Resumé af udtalelse fra Den Europæiske Tilsynsførende for Databeskyttelse om forslaget til forordning om styrkelse af sikkerheden ved unionsborgeres identitetskort og andre dokumenter

(Udtalelsen findes i sin helhed på engelsk, fransk og tysk på den tilsynsførendes websted www.edps.europa.eu)

(2018/C 338/12)

I denne udtalelse redegøres der for den tilsynsførendes holdning til forslaget til Europa-Parlamentets og Rådets forordning om styrkelse af sikkerheden ved unionsborgeres identitetskort og ved opholdsdokumenter, der udstedes til unionsborgere og deres familiemedlemmer, som udøver deres ret til fri bevægelighed.

I denne forbindelse bemærker den tilsynsførende, at Kommissionen klart har valgt at prioritere forslagets bestemmelser om fri bevægelighed og at behandle det sikkerhedsrelaterede mål som et supplement. Den tilsynsførende bemærker, at dette kunne indvirke på analysen af nødvendigheden og proportionaliteten af forslagets elementer.

Den tilsynsførende støtter Europa-Kommissionens mål om at styrke de sikkerhedsstandarder, der gælder for identitetskort og opholdsdokumenter, og derved bidrage til sikkerheden i Unionen som helhed. Samtidig mener den tilsynsførende, at forslaget ikke i tilstrækkelig grad begrunder behovet for at behandle to typer af biometriske data (ansigtsbillede og fingeraftryk) i denne forbindelse, mens de erklærede formål kunne opnås gennem en mindre indgribende tilgang.

I henhold til EU's retlige ramme samt inden for rammerne af den moderniserede konvention 108 anses biometriske data for at være følsomme personoplysninger og er undergivet særlig beskyttelse. Den tilsynsførende understreger, at både ansigtsbilleder og fingeraftryk, som ville blive behandlet i henhold til forslaget, klart ville være omfattet af denne kategori af følsomme personoplysninger.

Endvidere mener den tilsynsførende, at forslaget ville have vidtrækkende konsekvenser for op til 370 millioner EU-borgere og potentielt undergive 85 % af EU's befolkning et krav om obligatorisk afgivelse af fingeraftryk. Dette brede anvendelsesområde, kombineret med de meget følsomme oplysninger, der behandles (ansigtsbilleder sammen med fingeraftryk), kræver en nøje undersøgelse på grundlag af en streng nødvendighedstest.

Derudover anerkender den tilsynsførende, at i betragtning af forskellene mellem identitetskort og pas kan sikkerhedselementer, der i givet fald anses for passende i forbindelse med pas, ikke indføres automatisk i forbindelse med identitetskort, men kræver refleksion og en grundig analyse.

Endvidere ønsker den tilsynsførende at understrege, at artikel 35, stk. 10, i den generelle forordning om databeskyttelse (1) ville finde anvendelse på den foreliggende behandling. I denne forbindelse bemærker den tilsynsførende, at den konsekvensanalyse, der ledsager forslaget, ikke synes at støtte den politiske løsning, som Kommissionen har valgt, dvs. den obligatoriske indførelse af både ansigtsbilleder og (to) fingeraftryk i ID-kort (og opholdsdokumenter). Den konsekvensanalyse, der ledsager forslaget, kan derfor ikke anses som tilstrækkelig med henblik på overholdelse af artikel 35, stk. 10, i den generelle forordning om databeskyttelse. Den tilsynsførende anbefaler derfor at revurdere nødvendigheden og proportionaliteten af behandlingen af biometriske data (ansigtsbillede sammen med fingeraftryk) i denne forbindelse.

Endvidere bør forslaget udtrykkeligt fastsætte beskyttelsesforanstaltninger mod medlemsstater, der opretter nationale fingeraftryksdatabaser i forbindelse med gennemførelsen af forslaget. Der bør i forslaget indsættes en bestemmelse, som udtrykkeligt fastsætter, at de biometriske data, der behandles i forbindelse hermed, skal slettes umiddelbart efter, at de er blevet lagret på chippen, og ikke må viderebehandles til andre formål end dem, der udtrykkeligt er fastsat i forslaget.

Den tilsynsførende forstår, at anvendelsen af biometriske data kunne anses som en legitim foranstaltning til bekæmpelse af svig, men forslaget begrunder ikke behovet for at lagre to typer af biometriske data til de deri fastsatte formål. Én løsning, der kunne overvejes, kunne være at begrænse de anvendte biometriske data til én type (f.eks. kun ansigtsbillede).

Endvidere vil den tilsynsførende gerne understrege, at lagring af fingeraftryksbilleder ganske vist fremmer interoperabiliteten, men at det samtidig øger mængden af biometriske data, der behandles, og risikoen for falsk identitet i tilfælde af brud på persondatasikkerheden. Den tilsynsførende anbefaler således at begrænse de fingeraftryksoplysninger, der lagres på dokumenternes chip, til de mindste detaljer eller mønstre, et udsnit af karakteristikaene fra fingeraftryksbilledet.

Under hensyntagen til det brede anvendelsesområde og den potentielle indvirkning af det forslag, der er beskrevet ovenfor, anbefaler den tilsynsførende afslutningsvis, at aldersgrænsen for indsamling af børns fingeraftryk fastsættes til 14 år i forbindelse med forslaget, i overensstemmelse med andre EU-retlige instrumenter.

1. INDLEDNING OG BAGGRUND

1. Den 17. april 2018 fremlagde Europa-Kommissionen (herefter »Kommissionen«) forslaget til Europa-Parlamentets og Rådets forordning om styrkelse af sikkerheden ved unionsborgeres identitetskort og ved opholdsdokumenter, der udstedes til unionsborgere og deres familiemedlemmer, som udøver deres ret til fri bevægelighed ( 2 ) , der har til formål at forbedre sikkerhedselementerne i EU-borgeres identitetskort og opholdskort udstedt til deres familiemedlemmer (herefter »forslaget«).

2. Dette forslag til forordning indgår i handlingsplanen fra december 2016 »med henblik på at styrke Europas bekæmpelse af svindel med rejsedokumenter« (herefter »handlingsplanen fra december 2016«) ( 3 ) , hvori Kommissionen fastlagde indsatsen for at afhjælpe dokumentsikkerhedsproblemer, herunder med identitetskort og opholdsdokumenter, på baggrund af de nylige terrorangreb i Europa.

3. ID-kort spiller en vigtig rolle til sikring af identifikationen af en person til administrative og kommercielle formål, hvilket er blevet understreget af Kommissionen i dens meddelelse, der blev vedtaget den 14. september 2016, »Øge sikkerheden i en verden med mobilitet — forbedret informationsudveksling i forbindelse med terrorbekæmpelse og stærkere ydre grænser« ( 4 ) . Behovet for at forbedre sikkerheden af disse dokumenter blev også fremhævet i rapporten om unionsborgerskab 2017.

4. Det er en del af EDPS' opgave at rådgive Kommissionens tjenestegrene ved udformningen af nye lovgivningsforslag med databeskyttelsesmæssige konsekvenser.

5. Den tilsynsførende bifalder, at han allerede var blevet hørt uformelt af Europa-Kommissionen om udkastet til forslag og fik mulighed for at give input vedrørende databeskyttelsesaspekter.

7. KONKLUSIONER

Den tilsynsførende bemærker, at Kommissionen klart har valgt at prioritere forslagets bestemmelser om fri bevægelighed og at behandle det sikkerhedsrelaterede mål som et supplement. Den tilsynsførende bemærker, at dette kunne indvirke på analysen af nødvendigheden og proportionaliteten af forslagets elementer.

Den tilsynsførende støtter Europa-Kommissionens mål om at styrke de sikkerhedsstandarder, der gælder for identitetskort og opholdsdokumenter, og derved bidrage til sikkerheden i Unionen som helhed. Samtidig mener den tilsynsførende, at forslaget ikke i tilstrækkelig grad begrunder behovet for at behandle to typer af biometriske data (ansigtsbillede og fingeraftryk) i denne forbindelse, mens de erklærede formål kunne opnås gennem en mindre indgribende tilgang.

I henhold til EU's retlige ramme samt inden for rammerne af den moderniserede konvention 108 anses biometriske data for at være følsomme personoplysninger og er undergivet særlig beskyttelse. Den tilsynsførende understreger, at både ansigtsbilleder og fingeraftryk, som ville blive behandlet i henhold til forslaget, klart ville være omfattet af denne kategori af følsomme personoplysninger.

Endvidere mener den tilsynsførende, at forslaget ville have vidtrækkende konsekvenser for op til 370 millioner EU-borgere og potentielt undergive 85 % af EU's befolkning et krav om obligatorisk afgivelse af fingeraftryk. Dette brede anvendelsesområde, kombineret med de meget følsomme oplysninger, der behandles (ansigtsbilleder sammen med fingeraftryk), kræver en nøje undersøgelse på grundlag af en streng nødvendighedstest.

Derudover anerkender den tilsynsførende, at i betragtning af forskellene mellem identitetskort og pas kan sikkerhedselementer, der i givet fald anses for passende i forbindelse med pas, ikke indføres automatisk i forbindelse med identitetskort, men kræver refleksion og en grundig analyse.

Endvidere ønsker den tilsynsførende at understrege, at artikel 35, stk. 10, i den generelle forordning om databeskyttelse ville finde anvendelse på den foreliggende behandling. I denne forbindelse bemærker den tilsynsførende, at den konsekvensanalyse, der ledsager forslaget, ikke synes at støtte den politiske løsning, som Kommissionen har valgt, dvs. den obligatoriske indførelse af både ansigtsbilleder og (to) fingeraftryk i ID-kort (og opholdsdokumenter). Den konsekvensanalyse, der ledsager forslaget, kan derfor ikke anses som tilstrækkelig med henblik på overholdelse af artikel 35, stk. 10, i den generelle forordning om databeskyttelse. Den tilsynsførende anbefaler derfor at revurdere nødvendigheden og proportionaliteten af behandlingen af biometriske data (ansigtsbillede sammen med fingeraftryk) i denne forbindelse.

Endvidere bør forslaget udtrykkeligt fastsætte beskyttelsesforanstaltninger mod medlemsstater, der opretter nationale fingeraftryksdatabaser i forbindelse med gennemførelsen af forslaget. Der bør i forslaget indsættes en bestemmelse, som udtrykkeligt fastsætter, at de biometriske data, der behandles i forbindelse hermed, skal slettes umiddelbart efter, at de er blevet lagret på chippen, og ikke må viderebehandles til andre formål end dem, der udtrykkeligt er fastsat i forslaget.

Den tilsynsførende forstår, at anvendelsen af biometriske data kunne anses som en legitim foranstaltning til bekæmpelse af svig. men forslaget begrunder ikke behovet for at lagre to typer af biometriske data til de deri fastsatte formål. Én løsning, der kunne overvejes, kunne være at begrænse de anvendte biometriske data til én type (f.eks. kun ansigtsbillede).

Endvidere vil den tilsynsførende gerne understrege, at lagring af fingeraftryksbilleder ganske vist fremmer interoperabiliteten, men at det samtidig øger mængden af biometriske data, der behandles, og risikoen for falsk identitet i tilfælde af brud på persondatasikkerheden. Den tilsynsførende anbefaler således at begrænse de fingeraftryksoplysninger, der lagres på dokumenternes chip, til de mindste detaljer eller mønstre, et udsnit af karakteristikaene fra fingeraftryksbilledet.

Under hensyntagen til det brede anvendelsesområde og den potentielle indvirkning af det forslag, der er beskrevet ovenfor, anbefaler den tilsynsførende afslutningsvis, at aldersgrænsen for indsamling af børns fingeraftryk fastsættes til 14 år i forbindelse med forslaget, i overensstemmelse med andre EU-retlige instrumenter.

Udfærdiget i Bruxelles, den 10. august 2018. Den Europæiske Tilsynsførende for Databeskyttelse Giovanni BUTTARELLI

(1) Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT L 119 af 4.5.2016, s. 1).

(2) Forslag til Europa-Parlamentets og Rådets forordning af 17. april 2018 om styrkelse af sikkerheden ved unionsborgeres identitetskort og ved opholdsdokumenter, der udstedes til unionsborgere og deres familiemedlemmer, som udøver deres ret til fri bevægelighed, COM(2018) 212 final, 2018/0104 (COD).

(3) Meddelelse fra Kommissionen til Europa-Parlamentet og Rådet af 8. december 2016: Handlingsplan med henblik på at styrke Europas bekæmpelse af svindel med rejsedokumenter, COM(2016) 790 final.

(4) Meddelelse fra Kommissionen til Europa-Parlamentet, Det Europæiske Råd og Rådet: Øge sikkerheden i en verden med mobilitet — forbedret informationsudveksling i forbindelse med terrorbekæmpelse og stærkere ydre grænser, COM(2016) 602 final.