C 338/22

Europos duomenų apsaugos priežiūros pareigūno nuomonės dėl Pasiūlymo priimti reglamentą, kuriuo būtų didinamas Sąjungos piliečių tapatybės kortelių ir kitų dokumentų saugumas, santrauka

(Visą šios nuomonės tekstą anglų, prancūzų ir vokiečių kalbomis galima rasti EDAPP interneto svetainėje www.edps.europa.eu)

(2018/C 338/12)

Šioje nuomonėje pateikiama Europos duomenų apsaugos priežiūros pareigūno nuomonė dėl Europos Parlamento ir Tarybos pasiūlymo priimti reglamentą, kuriuo būtų didinamas Sąjungos piliečių tapatybės kortelių ir Sąjungos piliečiams bei jų šeimos nariams, kurie naudojasi laisvo judėjimo teise, išduodamų teisę gyventi šalyje patvirtinančių dokumentų saugumas.

Europos duomenų apsaugos priežiūros pareigūnas pastebi, kad Komisija pasiūlyme aiškiai nusprendė teikti pirmenybę laisvo judėjimo klausimams, o saugumo tikslą traktuoti kaip laisvo judėjimo klausimų padarinį. Europos duomenų apsaugos priežiūros pareigūnas pastebi, kad tai gali turėti įtakos pasiūlymo dalių būtinumo ir proporcingumo analizei.

Europos duomenų apsaugos priežiūros pareigūnas pritaria Europos Komisijos tikslui stiprinti saugumo standartus, taikomus tapatybės kortelėms ir teisę gyventi šalyje patvirtinantiems dokumentams, tokiu būdu prisidedant prie bendro Sąjungos saugumo. Tačiau Europos duomenų apsaugos priežiūros pareigūnas mano, kad pasiūlyme nepakankamai pagrindžiama būtinybė tvarkyti dviejų rūšių biometrinius duomenis (veido atvaizdas ir pirštų atspaudai), o nurodytų tikslų būtų galima pasiekti mažiau reguliuojančiu būdu.

Vadovaujantis ES teisine sistema ir atnaujinta 108 konvencija, biometriniai duomenys laikomi neskelbtinais duomenimis ir jiems taikoma speciali apsauga. Europos duomenų apsaugos priežiūros pareigūnas pabrėžia, kad veido atvaizdai ir pirštų atspaudai, tvarkomi laikantis pasiūlymo, aiškiai patektų į neskelbtinų duomenų kategoriją.

Be to, Europos duomenų apsaugos priežiūros pareigūnas mano, kad pasiūlymas turės plataus masto poveikį iki 370 mln. ES piliečių, galimai priversdamas 85 % ES gyventojų laikytis pirštų atspaudų reikalavimo. Dėl apimties platumo ir dėl to, kad tvarkomi neskelbtini duomenys (veido atvaizdai ir pirštų atspaudai), būtina įdėmi peržiūra atliekant griežtą būtinumo patikrą.

Europos duomenų apsaugos priežiūros pareigūnas taip pat pripažįsta, kad, atsižvelgiant į tapatybės kortelių ir pasų skirtumus, tapatybės kortelėms automatiškai taikyti pasams tinkamas saugumo priemones negalima – būtina apsvarstyti ir išsamiai išanalizuoti.

Europos duomenų apsaugos priežiūros pareigūnas nori pabrėžti, kad tokių duomenų tvarkymui būtų taikoma Bendrojo duomenų apsaugos reglamento (toliau tekste – BDAR) (1) 35 straipsnio 10 dalis. Šiuo atžvilgiu Europos duomenų apsaugos priežiūros pareigūnas pastebi, kad, panašu, jog pasiūlymo poveikio vertinimo rezultatais neremiamas Komisijos pasirinktas politikos variantas, t. y. kad būtų privaloma veido atvaizdus ir (dviejų) pirštų atspaudus įtraukti į tapatybės korteles (ir teisę gyventi šalyje patvirtinančius dokumentus). Todėl pasiūlymo poveikio vertinimo negalima laikyti pakankamu atsižvelgiant į BDAR 35 straipsnio 10 dalį. Taigi, Europos duomenų apsaugos priežiūros pareigūnas rekomenduoja iš naujo įvertinti biometrinių duomenų (veido atvaizdo ir pirštų atspaudų) tvarkymo būtinybę ir proporcingumą šio pasiūlymo kontekste.

Be to, pasiūlyme turėtų būti aiškiai numatytos apsaugos priemonės neleisti valstybėms narėms įkurti nacionalinių daktiloskopinių duomenų bazių įgyvendinant pasiūlymą. Į pasiūlymą turi būti įtraukta nuostata, kurioje aiškiai nurodyta, kad šiame kontekste tvarkomi biometriniai duomenys turi būti nedelsiant pašalinti juos įrašius į mikroschemą ir negali būti toliau tvarkomi kitais tikslais, nei pateikti pasiūlyme.

Europos duomenų apsaugos priežiūros pareigūnas supranta, kad biometriniai duomenys gali būti laikomi pagrįsta apsaugos nuo klastojimo priemone, tačiau pasiūlymas nepateisina poreikio saugoti dviejų rūšių biometrinius duomenis šiuo tikslu. Vienas iš galimų pasiūlymo patobulinimo variantų – apriboti biometrinių duomenų rūšis iki vienos (pvz., tik veido atvaizdų).

Be to, Europos duomenų apsaugos priežiūros pareigūnas nori pabrėžti, kad supranta, jog pirštų atspaudų saugojimas pagerina sąveikumą, tačiau tuo pačiu didina tvarkomų biometrinių duomenų kiekį ir neteisėto asmens tapatybės pasisavinimo riziką asmens duomenų saugumo pažeidimo atveju. Todėl Europos duomenų apsaugos priežiūros pareigūnas rekomenduoja apriboti dokumentų mikroschemose saugomus pirštų atspaudų duomenis iki labai nedidelių arba atspaudų raštų – iš pirštų atspaudų atvaizdo išgautų charakteristikų pogrupio.

Galiausiai, atsižvelgdamas į galimą pasiūlymo plataus masto poveikį, pateiktą pirmiau, Europos duomenų apsaugos priežiūros pareigūnas rekomenduoja nustatyti amžiaus apribojimą renkant vaikų pirštų atspaudus, kuris būtų 14 metų, vadovaujantis kitais ES teisės aktais.

1. ĮVADAS IR PAGRINDINĖ INFORMACIJA

1. Komisija ) pateikė pasiūlymą dėl Europos Parlamento ir Tarybos reglamento, kuriuo būtų didinamas Sąjungos piliečių tapatybės kortelių ir Sąjungos piliečiams bei jų šeimos nariams, kurie naudojasi laisvo judėjimo teise, išduodamų teisę gyventi šalyje patvirtinančių dokumentų saugumas pasiūlymas ). 2018 m. balandžio 17 d. Europos Komisija (toliau –) pateikė pasiūlymą dėl Europos Parlamento ir Tarybos reglamento, kuriuo būtų didinamas Sąjungos piliečių tapatybės kortelių ir Sąjungos piliečiams bei jų šeimos nariams, kurie naudojasi laisvo judėjimo teise, išduodamų teisę gyventi šalyje patvirtinančių dokumentų saugumas ( 2 ) , kurio tikslas – padidinti ES piliečių tapatybės kortelių ir ne ES piliečių šeimos narių teisę gyventi šalyje patvirtinančių kortelių saugumą (toliau –).

2. stiprinti Europos kovą su kelionės dokumentų klastojimu (toliau – 2016 m. gruodžio mėn. veiksmų planas ) Šis reglamento pasiūlymas priklauso 2016 m. gruodžio mėn. veiksmų planui(toliau – ( 3 ) , kuriuo Komisija nustatė veiksmus, skirtus nagrinėti dokumentų saugumo klausimą, įskaitant tapatybės korteles, ir teisę gyventi šalyje patvirtinančius dokumentus, atsižvelgiant į neseniai įvykdytus teroro išpuolius Europoje.

3. Didesnis saugumas judžiame pasaulyje. Geresnis keitimasis informacija kovojant su terorizmu ir patikimesnės išorės sienos Tapatybės kortelės vaidina svarbų vaidmenį siekiant apsaugoti asmens tapatybės nustatymą administravimo ir komercijos tikslais, kaip pabrėžiama 2016 m. rugsėjo 14 d. Komisijos komunikate ( 4 ) . Poreikis pagerinti šių dokumentų saugumą taip pat buvo pabrėžtas ir 2017 m. ES pilietybės ataskaitoje.

4. Viena iš Europos duomenų apsaugos priežiūros pareigūno užduočių – patarti Komisijos tarnyboms rengiant teisės aktų pasiūlymus, susijusius su duomenų apsauga.

5. Europos duomenų apsaugos priežiūros pareigūnas teigiamai vertina tai, kad į jį anksčiau neoficialiai kreipėsi Europos Komisija dėl pasiūlymo projekto ir suteikė galimybę pateikti nuomonę apie duomenų apsaugos priemones.

7. IŠVADOS

Europos duomenų apsaugos priežiūros pareigūnas pastebi, kad Komisija pasiūlyme aiškiai nusprendė teikti pirmenybę laisvo judėjimo klausimams, o saugumo tikslą traktuoti kaip laisvojo judėjimo klausimų padarinį. Europos duomenų apsaugos priežiūros pareigūnas pastebi, kad tai gali turėti įtakos pasiūlymo dalių būtinumo ir proporcingumo analizei.

Europos duomenų apsaugos priežiūros pareigūnas pritaria Europos Komisijos tikslui stiprinti saugumo standartus, taikomus tapatybės kortelėms ir teisę gyventi šalyje patvirtinantiems dokumentams, tokiu būdu prisidedant prie bendro Sąjungos saugumo. Tačiau Europos duomenų apsaugos priežiūros pareigūnas mano, kad pasiūlyme nepakankamai pagrindžiama būtinybė tvarkyti dviejų rūšių biometrinius duomenis (veido atvaizdas ir pirštų atspaudai), o nurodytų tikslų būtų galima pasiekti mažiau reguliuojančiu būdu.

Vadovaujantis ES teisine sistema ir atnaujinta 108 konvencija, biometriniai duomenys laikomi neskelbtinais duomenimis ir jiems taikoma speciali apsauga. Europos duomenų apsaugos priežiūros pareigūnas pabrėžia, kad veido atvaizdai ir pirštų atspaudai, tvarkomi laikantis pasiūlymo, aiškiai patektų į neskelbtinų duomenų kategoriją.

Be to, Europos duomenų apsaugos priežiūros pareigūnas mano, kad pasiūlymas turės plataus masto poveikį iki 370 mln. ES piliečių, galimai priversdamas 85 % ES gyventojų laikytis pirštų atspaudų reikalavimo. Dėl apimties platumo ir dėl to, kad tvarkomi neskelbtini duomenys (veido atvaizdai ir pirštų atspaudai), būtina įdėmi peržiūra atliekant griežtą būtinumo patikrą.

Europos duomenų apsaugos priežiūros pareigūnas taip pat pripažįsta, kad, atsižvelgiant į tapatybės kortelių ir pasų skirtumus, tapatybės kortelėms automatiškai taikyti pasams tinkamas saugumo priemones negalima – būtina apsvarstyti ir išsamiai išanalizuoti.

Europos duomenų apsaugos priežiūros pareigūnas nori pabrėžti, kad tokių duomenų tvarkymui būtų taikoma BDAR 35 straipsnio 10 dalis. Šiuo atžvilgiu Europos duomenų apsaugos priežiūros pareigūnas pastebi, kad, panašu, jog pasiūlymo poveikio vertinimo rezultatais neremiamas Komisijos pasirinktas politikos variantas, t. y. kad būtų privaloma veido atvaizdus ir (dviejų) pirštų atspaudus įtraukti į tapatybės korteles (ir teisę gyventi šalyje patvirtinančius dokumentus). Todėl pasiūlymo poveikio vertinimo negalima laikyti pakankamu atsižvelgiant į BDAR 35 straipsnio 10 dalį. Taigi, Europos duomenų apsaugos priežiūros pareigūnas rekomenduoja iš naujo įvertinti biometrinių duomenų (veido atvaizdo ir pirštų atspaudų) tvarkymo būtinybę ir proporcingumą šio pasiūlymo kontekste.

Be to, pasiūlyme turėtų būti aiškiai numatytos apsaugos priemonės neleisti valstybėms narėms įkurti nacionalinių daktiloskopinių duomenų bazių įgyvendinant pasiūlymą. Į pasiūlymą turi būti įtraukta nuostata, kurioje aiškiai nurodyta, kad šiame kontekste tvarkomi biometriniai duomenys turi būti nedelsiant pašalinti juos įrašius į mikroschemą ir negali būti toliau tvarkomi kitais tikslais, nei pateikti pasiūlyme.

Europos duomenų apsaugos priežiūros pareigūnas supranta, kad biometriniai duomenys gali būti laikomi pagrįsta apsaugos nuo klastojimo priemone, tačiau pasiūlymas nepateisina poreikio saugoti dviejų rūšių biometrinius duomenis šiuo tikslu. Vienas iš galimų pasiūlymo patobulinimo variantų – apriboti biometrinių duomenų rūšis iki vienos (pvz., tik veido atvaizdų).

Be to, Europos duomenų apsaugos priežiūros pareigūnas nori pabrėžti, kad supranta, jog pirštų atspaudų saugojimas pagerina sąveikumą, tačiau tuo pačiu didina tvarkomų biometrinių duomenų kiekį ir neteisėto asmens tapatybės pasisavinimo riziką asmens duomenų saugumo pažeidimo atveju. Todėl Europos duomenų apsaugos priežiūros pareigūnas rekomenduoja apriboti dokumentų mikroschemose saugomus pirštų atspaudų duomenis iki labai nedidelių arba atspaudų raštų – iš pirštų atspaudų atvaizdo išgautų charakteristikų pogrupio.

Galiausiai, atsižvelgdamas į galimą pasiūlymo plataus masto poveikį, pateiktą pirmiau, Europos duomenų apsaugos priežiūros pareigūnas rekomenduoja nustatyti amžiaus apribojimą renkant vaikų pirštų atspaudus, kuris būtų 14 metų, vadovaujantis kitais ES teisės aktais.

Priimta Briuselyje 2018 m. rugpjūčio 10 d. Giovanni BUTTARELLI Europos duomenų apsaugos priežiūros pareigūnas

(1) 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentas (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL L 119, 2016 5 4, p. 1).

(2) 2018 m. balandžio 17 d. Europos Parlamento ir Tarybos pasiūlymas dėl reglamento dėl Sąjungos piliečių tapatybės kortelių ir Sąjungos piliečiams bei jų šeimos nariams, kurie naudojasi laisvo judėjimo teise, išduodamų teisę gyventi šalyje patvirtinančių dokumentų saugumo didinimo, COM(2018) 212 final, 2018/0104 (COD).

(3) 2016 m. gruodžio 8 d. Komisijos komunikatas Europos Parlamentui ir Tarybai: veiksmų planas stiprinti Europos kovą su kelionės dokumentų klastojimu, COM(2016) 790 final.

(4) Komisijos komunikatas Europos Parlamentui, Europos Vadovų Tarybai ir Tarybai Didesnis saugumas judžiame pasaulyje. Geresnis keitimasis informacija kovojant su terorizmu ir patikimesnės išorės sienos, COM(2016) 602 final.