NL Publicatieblad van de Europese Unie C 463/14

Samenvatting van het advies van de Europese Toezichthouder voor gegevensbescherming inzake het tweede slimmegrenzenpakket van de EU

(De volledige tekst van dit advies is beschikbaar in het Engels, het Frans en het Duits op de EDPS-website www.edps.europa.eu)

(2016/C 463/11)

SAMENVATTING

De EU-wetgever overweegt al lange tijd een inreis-uitreissysteem (Entry/Exit System — EES) in te stellen dat gegevens registreert over onderdanen van derde landen die het grondgebied van de Europese Unie in- of uitreizen. De Commissie heeft in 2013 als onderdeel van het eerste slimmegrenzenpakket drie voorstellen aangenomen. De medewetgevers hebben echter ernstige zorgen over het pakket geuit en er werd geen overeenstemming bereikt. De Commissie heeft daarop het concept opnieuw onderzocht als antwoord op deze zorgen en heeft dit jaar een tweede slimmegrenzenpakket gepresenteerd dat nu bestaat uit twee herziene voorstellen.

De EDPS heeft deze voorstellen nauwkeurig geanalyseerd en doet aanbevelingen om de wetgever te helpen waarborgen dat het rechtskader dat van toepassing is op de EES-regeling volledig overeenstemt met de privacy- en gegevensbeschermingswetgeving van de EU, en in het bijzonder de artikelen 7 en 8 van het Handvest van de grondrechten van de EU.

De EDPS erkent de behoefte aan coherente en doeltreffende informatiesystemen voor grenzen en veiligheid. Deze voorstellen komen op een cruciaal moment waarop de EU zich gesteld ziet voor grote uitdagingen op dit gebied. De EDPS benadrukt echter de aanmerkelijke en potentieel indringende aard van de voorgestelde verwerking van persoonsgegevens in het kader van het EES, die daarom moet worden beoordeeld in het licht van zowel artikel 7 als artikel 8 van het Handvest. De noodzakelijkheid en evenredigheid van de EES-regeling moeten worden beoordeeld, zowel in het algemeen, rekening houdend met de reeds bestaande grootschalige IT-systemen in de EU, als specifiek, in het specifieke geval van onderdanen van derde landen die de EU rechtmatig bezoeken. De EDPS merkt op dat EES-gegevens voor twee verschillende doeleinden zullen worden verwerkt, enerzijds voor grensbeheer en facilitering en anderzijds voor rechtshandhaving. De EDPS beveelt sterk aan om in het hele EES-voorstel van 2016 duidelijk het verschil tussen deze doelstellingen naar voren te brengen, omdat deze doeleinden een uiteenlopend effect hebben op het recht op privacy en het recht op gegevensbescherming.

Hoewel de EDPS verheugd is over de aandacht voor de eerder geuite zorgen met betrekking tot de privacy en gegevensbescherming en over de verbeteringen in de herziene voorstellen, is hij ernstig bezorgd over meerdere aspecten van het EES-voorstel die beter zouden moeten worden gerechtvaardigd, of zelfs door de wetgever zouden moeten worden heroverwogen, in het bijzonder:

— de bewaringstermijn van vijf jaar voor EES-gegevens. De EDPS merkt op dat de noodzaak om gegevens van personen die de toegestane verblijfsduur hebben overschreden, gedurende vijf jaar te bewaren beter zou moeten worden aangetoond en dat een bewaringstermijn van vijf jaar voor alle persoonsgegevens die in het EES worden opgeslagen, onevenredig lijkt;

— het verzamelen van gezichtsopnamen van visumplichtige reizigers van wie al een gezichtsopname is opgeslagen in het VIS;

— de noodzaak van toegankelijkheid van EES-gegevens voor rechtshandhavingsinstanties, die niet voldoende wordt ondersteund door overtuigend bewijs;

— de voorwaarde dat een betrokkene vingerafdrukken afstaat wanneer hij/zij zijn/haar recht van toegang, recht van verbetering en/of recht van verwijdering van zijn/haar persoonsgegevens wil uitoefenen, die een belangrijke belemmering voor de doeltreffende uitoefening van deze rechten kan zijn.

Het advies bevat bovendien aanvullende aanbevelingen ten aanzien van gegevensbescherming en privacy waarmee in het wetgevingsproces, met inbegrip van de beveiliging van het systeem, rekening zou moeten worden gehouden.

I. INLEIDING EN ACHTERGROND

1. De Commissie maakte in 2008 voor het eerst haar voornemen bekend een Europees inreis-uitreissysteem (EES) op te zetten dat gegevens beheert van onderdanen van derde landen die het grondgebied van de Europese Unie in- of uitreizen (1). De EDPS gaf indertijd eerst zijn voorlopige opmerkingen (2) over het idee en bracht daarna specifieke punten onder de aandacht in een advies van juli 2011 (3). De Commissie heeft haar zienswijzen nader uitgewerkt in de mededeling (4)„Slimme grenzen — Opties en te volgen weg” van oktober 2011, waarover de Groep artikel 29 opmerkingen heeft ingediend (5). De EDPS heeft ook een bijdrage geleverd aan een gezamenlijke rondetafelbijeenkomst met verschillende belanghebbenden (6).

2. In februari 2013 nam de Commissie als onderdeel van het eerste slimmegrenzenpakket drie voorstellen aan: een voorstel tot instelling van een inreis-uitreissysteem (7) (hierna „het EES-voorstel 2013” genoemd), een voorstel tot instelling van een programma voor geregistreerde reizigers (8) (hierna „het RTP-voorstel 2013” genoemd) en een voorstel tot wijziging van de Schengengrenscode (9) om deze wijzigingen dienovereenkomstig in te voeren. Het pakket kreeg onmiddellijk van beide medewetgevers kritiek te verduren vanwege zorgen met betrekking tot technische, operationele en kostenaspecten, alsmede vanwege belangrijke zorgen met betrekking tot de gegevensbescherming. In hetzelfde jaar gaf de EDPS in de vorm van een advies zijn eerste concrete aanbevelingen inzake de drie voorstellen (10). De Groep artikel 29 bracht eveneens een advies uit (11), waaraan de EDPS een bijdrage heeft geleverd door vraagtekens te plaatsen bij de noodzaak van het inreis-uitreissysteem zelf.

3. Begin 2014 maakte de Commissie als antwoord op deze zorgen de start van een „proof of concept”-procedure bekend die bestond uit twee fasen: eerst een technische studie (12) en een kostenstudie (13) om vast te stellen welke opties en oplossingen het meest geschikt waren om slimme grenzen ten uitvoer te leggen, die in 2015 werden gevolgd door een proefproject (14) onder leiding van het Europees Agentschap voor het operationeel beheer van grootschalige IT-systemen op het gebied van vrijheid, veiligheid en recht (hierna „eu-LISA” genoemd) om de verschillende geïdentificeerde oplossingen te testen. Tegelijkertijd startte de Commissie in juli 2015 een openbare raadpleging van drie maanden (15) om standpunten en meningen van burgers en organisaties te verzamelen, waaraan ook de EDPS een bijdrage heeft geleverd (16).

4. Op 6 april 2016 presenteerde de Commissie een tweede slimmegrenzenpakket (17). Deze keer wordt slechts één systeem voorgesteld: het inreis-uitreissysteem (hierna „het EES” genoemd). De Commissie besloot haar EES-voorstel 2013 en het voorstel tot wijziging van de Schengengrenscode 2013 te herzien, maar haar RTP-voorstel 2013 in te trekken. Het huidige slimmegrenzenpakket bestaat uit: — een mededeling van de Commissie, „Krachtigere en slimmere informatiesystemen voor grenzen en veiligheid” (18); — een voorstel voor een verordening van het Europees Parlement en de Raad tot instelling van een inreis-uitreissysteem (EES) voor de registratie van inreis- en uitreisgegevens en van gegevens over weigering van toegang ten aanzien van onderdanen van derde landen die de buitengrenzen van de Europese Unie overschrijden en tot vaststelling van de voorwaarden voor toegang tot het EES voor rechtshandhavingsdoeleinden en tot wijziging van Verordening (EG) nr. 767/2008 en Verordening (EU) nr. 1077/2011 (19) (hierna „het EES-voorstel 2016” genoemd), en — een voorstel voor een verordening van het Europees Parlement en de Raad tot wijziging van Verordening (EU) 2016/399 (20) in verband met het gebruik van het inreis-uitreissysteem (21) (hierna „het voorstel tot wijziging van de Schengengrenscode 2016” genoemd).

5. De twee voorstellen gaan bovendien vergezeld van een gedetailleerde effectbeoordeling (22).

6. Het slimmegrenzenpakket heeft een nieuwe impuls gekregen na de huidige migratiecrisis en recente terroristische aanslagen in Europa. Het Nederlandse voorzitterschap en het Slowaakse voorzitterschap hebben bekendgemaakt dat zij hard aan het pakket zullen werken om vóór eind 2016 politieke overeenstemming te bereiken (23).

7. De EDPS is verheugd dat hij door de Commissie voorafgaand aan de goedkeuring van de nieuwe voorstellen informeel werd geraadpleegd. Hij is ook verheugd over de goede samenwerking (24) tussen DG Home en de EDPS gedurende het proces van vernieuwing van het eerste slimmegrenzenpakket.

IV. CONCLUSIE

90. De EDPS is verheugd over het werk dat de Commissie in het kader van het EES-voorstel 2016 heeft verricht om de zorgen over de gegevensbescherming die met betrekking tot het slimmegrenzenpakket 2013 naar voren zijn gebracht, weg te nemen. Er is naar behoren rekening gehouden met enkele van de aanbevelingen en opmerkingen van de EDPS in zijn eerdere advies inzake het pakket, bijvoorbeeld met betrekking tot de invoering van vangnetprocedures in geval het technisch niet mogelijk is om gegevens in te voeren of wanneer er een storing is van het systeem.

91. De EDPS is verheugd over de inspanningen die de Commissie heeft geleverd om de noodzaak van de instelling van de EES-regeling te rechtvaardigen, maar heeft nog belangrijke aanbevelingen die direct verband houden met de evenredigheid van de regeling, omdat het EES in volledige overeenstemming moet zijn met de essentiële voorwaarde van noodzaak en evenredigheid volgens artikel 52, lid 1, van het Handvest. De EDPS wijst erop dat noodzakelijkheid en evenredigheid van de EES-regeling moeten worden beoordeeld, zowel in het algemeen, rekening houdend met de reeds bestaande grootschalige IT-systemen in de EU, als specifiek, in het specifieke geval van onderdanen van derde landen die de EU rechtmatig bezoeken. Hij is van mening dat een bewaringstermijn van vijf jaar voor alle persoonsgegevens die in het EES worden opgeslagen, volledig moet worden gerechtvaardigd. Hij benadrukt ook dat de volgende aspecten van het EES-voorstel 2016 beter zouden moeten worden gerechtvaardigd en ondersteund door overtuigend bewijs: de verzameling van gezichtsopnamen van visumplichtige reizigers, de bewaringstermijn van vijf jaar voor gegevens van personen die de toegestane verblijfsduur hebben overschreden, en de noodzaak van toegankelijkheid van EES-gegevens voor rechtshandhavingsinstanties. Zo niet, dan zouden deze aspecten opnieuw door de EU-wetgever moeten worden overwogen.

92. Gezien de omvangrijke ingreep in de grondrechten van onderdanen van derde landen op privacy en gegevensbescherming is de EDPS bovendien van mening dat het EES een instrument voor grensbeheer moet blijven dat wordt opgezet met uitsluitend dit doel in gedachten. Daarom zou in het hele EES-voorstel 2016 duidelijk het verschil tussen de verklaarde doelstellingen van het EES — dat wil zeggen, de primaire doelstellingen van grensbeheer en facilitering en de secundaire doelstelling van rechtshandhaving — moeten worden ingevoerd en weerspiegeld, in het bijzonder met betrekking tot de artikelen 1 en 5.

93. De EDPS heeft daarnaast zorgen over de voorwaarde dat alle betrokkenen in elk geval vingerafdrukken moeten afgeven wanneer zij een verzoek om toegang, verbetering of verwijdering van hun persoonsgegevens indienen. Dit zou een belangrijke belemmering kunnen vormen voor de daadwerkelijke uitoefening van het recht op toegang, een belangrijke garantie voor de betrokkene die is opgenomen in artikel 8, lid 2, van het EU-Handvest.

94. Andere aanbevelingen van de EDPS in het huidige advies hebben betrekking op de volgende aspecten en artikelen: — artikel 14 zou gedetailleerder moeten worden geformuleerd, zodat, in gevallen waarin ter plaatse gezichtsopnamen van onderdanen van derde landen worden gemaakt, voor deze opnamen een minimaal kwaliteitsniveau wordt bereikt, en artikel 33 zou moeten specificeren dat de Commissie gedetailleerde informatie verstrekt over de wijze waarop het vereiste kwaliteitsniveau voor ter plaatse gemaakte gezichtsopnamen kan worden bereikt; — artikel 15, lid 3, zou moeten worden aangevuld met een specificatie van de informatie die door de grensautoriteiten mag worden verzameld, opgeslagen en gebruikt wanneer zij om verduidelijking vragen betreffende de redenen voor de tijdelijke onmogelijkheid om vingerafdrukken af te geven; — artikel 39 zou moeten voorzien in de harde noodzaak van coördinatie tussen eu-LISA en de lidstaten om de beveiliging van het EES te verzekeren; — de verantwoordelijkheden voor de beveiliging zouden in het voorstel duidelijk moeten worden gemaakt in geval van interconnectie van nationale faciliteringsprogramma’s van de lidstaten met het EES. Het nieuwe artikel 8 sexies van de Schengengrenscode zou moeten specificeren dat de veiligheid moet worden gegarandeerd op basis van een goede risicobeoordeling van de informatiebeveiliging, en zou een beschrijving van de benodigde veiligheidsmaatregelen moeten bevatten; — het voorstel zou duidelijk moeten specificeren dat eu-LISA verantwoordelijk is voor de veiligheid van de webdienst, de beveiliging van de persoonsgegevens die deze bevat, en het proces om de persoonsgegevens uit het centrale systeem naar de webdienst te halen; — artikel 44, lid 1, zou moeten worden gewijzigd zodat in de informatie die aan betrokkenen wordt verstrekt, het volgende wordt opgenomen: de bewaringstermijn die van toepassing is op hun gegevens, het recht van personen die de toegestane verblijfsduur hebben overschreden om hun persoonsgegevens te laten verwijderen indien zij kunnen aantonen dat zij de toegestane verblijfsduur hebben overschreden ten gevolge van onvoorzienbare en ernstige gebeurtenissen, en een toelichting dat toegang tot de gegevens in het EES zal worden verleend voor de doelen van grensbeheer en facilitering; — artikel 46, lid 1, zou een strikte geharmoniseerde termijn van niet langer dan enkele maanden voor de beantwoording van verzoeken om toegang moeten vaststellen; — artikel 9, lid 2, zou moeten worden gewijzigd door een duidelijke beschrijving op te nemen van maatregelen die garanderen dat naar behoren aandacht wordt geschonken aan gegevens die betrekking hebben op kinderen, ouderen en personen met een handicap; — artikel 57 zou moeten worden gewijzigd en eu-LISA moeten verplichten functies te ontwikkelen waarmee de lidstaten, de Commissie, eu-LISA en Frontex automatisch de vereiste statistische gegevens rechtstreeks uit het centrale systeem van het EES kunnen verkrijgen, zonder dat een aanvullend register noodzakelijk is; — het voorstel zou de EDPS de juiste informatie en middelen moeten verschaffen zodat hij zijn nieuwe verantwoordelijkheden als toezichthouder van het toekomstige EES doeltreffend en doelmatig kan uitvoeren; — artikel 28, lid 2, zou een strikte termijn moeten bepalen waarbinnen de controlerende autoriteiten de verificatie achteraf van de voorwaarden voor toegang tot het EES voor rechtshandhavingsdoeleinden in geval van nood moeten verrichten; — artikel 28, lid 3, zou in die zin moeten worden gewijzigd dat aangewezen autoriteiten en de controlerende autoriteit geen deel mogen uitmaken van dezelfde organisatie.

95. De EDPS wijst met nadruk op de noodzaak deze punten vanuit een mondiaal perspectief aan te pakken. Hij moedigt de wetgever aan om door te gaan met het inventariseren van de verschillende gegevensbanken in de context van grenzen en migratie, het beter coördineren van en voorkomen van overlap tussen de verschillende systemen, met volledige inachtneming van de gegevensbeschermingsnormen, en in zijn betrekkingen met derde landen.

Gedaan te Brussel, 21 september 2016. Giovanni BUTTARELLI Europese Toezichthouder voor gegevensbescherming

(1) Mededeling van de Commissie van 13 februari 2008„De voorbereiding van de volgende stappen in het grensbeheer in de Europese Unie”, COM(2008) 69 def.

(2) Voorlopige opmerkingen van de EDPS van 3 maart 2008 over drie mededelingen over grensbeheer.

(3) Advies van de EDPS van 7 juli 2011 inzake de mededeling over migratie.

(4) Mededeling van de Commissie van 25 oktober 2011„Slimme grenzen — Opties en te volgen weg”, COM(2011) 680 def.

(5) De Groep artikel 29 bracht zijn opmerkingen over de mededeling van de Commissie over slimme grenzen in een brief van 12 juni 2012 over aan commissaris Malmström.

(6) Rondetafelbijeenkomst van de EDPS over het slimmegrenzenpakket en de gevolgen voor de gegevensbescherming, Brussel, 10 april 2013, zie de samenvatting op: http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/EDPS/PressNews/Events/2013/13-04-10_Summary_smart_borders_final_EN.pdf

(7) Voorstel voor een verordening van het Europees Parlement en de Raad tot instelling van een inreis-uitreissysteem (EES) voor de registratie van inreis- en uitreisgegevens van onderdanen van derde landen die de buitengrenzen van de Europese Unie overschrijden, COM(2013) 95 def.

(8) Voorstel voor een verordening van het Europees Parlement en de Raad tot instelling van een programma voor geregistreerde reizigers, COM(2013) 97 def.

(9) Voorstel voor een verordening van het Europees Parlement en de Raad tot wijziging van Verordening (EG) nr. 562/2006 in verband met het gebruik van het inreis-uitreissysteem (EES) en het programma voor geregistreerde reizigers (RTP), COM(2013) 96 def.

(10) Advies van de EDPS van 18 juli 2013 inzake de voorstellen voor een verordening tot instelling van een inreis-uitreissysteem (EES) en een verordening tot instelling van een programma voor geregistreerde reizigers (RTP).

(11) Advies 05/2013 van de Groep artikel 29 van 6 juni 2013 inzake slimme grenzen.

(12) Technische studie inzake slimme grenzen — Eindverslag, oktober 2014, beschikbaar op: http://ec.europa.eu/dgs/home-affairs/what-we-do/policies/borders-and-visas/smart-borders/docs/smart_borders_technical_study_en.pdf

(13) Technische studie inzake slimme grenzen — Kostenanalyse, oktober 2014, beschikbaar op: http://ec.europa.eu/dgs/home-affairs/what-we-do/policies/borders-and-visas/smart-borders/docs/smart_borders_costs_study_en.pdf

(14) Eindverslag van eu-LISA over het proefproject Slimme Grenzen, december 2015, beschikbaar op: http://ec.europa.eu/dgs/home-affairs/what-we-do/policies/borders-and-visas/smart-borders/index_en.htm

(15) Openbare raadpleging door de Commissie over slimme grenzen, beschikbaar op: http://ec.europa.eu/dgs/home-affairs/what-is-new/public-consultation/2015/consulting_0030_en.htm

(16) Formele commentaren van de EDPS van 3 november 2015 over de openbare raadpleging door de Commissie over slimme grenzen.

(17) Zie het persbericht dat beschikbaar is op: http://europa.eu/rapid/press-release_IP-16-1247_nl.htm

(18) Mededeling van de Commissie van 6 april 2016„Krachtigere en slimmere informatiesystemen voor grenzen en veiligheid”, COM(2016) 205 final.

(19) COM(2016) 194 def.

(20) Verordening (EU) 2016/399 van het Europees Parlement en de Raad van 9 maart 2016 betreffende een Uniecode voor de overschrijding van de grenzen door personen (Schengengrenscode) (PB L 77 van 23.3.2016, blz. 1).

(21) COM(2016) 196 def.

(22) Werkdocument van de diensten van de Commissie van 6 april 2016 getiteld „Impact Assessment on the establishment of an EU Entry/Exit System accompanying the 2016 EES Proposal and the 2016 Proposal amending the Schengen Borders Code”, SWD(2016) 115 final (hierna „effectbeoordeling” genoemd).

(23) http://data.consilium.europa.eu/doc/document/ST-8485-2016-INIT/en/pdf

(24) In 2015 werden twee workshops van DG Home en de EDPS gehouden waarin werd ingegaan op aspecten van slimme grenzen: een workshop op 20 maart 2015 die speciaal gewijd was aan de opstelling van de voorstellen voor slimme grenzen, en een interactieve workshop op 21 september 2015 over overwegingen met betrekking tot gegevensbescherming en privacy in het beleid inzake migratie en binnenlandse zaken, gedurende welke de voorstellen voor slimme grenzen uit 2013 ook terloops werden behandeld; zie de notulen van de workshop op 20 maart 2015 in bijlage 16 bij de effectbeoordeling.