NL Publicatieblad van de Europese Unie C 32/25

Samenvatting van het advies van de Europese toezichthouder voor gegevensbescherming inzake de voorstellen voor een verordening tot instelling van een inreis-uitreissysteem (EES) en een verordening tot instelling van een programma voor geregistreerde reizigers (RTP)

(De volledige tekst van dit advies is beschikbaar in de Engelse, Franse en Duitse taal op de website van de Europese toezichthouder voor gegevensbescherming: http://www.edps.europa.eu)

2014/C 32/12

I. Inleiding

I.1. Raadpleging van de EDPS

1. Op 28 februari 2013 heeft de Commissie de volgende voorstellen vastgesteld (hierna „de voorstellen” genoemd): — Voorstel voor een verordening van het Europees Parlement en de Raad tot instelling van een inreis-uitreissysteem (EES) voor de registratie van inreis- en uitreisgegevens van onderdanen van derde landen die de buitengrenzen van de Europese Unie overschrijden (hierna „het EES-voorstel” genoemd) (1); — Voorstel voor een verordening van het Europees Parlement en de Raad tot instelling van een programma voor geregistreerde reizigers (RTP) (hierna „het RTP-voorstel” genoemd) (2); — Voorstel voor een verordening van het Europees Parlement en de Raad tot wijziging van Verordening (EG) nr. 562/2006 in verband met het gebruik van het inreis-uitreissysteem (EES) en het programma voor geregistreerde reizigers (RTP) (hierna „het wijzigingsvoorstel” genoemd) (3).

2. Op dezelfde datum zijn de voorstellen ter raadpleging naar de EDPS gezonden. Voorafgaand aan de vaststelling van de voorstellen was de EDPS door de Commissie in de gelegenheid gesteld om informele opmerkingen te maken.

3. De EDPS verwelkomt de verwijzing naar de raadpleging van de EDPS in de preambule van zowel het EES-voorstel als het RTP-voorstel.

I.2. Achtergrond

4. In de mededeling van de Commissie getiteld „De voorbereiding van de volgende stappen in het grensbeheer in de Europese Unie” van 2008 werden nieuwe instrumenten voorgesteld voor het toekomstig beheer van de Europese grenzen, waaronder een inreis-uitreissysteem (hierna „EES” genoemd) voor de elektronische registratie van de datum van inreis en uitreis van onderdanen van derde landen en een programma voor geregistreerde reizigers om grensoverschrijding voor bonafide reizigers te vergemakkelijken (hierna „RTP” genoemd). Ook werd in de mededeling overwogen een elektronisch systeem voor reisvergunningen (ESTA) in te voeren voor niet-visumplichtige onderdanen van derde landen.

5. Deze voorstellen zijn door de Europese Raad van december 2009 bekrachtigd in het programma van Stockholm (4). In haar mededeling uit 2011 over slimme grenzen nam de Commissie (5) echter het standpunt in dat de invoering van een ESTA voorlopig buiten beschouwing moest worden gelaten „omdat de mogelijke vergroting van de veiligheid van de lidstaten niet kan rechtvaardigen dat persoonsgegevens op die schaal worden verzameld, en niet in verhouding staat tot de kostprijs en de gevolgen voor de internationale betrekkingen” (6). De Commissie kondigde daarnaast aan dat zij voornemens was om in de eerste helft van 2012 voorstellen te presenteren voor een EES en een RTP.

6. De Europese Raad van juni 2011 verzocht daarop de Commissie snel vooruitgang te boeken met de werkzaamheden op het gebied van „slimme grenzen” en vroeg om de invoering van het EES en het RTP (7).

7. De Groep voor de bescherming van personen in verband met de verwerking van persoonsgegevens (Groep artikel 29) bracht zijn opmerkingen over de mededeling van de Commissie over slimme grenzen, die voorafging aan de voorstellen, in een brief van 12 juni 2012 over aan commissaris Malmström (8). Meer recentelijk, op 6 juni 2013, bracht de groep een advies uit waarin men de noodzaak van het slimmegrenzenpakket in twijfel trok (9).

8. Voor het onderhavige advies zijn deze standpunten als uitgangspunt genomen, naast een eerder advies van de EDPS (10) inzake de mededeling van de Commissie uit 2011 over migratie (11) en de voorlopige opmerkingen van de EDPS (12) over drie mededelingen over grensbeheer (2008) (13). Ook is er gebruikgemaakt van input die is geleverd tijdens de rondetafelbijeenkomst van de EDPS over het Pakket Slimme Grenzen en de gevolgen daarvan op het vlak van de gegevensbescherming (14).

I.3. Doel van de voorstellen

9. Het doel van het EES-voorstel wordt uiteengezet in artikel 4. Het voorstel beoogt het beheer van de buitengrenzen, de bestrijding van onregelmatige migratie, de uitvoering van het geïntegreerde grensbeheerbeleid en de samenwerking en het overleg tussen grens- en immigratieautoriteiten te verbeteren. Het voorziet in een systeem dat: a) de controles aan de doorlaatposten aan de buitengrenzen zou verscherpen en onregelmatige immigratie zou tegengaan; b) de toegestane verblijfsduur van onderdanen van derde landen die worden toegelaten voor een kort verblijf zou berekenen en in het oog houden; c) de identificatie mogelijk zou maken van personen die niet, of niet langer aan de voorwaarden voor binnenkomst of verblijf op het grondgebied van de lidstaten voldoen; d) de nationale autoriteiten van de lidstaten in staat zou stellen vast te stellen welke personen de toegestane verblijfsduur hebben overschreden en gepaste maatregelen te treffen; e) gegevens over de inreis en uitreis van onderdanen van derde landen zou verzamelen voor analyse.

10. Het systeem zou moeten helpen de toegestane verblijfsduur in het oog te houden door snel nauwkeurige informatie te verstrekken aan grenswachters en reizigers. Het zou in de plaats komen van het huidige systeem van het handmatig afstempelen van paspoorten, dat als traag en onbetrouwbaar wordt beschouwd, en zo de doelmatigheid van het grensbeheer verbeteren (15).

11. Doordat in het EES biometrische gegevens worden opgeslagen zou het systeem ook moeten helpen bij het identificeren van personen die niet voldoen aan de voorwaarden om de EU binnen te komen of er te verblijven, vooral wanneer ze niet beschikken over identiteitspapieren. Daarnaast zou het EES een nauwkeurig beeld geven van de reizigersbewegingen en van het aantal personen dat de toegestane verblijfsduur overschrijdt, waardoor er op feiten gebaseerd beleid kan worden ontwikkeld, bijvoorbeeld op het terrein van de visumplicht. De in artikel 4 genoemde statistieken worden voor dit laatstgenoemde doel gebruikt.

12. Het EES zou de basis vormen voor het RTP, dat grensoverschrijding voor frequente, vooraf aan een veiligheidsonderzoek onderworpen reizigers uit derde landen moet vergemakkelijken. Geregistreerde reizigers zouden beschikken over een token met daarop een unieke identificatiecode die zij bij aankomst en vertrek langs de automatische grenspoort halen. De gegevens op het token, de vingerafdrukken en eventueel het nummer van de visumsticker zouden worden vergeleken met de informatie in het centrale register en andere gegevensbanken. Bij een succesvol verloop van al deze controles zou de reiziger de automatische poort kunnen passeren. Bij problemen zou de reiziger worden geholpen door een grenswachter.

13. Het doel van het wijzigingsvoorstel, ten slotte, is het aanpassen van Verordening (EG) nr. 562/2006 tot vaststelling van een communautaire code betreffende de overschrijding van de grenzen door personen (hierna „de Schengengrenscode” genoemd) aan de nieuwe EES- en RTP-voorstellen.

I.4. Context en structuur van het onderhavig advies

14. Het initiatief om een elektronisch systeem te ontwikkelen dat moet controleren wie wanneer het grondgebied van de EU betreedt en verlaat is niet nieuw. In de verschillende bovengenoemde mededelingen van de Commissie is reeds de weg bereid voor de nu voorliggende voorstellen. Het Pakket Slimme Grenzen moet dan ook worden beoordeeld tegen de achtergrond van deze ontwikkelingen. Daarbij moet in het bijzonder rekening worden gehouden met de volgende elementen.

15. In het Programma van Stockholm heeft de Commissie het strategische besluit genomen om na te gaan of er behoefte is aan een Europees model voor informatie-uitwisseling dat gebaseerd is op de evaluatie van de huidige instrumenten. Dit model wordt onder andere gebaseerd op een stevige gegevensbeschermingsregeling, gerichte gegevensverzameling en de rationalisatie van de verschillende instrumenten, waaronder de vaststelling van een bedrijfsplan voor grote IT-systemen. In het Programma van Stockholm wordt eraan herinnerd dat de invoering en het beheer van de verschillende informatie-instrumenten moeten aansluiten op de strategie voor de bescherming van persoonsgegevens en het bedrijfsplan voor grote IT-systemen (16).

16. Een uitgebreide analyse is des te noodzakelijker gegeven het bestaan en de verdere ontwikkeling en invoering van grootschalige IT-systemen, zoals Eurodac (17), VIS (18) en SIS II (19). Een regeling met slimme grenzen is een extra instrument om enorme hoeveelheden persoonsgegevens te verzamelen in het kader van de grenscontrole. Deze globale benadering is recentelijk bevestigd door de Raad Justitie en Binnenlandse Zaken, die onderstreepte dat er van de ervaringen met SIS moet worden geleerd door met name te kijken naar de stijging van de kosten (20). De EDPS heeft tevens opgemerkt dat „een Europees informatiemodel niet op technologische overwegingen mag stoelen”, gezien de bijna onbegrensde mogelijkheden van nieuwe technologieën. Informatie mag uitsluitend worden verwerkt op basis van concrete beveiligingsbehoeften (21).

17. De analyse van het EES en het RTP vanuit het oogpunt van de privacy en de gegevensbescherming moet plaatsvinden aan de hand van het Handvest van de grondrechten van de Europese Unie (22) (hierna „het Handvest” genoemd), en in het bijzonder de artikelen 7 en 8 daarvan. Artikel 7, dat vergelijkbaar is met artikel 8 van het Europees Verdrag voor de rechten van de mens (23) (EVRM), geeft eenieder recht op eerbiediging van zijn privéleven en zijn familie- en gezinsleven, en beschermt het individu tegen bemoeienis van overheidsinstanties, terwijl artikel 8 van het Handvest bepaalt dat persoonsgegevens alleen mogen worden verwerkt onder bepaalde gespecificeerde voorwaarden. De twee benaderingen zijn verschillend en vullen elkaar aan. Het Pakket Slimme Grenzen zal aan de hand van deze twee benaderingen worden beoordeeld.

18. De focus van het onderhavige advies ligt sterk op het EES-voorstel — aangezien dat het meest relevant is vanuit het oogpunt van privacy en gegevensbescherming — en is als volgt opgebouwd: — Deel II bevat een algemene beoordeling van het inreis-uitreissysteem en is gericht op de naleving van zowel artikel 7 als artikel 8 van het Handvest; — Deel III bevat opmerkingen over meer specifieke bepalingen van het EES met betrekking tot de verwerking van biometrische gegevens en de toegankelijkheid van deze gegevens voor rechtshandhavingsinstanties; — Deel IV bevat opmerkingen over andere punten die in het EES naar voren komen; — Deel V behandelt het RTP; — Deel VI bespreekt de noodzaak van aanvullende waarborgen op het gebied van gegevensbescherming; — Deel VII bevat de conclusies.

VII. Conclusies

102. Het Pakket Slimme Grenzen beoogt de instelling van een nieuw, grootschalig IT-systeem dat een aanvulling moet vormen op de bestaande grenscontrolemechanismen. Het wettige karakter van dit systeem moet worden getoetst aan de beginselen van het Handvest, in het bijzonder artikel 7 over het recht op eerbiediging van het privé-, familie- en gezinsleven en artikel 8 over de bescherming van persoonsgegevens, met het doel te beoordelen in hoeverre de nieuwe regeling strijdig is met de grondrechten, maar ook om de waarborgen op het gebied van gegevensbescherming in de voorstellen aan een beoordeling te onderwerpen.

103. In dit verband bevestigt de EDPS dat de voorgestelde EES-regeling inbreuk maakt op het recht op eerbiediging van het privé, gezins- en familieleven. De EDPS verwelkomt weliswaar de waarborgen in de voorstellen en erkent het feit dat de Commissie zich in dat opzicht moeite heeft getroost, maar concludeert dat noodzaak het essentiële punt blijft: de kosten/doelmatigheid van het systeem staan op het spel, niet alleen financieel gezien, maar ook ten aanzien van de grondrechten, bekeken in de algemene context van bestaande regelingen en het bestaande grenscontrolebeleid.

104. De EDPS beveelt voor het EES het volgende aan: — De noodzakelijkheid en evenredigheid van het systeem kunnen pas worden aangetoond met inachtneming van artikel 7 van het Handvest als er een duidelijk Europees beleid is ontwikkeld voor het beheer van personen die de toegestane verblijfsduur hebben overschreden, en als het systeem wordt geëvalueerd tegen de meer globale achtergrond van bestaande grootschalige IT-systemen. — De beginselen op het gebied van gegevensbescherming dienen in overeenstemming met artikel 8 als volgt te worden verbeterd: — De doeleinden dienen te worden begrensd en het ontwerp mag niet vooruitlopen op de toekomstige evaluatie aangaande mogelijke toegang tot de gegevens in het EES voor rechtshandhavingsinstanties. — De rechten van betrokkenen dienen te worden versterkt, met name als het gaat om het recht op informatie en verhaalmogelijkheden, rekening houdend met de behoefte aan specifieke waarborgen op het gebied van automatische beslissingen die worden genomen in verband met het berekenen van de verblijfsduur. — Het toezicht dient te worden aangevuld met een helder beeld van de toebedeling van bevoegdheden op nationaal niveau, om ervoor te zorgen dat betrokkenen bij de juiste instantie aanspraak maken op hun rechten. — Het gebruik van biometrische gegevens dient te worden onderworpen aan een gerichte effectbeoordeling en indien dit noodzakelijk wordt gedacht, dienen voor de verwerking van dergelijke gegevens specifieke waarborgen te gelden ten aanzien van het inschrijvingsproces, het correctheidsniveau en de noodzaak van een procedure om op terug te vallen. Daarnaast plaatst de EDPS grote vraagtekens bij het afnemen van tien vingerafdrukken in plaats van twee of vier, wat in elk geval genoeg zou moeten zijn voor controledoeleinden. — Er dient uitgebreider te worden ingegaan op de redenen waarom de overdracht van gegevens uit het EES aan derde landen noodzakelijk is voor de terugkeer van ingezetenen van derde landen.

105. Hoewel het RTP niet dezelfde wezenlijke vragen oproept ten aanzien van de verenigbaarheid met fundamentele rechten als het EES, vraagt de EDPS toch de aandacht van de wetgever voor de volgende aspecten: — De vrijwillige basis van het systeem wordt erkend, maar instemming mag uitsluitend worden beschouwd als een geldige rechtsgrond voor het verwerken van de gegevens als men uit vrije wil instemt, waaruit volgt dat het RTP niet het enige alternatief mag worden voor lange rijen en administratieve rompslomp. — Het risico op discriminatie dient te worden uitgesloten: het enorme aantal reizigers dat niet vaak genoeg reist om zich te laten registreren of wier vingerafdrukken onleesbaar zijn, mag niet „de facto” onder de categorie „hoog risico” worden geschaard. — Het controleproces dat tot inschrijving leidt, dient te worden gebaseerd op selectieve toegang tot duidelijk aangeduide gegevensbanken.

106. Ten aanzien van de veiligheidsaspecten is de EDPS van mening dat voor het EES en het RTP een bedrijfscontinuïteitsplan en praktijken voor risicobeheer bij informatiebeveiliging dienen te worden ontwikkeld om risico’s te in te schatten en te prioriteren. Bovendien dient er te worden gezorgd voor een nauwe samenwerking tussen het agentschap en de lidstaten.

Gedaan te Brussel, 18 juli 2013. Peter HUSTINX Europese Toezichthouder voor gegevensbescherming

(1) COM(2013) 95 definitief.

(2) COM(2013) 97 definitief.

(3) COM(2013) 96 definitief.

(4) „Een open en veilig Europa ten dienste en ter bescherming van de burger” (PB C 115 van 4.5.2010, blz. 1).

(5) Mededeling van 25 oktober 2011 van de Commissie aan het Europees Parlement, de Raad, het Europees Economisch en Sociaal Comité en het Comité van de Regio’s over „Slimme grenzen — opties en te volgen weg” (COM(2011) 680 definitief).

(6) Bovengenoemde mededeling van de Commissie over slimme grenzen, blz. 7.

(7) EUCO 23/11.

(8) De Groep voor de bescherming van personen in verband met de verwerking van persoonsgegevens (Groep artikel 29), die is ingesteld bij Richtlijn 95/46/EG, bestaat uit een vertegenwoordiger van elke nationale autoriteit op het gebied van gegevensbescherming, de EDPS en een vertegenwoordiger van de Commissie. De Groep heeft adviserende bevoegdheid en is onafhankelijk. De brief met dagtekening 12 juni 2012 van de Groep aan mevrouw Cecilia Malmström over slimme grenzen is in te zien op http://ec.europa.eu/justice/data-protection/article-29/documentation/other-document/files/2012/20120612_letter_to_malmstrom_smart-borders_en.pdf

(9) Groep voor de bescherming van personen in verband met de verwerking van persoonsgegevens. http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2013/wp206_en.pdf

(10) Advies van de EDPS van 7 juli 2011, beschikbaar op http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2011/11-07-07_Migration_EN.pdf

(11) Mededeling van 4 mei 2011 van de Commissie aan het Europees Parlement, de Raad, het Europees Economisch en Sociaal Comité en het Comité van de Regio’s inzake migratie (COM(2011) 248/3).

(12) Voorlopige opmerkingen van de EDPS van 3 maart 2008, beschikbaar op http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Comments/2008/08-03-03_Comments_border_package_EN.pdf

(13) Mededelingen van de Commissie aan het Europees Parlement, de Raad, het Europees Economisch en Sociaal Comité en het Comité van de Regio’s getiteld „De voorbereiding van de volgende stappen in het grensbeheer in de Europese Unie” (COM(2008) 69 definitief); „Onderzoek naar de mogelijkheden tot instelling van een Europees grensbewakingssysteem (Eurosur)” (COM(2008) 68 definitief); en „Verslag over de evaluatie en de toekomstige ontwikkeling van het Frontex-agentschap”, COM(2008) 67 definitief.

(14) EDPS Round Table on the Smart borders package and data protection implications, Brussel, 10 april 2013, locatie: EDPS-gebouw, Rue Montoyer 30, Brussel. Zie samenvatting op: http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/EDPS/PressNews/Events/2013/13-04-10_Summary_smart_borders_final_EN.pdf

(15) Zie de Toelichting bij het EES-voorstel.

(16) Het programma van Stockholm — Een open en veilig Europa ten dienste en ter bescherming van de burger (PB C 115 van 4.5.2010, blz. 1).

(17) Zie Verordening (EU) nr. 603/2013 van het Europees Parlement en van de Raad van 26 juni 2013 betreffende de instelling van „Eurodac” voor de vergelijking van vingerafdrukken ten behoeve van een doeltreffende toepassing van Verordening (EU) nr. 604/2013 tot vaststelling van de criteria en instrumenten om te bepalen welke lidstaat verantwoordelijk is voor de behandeling van een verzoek om internationale bescherming dat door een onderdaan van een derde land of een staatloze bij een van de lidstaten wordt ingediend en betreffende verzoeken van rechtshandhavingsinstanties van de lidstaten en Europol om vergelijkingen van Eurodac-gegevens ten behoeve van rechtshandhaving, en tot wijziging van Verordening (EU) nr. 1077/2011 tot oprichting van een Europees Agentschap voor het operationeel beheer van grootschalige IT-systemen op het gebied van vrijheid, veiligheid en recht (PB L 180 van 29.6.2013, blz. 1).

(18) Zie Verordening (EG) nr. 767/2008 van het Europees Parlement en de Raad van 9 juli 2008 betreffende het Visuminformatiesysteem (VIS) en de uitwisseling tussen de lidstaten van gegevens op het gebied van visa voor kort verblijf (VIS-verordening) (PB L 218 van 13.8.2008, blz. 60).

(19) Zie Verordening (EG) nr. 1987/2006 van het Europees Parlement en de Raad van 20 december 2006 betreffende de instelling, de werking en het gebruik van het Schengeninformatiesysteem van de tweede generatie (SIS II) (PB L 381 van 28.12.2006, blz. 4).

(20) Zie Raadsdoc. nr. 8018/13, Note of the Presidency to the Strategic Committee on Immigration, Frontiers and Asylum/Mixed Committee (UE-Iceland/Liechtenstein/Norway/Switzerland), 28 maart 2013 over het Pakket Slimme Grenzen. http://www.statewatch.org/news/2013/apr/eu-council-smart-borders-8018-13.pdf

(21) Advies van de EDPS van 10 juli 2009 inzake de Mededeling van de Commissie aan het Europees Parlement en de Raad inzake een ruimte van vrijheid, veiligheid en recht ten dienste van de burger (PB C 276 van 17.11.2009, blz. 8).

(22) PB C 83 van 30.3.2010, blz. 389.

(23) Europese Raad, ETS nr. 5, 4.11.1950.