Samenvatting van het advies van de Europese Toezichthouder voor gegevensbescherming over het pakket van de Commissie voor vrije en eerlijke Europese verkiezingen

(De volledige tekst van dit advies is beschikbaar in het Engels, Frans en Duits op de EDPS-website: www.edps.europa.eu)

(2019/C 47/05)

Het functioneren van de Unie is gegrond op het beginsel van representatieve democratie. Politieke communicatie is essentieel voor de participatie van burgers, politieke groeperingen en kandidaten in het democratische bestel en voor het fundamentele recht van vrijheid van meningsuiting. Deze rechten en vrijheden zijn verbonden met het recht op eerbiediging van het privéleven en van het familie- en gezinsleven, de woning en de communicatie, alsook het recht op de bescherming van persoonsgegevens. Eerder dit jaar wees de EDPS in zijn Advies 3/2018 over onlinemanipulatie op de gevaren van geconcentreerde markten voor de grondrechten.

In haar rede over de staat van de Unie in 2018 heeft de Commissie een beveiligingspakket gepresenteerd gericht op vrije en eerlijke Europese verkiezingen. Dit pakket bestaat uit een mededeling, richtsnoeren voor de toepassing van de EU-gegevensbeschermingswetgeving in het kader van verkiezingen, een aanbeveling en een voorstel voor een verordening betreffende een verificatieprocedure met betrekking tot inbreuken op regels voor de bescherming van persoonsgegevens in de context van de verkiezingen voor het Europees Parlement. De EDPS erkent de verwijzingen naar de rol van social-mediaplatforms en hoe dit initiatief strookt met de gedragscode met betrekking tot online-desinformatie. In het licht van de komende verkiezingen voor het Europees Parlement in mei volgend jaar en de vele andere nationale verkiezingen in 2019 erkent de EDPS ook de aanbevelingen voor het opzetten van nationale verkiezingsnetwerken en een Europees coördinatienetwerk. De EDPS geeft bij deze aan beschikbaar te zijn voor deelname aan dit Europese netwerk. Het zou een aanvulling zijn op zijn activiteiten op dit terrein, met name de workshop die hij in februari volgend jaar organiseert. De EDPS erkent tevens de aanbeveling aan lidstaten om een uitvoerige risicobeoordeling uit te voeren ten aanzien van de verkiezingen voor het Europees Parlement met het oog op het identificeren van mogelijke cyberincidenten die de zuiverheid van het verkiezingsproces zouden kunnen aantasten en onderstreept de urgentie ervan in dit verband.

De EDPS is van mening dat ten behoeve van meer duidelijkheid een verwijzing had kunnen worden toegevoegd naar de verwerking van persoonsgegevens door het Europees Parlement, de Autoriteit voor Europese politieke partijen en Europese politieke stichtingen, en het Comité van onafhankelijke personen, omdat dit valt binnen de werkingssfeer van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit nr. 1247/2002/EG (1) (voorheen Verordening (EG) nr. 45/2001). Bovendien doet de EDPS meer specifiek diverse aanbevelingen ten aanzien van de voorgestelde verordening, zoals een verduidelijking van de reikwijdte van de maatregelen en de aanvullende doelstellingen van dergelijke sancties, de opname van EDPS-beslissingen bij vaststelling van een inbreuk op Verordening (EU) 2018/1725 en een verwijzing naar het huidige rechtskader inzake gegevensbescherming voor samenwerking tussen nationale toezichthoudende autoriteiten voor gegevensbescherming en de EDPS, alsook waarborging van de vertrouwelijkheid van informatie-uitwisseling in verband met de samenwerking tussen toezichthoudende autoriteiten voor gegevensbescherming en het Comité van onafhankelijke personen.

1. Inleiding en achtergrond

1. In het kader van de rede over de staat van de Unie in 2018 heeft de Commissie op 12 september 2018 een beveiligingspakket gericht op vrije en eerlijke Europese verkiezingen gepresenteerd. Het pakket bestaat uit een wetgevingsvoorstel plus drie niet-wetgevende maatregelen: — een voorstel voor een Verordening van het Europees Parlement en de Raad tot wijziging van Verordening (EU, Euratom) nr. 1141/2014 wat betreft een verificatieprocedure in verband met inbreuken op de regels inzake de bescherming van persoonsgegevens in de context van verkiezingen voor het Europees Parlement (COM(2018) 636 final/2) („de voorgestelde verordening”); — een Mededeling ter waarborging van vrije en eerlijke Europese verkiezingen (COM(2018) 637 final) („de mededeling”); — een Aanbeveling betreffende electorale samenwerkingsnetwerken, onlinetransparantie, bescherming tegen cyberincidenten en bestrijding van desinformatiecampagnes in het kader van de verkiezingen voor het Europees Parlement (C (2018) 5949 final) („de aanbeveling”), en — Richtsnoeren voor de toepassing van de EU-gegevensbeschermingswetgeving in het kader van verkiezingen (COM(2018) 638 final) („de richtsnoeren”).

2. Dit pakket werd goedgekeurd met het oog op het waarborgen van eerlijke en vrije verkiezingen voor het Europees Parlement in mei 2019, waarbij rekening werd gehouden met nieuwe problemen van onlinecommunicatie en recente onthullingen zoals de affaire „Facebook/Cambridge Analytica” ( 2 ) . Het pakket wordt aangeboden met een voorstel voor een Verordening van het Europees Parlement en de Raad tot oprichting van het Europees kenniscentrum voor industrie, technologie en onderzoek op het gebied van cyberbeveiliging en het netwerk van nationale coördinatiecentra (COM(2018) 630 final) ( 3 )

3. Dit pakket is een aanvulling op de mededeling van de Commissie van 26 april 2018, Bestrijding van online-desinformatie: een Europese benadering (COM/2018/236 final), die gericht is op de bevordering van een meer transparante, betrouwbare en verantwoordelijke onlineomgeving. Een van de belangrijke resultaten van de mededeling, de zelfregulerende gedragscode op het gebied van desinformatie, werd gepubliceerd op 26 september 2018. De Commissie heeft eveneens het advies over de gedragscode van de klankbordgroep van het Multi-Stakeholder Forum gepubliceerd ( 4 ) . De acties waarin deze mededeling voorziet, met inbegrip van deze gedragscode, zijn een aanvulling op het werk van de EDEO. Aansluitend op de conclusies van de Europese Raad van 28 juni 2018 ( 5 ) zullen de Commissie en de hoge vertegenwoordiger van de Unie voor buitenlandse zaken en veiligheidsbeleid in samenwerking met de lidstaten voor het eind van het jaar een herzien actieplan presenteren om desinformatie te bestrijden ( 6 )

4. De voorgestelde verordening „maakt het mogelijk financiële sancties op te leggen aan Europese politieke partijen of stichtingen die door gebruik te maken van een inbreuk op de gegevensbeschermingsregels de uitslag van de verkiezingen voor het Europees Parlement opzettelijk beïnvloeden of trachten te beïnvloeden” ( 7 ) . Naast financiële sancties die kunnen worden opgelegd aan Europese politieke partijen of stichtingen ter hoogte van vijf procent van hun jaarbegroting ( 8 ) „wordt een nieuwe grond aan de lijst van inbreuken toegevoegd die maken dat een Europese politieke partij of stichting in het jaar waarin de sanctie werd opgelegd, geen financiering uit de algemene begroting van de Europese Unie mag aanvragen” ( 9 ) . In haar aanbeveling moedigt de Commissie de nationale toezichthoudende autoriteiten voor gegevensbescherming ingesteld in het kader van de algemene verordening gegevensbescherming („AVG”) aan de Autoriteit voor Europese politieke partijen en Europese politieke stichtingen (de „Autoriteit”) ( 10 ) onmiddellijk en proactief te informeren over hun beslissingen na constatering van een inbreuk op de voorschriften inzake gegevensbescherming waarbij de inbreuk verband houdt met politieke activiteiten van een Europese politieke partij of stichting „met het oogmerk om de verkiezingen voor het Europees Parlement te beïnvloeden” ( 11 ) . De Commissie raadt lidstaten tevens aan om in gevallen waarbij politieke partijen of stichtingen op nationaal of regionaal niveau betrokken zijn „passende sancties op te leggen” ( 12 )

5. Daarnaast wordt in de aanbeveling aangespoord om in elke lidstaat een nationaal verkiezingsnetwerk en een Europees coördinatienetwerk op te richten voor de verkiezingen voor het Europees Parlement ( 13 ) . Het laatstgenoemde is een vervolg op de eerste uitwisseling tussen EU-landen over beste verkiezingspraktijken die in april 2018 is georganiseerd door de Commissie. Het netwerk zou moeten bestaan uit nationale contactpunten en in januari en april 2019 bijeen moeten komen ( 14 ) . Het is bedoeld als realtime Europees waarschuwingsproces en als forum voor informatie-uitwisseling. De nationale netwerken voorzien onder andere in de uitwisseling van informatie over kwesties die de Europese verkiezingen kunnen beïnvloeden, tussen nationale autoriteiten belast met verkiezingszaken en cyberveiligheid, en nationale autoriteiten voor gegevensbescherming en nationale audiovisuele toezichthoudende autoriteiten of instanties. Aanbevolen wordt dat deze nationale netwerken de nationale rechtshandhavingsautoriteiten raadplegen en met hen samenwerken overeenkomstig de nationale wetgeving ( 15 ) en dat waar nodig samenwerking tussen nationale rechtshandhavingsautoriteiten op Europees niveau wordt gefaciliteerd door Europol. Volgens de Commissie zal dit hen in staat stellen mogelijke dreigingen voor de verkiezingen voor het Europees Parlement snel aan het licht te brengen en prompt bestaande regels ten uitvoer te brengen met inbegrip van financiële sancties, waaronder terugbetaling van de overheidsbijdrage ( 16 )

6. Ten slotte presenteert de Commissie diverse aanbevelingen ( 17 ) om transparantie in politieke partijpropaganda voorafgaand aan de verkiezingen voor het Europees Parlement te faciliteren en lidstaten aan te sporen gepaste maatregelen op het gebied van cyberveiligheid te nemen en met derden, ook op onlineplatforms en met dienstverleners van informatietechnologie, bewustmakingsactiviteiten te ontplooien, voor meer transparantie van en vertrouwen in het verkiezingsproces.

7. De richtsnoeren wijzen op het bestaande kader voor gegevensbescherming van de Unie en de toepassing daarvan in het kader van verkiezingen. Naar de mening van de Commissie is het belangrijk, omdat het de eerste keer is dat de AGV zal worden toegepast in de context van Europese verkiezingen, dat alle betrokkenen bij de verkiezingsprocessen goed begrijpen hoe zij deze regels optimaal kunnen toepassen. De Commissie benadrukt dat de nationale gegevensbeschermingsautoriteiten ten volle gebruikmaken van hun versterkte bevoegdheden voor het aanpakken van eventuele inbreuken ( 18 )

8. Op 18 oktober 2018 vroeg de Europese Raad om concrete maatregelen om „de democratische systemen van de Unie te beschermen en desinformatie te bestrijden, ook in de context van de komende Europese verkiezingen, met volledige eerbiediging van de grondrechten. In dit opzicht verdienen de maatregelen die door de Commissie zijn voorgesteld ten aanzien van samenwerkingsnetwerken voor verkiezingen, online transparantie, bescherming tegen cyberveiligheidsincidenten, illegale manipulatie van gegevens en het bestrijden van desinformatiecampagnes en aanscherpen van de regels ten aanzien van de financiering van Europese politieke partijen snel onderzoek en operationele follow-up door bevoegde autoriteiten” ( 19 )

9. dat de schending van de beginselen, rechten en verplichtingen die onder deze wet vallen, zou leiden tot bijkomende boeten en sancties ”. Het Europees Parlement beschouwt „de inmenging in verkiezingen als een zeer groot risico voor de democratie, dat moet worden aangepakt aan de hand van gezamenlijke inspanningen waarbij dienstverleners, regelgevers en politieke actoren en partijen betrokken zijn” en is ingenomen met het pakket van de Commissie Op 25 oktober 2018 heeft het Europees Parlement een resolutie aangenomen waarin het „de maatregelen [herhaalt] die de Commissie heeft voorgesteld om vrije en eerlijke Europese verkiezingen te waarborgen, met name de wetswijziging om de regels betreffende de financiering van Europese politieke partijen strenger te maken, waardoor de mogelijkheid ontstaat om financiële sancties op te leggen voor inbreuken op de regels betreffende gegevensbescherming om het resultaat van de Europese verkiezingen met opzet te beïnvloeden” en dat „de verwerking van persoonsgegevens door politieke partijen in de EU onderworpen is aan de algemene verordening gegevensbescherming en”. Het Europees Parlement beschouwt „de inmenging in verkiezingen als een zeer groot risico voor de democratie, dat moet worden aangepakt aan de hand van gezamenlijke inspanningen waarbij dienstverleners, regelgevers en politieke actoren en partijen betrokken zijn” en is ingenomen met het pakket van de Commissie ( 20 ) . Op 3 december 2018 heeft de Commissie burgerlijke vrijheden, justitie en binnenlandse zaken haar advies uitgebracht over de voorgestelde verordening ( 21 ) . Op 6 december 2018 heeft de Commissie burgerlijke vrijheden, justitie en binnenlandse zaken haar verslag over de voorgestelde verordening aangenomen ( 22 )

10. De Europese Toezichthouder voor gegevensbescherming (de „EDPS”) verwelkomt de informele raadpleging door de Commissie over de voorgestelde verordening, de aanbeveling en de richtsnoeren voorafgaand aan de vaststelling daarvan en het feit dat met een deel van zijn informele opmerkingen rekening is gehouden. Hij benadrukt echter dat dit ten gevolge van de tijdsdruk voorlopige opmerkingen waren. Om die reden maakt hij nu de volgende formele opmerkingen. In dit verband wil hij er nogmaals op wijzen dat wanneer de Commissie een wetgevingsvoorstel aanneemt dat verband houdt met bescherming van de fundamentele rechten en vrijheden van personen op het gebied van de verwerking van persoonsgegevens — wat hier het geval is — zij de Europese Toezichthouder voor de gegevensbescherming moet raadplegen.

3. Conclusie

36. De EDPS beseft dat in het democratische bestel politieke communicatie essentieel is voor de participatie van burgers, politieke groeperingen en kandidaten en dat deze rechten en vrijheden verbonden zijn met het recht, overeenkomstig artikel 7 van het Handvest, op eerbiediging van het privéleven en van het familie- en gezinsleven, de woning en de communicatie alsook het recht op de bescherming van persoonsgegevens overeenkomstig artikel 8 van het Handvest.

37. De EDPS erkent de verwijzingen, met name in de mededeling en de richtsnoeren, naar de rol van social-mediaplatforms en hoe dit initiatief strookt met de gedragscode met betrekking tot online-desinformatie.

38. In het licht van de komende verkiezingen voor het Europees Parlement in mei volgend jaar en de vele andere nationale verkiezingen in 2019 erkent de EDPS ook de aanbevelingen voor het opzetten van nationale verkiezingsnetwerken en een Europees coördinatienetwerk. De EDPS geeft bij deze aan beschikbaar te zijn voor deelname aan dit Europese netwerk. Het zou een aanvulling zijn op zijn activiteiten op dit terrein, met name de workshop die hij in februari volgend jaar organiseert.

39. De EDPS erkent tevens de aanbeveling aan lidstaten om een uitvoerige risicobeoordeling uit te voeren ten aanzien van de verkiezingen voor het Europees Parlement met het oog op het identificeren van mogelijke cyberincidenten die de zuiverheid van het verkiezingsproces zouden kunnen aantasten en onderstreept de urgentie ervan in dit verband.

40. De EDPS is van mening dat ten behoeve van meer duidelijkheid een verwijzing had kunnen worden toegevoegd naar de verwerking van persoonsgegevens door het Europees Parlement, de Autoriteit en het Comité, omdat dit valt binnen de werkingssfeer van (EU) Verordening 2018/1725 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens (voorheen (EG) nr. Verordening 45/2001).

41. Meer in het bijzonder doet de EDPS een aantal aanbevelingen ten aanzien van de voorgestelde verordening, bijvoorbeeld: — verduidelijking van de reikwijdte van de maatregelen en de aanvullende doelstellingen van dergelijke sancties; — opname van EDPS-beslissingen bij vaststelling van een inbreuk op (EU) Verordening 2018/1725; — opname van een verwijzing naar het huidige rechtskader voor gegevensbescherming voor de samenwerking tussen nationale toezichthoudende autoriteiten voor gegevensbescherming en de EDPS; en — waarborging van de vertrouwelijkheid van de uitwisseling van informatie bij de samenwerking tussen toezichthoudende autoriteiten voor gegevensbescherming en het Comité van onafhankelijke personen.

Brussel, 18 december 2018. Giovanni BUTTARELLI Europese Toezichthouder voor gegevensbescherming

(1) PB L 295 van 21.11.2018, blz. 39.

(2) Mededeling, blz. 2.

(3) http://europa.eu/rapid/press-release_IP-18-5681_nl.htm

(4) De gedragscode met de bijlage en het advies van de klankbordgroep, is beschikbaar op: https://ec.europa.eu/digital-single-market/en/news/code-practice-disinformation.

(5) Beschikbaar op: https://www.consilium.europa.eu/media/35936/28-euco-final-conclusions-en.pdf

(6) Mededeling, blz. 10.

(7) Toelichting bij de voorgestelde Verordening, blz. 2.

(8) Zie artikel 27, lid 4, onder a) van Verordening nr. 1141/2014 en het factsheet van de Commissie over vrije en eerlijke Europese verkiezingen beschikbaar op: https://ec.europa.eu/commission/sites/beta-political/files/soteu2018-factsheet-free-fair-elections_nl.pdf

(9) Toelichting bij de voorgestelde Verordening, blz. 6.

(10) Deze Autoriteit is opgericht bij artikel 6 van Verordening nr. 1141/2014.

(11) Aanbeveling 6. In haar mededeling roept de Commissie op blz. 7 lidstaten tevens op om „te stimuleren dat de gegevensbeschermingsautoriteiten informatie delen met de autoriteiten die belast zijn met het toezicht op de verkiezingen en het toezicht op de activiteiten en de financiering van politieke partijen, indien uit hun besluiten volgt dat een inbreuk verband houdt met de politieke activiteiten van nationale politieke partijen of politieke stichtingen in het kader van de verkiezingen voor het Europees Parlement, of er andere redelijke gronden zijn om zulks aan te nemen”. Onderstreping toegevoegd.

(12) Aanbeveling 11.

(13) Aanbevelingen 1 t/m 5.

(14) Mededeling, blz. 7 en het factsheet van de Commissie over vrije en eerlijke Europese verkiezingen beschikbaar op: https://ec.europa.eu/commission/sites/beta-political/files/soteu2018-factsheet-free-fair-elections_nl.pdf

(15) Mededeling, voetnoot 20: „Dit zou met name van toepassing moeten zijn in gevallen dat een verkiezingsproces met kwaadwillige bedoelingen wordt aangevallen, met inbegrip van incidenten waarbij sprake is van aanvallen op informatiesystemen. Naargelang de omstandigheden kan een strafrechtelijk onderzoek dat tot strafrechtelijke sancties leidt, gepast zijn. Zoals eerder vermeld, zijn de definities van strafbare feiten en de hoogte van de maximumstraffen voor aanvallen op informatiesystemen geharmoniseerd bij Richtlijn 2013/40/EU.”.

(16) Mededeling, blz. 7.

(17) Aanbevelingen 7 t/m 10 en 12 t/m 19.

(18) Mededeling, blz. 8, punt 3 „Toepassing van de gegevensbeschermingsregels in het kader van het verkiezingsproces”.

(19) Conclusies beschikbaar op: https://www.consilium.europa.eu/media/36775/18-euco-final-conclusions-en.pdf

(20) Zie de punten 10 tot en met 12 van de Resolutie over het gebruik van gegevens van Facebookgebruikers door Cambridge Analytica en gevolgen voor de gegevensbescherming P8_TA-PROV(2018)0433 (2018/2855(RSP)), beschikbaar op: http://www.europarl.europa.eu/sides/getDoc.do?pubRef=-//EP//NONSGML+TA+P8-TA-2018-0433+0+DOC+PDF+V0//NL

(21) Beschikbaar op: http://www.europarl.europa.eu/sides/getDoc.do?type=COMPARL&reference=PE-630.530&format=PDF&language=NL&secondRef=02

(22) Beschikbaar op: http://www.europarl.europa.eu/sides/getDoc.do?pubRef=-//EP//NONSGML+REPORT+A8-2018-0435+0+DOC+PDF+V0//NL