Samenvatting van het advies van de Europese Toezichthouder voor gegevensbescherming inzake voorstellen betreffende het Europees bevel tot verstrekking en het Europees bevel tot bewaring van elektronisch bewijsmateriaal in strafzaken

(De volledige tekst van dit advies is beschikbaar in het Engels, Frans, en Duits op de EDPS-website: www.edps.europa.eu)

(2020/C 32/04)

In april 2018 legde de Commissie een voorstel voor een verordening en een voorstel voor een richtlijn op tafel tot vaststelling van een rechtskader dat zorgt voor een eenvoudigere en snellere beveiliging van en toegang tot elektronisch bewijsmateriaal voor politiële en justitiële autoriteiten bij grensoverschrijdende zaken. Sindsdien heeft de Raad de algemene oriëntatie voor de voorstellen vastgesteld en heeft het Europees Parlement meerdere werkdocumenten uitgegeven. Het Europees Comité voor gegevensbescherming bracht zijn advies uit. Op internationaal niveau vonden hiermee verband houdende ontwikkelingen plaats, met name de start van de onderhandelingen voor een internationale overeenkomst met de Verenigde Staten inzake grensoverschrijdende toegang tot elektronisch bewijsmateriaal, evenals de werkzaamheden voor een tweede aanvullend protocol bij het Verdrag inzake cybercriminaliteit. Met het huidige advies wenst de EDPS de EU-wetgever nieuwe bijdragen te leveren aan het werk aan beide voorstellen, met inachtneming van de bovenvermelde ontwikkelingen.

In de huidige wereld die is getransformeerd door nieuwe technologieën, is tijd vaak essentieel om deze autoriteiten in staat te stellen gegevens te verwerven die onontbeerlijk zijn voor de vervulling van hun taken. Tegelijkertijd hebben rechtshandhavingsautoriteiten ook bij het onderzoeken van binnenlandse aangelegenheden steeds vaker te maken met “grensoverschrijdende situaties”, alleen al omdat een beroep werd gedaan op een buitenlandse dienstverlener en de informatie elektronisch is opgeslagen in een andere lidstaat. De EDPS ondersteunt de doelstelling dat er doeltreffende instrumenten beschikbaar moeten zijn voor rechtshandhavingsautoriteiten teneinde strafbare feiten te onderzoeken en te vervolgen, en verwelkomt met name de doelstelling van de voorstellen om toegang tot gegevens in grensoverschrijdende zaken te versnellen en te vergemakkelijken door de procedures binnen de EU te stroomlijnen.

Tegelijkertijd wenst de EDPS te benadrukken dat elk initiatief op dit gebied het Handvest van de grondrechten van de EU en het EU-kader voor gegevensbescherming volledig moet eerbiedigen en dat het essentieel is dat alle nodige waarborgen aanwezig zijn. In het bijzonder vereist de doeltreffende bescherming van de grondrechten bij de grensoverschrijdende verzameling van elektronisch bewijsmateriaal een grotere betrokkenheid van justitiële autoriteiten in de uitvoerende lidstaat. Zij moeten systematisch en zo vroeg mogelijk bij dit proces worden betrokken, de mogelijkheid hebben om de overeenstemming van bevelen met het Handvest te beoordelen, en de verplichting hebben om op basis daarvan weigeringsgronden aan de orde te stellen.

Bovendien moeten de definities van gegevenscategorieën in de voorgestelde verordening worden verduidelijkt en moet de consistentie met andere definities van gegevenscategorieën in EU-wetgeving worden gewaarborgd. De EDPS beveelt ook aan om het evenwicht tussen de soorten strafbare feiten waarvoor een Europees verstrekkingsbevel kan worden uitgevaardigd en de categorieën van de betrokken gegevens opnieuw te bekijken in het licht van de relevante jurisprudentie van het Hof van Justitie van de Europese Unie.

Verder formuleert de EDPS specifieke aanbevelingen over verschillende aspecten van de voorstellen inzake elektronisch bewijsmateriaal waarvoor verbeteringen nodig zijn: de echtheid en vertrouwelijkheid van bevelen en verstrekte gegevens, de beperkte bewaringstijd in het kader van bewaringsbevelen, het toepasselijke gegevensbeschermingskader, de rechten van betrokkenen, betrokkenen die genieten van immuniteiten en voorrechten, de wettelijke vertegenwoordigers, de termijnen om te voldoen aan de Europese verstrekkingsbevelen en de mogelijkheid voor dienstverleners om bezwaren te uiten tegen bevelen.

Tot slot vraagt de EDPS ook meer duidelijkheid over de wisselwerking tussen de voorgestelde verordening en toekomstige internationale overeenkomsten. De voorgestelde verordening moet het hoge niveau van gegevensbescherming in de EU handhaven en een referentie worden bij het onderhandelen van internationale overeenkomsten inzake grensoverschrijdende toegang tot elektronisch bewijsmateriaal.

1. INLEIDING EN ACHTERGROND

1. Op 17 april 2018 bracht de Commissie twee wetgevingsvoorstellen uit (hierna “de voorstellen”), samen met een effectbeoordeling ( 1 ) — een voorstel voor een verordening betreffende het Europees bevel tot verstrekking en het Europees bevel tot bewaring van elektronisch bewijsmateriaal in strafzaken (2) (hierna “de voorgestelde verordening” genoemd); — een voorstel voor een richtlijn tot vaststelling van geharmoniseerde regels inzake de aanwijzing van wettelijke vertegenwoordigers ten behoeve van de bewijsgaring in strafprocedures (3) (hierna “de voorgestelde richtlijn”).

4. Op 7 december 2018 en 8 maart 2019 stelde de Raad een algemene oriëntatie vast voor de voorgestelde verordening ( 10 ) , repectievelijk de voorgestelde richtlijn ( 11 ) . Het Europees Parlement publiceerde een reeks werkdocumenten.

5. De Europese Toezichthouder voor gegevensbescherming (EDPS) is verheugd dat hij door de Commissie voorafgaand aan de goedkeuring van de nieuwe voorstellen informeel werd geraadpleegd. Verder is de EDPS ook ingenomen met de verwijzingen naar het huidige advies in overweging 66 van de voorgestelde verordening en overweging 24 van de voorgestelde richtlijn.

6. Op 5 februari 2019 heeft de Commissie twee aanbevelingen voor besluiten van de Raad aangenomen: een aanbeveling voor het aangaan van onderhandelingen met het oog op een internationale overeenkomst tussen de Europese Unie (EU) en de Verenigde Staten van Amerika (VS) inzake grensoverschrijdende toegang tot elektronisch bewijsmateriaal voor justitiële samenwerking in strafzaken ( 12 ) en een aanbeveling tot autorisatie van deelname van de Commissie namens de EU aan onderhandelingen over een tweede aanvullend protocol bij het Verdrag van de Raad van Europa inzake cybercriminaliteit (CETS nr. 185) (hierna “Verdrag inzake cybercriminaliteit” genoemd) ( 13 ) . Voor beide aanbevelingen heeft de EDPS adviezen uitgebracht ( 14 ) . Beide onderhandelingen met de VS en de Raad van Europa zijn nauw met elkaar verbonden.

7. In februari 2019 richtte de Commissie burgerlijke vrijheden, justitie en binnenlandse zaken van het Europees Parlement soortgelijke brieven aan de EDPS en het EDBP met het verzoek een juridische beoordeling uit te voeren van de impact van de Amerikaanse Cloud-wet ( 15 ) die door het Amerikaanse Congres is aangenomen in maart 2018, betreffende het Europees rechtskader voor gegevensbescherming. Op 12 juli 2019 stelden de EDP en het EDPB een gezamenlijk antwoord vast op dit verzoek, samen met hun initiële beoordeling ( 16 )

8. Op 3 oktober 2019 ondertekenden het Verenigd Koninkrijk en de Verenigde Staten een bilaterale overeenkomst voor grensoverschrijdende toegang tot elektronisch bewijsmateriaal om zware criminaliteit te bestrijden ( 17 ) . Dit is de eerste uitvoerende overeenkomst die dienstverleners uit de VS in staat stelt te voldoen aan verzoeken om inhoudelijke gegevens uit een derde land in het kader van de Amerikaanse Cloud-wet.

Het advies bestrijkt beide voorstellen, maar is hoofdzakelijk toegespitst op de voorgestelde verordening. Overeenkomstig de missie van de EDPS, is het voornamelijk gericht op het recht op privacy en de bescherming van persoonsgegevens, en streeft het consistentie en complementariteit met Advies 23/2018 van het EDPB na. Hierbij houdt het bovendien rekening met de algemene oriëntaties van de Raad en de werkdocumenten van het Europees Parlement.

5. CONCLUSIES

70. De EDPS ondersteunt de doelstelling dat er doeltreffende instrumenten beschikbaar moeten zijn voor rechtshandhavings- en justitiële autoriteiten teneinde strafbare feiten te onderzoeken en te vervolgen in een wereld die is getransformeerd door nieuwe technologieën. Tegelijkertijd wenst de EDPS te waarborgen dat deze actie het Handvest van de grondrechten van de EU en het EU-acquis op het gebied van gegevensbescherming volledig eerbiedigt. De voorgestelde verordening vereist de opslag en mededeling van persoonsgegevens binnen en buiten de EU, tussen de bevoegde autoriteiten van de lidstaten, particuliere entiteiten en in bepaalde gevallen de autoriteiten van derde landen. Dit leidt tot beperkingen van de twee grondrechten inzake de eerbiediging van het privéleven en de bescherming van persoonsgegevens die worden gewaarborgd door de artikelen 7 en 8 van het Handvest. Teneinde rechtmatig te zijn, moeten dergelijke beperkingen voldoen aan de voorwaarden die zijn vastgelegd in artikel 52, lid 1, van het Handvest en met name aan de voorwaarde inzake noodzakelijkheid.

71. De EDPS is ten eerste van mening dat andere alternatieven die grotere waarborgen zouden bieden en tegelijkertijd dezelfde doelen bereiken verder moeten worden onderzocht.

72. Ten tweede neemt de EDPS nota van het feit dat in de voorgestelde verordening al een aantal procedurele waarborgen zijn opgenomen. De EDPS is echter bezorgd dat de belangrijke verantwoordelijkheid zich te buigen over de overeenstemming van het CEV en CEB met het Handvest aan dienstverleners wordt toevertrouwd, en beveelt aan om justitiële autoriteiten die worden aangewezen door de uitvoerende lidstaat zo vroeg mogelijk te betrekken in het proces voor de verzameling van elektronisch bewijsmateriaal.

73. De EDPS beveelt aan om verdere consistentie tussen de definities van categorieën van elektronische bewijsgegevens en bestaande definities van specifieke categorieën van gegevens in het kader van EU-wetgeving te verzekeren, en de categorie van toegangsgegevens opnieuw te bekijken, of de toegang tot deze gegevens te onderwerpen aan dezelfde voorwaarden als die voor toegang tot de categorieën van transactionele gegevens en inhoudelijke gegevens. De voorgestelde verordening moet duidelijke en eenvoudige definities van elke gegevenscategorie vastleggen om rechtszekerheid te waarborgen voor alle betrokken belanghebbenden. Hij beveelt ook aan om de voorgestelde definitie van de categorie van abonneegegevens te wijzigen teneinde deze verder te specificeren.

74. Verder beveelt hij aan om het evenwicht tussen de soorten strafbare feiten waarvoor EOB’s kunnen worden uitgevaardigd en de categorieën van de betrokken gegevens opnieuw te bekijken, met inachtneming van de recente relevante jurisprudentie van het HvJ-EU. Met name moet de mogelijkheid om een EOB uit te vaardigen teneinde transactionele gegevens en inhoudelijke gegevens te produceren worden beperkt tot ernstige misdrijven. Idealiter zou de EDPS de voorkeur geven aan de vaststelling van een limitatieve lijst van specifieke ernstige misdrijven voor EOB’s teneinde transactionele gegevens en inhoudelijke gegevens te produceren. Hierdoor neemt bovendien de rechtszekerheid voor alle betrokken belanghebbenden toe.

75. De EDPS formuleert ook aanbevelingen die erop gericht zijn de eerbiediging van rechten inzake gegevensbescherming en privacy te waarborgen en tegelijkertijd te zorgen voor een snelle bewijsgaring voor specifieke strafprocedures. Ze leggen de nadruk op de beveiliging van de overdracht van gegevens tussen alle betrokken belanghebbenden, de echtheid van bevelen en certificaten en de beperkte bewaring van gegevens in het kader van een CEB.

76. Naast de algemene opmerkingen en de belangrijkste aanbevelingen die hierboven zijn geformuleerd, heeft de EDPS aanvullende aanbevelingen gedaan met betrekking tot de volgende aspecten van de voorstellen: — de verwijzing naar het toepasselijke gegevensbeschermingskader; — de rechten van de betrokkenen (grotere transparantie en het recht op een voorziening in rechte); — betrokkenen die genieten van immuniteiten en voorrechten; — de aanwijzing van wettelijke vertegenwoordigers voor de bewijsgaring in strafzaken; — de termijnen om te voldoen aan het CEV en de gegevens te produceren; — de mogelijkheid voor dienstverleners om bezwaren te uiten tegen bevelen op basis van beperkte gronden.

77. Tot slot is de EDPS zich bewust van de ruimere context waarin het initiatief naar voren werd gebracht en van de twee vastgestelde besluiten van de raad, één betreffende het tweede aanvullende protocol bij het Verdrag inzake cybercriminaliteit bij de raad van Europa, en één betreffende de start van onderhandelingen met de Verenigde Staten. Hij vraagt meer duidelijkheid over de wisselwerking tussen de voorgestelde verordening en internationale overeenkomsten. De EDPS wil graag een constructieve bijdrage leveren om de consistentie en compatibiliteit tussen de definitieve teksten en het gegevensbeschermingskader van de EU te waarborgen.

Brussel, 6 november 2019. Wojciech Rafał WIEWIÓROWSKI Adjunct-toezichthouder

(1) Werkdocument van de diensten van de Commissie: Effectbeoordeling, SWD(2018) 118 final (hierna “effectbeoordeling”), beschikbaar op: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=SWD%3A2018%3A118%3AFIN

(2) Voorstel voor een verordening van het Europees Parlement en de Raad betreffende het Europees bevel tot verstrekking en het Europees bevel tot bewaring van elektronisch bewijsmateriaal in strafzaken, COM(2018) 225 final.

(3) Voorstel voor een richtlijn tot vaststelling van geharmoniseerde regels inzake de aanwijzing van wettelijke vertegenwoordigers ten behoeve van de bewijsgaring in strafprocedures, COM(2018) 226 final.

(4) Richtlijn 2014/41/EU van het Europees Parlement en de Raad van 3 april 2014 betreffende het Europees onderzoeksbevel in strafzaken, PB L 130 van 1.5.2014, blz. 1; zie artikel 23 van de voorgestelde verordening.

(5) De EOB-richtlijn voorziet in een rechtstreekse samenwerking tussen de uitvaardigende autoriteit in een lidstaat en de uitvoerende autoriteit van een andere lidstaat of, al naargelang het geval, via de centrale autoriteit(en) die door de betrokken lidstaat of lidstaten is/zijn aangesteld. Ze beoogt deze samenwerking te vergemakkelijken en te versnellen met standaardformulieren en strikte termijnen, en door het wegnemen van verschillende belemmeringen voor grensoverschrijdende samenwerking; bijvoorbeeld, “[d]e uitvaardigende autoriteit kan een EOB uitvaardigen om elke maatregel te laten nemen waarbij de vernietiging, omzetting, verplaatsing, overdracht of vervreemding van materiaal dat als bewijsstuk kan worden gebruikt, voorlopig wordt voorkomen” en “het besluit over de voorlopige maatregel wordt door de uitvoerende autoriteit binnen 24 uur na ontvangst van het EOB, en in ieder geval zo snel mogelijk, genomen en meegedeeld” (artikel 32); evenals de tenuitvoerlegging van een EOB voor de identificatie van personen die zijn aangesloten op een bepaald telefoonnummer of IP-adres is niet onderworpen aan de vereiste van dubbele strafbaarheid (artikel 10, lid 2, onder e), in combinatie met artikel 11, lid 2)).

(6) Alle EU-lidstaten met uitzondering van Denemarken en Ierland.

(7) Alle deelnemende lidstaten hebben de EOB-richtlijn in 2017 of 2018 in nationaal recht omgezet. Zie de omzettingsstand van het Europees justitieel netwerk: https://www.ejn-crimjust.europa.eu/ejn/EJN_Library_StatusOfImpByCat.aspx?l=NL&CategoryId=120

(8) Het EDPB dat werd ingesteld bij artikel 68 van de AVG volgt de Groep op die werd ingesteld bij artikel 29 van Richtlijn 95/46/EG, die werd ingetrokken. Net als de Groep gegevensbescherming artikel 29 bestaat het EDPB uit vertegenwoordigers van de nationale gegevensbeschermingsautoriteiten en de EDPS.

(9) Advies 23/2018 van 26 september 2018 inzake de voorstellen van de Commissie betreffende de Europese bevelen tot verstrekking en bewaring van elektronisch bewijsmateriaal in strafzaken (artikel 70, lid 1, onder b)) (hierna “Advies 23/2018 van het EDPB” genoemd), beschikbaar op: https://edpb.europa.eu/sites/edpb/files/files/file1/edpb-2018-09-26-eevidence_nl.pdf

(10) https://www.consilium.europa.eu/nl/press/press-releases/2018/12/07/regulation-on-cross-border-access-to-e-evidence-council-agrees-its-position/

(11) https://www.consilium.europa.eu/nl/press/press-releases/2019/03/08/e-evidence-package-council-agrees-its-position-on-rules-to-appoint-legal-representatives-for-the-gathering-of-evidence/

(12) Aanbeveling voor een besluit van de Raad houdende machtiging voor het aangaan van onderhandelingen met het oog op een overeenkomst tussen de Europese Unie en de Verenigde Staten van Amerika inzake grensoverschrijdende toegang tot elektronisch bewijsmateriaal voor justitiële samenwerking in strafzaken, COM(2019) 70 final.

(13) Aanbeveling voor een besluit van de Raad houdende machtiging tot deelname aan onderhandelingen over een tweede aanvullend protocol bij het Verdrag van de Raad van Europa inzake de bestrijding van strafbare feiten verbonden met elektronische netwerken (CETS nr. 185), COM(2019) 71 final. Tot dusver hebben alle lidstaten van de EU het Verdrag van de Raad van Europa betreffende een nauwere internationale samenwerking inzake cybercriminaliteit en elektronisch bewijsmateriaal ondertekend, en hebben zij dit bijna allemaal geratificeerd. Ierland en Zweden zijn momenteel bezig met de ratificatie van het Verdrag inzake cybercriminaliteit. Het Verdrag inzake cybercriminaliteit is een bindend internationaal instrument dat de overeenkomstsluitende partijen verplicht specifieke strafbare feiten die tegen of door middel van elektronische netwerken worden begaan in hun nationaal recht vast te leggen, en specifieke bevoegdheden en procedures in te stellen die hun nationale autoriteiten in staat stellen om hun strafrechtelijke onderzoeken uit te voeren, onder meer voor het vergaren van bewijs voor een strafbaar feit in elektronische vorm. Het bevordert eveneens internationale samenwerking tussen de overeenkomstsluitende partijen. Er bestaan specifieke maatregelen om de problemen aan te pakken die voortvloeien uit de volatiliteit van gegevens. In dit verband voorziet het Verdrag in de bespoedigde bewaring van opgeslagen computergegevens. Aangezien de overdracht van het beveiligde bewijsmateriaal aan de verzoekende staat onderworpen is aan een definitief besluit over het formele verzoek om wederzijdse rechtshulp, is de bewaring niet onderworpen aan het volledige pakket weigeringsgronden. Met name zal dubbele strafbaarheid slechts in uitzonderlijke gevallen vereist zijn (artikel 29).

(14) Advies 2/2019 van de EDPS over het onderhandelingsmandaat van een overeenkomst tussen de EU en VS over grensoverschrijdende toegang tot elektronisch bewijsmateriaal en Advies 3/2019 van de EDPS betreffende de deelname aan de onderhandelingen met het oog op een tweede aanvullend protocol bij het Verdrag van Boedapest inzake cybercriminaliteit.

(15) Beschikbaar op: https://www.congress.gov/bill/115th-congress/house-bill/1625/text

(16) https://edpb.europa.eu/our-work-tools/our-documents/letters/epdb-edps-joint-response-libe-committee-impact-us-cloud-act_fr

(17) https://www.gov.uk/government/publications/ukusa-agreement-on-access-to-electronic-data-for-the-purpose-of-countering-serious-crime-cs-usa-no62019