvor i EU de blev afsagt. Med hensyn til tredjelandsstatsborgere lagrer hver medlemsstat de domme, den har afsagt, og som følge heraf skal en anmodning om oplysninger sendes til alle medlemsstater. Besvarelsen af »generelle anmodninger« forårsager ifølge Kommissionen administrative byrder og store omkostninger, hvis ECRIS blev anvendt systematisk til at indhente oplysninger om tredjelandsstatsborgere. Medlemsstaterne er tilbageholdende med at anvende systemet — ifølge den statistiske rapport vedrører 10 % af anmodningerne tredjelandsstatsborgere (6) — og tredjelandsstatsborgeres tidligere lovovertrædelser er derfor ikke tilgængelige som forudset (7). Forbedringen af effektiviteten af ECRIS med hensyn til tredjelandsstatsborgere er fremskyndet af EU's dagsorden om sikkerhed (8) og er en af de lovgivningsmæssige prioriteter for 2017 (9).

3. Forslaget til forordning supplerer Kommissionens forslag til direktiv af 19. januar 2016 for så vidt angår udveksling af oplysninger om tredjelandsstatsborgere og det europæiske informationssystem vedrørende strafferegistre (ECRIS), som ændrer Rådets eksisterende rammeafgørelse 2009/315/RIA og erstatter Rådets afgørelse 2009/316/RIA (herefter »forslaget til direktiv«).

4. Begge forslag opretter et system til bestemmelse af, hvilke medlemsstater der ligger inde med oplysninger om straffedomme afsagt over tredjelandsstatsborgere og EU-borgere, der også er statsborgere i et tredjeland. I henhold til forslaget til direktiv skulle systemet være decentralt, hvilket betyder, at der ikke vil være en fælles EU-database, men hver medlemsstat vil vedligeholde en »indeksfilter«-fil. Oplysninger om tredjelandsstatsborgere fra medlemsstaternes strafferegistre skulle i kodet form indlæses i denne fil, som ville blive overført til alle medlemsstater. Medlemsstaterne ville derpå sammenholde den med deres egne oplysninger og finde ud af på basis af en »hit/intet hit«-søgning, hvilke medlemsstater der ligger inde med oplysninger om en straffedom afsagt over en tredjelandsstatsborger. Allerede forslaget til direktiv fastsatte behandling af fingeraftryk, men brugen af fingeraftryk blev betragtet som én af de mulige løsninger i konsekvensanalysen fra 2016 i modsætning til forslaget til forordning, som gør brugen heraf obligatorisk. Kommissionen forklarer, at terrorangrebene har fremskyndet støtten til en systematisk brug af fingeraftryk til identifikationsformål (10). Efter at forslaget til direktiv var vedtaget, viste en feasibilityundersøgelse, at der på nuværende tidspunkt ikke findes nogen fuldt udviklet teknologi til en-til-mange-matching af fingeraftryk ved hjælp af hashede skabeloner.

5. For at tage højde for de opståede tekniske problemer indeholder forslaget til forordning i stedet bestemmelser om et centralt system, som omfatter tredjelandsstatsborgeres alfanumeriske oplysninger, fingeraftryk og ansigtsbilleder. Alfanumeriske oplysninger og fingeraftryk kan anvendes til identifikation af tredjelandsstatsborgere og ansigtsbilleder indledningsvis til kontrolformål og, når teknologien er udviklet, ligeledes til identifikation. Den »centrale myndighed« i domsstaten indlæser oplysningerne i det lokale ECRIS-TCN-system, som videregiver disse oplysninger til et centralt system i EU. På basis af en »hit/intet hit«-søgning kan den anmodende medlemsstat bestemme, hvilke(n) medlemsstat(er) der ligger inde med oplysninger om straffedomme afsagt over tredjelandsstatsborgere, og derefter anmode om disse oplysninger gennem det eksisterende ECRIS som forbedret af forslaget til direktiv. Når fingeraftrykkene bruges til identifikation, kunne eventuelle tilhørende alfanumeriske oplysninger også tilvejebringes. Forvaltningen af EU-databasen er overdraget til eu-LISA, og med henblik herpå ændrer forslaget til forordning eu-LISA-forordning (EU) nr. 1077/2011.

6. Løsningen i form af et centralt system er endvidere et led i den planlagte interoperabilitet mellem alle informationssystemer vedrørende sikkerhed og grænse- og migrationsforvaltning. Blandt grundene til at vælge et centralt system lægges der snarere vægt på interoperabilitet end på de opståede tekniske problemer (11). ECRIS indgår også i Rådets køreplan til styrkelse af informationsudveksling og informationsstyring samt tilstræbelse af interoperabilitet (12). Interoperabilitet med ECRIS fremgår ligeledes af ETIAS-forslaget (13).

7. Når de to forslag er blevet afstemt indbyrdes, skal de efter planen supplere hinanden. Mens forslaget til forordning skal omfatte spørgsmålene vedrørende det centrale system, skal forslaget til direktiv regulere spørgsmål af generel karakter vedrørende funktionen af ECRIS for både tredjelandsstatsborgere og EU-borgere (14). Europa-Parlamentets LIBE-udvalg vedtog betænkningen om forslaget til direktiv i 2016 (15), mens udkastet til betænkning om forslaget til forordning blev vedtaget den 30. oktober 2017 (16). Rådet suspenderede først forhandlingerne om forslaget til direktiv efter anmodning fra medlemsstater til Kommissionen på samlingen i Rådet den 9. juni 2016 om at fremsætte et forslag om oprettelse af et centralt system (17) og behandler for øjeblikket begge forslag parallelt (18).

8. ECRIS-TCN er et vigtigt initiativ vedrørende informationssystemer inden for området med frihed, sikkerhed og retfærdighed. Den tilsynsførende har fulgt sagen fra starten af forhandlingerne om oprettelse af ECRIS. Den første udtalelse om ECRIS, som efterfølgende oprettet ved Rådets rammeafgørelse 2009/315/RIA, blev offentliggjort i 2006 (19), og i 2016 behandlede den tilsynsførende forslaget til direktiv i udtalelse nr. 3/2016 (20).

9. I begge udtalelser anerkendte den tilsynsførende betydningen af en effektiv udveksling af oplysninger fra strafferegistre vedrørende dømte personer samt behovet for et system, der kan fungere effektivt for tredjelandsstatsborgere, navnlig i forbindelse med vedtagelsen af EU's dagsorden om sikkerhed (21). Denne holdning er forblevet uændret.

10. Denne udtalelse er baseret på udtalelse nr. 3/2016 og behandler særlige spørgsmål, der er rejst i forslaget til forordning. Når det er nødvendigt, henviser udtalelsen også til forslaget til direktiv. I afsnit 2 giver den tilsynsførende udtryk for sine væsentligste betænkeligheder og fremsætter henstillinger til, hvordan de kan imødegås. Yderligere betænkeligheder og henstillinger til yderligere forbedringer er beskrevet i afsnit 3.

3. KONKLUSION

66. Efter en nøje analyse af forslaget om ECRIS-TCN fremsætter den tilsynsførende følgende henstillinger:

67. Den tilsynsførende anbefaler, at der i forbindelse med oprettelsen af en ny central EU-database og ændringen af den eksisterende lovgivning om ECRIS tages hensyn til kravene i EU's charter om grundlæggende rettigheder med henblik på en lovlig begrænsning af grundlæggende rettigheder og sikres et tilstrækkeligt niveau af beskyttelse af personoplysninger i forbindelse med forslaget til forordning.

68. Den tilsynsførende minder navnlig om behovet for at fremlægge objektiv dokumentation for, at det er nødvendigt at oprette et centralt system på EU-plan. I denne forbindelse bør interoperabilitet først vurderes på grundlag af indvirkningen heraf på de grundlæggende rettigheder, og formålene hermed bør klart defineres sammen med formålene med ECRIS. En relevant konsekvensanalyse for de grundlæggende rettigheder til privatlivets fred og databeskyttelse bør ledsage forslaget til forordning med hensyn til dette aspekt samt for koncentrationen af alle systemer hos et enkelt agentur.

69. Oprettelsen af en ny central EU-database og ændringen af den eksisterende lovgivning om ECRIS bør være i overensstemmelse med kravene om en lovlig begrænsning af grundlæggende rettigheder i henhold til fast retspraksis. Med henblik herpå bør andre formål med databehandling end i forbindelse med straffesager, som ECRIS og ECRIS-TCN tager sigte på, vurderes ud fra deres nødvendighed og proportionalitet og defineres klart, i overensstemmelse med databeskyttelsesprincippet om formålsbegrænsning. Endvidere bør adgangen til ECRIS-TCN for Unionens organer, såsom Europol, være i overensstemmelse med formålet med det nuværende ECRIS og EU-borgeres og tredjelandsstatsborgeres ret til ligebehandling og begrænses til de opgaver inden for deres mandat, hvor adgang er strengt nødvendig. Enhver påtænkt udvidelse af de nuværende formål bør gennemføres på grundlag af en materiel bestemmelse (en betragtning er ikke tilstrækkelig).

70. Da ECRIS-TCN indebærer behandling af personoplysninger, som har en meget følsom karakter, anbefaler den tilsynsførende, at der indføjes relevante betingelser for behandlingen af personoplysninger i overensstemmelse med nødvendighedsprincippet: Et »hit« bør kun udløses, når den anmodede medlemsstat i henhold til sin nationale lovgivning har lov til at fremsende oplysninger om straffedomme til andre formål end i forbindelse med straffesager. Behandlingen af fingeraftryk bør begrænses omfangsmæssigt og kun finde sted, når det ikke er muligt at identificere en bestemt tredjelandsstatsborger på anden vis. Med hensyn til ansigtsbilleder anbefaler den tilsynsførende, at der foretages eller tilvejebringes en evidensbaseret vurdering af behovet for at indsamle sådanne oplysninger og anvende dem til kontrol- og/eller identifikationsformål.

71. Endvidere bør eu-LISA og medlemsstaternes centrale myndigheder udpeges som fælles dataansvarlige, da de har et fælles ansvar for at fastlægge formålene med og hjælpemidlerne til de planlagte behandlingsaktiviteter. En udpegning af eu-LISA som registerfører ville ikke afspejle status quo korrekt og ikke bidrage til at sikre et højt databeskyttelsesniveau eller gavne medlemsstaternes legitime interesser. Endvidere bør forslaget om ECRIS-TCN klart angive eu-LISA's ansvar for enhver overtrædelse af dette forslag til forordning eller af forordning (EF) nr. 45/2001.

72. Ud over de væsentligste betænkeligheder, der er anført ovenfor, vedrører den tilsynsførendes henstillinger i denne udtalelse forbedringer af de foreslåede bestemmelser i relation til: — henvisninger til anvendelsen af direktiv (EU) 2016/680 og forordning (EF) nr. 45/2001 — de registreredes rettigheder — statistik, centralregister og overvågning — datasikkerhed — den tilsynsførendes rolle — nationale tilsynsmyndigheder.

73. Den tilsynsførende er fortsat tilgængelig med henblik på at give yderligere råd om forslaget til forordning og til direktiv, også vedrørende enhver delegeret retsakt eller gennemførelsesretsakt, der måtte blive vedtaget i medfør af de foreslåede instrumenter, og vedrørende behandlingen af personoplysninger.

Udfærdiget i Bruxelles, den 12. december 2017. Giovanni BUTTARELLI Den Europæiske Tilsynsførende for Databeskyttelse

(1) EUT L 93 af 7.4.2009, s. 23.

(2) EFT L 8 af 12.1.2001, s. 1.

(3) COM(2017) 344 final.

(4) COM(2017) 248 final.

(5) COM(2017) 341 final. Denne rapport ledsages af et arbejdsdokument fra Kommissionens tjenestegrene, SWD(2017) 242 final.

(6) COM(2017) 341 final, s. 15-16.

(7) Begrundelsen til forslaget, COM(2017) 344 final, s. 2.

(8) COM (2015) 185 final.

(9) Fælles erklæring om EU's lovgivningsmæssige prioriteter for 2017, https://ec.europa.eu/commission/sites/beta-political/files/joint-declaration-legislative-priorities-2017-jan2017_da.pdf

(10) Begrundelsen til forslaget, COM(2017) 344 final, s. 3; ledsagende analysenotat, SWD(2017) 248 final, s. 3.

(11) Begrundelsen til forslaget, COM(2017) 344 final, s. 3, 5 og 9.

(12) Køreplan til styrkelse af informationsudveksling og informationsstyring, herunder interoperabilitetsløsninger på området for retlige og indre anliggender, 9368/1/16, http://data.consilium.europa.eu/doc/document/ST-9368-2016-REV-1/da/pdf; Rådets første rapport af 8. november 2016, http://statewatch.org/news/2016/dec/eu-council-info-exhang-interop-sop-13554-REV-1-16.pdf; Rådets anden rapport af 11. maj 2017, http://www.statewatch.org/news/2017/may/eu-council-information-management-strategy-second-implementation-report-8433-17.pdf.

(13) COM(2016) 731 final.

(14) Begrundelsen til forslaget, COM(2017) 344 final, s. 4.

(15) A8-0219/2016.

(16) PE 612.310v01-00.

(17) Resultat af samling i Rådet (RIA), 9979/16, http://data.consilium.europa.eu/doc/document/ST-9979-2016-INIT/en/pdf.

(18) Se dagsorden for Coreper den 29. november 2017, http://data.consilium.europa.eu/doc/document/CM-5236-2017-INIT/en/pdf.

(19) Udtalelse fra Den Europæiske Tilsynsførende for Databeskyttelse om forslaget til Rådets rammeafgørelse om tilrettelæggelsen og indholdet af udvekslinger af oplysninger fra strafferegistre mellem medlemsstaterne (KOM(2005) 690 endelig) (EUT C 313 af 20.12.2006, s. 26) https://edps.europa.eu/sites/edp/files/publication/06-05-29_criminal_records_da.pdf.

(20) Den Europæiske Tilsynsførende for Databeskyttelses udtalelse nr. 3/2016 om ECRIS, https://edps.europa.eu/sites/edp/files/publication/16-04-13_ecris_en.pdf.

(21) Den Europæiske Tilsynsførende for Databeskyttelses udtalelse nr. 3/2016 om ECRIS, s. 12, med yderligere henvisning i fodnote 38 til den tilsynsførendes udtalelse fra 2006.