HU Az Európai Unió Hivatalos Lapja C 55/4

Az európai adatvédelmi biztos véleményének összefoglalója az ECRIS-TCN rendszerről szóló rendeletre irányuló javaslatról

(A vélemény teljes szövege angol, francia és német nyelven megtalálható az európai adatvédelmi biztos honlapján: www.edps.europa.eu)

(2018/C 55/05)

A 2009/315/JHA tanácsi kerethatározattal (1) létrehozott jelenlegi ECRIS-rendszer a büntetőítéletekre vonatkozó információk cseréjét támogatja, elsősorban az igazságügyi együttműködés keretében. Az ECRIS a büntetőeljárásoktól eltérő célokra is használható a megkereső és a megkeresett tagállam nemzeti jogával összhangban. Míg a jelenlegi ECRIS-rendszer használható harmadik országbeli állampolgárokra („TCN”), használata nem túl hatékony. Ezért indokolt a rendszer fejlesztése.

Az ECRIS hatékonyságát harmadik országbeli állampolgárok tekintetében hangsúlyozták az európai biztonsági stratégiában, és a 2017-es év egyik jogalkotási prioritásává vált. A Bizottság már 2016-ban elfogadott egy irányelvre irányuló javaslatot, amely módosítja a jelenlegi jogszabályt, és javításokat vezet be a harmadik országbeli állampolgárok tekintetében egy decentralizált rendszer révén, kivonatolt sablonok formájában tárolt ujjlenyomatokkal ellátott indexszűrő használatán keresztül. Ez a megoldás műszaki problémákba ütközött. Az ECRIS-TCN rendszerről szóló rendeletre irányuló javaslat, amelyet 2017. június 29-én fogadtak el, létrehoz egy központi uniós adatbázist, amelyben a harmadik országbeli állampolgárokra vonatkozó személyazonossági adatokat tárolják ujjlenyomatokkal és arcképfelvételekkel együtt. Az adatbázis „van találat/nincs találat” kereséshez való használatra szolgál azon tagállam azonosításához, amely a harmadik országbeli állampolgár tekintetében rendelkezik a büntetőítéletre vonatkozó információkkal. Emellett az ECRIS-TCN rendszerről szóló rendeletre irányuló javaslat részben indokolt, mint a nagyméretű uniós rendszerek jövőbeli interoperabilitását támogató eszköz a szabadság, biztonság és igazságszolgáltatás terén.

Az európai adatvédelmi biztos az ECRIS létrehozására irányuló tárgyalások kezdetétől nyomon követi az aktát. Már két véleményt adott ki, és elismerte a hatékony információcsere fontosságát az uniós állampolgárokra és a harmadik országbeli állampolgárokra vonatkozóan egyaránt. Ez az álláspont változatlanul fennáll.

A jelen vélemény a rendeletre irányuló javaslat által felvetett konkrét kérdésekkel foglalkozik. Ahol szükséges, ott hivatkozik az irányelvre irányuló javaslatra, mivel a két javaslat kiegészíti egymást. Az európai adatvédelmi biztos négy fő aggályt, valamint a véleményben részletesen kifejtett további ajánlásokat fogalmaz meg. Összegezve, az európai adatvédelmi biztos azt javasolja, hogy mivel az ECRIS-rendszert az EU a Lisszaboni Szerződés előtt fogadta el, az irányelvre és a rendeletre irányuló új javaslatoknak a rendszert az EUMSZ 16. cikke, valamint az Alapjogi Charta által megkövetelt előírásokhoz kell igazítaniuk, ideértve az alapvető jogok törvényes korlátozására vonatkozó előírások teljesítését is.

Hatásvizsgálatot kell végezni arra vonatkozóan, hogy szükség van-e egy központi uniós rendszerre, és a vizsgálatnak figyelembe kell vennie a szabadság, biztonság és igazságszolgáltatás terén meglévő összes nagyméretű uniós rendszer egyetlen ügynökség általi összevont kezelésének hatásait. Korai lenne még ebben az összefüggésben interoperabilitásról beszélni, mivel az elképzelést előbb jogi alapokra kell helyezni, és biztosítani kell annak adatvédelmi elveknek való megfelelését.

A célkorlátozásra vonatkozó adatvédelmi alapelvvel összhangban egyértelműen meg kell határozni, hogy a büntetőeljárásokon kívül az ECRIS és az ECRIS-TCN rendszerekben milyen célokból történik majd a személyes adatok kezelése. Ez vonatkozik az uniós szervek hozzáférésére is, amelyet az uniós állampolgárok és a harmadik országbeli állampolgárok egyenlő bánásmódra való jogára tekintettel is meg kell vizsgálni. Az uniós szervek általi minden hozzáférésnél igazolni kell, hogy az szükséges, arányos, az ECRIS céljának megfelelő és szigorúan az érintett uniós szerv felhatalmazása körébe tartozó vonatkozó feladatra korlátozódik.

A szóban forgó, nagyon érzékeny jellegű személyes adatok kezelésekor szigorúan be kell tartani a szükségesség elvét: csak akkor lehet „találat”, ha a megkeresett tagállam nemzeti joga értelmében adhat ki büntetőítéletekre vonatkozó információt a büntetőeljárásoktól eltérő célból. Az ujjlenyomatok feldolgozásának körét korlátozni kell, és erre csak akkor kerülhet sor, ha egy adott harmadik országbeli állampolgár személyazonossága más módon nem állapítható meg. Az arcképfelvételeket illetően az európai adatvédelmi biztos egy bizonyítékokon alapuló értékelés elvégzését – vagy (ha már ez megtörtént) annak rendelkezésre bocsátását – javasolja arra vonatkozóan, hogy szükséges-e ilyen adatokat gyűjteni, és azokat ellenőrzési vagy azonosítási célból felhasználni.

Az irányelvre irányuló javaslat helytelenül minősíti az eu-LISA-t adatfeldolgozónak. Az európai adatvédelmi biztos javasolja az eu-LISA és a tagállamok központi hatóságainak együttes adatkezelőként való kijelölését. Továbbá javasolja annak egyértelmű rögzítését egy anyagi jogi rendelkezésben, hogy az eu-LISA felelős a jelen rendeletre irányuló javaslat és a 45/2001/EK európai parlamenti és tanácsi rendelet (2) megszegéséért.

1. BEVEZETÉS ÉS HÁTTÉR

1. 2017. június 29-én az Európai Bizottság egy rendeletre irányuló javaslatot tett közzé egy harmadik országbeli állampolgárokra és a hontalan személyekre (TCN) vonatkozó ítéletekkel kapcsolatos információkat birtokló tagállamok azonosítására szolgáló központosított rendszer létrehozására az Európai Bűnügyi Nyilvántartási Információs Rendszer (ECRIS-TCN rendszer) kiegészítése és támogatása, valamint az 1077/2011/EU rendelet módosítása érdekében (a továbbiakban: „a rendeletre irányuló javaslat”) (3). A rendeletre irányuló javaslatot egy elemző-támogató dokumentum kíséri (4). Ugyanezen a napon az Európai Bizottság elfogadta az első statisztikai jelentést a bűnügyi nyilvántartásból kinyert információk cseréről a tagállamok között az Európai Bűnügyi Nyilvántartási Információs Rendszeren (ECRIS) keresztül, a 2009/316/JHA (5) tanácsi határozat 7. cikkében előirányzottaknak megfelelően.

2. A rendeletre irányuló javaslat célja javítani a harmadik országbeli állampolgárokra és azon uniós polgárokra vonatkozó információk cseréjét, akik harmadik országbeli állampolgársággal is rendelkeznek. A meglévő ECRIS-rendszer alapul szolgáló elve az, hogy az uniós állampolgárokat illetően a büntetőítéletekre vonatkozó információk beszerezhetők az érintett személy állampolgársága szerinti tagállamból, amely attól függetlenül tárolja az összes büntetőítéletet, hogy azokat az EU-ban hol hozták. A harmadik országbeli állampolgárokat illetően minden tagállam azokat az ítéleteket tárolja, amelyeket az illető tagállam hozott, következésképp minden tagállamnak adatszolgáltatásra vonatkozó megkeresést kell küldeni. Az általános megkeresésekre adott válasz a Bizottság szerint adminisztratív terhet és magas költségeket okoz, ha az ECRIS-rendszert szisztematikusan használnák a harmadik országbeli állampolgárra vonatkozó információk kinyerésére. A tagállamok nem szívesen használják a rendszert – a statisztikai jelentés szerint a megkeresések 10 %-a kapcsolódik harmadik országbeli állampolgárokhoz (6) –, ezért a harmadik országbeli állampolgárok bűnügyi előélete nem áll az előirányzottaknak megfelelően rendelkezésre (7). Az ECRIS-rendszer harmadik országbeli állampolgárokat illető hatékonyságának javítását felgyorsítja az európai biztonsági stratégia (8), és az egyike a 2017-es jogalkotási prioritásoknak (9).

3. A rendeletre irányuló javaslat kiegészíti a Bizottság 2016. január 19-i irányelvre irányuló javaslatát a harmadik országbeli állampolgárokra vonatkozó információcsere és az Európai Bűnügyi Nyilvántartási Rendszer (ECRIS) tekintetében, amely módosítja a meglévő 2009/315/JHA tanácsi kerethatározatot és felváltja a 2009/316/JHU tanácsi határozatot (a továbbiakban: „irányelvre irányuló javaslata”).

4. Mindkét javaslatban közös egy rendszer létrehozása a harmadik országbeli állampolgárokra és harmadik országbeli állampolgársággal is rendelkező uniós polgárokra vonatkozó ítéletekkel kapcsolatos információkat birtokló tagállamok azonosítására. Az irányelvre irányuló javaslat egy decentralizált rendszert irányozott elő, ami azt jelenti, hogy nem egyetlen uniós adatbázis lesz, hanem minden tagállam fenntart egy „index-szűrő” fájlt. Az elgondolás szerint ezt a fájlt töltik fel a harmadik országbeli állampolgárokra vonatkozó adatokkal a tagállamok büntető-nyilvántartásából, kódolt formában, és juttatják el valamennyi tagállamhoz. A tagállamok ezután összevetik ezzel a fájllal a saját adataikat, és van találat/nincs találat alapon találják meg, hogy melyik tagállam birtokol információt egy harmadik országbeli állampolgár büntetőítéletére vonatkozóan. Már az irányelvre irányuló javaslat előirányozta az ujjlenyomatok feldolgozását, mindazonáltal az ujjlenyomatok használatát a 2016-os hatásvizsgálatban csak egy lehetőségnek tekintették, míg a rendeletre irányuló javaslat kötelezővé teszi azok használatát. A Bizottság magyarázata szerint a terrorista támadások felgyorsították az ujjlenyomatok azonosítási célú szisztematikus használatának támogatását (10). Az irányelvre irányuló javaslat elfogadását követően egy megvalósíthatósági tanulmány feltárta, hogy jelenleg nincs érett technológia egy ujjlenyomat sok ujjlenyomattal történő összevetésére kivonatolt sablonok használatával.

5. A rendeletre irányuló javaslat, válaszul a felmerült műszaki problémákra, ehelyett egy olyan központosított rendszert irányoz elő, amely tartalmazza a harmadik országbeli állampolgárok alfanumerikus adatait, ujjlenyomatait és arcképfelvételeit. Az alfanumerikus adatok és ujjlenyomatok használhatók a harmadik országbeli állampolgárok azonosítására, az arcképfelvételek pedig kezdetben ellenőrzési célból, és ha a technológia érettebbé válik, azok szintén használhatók azonosításra. Az ítélethozatal szerinti tagállam „központi hatósága” rögzíti az adatokat a helyi ECRIS-TCN rendszerben, amely azokat átküldi egy uniós központi rendszerbe. A megkereső tagállam van találat/nincs találat alapon azonosíthatja a harmadik országbeli állampolgár büntetőítéletére vonatkozóan információt birtokló tagállamo(ka)t, majd ezt az információt a meglévő, és az irányelvre irányuló javaslat szerint javított ECRIS-rendszer használatával kérdezi le. Azokban az esetekben, ahol az azonosításra ujjlenyomatot használnak, szintén megadhatók a megfelelő alfanumerikus adatok. Az uniós adatbázis kezelését az eu-LISA-ra bízzák, és e célból a rendeletre irányuló javaslat módosítja az eu-LISA-ra vonatkozó 1077/2011/EU rendeletet.

6. Továbbá egy központosított rendszer létrehozására irányuló megoldás a biztonság, a határigazgatás és a migrációkezelés terén használt valamennyi információs rendszer interoperabilitásának keretében értelmezendő. Egy központosított rendszer választásának okai között valójában az interoperabilitást hangsúlyozzák a felmerült műszaki problémák helyett (11). Az ECRIS-rendszer szerepel a Tanács információcserét és -kezelést, valamint az interoperabilitás kialakítását szolgáló ütemtervében (12). Az ETIAS-javaslat szintén előirányozza az ECRIS-rendszerrel való interoperabilitást (13).

7. Miután a két javaslatot egymással összehangolták, azoknak ki kell egészíteniük egymást. Míg a rendeletre irányuló javaslatnak a központosított rendszerhez kapcsolódó kérdésekkel kell foglalkoznia, az irányelvre irányuló javaslatnak az ECRIS-rendszer uniós állampolgárokat és a harmadik országbeli állampolgárokat illető működésére vonatkozó általános jellegű kérdéseket kell szabályoznia (14). Az Európai Parlament LIBE bizottsága 2016-ban fogadta el az irányelvre irányuló javaslatról szóló jelentést (15), míg a rendeletre irányuló javaslatra vonatozó jelentéstervezetet 2017. október 30-án fogadta el (16). A Tanács először felfüggesztette az irányelvre irányuló javaslattal kapcsolatos tárgyalásokat, miután a tagállamok a 2016. június 9-i tanácsi ülésen azzal a kéréssel fordultak a Bizottsághoz, hogy nyújtson be javaslatot egy központosított rendszer (17) létrehozására, és a két javaslatot jelenleg párhuzamosan vizsgálja (18).

8. Az ECRIS-TCN rendszer a szabadság, a biztonság és a jogérvényesülés terén működő információs rendszerekkel foglalkozó fontos kezdeményezés. Az európai adatvédelmi biztos az ECRIS létrehozására irányuló tárgyalások kezdetétől nyomon követi az aktát. Az ECRIS-rendszerre vonatkozó első véleményt 2006-ban tették közzé (19), ahogy azt a 2009/315/JHA tanácsi kerethatározat létrehozta, majd 2016-ban az európai adatvédelmi biztos 3/2016 sz. véleményében foglalkozott az irányelvre irányuló javaslattal (20).

9. Az európai adatvédelmi biztos mindkét véleményben elismerte a bűnügyi nyilvántartásból származó információk hatékony cseréjének fontosságát, valamint azt, hogy szükség van egy olyan rendszerre, amely hatékonyan tud működni harmadik országbeli állampolgárokra vonatkozóan, különösen az európai biztonsági stratégia elfogadásának összefüggésében (21). Ez az álláspont változatlanul fennáll.

10. Ez a vélemény a 3/2016 sz. véleményre épül, és a rendeletre irányuló javaslat által felvetett konkrét kérdésekkel foglalkozik. Ahol szükséges, ott a vélemény hivatkozik az irányelvre irányuló javaslatra. A 2. szakaszban az európai adatvédelmi biztos hangot ad főbb aggályainak, és ajánlásokat tesz azok kezelésére. További aggályokat és a javításra vonatkozó ajánlásokat a 3. szakasz ismertet.

3. KÖVETKEZTETÉSEK

66. Az ECRIS-TCN javaslat alapos elemzését követően az európai adatvédelmi biztos a következő ajánlásokat teszi:

67. Az európai adatvédelmi biztos javasolja, hogy egy új központi uniós adatbázis létrehozásakor és az ECRIS-rendszerre vonatkozó meglévő jogszabályok módosításakor vegyék figyelembe az Európai Unió Alapjogi Charta alapvető jogok törvényes korlátozására vonatkozó előírásait, és biztosítsa a személyes adatok megfelelő szintű védelmét a rendeletre irányuló javaslat keretében.

68. Az európai adatvédelmi biztos emlékeztet különösen arra, hogy objektív bizonyítékot kell szolgáltatni egy központosított rendszer uniós szintű létrehozásának szükségességéről. Ebben az összefüggésben az interoperabilitást először annak az alapvető jogokra gyakorolt hatása és célja szempontjából kell értékelni, amelyet az ECRIS-rendszer céljai mentén kell egyértelműen meghatározni. E szempontot illetően a rendeletre irányuló javaslatot a magánélethez és adatvédelemhez fűződő alapvető jogokra, valamint az összes rendszer egyetlen ügynökség általi összevont kezelésére vonatkozó megfelelő hatásvizsgálatnak kell kísérnie.

69. Egy új központi uniós adatbázis létrehozásának és az ECRIS-rendszerre vonatkozó meglévő jogszabályok módosításának összeegyeztethetőnek kell lennie az alapvető jogok törvényes korlátozásával az állandó ítélkezési gyakorlatnak megfelelően. Ennek érdekében szükségességük és az arányosság szempontjából meg kell vizsgálni, és a célkorlátozásra vonatkozó adatvédelmi alapelvvel összhangban egyértelműen meg kell határozni, hogy a büntetőeljárásokon kívül az ECRIS és az ECRIS-TCN rendszerekben milyen célokból történik majd a személyes adatok feldolgozása. Emellett az uniós szervek, például az Europol ECRIS-TCN rendszerhez való hozzáférésének összeegyeztethetőnek kell lennie a jelenlegi ECRIS-rendszer céljával, valamint az uniós és harmadik országbeli állampolgárok egyenlő bánásmódra való jogával, és annak a felhatalmazásuk körébe tartozó feladatokra kell korlátozódnia. A jelenlegi célok körének minden tervezett bővítését anyagi jogi rendelkezéssel kell végrehajtani (preambulumbekezdés nem elegendő).

70. Mivel az ECRIS-TCN rendszer együtt jár a nagyon érzékeny jellegű személyes adatok feldolgozásával, az európai adatvédelmi biztos javasolja megfelelő feltételek meghatározását a személyes adatok feldolgozásához a szükségesség elvével összhangban: csak akkor lehet „találat”, ha a megkeresett tagállam nemzeti joga értelmében adhat ki büntetőítéletekre vonatkozó információt a büntetőeljárásoktól eltérő célból. Az ujjlenyomatok feldolgozásának körét korlátozni kell, és csak akkor, ha egy adott harmadik országbeli állampolgár személyazonossága más módon nem állapítható meg. Az arcképfelvételeket illetően az európai adatvédelmi biztos egy bizonyítékokon alapuló értékelés elvégzését vagy annak rendelkezésre bocsátását javasolja arra vonatkozóan, hogy szükséges-e ilyen adatokat rögzíteni és azokat ellenőrzési és/vagy azonosítási célból felhasználni.

71. Az eu-LISA-t és a tagállamok központi hatóságait továbbá ki kell jelölni együttes adatkezelőnek, mivel közösen felelnek a tervezett adatkezelési tevékenységek céljának és módjainak meghatározásáért. Az eu-LISA adatkezelőként való kijelölése nem tükrözné megfelelően a jelenlegi helyzetet, és nem lenne előnyös a személyes adatok magas szintű védelmének vagy a tagállamok jogos érdekeinek biztosítása érdekében. Az ECRIS-TCN javaslatnak továbbá egyértelműen meg kell határoznia az eu-LISA felelősségét a jelen rendeletre irányuló javaslat vagy a 45/2001/EK rendelet megszegése esetén.

72. A fent meghatározott fő aggályok mellett az európai adatvédelmi biztos e véleményében megfogalmazott ajánlásai a javasolt rendelkezések javítására irányulnak a következőkkel kapcsolatban: — hivatkozások az (EU) 2016/680 irányelv és a 45/2001/EK rendelet alkalmazhatóságára, — az adatalanyok jogai, — statisztika, központi adatbázis és monitoring, — adatbiztonság, — az európai adatvédelmi biztos szerepe, — nemzeti felügyeleti hatóságok.

73. Az európai adatvédelmi biztos továbbra is szívesen szolgál tanáccsal a rendeletre irányuló javaslat és az irányelvre irányuló javaslat vonatkozásában, valamint a javasolt eszközök alapján elfogadott minden felhatalmazáson alapuló vagy végrehajtási jogi aktussal és a személyes adatok kezelésével kapcsolatban.

Kelt Brüsszelben, 2017. december 12-én. Giovanni BUTTARELLI európai adatvédelmi biztos

(1) HL L 93., 2009.4.7., 23. o.

(2) HL L 8., 2001.1.12., 1. o.

(3) COM(2017) 344 final.

(4) SWD(2017) 248 final.

(5) COM(2017) 341 final. Ezt a jelentést egy bizottsági szolgálati munkadokumentum (SWD(2017) 242 final) kíséri.

(6) COM(2017) 341 final, 15. o.

(7) A javaslat indokolása, COM(2017) 344 final, 2. o.

(8) COM (2015) 185 final.

(9) Közös nyilatkozat az EU 2017. évi jogalkotási prioritásairól, https://ec.europa.eu/commission/sites/beta-political/files/joint-declaration-legislative-priorities-2017-jan2017_hu.pdf

(10) A javaslat indokolása, COM(2017) 344 final, 3. o.; Kapcsolódó támogató elemzési dokumentum, SWD(2017) 248 final, 3. o.

(11) A javaslat indokolása, COM(2017) 344 final, 3. o.

(12) Ütemterv a bel- és igazságügyi területen alkalmazott információcsere és információkezelés javítására, beleértve az interoperabilitást biztosító megoldásokat is, 9368/1/16, http://data.consilium.europa.eu/doc/document/ST-9368-2016-REV-1/hu/pdf; Council first report of 8 November 2016, http://statewatch.org/news/2016/dec/eu-council-info-exhang-interop-sop-13554-REV-1-16.pdf; A Tanács második jelentése, 2017. május 11., http://www.statewatch.org/news/2017/may/eu-council-information-management-strategy-second-implementation-report-8433-17.pdf

(13) COM(2016) 731 final.

(14) A javaslat indokolása, COM(2017) 344 final, 4. o.

(15) A8-0219/2016.

(16) PE 612.310v01-00.

(17) A Tanács ülésének (JHA) eredménye, 9979/16, http://data.consilium.europa.eu/doc/document/ST-9979-2016-INIT/en/pdf

(18) Lásd a Coreper 2017. november 29-i napirendjét, http://data.consilium.europa.eu/doc/document/CM-5236-2017-INIT/en/pdf

(19) Az európai adatvédelmi biztos véleménye a bűnügyi nyilvántartásból származó információk tagállamok közötti cseréjének megszervezéséről és azok tartalmáról szóló tanácsi kerethatározati javaslatról (COM(2005) 690 végleges) (HL C 313., 2006.12.20., 26. o.), https://edps.europa.eu/sites/edp/files/publication/06-05-29_criminal_records_hu.pdf

(20) Az európai adatvédelmi biztos 3/2016 sz. véleménye az ECRIS-rendszerről, https://edps.europa.eu/sites/edp/files/publication/16-04-13_ecris_en.pdf

(21) Az európai adatvédelmi biztos 3/2016 jelentése az ECRIS-rendszerről, 12. o., további hivatkozásokkal (38) az európai adatvédelmi biztos 2006-os véleményére.