C 338/22

Zusammenfassung der Stellungnahme des Europäischen Datenschutzbeauftragten zu dem Vorschlag für eine Verordnung zur Erhöhung der Sicherheit der Personalausweise von Unionsbürgern und anderer Dokumenten

(Der vollständige Text dieser Stellungnahme ist in deutscher, englischer und französischer Sprache auf der Internetpräsenz des EDSB unter www.edps.europa.eu erhältlich)

(2018/C 338/12)

In der vorliegenden Stellungnahme wird die Haltung des EDSB zu dem Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zur Erhöhung der Sicherheit der Personalausweise von Unionsbürgern und der Aufenthaltsdokumente, die Unionsbürgern und ihren Familienangehörigen in Ausübung ihres Rechts auf Freizügigkeit ausgestellt werden, dargelegt.

In diesem Zusammenhang stellt der EDSB fest, dass sich die Kommission eindeutig dafür entschieden hat, den die Freizügigkeit betreffenden Aspekten des Vorschlags Vorrang einzuräumen und das sicherheitsbezogene Ziel als sekundär zu behandeln. Der EDSB merkt an, dass sich dies auf die Prüfung der Notwendigkeit und Verhältnismäßigkeit der Elemente des Vorschlags auswirken könnte.

Der EDSB unterstützt die Europäische Kommission in ihrer Zielsetzung, die für Personalausweise und Aufenthaltsdokumente geltenden Sicherheitsstandards zu verbessern und damit zur Sicherheit der Union insgesamt beizutragen. Gleichzeitig ist der EDSB der Auffassung, dass der Vorschlag die Notwendigkeit der Verarbeitung von zwei Arten biometrischer Daten (Gesichtsbild und Fingerabdrücke) in diesem Zusammenhang nicht ausreichend begründet, zumal der angegebene Zweck auch mit einem weniger in die Privatsphäre eindringenden Vorgehen erreicht werden könnte.

Gemäß dem EU-Rechtsrahmen sowie dem modernisierten Übereinkommen Nr. 108 gelten biometrische Daten als sensible Daten und unterliegen sie besonderem Schutz. Der EDSB unterstreicht, dass sowohl Gesichtsbilder als auch Fingerabdrücke, die nach dem Vorschlag verarbeitet würden, eindeutig in die Kategorie sensibler Daten fallen würden.

Des Weiteren ist der EDSB der Ansicht, dass der Vorschlag weitreichende Auswirkungen auf bis zu 370 Mio. EU-Bürger hätte, da er möglicherweise bei 85 % der EU-Bevölkerung die obligatorische Abnahme von Fingerabdrücken verlangen würde. Dieser breit angelegte Anwendungsbereich sowie die höchst sensiblen Daten, die verarbeitet werden (Gesichtsbilder in Kombination mit Fingerabdrücken), verlangen eine gründliche Prüfung auf der Grundlage einer strengen Prüfung der Notwendigkeit.

Der EDSB räumt darüber hinaus ein, dass in Anbetracht der Unterschiede zwischen Personalausweisen und Reisepässen die Einführung auch für Personalausweise von Sicherheitsmerkmalen, die für Reisepässe möglicherweise als angemessen gelten, nicht automatisch geschehen darf, sondern der Überlegung und einer gründlichen Analyse bedarf.

Der EDSB unterstreicht ferner, dass Artikel 35 Absatz 10 der Datenschutz-Grundverordnung (im Folgenden „DSGVO“) (1) auf die hier zu prüfende Verarbeitung Anwendung finden würde. In diesem Zusammenhang weist der EDSB darauf hin, dass die Folgenabschätzung zum Vorschlag anscheinend die von der Kommission gewählte Option nicht unterstützt, nämlich die obligatorische Aufnahme sowohl von Gesichtsbildern als auch von (zwei) Fingerabdrücken in Personalausweise (und Aufenthaltsdokumente). Folglich kann nicht davon ausgegangen werden, dass die Folgenabschätzung zum Vorschlag für den Zweck der Einhaltung von Artikel 35 Absatz 10 DSGVO genügt. Der EDSB empfiehlt daher, vor diesem Hintergrund die Notwendigkeit und Verhältnismäßigkeit der Verarbeitung biometrischer Daten (Gesichtsbild in Kombination mit Fingerabdrücken) erneut zu prüfen.

Der Vorschlag sollte ferner explizit Garantien mit Blick auf Mitgliedstaaten vorsehen, die im Rahmen der Umsetzung des Vorschlags nationale Fingerabdruckdatenbanken aufbauen. Dem Vorschlag sollte eine Bestimmung hinzugefügt werden, die ausdrücklich besagt, dass in diesem Zusammenhang verarbeitete biometrische Daten nach ihrer Speicherung auf dem Chip unverzüglich zu löschen sind und nicht für andere als die im Vorschlag explizit erwähnten Zwecke weiterverarbeitet werden dürfen.

Nach dem Verständnis des EDSB könnte die Verwendung biometrischer Daten als legitime Maßnahme zur Betrugsbekämpfung gelten, doch begründet der Vorschlag nicht die Notwendigkeit der Speicherung von zwei Arten biometrischer Daten für seine Zwecke. Eine erwägenswerte Option wäre die Beschränkung der verwendeten biometrischen Daten auf eine Art (z. B. nur Gesichtsbilder).

Der EDSB weist darüber hinaus darauf hin, dass nach seinem Verständnis die Speicherung von Fingerabdrücken die Interoperabilität verbessert, dass sie aber gleichzeitig die Menge verarbeiteter biometrischer Daten und das Risiko der Identitätserschleichung bei einer Verletzung des Schutzes personenbezogener Daten erhöht. Der EDSB empfiehlt daher, die im Dokument auf dem Chip gespeicherten Fingerabdruckdaten auf Minuzien oder Muster zu beschränken, also auf eine Untermenge der aus dem Fingerabdruckbild extrahierten Merkmale.

Schließlich empfiehlt der EDSB in Anbetracht der vorstehend geschilderten breit gefächerten und potenziellen Auswirkungen des Vorschlags, die Altersgrenze für die Abnahme von Fingerabdrücken bei Kindern im Einklang mit anderen Instrumenten des EU-Rechts auf 14 Jahre festzulegen.

1. EINLEITUNG UND HINTERGRUND

1. Am 17. April 2018 veröffentlichte die Europäische Kommission (im Folgenden „Kommission“) den Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zur Erhöhung der Sicherheit der Personalausweise von Unionsbürgern und der Aufenthaltsdokumente, die Unionsbürgern und ihren Familienangehörigen in Ausübung ihres Rechts auf Freizügigkeit ausgestellt werden ( 2 ) , mit dem die Sicherheitsmerkmale der Personalausweise von Unionsbürgern und der Aufenthaltsdokumente ihrer Familienangehörigen aus Drittstaaten verbessert werden sollen (im Folgenden „Vorschlag“).

2. Dieser Vorschlag ist Teil des Aktionsplans vom Dezember 2016 „für ein wirksameres europäisches Vorgehen gegen Reisedokumentenbetrug“ (im Folgenden „Aktionsplan vom Dezember 2016“) ( 3 ) , in dem die Kommission vor dem Hintergrund der jüngsten terroristischen Anschläge in Europa Maßnahmen im Bereich der Dokumentensicherheit einschließlich Personalausweisen und Aufenthaltsdokumenten auflistete.

3. Personalausweise spielen eine wichtige Rolle bei der sicheren Identifizierung einer Person für administrative und kommerzielle Zwecke, wie es die Kommission in ihrer Mitteilung vom 14. September 2016„Mehr Sicherheit in einer von Mobilität geprägten Welt: Besserer Informationsaustausch bei der Terrorismusbekämpfung und ein stärkerer Schutz der Außengrenzen“ ( 4 ) unterstrichen hat. Der Bedarf an einer verbesserten Sicherheit dieser Dokumente wurde auch in dem Bericht über die Unionsbürgerschaft 2017 hervorgehoben.

4. Es gehört zu den Aufgaben des EDSB, die Dienststellen der Kommission bei der Abfassung neuer Legislativvorschläge, die Auswirkungen auf den Datenschutz haben, zu beraten.

5. Der EDSB begrüßt die Tatsache, dass er von der Europäischen Kommission bereits informell zum Entwurf des Vorschlags konsultiert worden war und Gelegenheit hatte, sich zu Datenschutzaspekten zu äußern.

7. SCHLUSSFOLGERUNGEN

Der EDSB stellt fest, dass sich die Kommission eindeutig dafür entschieden hat, den die Freizügigkeit betreffenden Aspekten des Vorschlags Vorrang einzuräumen und das sicherheitsbezogene Ziel als sekundär zu behandeln. Der EDSB merkt an, dass sich dies auf die Prüfung der Notwendigkeit und Verhältnismäßigkeit der Elemente des Vorschlags auswirken könnte.

Der EDSB unterstützt die Europäische Kommission in ihrer Zielsetzung, die für Personalausweise und Aufenthaltsdokumente geltenden Sicherheitsstandards zu verbessern und damit zur Sicherheit der Union insgesamt beizutragen. Gleichzeitig ist der EDSB der Auffassung, dass der Vorschlag die Notwendigkeit der Verarbeitung von zwei Arten biometrischer Daten (Gesichtsbild und Fingerabdrücke) in diesem Zusammenhang nicht ausreichend begründet, zumal der angegebene Zweck auch mit einem weniger in die Privatsphäre eindringenden Vorgehen erreicht werden könnte.

Gemäß dem EU-Rechtsrahmen sowie dem modernisierten Übereinkommen Nr. 108 gelten biometrische Daten als sensible Daten und unterliegen sie besonderem Schutz. Der EDSB unterstreicht, dass sowohl Gesichtsbilder als auch Fingerabdrücke, die nach dem Vorschlag verarbeitet würden, eindeutig in die Kategorie sensibler Daten fallen würden.

Des Weiteren ist der EDSB der Ansicht, dass der Vorschlag weitreichende Auswirkungen auf bis zu 370 Mio. EU-Bürger hätte, da er bei 85 % der EU-Bevölkerung die obligatorische Abnahme von Fingerabdrücken verlangen würde. Dieser breit angelegte Anwendungsbereich sowie die höchst sensiblen Daten, die verarbeitet werden (Gesichtsbilder in Kombination mit Fingerabdrücken), verlangen eine gründliche Prüfung auf der Grundlage einer strengen Prüfung der Notwendigkeit.

Der EDSB räumt darüber hinaus ein, dass in Anbetracht der Unterschiede zwischen Personalausweisen und Reisepässen die Einführung auch für Personalausweise von Sicherheitsmerkmalen, die für Reisepässe als möglicherweise angemessen gelten, nicht automatisch geschehen darf, sondern der Überlegung und einer gründlichen Analyse bedarf.

Der EDSB unterstreicht ferner, dass Artikel 35 Absatz 10 DSGVO auf die hier zu prüfende Verarbeitung Anwendung finden würde. In diesem Zusammenhang weist der EDSB darauf hin, dass die Folgenabschätzung zum Vorschlag anscheinend die von der Kommission gewählte Option nicht unterstützt, nämlich die obligatorische Aufnahme sowohl von Gesichtsbildern als auch von (zwei) Fingerabdrücken in Personalausweise (und Aufenthaltsdokumente). Folglich kann nicht davon ausgegangen werden, dass die Folgenabschätzung zum Vorschlag für den Zweck der Einhaltung von Artikel 35 Absatz 10 DSGVO genügt. Der EDSB empfiehlt daher, vor diesem Hintergrund die Notwendigkeit und Verhältnismäßigkeit der Verarbeitung biometrischer Daten (Gesichtsbild in Kombination mit Fingerabdrücken) erneut zu prüfen.

Der Vorschlag sollte ferner explizit Garantien mit Blick auf Mitgliedstaaten vorsehen, die im Rahmen der Umsetzung des Vorschlags nationale Fingerabdruckdatenbanken aufbauen. Dem Vorschlag sollte eine Bestimmung hinzugefügt werden, die ausdrücklich besagt, dass in diesem Zusammenhang verarbeitete biometrische Daten nach ihrer Speicherung auf dem Chip unverzüglich zu löschen sind und nicht für andere als die im Vorschlag explizit erwähnten Zwecke weiterverarbeitet werden dürfen.

Nach dem Verständnis des EDSB könnte die Verwendung biometrischer Daten als legitime Maßnahme zur Betrugsbekämpfung gelten, doch begründet der Vorschlag nicht die Notwendigkeit der Speicherung von zwei Arten biometrischer Daten für seine Zwecke. Eine erwägenswerte Option wäre die Beschränkung der verwendeten biometrischen Daten auf eine Art (z. B. nur Gesichtsbilder).

Der EDSB weist darüber hinaus darauf hin, dass nach seinem Verständnis die Speicherung von Fingerabdrücken die Interoperabilität verbessert, dass sie aber gleichzeitig die Menge verarbeiteter biometrischer Daten und das Risiko der Identitätserschleichung bei einer Verletzung des Schutzes personenbezogener Daten erhöht. Der EDSB empfiehlt daher, die im Dokument auf dem Chip gespeicherten Fingerabdruckdaten auf Minuzien oder Muster zu beschränken, also auf eine Untermenge der aus dem Fingerabdruckbild extrahierten Merkmale.

Schließlich empfiehlt der EDSB in Anbetracht der vorstehend geschilderten breit gefächerten und potenziellen Auswirkungen des Vorschlags, die Altersgrenze für die Abnahme von Fingerabdrücken bei Kindern im Einklang mit anderen Instrumenten des EU-Rechts auf 14 Jahre festzulegen.

Brüssel, den 10. August 2018 Giovanni BUTTARELLI Europäischer Datenschutzbeauftragter

(1) Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1).

(2) Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates vom 17. April 2018 zur Erhöhung der Sicherheit der Personalausweise von Unionsbürgern und der Aufenthaltsdokumente, die Unionsbürgern und ihren Familienangehörigen in Ausübung ihres Rechts auf Freizügigkeit ausgestellt werden, COM(2018) 212 final, 2018/0104 (COD).

(3) Mitteilung der Kommission an das Europäische Parlament und den Rat vom 8. Dezember 2016: Aktionsplan für ein wirksameres europäisches Vorgehen gegen Reisedokumentenbetrug, COM(2016) 790 final.

(4) Mitteilung der Kommission an das Europäische Parlament, den Europäischen Rat und den Rat: Mehr Sicherheit in einer von Mobilität geprägten Welt: Besserer Informationsaustausch bei der Terrorismusbekämpfung und ein stärkerer Schutz der Außengrenzen, COM(2016) 602 final.