Resumé af udtalelse fra Den Europæiske Tilsynsførende for Databeskyttelse om forhandlingsmandatet for en aftale mellem EU og Japan om overførsel og brug af passagerlisteoplysninger

[Udtalelsen findes i sin helhed på engelsk, fransk og tysk på EDPS' websted www.edps.europa.eu]

(2019/C 419/04)

Den 27. september 2019 vedtog Europa-Kommissionen en henstilling med henblik på Rådets afgørelse om bemyndigelse til at indlede forhandlinger om en aftale mellem Den Europæiske Union og Japan om overførsel og brug af passagerlisteoplysninger (PNR-oplysninger) for at forhindre og bekæmpe terrorisme og anden grov kriminalitet af grænseoverskridende karakter. Formålet med den påtænkte aftale er at fastlægge det juridiske grundlag og de betingelser, hvorunder luftfartsselskaber får bemyndigelse til at overføre PNR-oplysninger til Japan for passagerer, som flyver mellem EU og Japan, i overensstemmelse med kravene i EU-lovgivning, herunder Den Europæiske Unions charter om grundlæggende rettigheder.

EDPS glæder sig over, at forhandlingsmandatet er rettet mod at sikre, at de grundlæggende rettigheder og friheder fastlagt i artikel 7 og 8 i Den Europæiske Unions charter om grundlæggende rettigheder samt principperne om nødvendighed og proportionalitet som fortolket af Domstolen i dennes udtalelse 1/15 om PNR-aftalen mellem EU og Canada respekteres fuldt ud.

Grundet konsekvenserne af den påtænkte aftale om de grundlæggende rettigheder for et meget stort antal enkeltpersoner, som ikke er mistænkt for en kriminel aktivitet, mener EDPS, at den bør indeholde alle de nødvendige materielle og proceduremæssige garantier for at sikre PNR-systemets proportionalitet og begrænse krænkelser af retten til privatlivets fred og databeskyttelse til kun det strengt nødvendige, som er begrundet ved at være af generel interesse for Unionen. EDPS fremsætter med henblik herpå en række anbefalinger for at forbedre forhandlingsdirektiverne, såsom:

— En streng tilgang hvad angår nødvendigheden og proportionaliteten af PNR-systemet.

— Enhver videre anvendelse af de overførte PNR-oplysninger til andre formål bør i overensstemmelse med princippet om formålsbegrænsning være meget velbegrundet, angivet på en klar og præcis måde og begrænset til det strengt nødvendige.

— Rådets afgørelse om bemyndigelse til at indlede forhandlinger bør indeholde en henvisning til både det proceduremæssige retsgrundlag og det materielle retsgrundlag, herunder artikel 16 i TEUF.

— Der bør rettes særlig opmærksomhed mod at forhindre risikoen for indirekte at afsløre særlige kategorier af data om flypassagerer samt risikoen for genkendelse af enkeltpersoner efter anonymisering af de PNR-oplysninger, som vedrører dem.

— Den påtænkte aftale bør indeholde klausuler, der tillader suspendering af aftalen i tilfælde af, at reglerne deri overtrædes, samt dennes ophævelse, hvis den manglende overholdelse er alvorlig og vedvarende.

EDPS giver yderligere detaljerede anbefalinger i denne udtalelse.

EDPS står til rådighed for institutionerne, hvis de ønsker yderligere rådgivning i løbet af forhandlingerne. EDPS forventer også at blive hørt under de senere faser af udkastets færdiggørelse i overensstemmelse med artikel 42 i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 (1).

1. INDLEDNING OG BAGGRUND

1. Den 27. september 2019 vedtog Europa-Kommissionen en henstilling med henblik på Rådets afgørelse om bemyndigelse til at indlede forhandlinger om en aftale mellem Den Europæiske Union (EU) og Japan om overførsel og brug af passagerlisteoplysninger (PNR-oplysninger) for at forhindre og bekæmpe terrorisme og anden grov kriminalitet af grænseoverskridende karakter. Bilaget til henstillingen (herefter kaldet »bilaget«) fastlægger Rådets forhandlingsdirektiver til Kommissionen, dvs. de målsætninger, som sidstnævnte bør sigte efter at opnå på vegne af EU under forhandlingerne.

2. Henstillingen er blevet vedtaget på grundlag af proceduren, der er fastlagt i artikel 218 i traktaten om Den Europæiske Unions funktionsmåde (TEUF) om aftaler, der indgås mellem EU og tredjelande. Med denne henstilling søger Kommissionen at indhente bemyndigelse fra Rådet til at blive udnævnt som forhandler på vegne af EU og til at indlede forhandlinger med Japan i medfør af forhandlingsmandatet. Når forhandlingerne er afsluttet, skal Europa-Parlamentet — med henblik på at indgå denne aftale — godkende teksten til den forhandlede aftale, hvorefter Rådet skal vedtage en afgørelse om indgåelse af aftalen.

3. Lovrammerne for behandling af PNR-oplysninger i EU er Europa-Parlamentets og Rådets direktiv (EU) 2016/681 af 27. april 2016 om anvendelse af passagerlisteoplysninger (PNR-oplysninger) til at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet (PNR-direktivet). Medlemsstaterne var forpligtede til at sætte de nødvendige love og administrative bestemmelser for at efterkomme direktivet i kraft senest den 25. maj 2018. Europa-Kommissionen skal gennemføre den første gennemgang af PNR-direktivet inden den 25. maj 2020.

4. I øjeblikket gælder to internationale aftaler mellem EU og tredjelande for behandling og overførsel af PNR-oplysninger – én med Australien ( 2 ) og én med Amerikas Forenede Stater ( 3 ) , der begge er fra 2011. Efter anmodning fra Europa-Parlamentet, i medfør af artikel 218, stk. 11, i TEUF, vedtog Den Europæiske Unions Domstol (Domstolen) udtalelse 1/15 af 26. juli 2017 ( 4 ) om den påtænkte aftale mellem EU og Canada om overførsel og behandling af PNR-oplysninger, som er underskrevet den 25. juni 2014. Domstolen konkluderede, at aftalen er uforenelig med artikel 7, 8 og 21 samt artikel 52, stk. 1, i Den Europæiske Unions charter om grundlæggende rettigheder (chartret), eftersom den ikke udelukker overførslen af følsomme oplysninger fra EU til Canada samt brugen og opbevaringen af disse oplysninger. Desuden fastlagde Domstolen en række betingelser og garantier for lovlig behandling og overførsel af PNR-oplysninger. På baggrund af udtalelse 1/15 blev der iværksat nye PNR-forhandlinger med Canada i juni 2018, som ifølge Kommissionen er i deres slutfase.

5. På globalt niveau håndteres spørgsmålet om PNR-oplysninger af konventionen angående international civil luftfart (Chicagokonventionen) af 1947, som regulerer international luftfart og oprettede Organisationen for International Civil Luftfart (ICAO). ICAO's råd har vedtaget standarder og anbefalinger for PNR, som er en del af bilag 9 (»Lettelse«) til Chicagokonventionen. De suppleres af yderligere vejledning, navnlig ICAO-dokument 9944, som fastlagde »retningslinjer vedrørende PNR-oplysninger« ( 5 ) . Alle EU-medlemsstater er parter i Chicagokonventionen.

6. Derudover kræver FN's Sikkerhedsråds resolution 2396 (2017) om trusler mod international fred og sikkerhed som følge af hjemvendte fremmedkrigere, der blev vedtaget den 21. december 2017, at FN's medlemsstater skal »udvikle evnen til at indsamle, behandle og analysere PNR-oplysninger og til at sikre, at PNR-oplysninger anvendes af og deles med alle deres kompetente nationale myndigheder under fuld overholdelse af menneskerettighederne og de grundlæggende frihedsrettigheder« samt »opfordrer medlemsstater til at dele PNR-oplysninger med relevante eller berørte medlemsstater, når dette er nødvendigt for at opdage fremmedkrigere« ( 6 )

7. EDPS glæder sig over at være blevet rådført efter Europa-Kommissionens vedtagelse af henstillingen og forventer, at en henvisning til nærværende udtalelse inkluderes i præamblen til Rådets afgørelse. Nærværende udtalelse berører ikke nogen yderligere bemærkninger, som EDPS eventuelt fremsætter på baggrund af oplysninger, der bliver tilgængelige på et senere tidspunkt.

5. KONKLUSIONER

34. EDPS glæder sig over, at forhandlingsmandatet er rettet mod at sikre, at de grundlæggende rettigheder og friheder fastlagt i artikel 7 og 8 i chartret samt principperne om nødvendighed og proportionalitet som fortolket af Domstolen i dennes udtalelse 1/15 om PNR-aftalen mellem EU og Canada respekteres fuldt ud.

35. Grundet konsekvenserne af den påtænkte aftale om de grundlæggende rettigheder for et meget stort antal enkeltpersoner, som ikke er mistænkt for en kriminel aktivitet, mener EDPS, at den fremtidige aftale bør indeholde alle de nødvendige materielle og proceduremæssige garantier, der samlet set vil sikre PNR-systemets proportionalitet og begrænse krænkelser af retten til privatlivets fred og databeskyttelse til kun det strengt nødvendige, som begrundes ved at være af generel interesse for EU.

36. Derfor understreger EDPS, som sin primære henstilling, behovet for en streng tilgang hvad angår nødvendigheden og proportionaliteten af PNR-systemet. Endvidere bør der tages særligt hensyn til den praktiske gennemførelse af princippet om formålsbegrænsning vedrørende brugen af de overførte PNR-oplysninger. Desuden gentager EDPS sin holdning fra dennes tidligere udtalelser ( 7 ) om, at Rådets afgørelse om bemyndigelse til at indlede forhandlinger i henhold til artikel 218 i TEUF, bør indeholde en henvisning til ikke kun det proceduremæssige retsgrundlag men også det relevante materielle retsgrundlag, hvilket bør omfatte artikel 16 i TEUF.

37. De yderligere anbefalinger fra EDPS i nærværende udtalelse vedrører de passende lovrammer for overførsel af operationelle personoplysninger, behovet for at forhindre risikoen for indirekte at afsløre særlige kategorier af data om flypassagerer samt risikoen for genkendelse af enkeltpersoner efter anonymisering af de PNR-oplysninger, som vedrører dem. EDPS understreger også behovet for at afklare det uafhængige tilsyn med behandling af PNR-oplysninger ved kompetente japanske myndigheder, hvilket er en af de grundlæggende garantier for retten til databeskyttelse. Derudover anbefaler EDPS indførelsen af klausuler, der tillader suspendering af den fremtidige aftale i tilfælde af, at bestemmelserne deri overtrædes, samt dennes ophævelse, hvis den manglende overholdelse er alvorlig og vedvarende.

38. EDPS står fortsat til Kommissionens, Rådets og Europa-Parlamentets rådighed med hensyn til at yde rådgivning i senere faser i denne proces. Bemærkningerne i denne udtalelse berører ikke eventuelle yderligere bemærkninger, som EDPS måtte fremsætte, hvis der opstår yderligere spørgsmål, som vil blive behandlet, når der foreligger yderligere oplysninger. Med henblik herpå forventer EDPS at blive hørt senere om bestemmelserne i aftaleudkastet, før det færdiggøres.

Bruxelles, den 25. oktober 2019. Wojciech Rafał WIEWIÓROWSKI Den Europæiske Tilsynsførende for Databeskyttelse

(1) EUT L 295, 21.11.2018, s. 39.

(2) EUT L 186 af 14.7.2012, s. 4.

(3) EUT L 215 af 11.8.2012, s. 5.

(4) Udtalelse 1/15 fra Domstolen af 26. juli 2017 i medfør af artikel 218, stk. 11, i TEUF om et udkast til aftale mellem Canada og Den Europæiske Union om overførsel og behandling af PNR-oplysninger, ECLI:EU:C:2017:592.

(5) ICAO, dokument 9944, Guidelines on Passenger Name Record (PNR) Data, 1. udgave, 2010.

(6) Sikkerhedsrådets resolution 2396 (2017) om trusler mod international fred og sikkerhed som følge af hjemvendte fremmedkrigere, der blev vedtaget af Sikkerhedsrådet ved dets 8148. møde den 21. december 2017, punkt 12.

(7) Se EDPS' udtalelse 2/2019 om forhandlingsmandatet til en aftale med EU og USA om grænseoverskridende adgang til elektronisk bevismateriale og EDPS' udtalelse 3/2019 om deltagelse i forhandlingerne på baggrund af den anden tillægsprotokol til Budapest-konventionen om IT-kriminalitet, som er til rådighed fra: https://edps.europa.eu/sites/edp/files/publication/19-04-02_edps_opinion_on_eu_us_agreement_on_e-evidence_en.pdf og https://edps.europa.eu/sites/edp/files/publication/19-04-02_edps_opinion_budapest_convention_en.pdf.