Samenvatting van het advies van de Europese Toezichthouder voor gegevensbescherming over het voorstel tot wijziging van de Europol-verordening

(De volledige tekst van dit advies is beschikbaar in het Engels, het Frans en het Duits op de EDPS-website www.edps.europa.eu)

(2021/C 143/05)

De Europese Commissie heeft op 9 december 2020 een voorstel gepresenteerd voor een verordening van het Europees Parlement en de Raad tot wijziging van Verordening (EU) 2016/794 wat betreft de samenwerking van Europol met particuliere partijen, de verwerking van persoonsgegevens door Europol ter ondersteuning van strafrechtelijke onderzoeken en de rol van Europol op het gebied van onderzoek en innovatie. Het wetgevingsvoorstel heeft tot doel het mandaat van Europol te versterken en in bepaalde gevallen uit te breiden in reactie op de veranderingen in het veiligheidslandschap en de veranderende en steeds complexer wordende bedreigingen.

De Europese Toezichthouder voor gegevensbescherming (EDPS) begrijpt dat de rechtshandhavingsautoriteiten voor het verrichten van hun taken, namelijk het opsporen, onderzoeken en voorkomen van strafbare feiten en andere bedreigingen voor de openbare veiligheid, gebruik moeten kunnen maken van de best mogelijke juridische en technische instrumenten. Bovendien is hij ervan overtuigd dat er geen inherent en onoverbrugbaar conflict bestaat tussen veiligheid en grondrechten, zoals het recht op gegevensbescherming. Met het huidige advies beoogt hij daarom een billijke en objectieve beoordeling te geven van de noodzaak en de evenredigheid van de voorgestelde maatregelen, met enkele specifieke aanbevelingen om te zorgen voor het juiste evenwicht tussen de waarden en de belangen die op het spel staan.

Strafrechtelijke onderzoeken en criminele-inlichtingenoperaties omvatten steeds vaker het verzamelen en verwerken van grote en complexe datasets door rechtshandhavingsautoriteiten. Hoewel de EDPS positief staat tegenover de waarborgen waarmee de voorgestelde afwijkingen in dergelijke gevallen gepaard gaan, vreest hij dat de uitzonderingen op de huidige gegevensbeschermingsregels die op Europol van toepassing zijn, in werkelijkheid de regel zouden kunnen worden. Daarom beveelt hij aan dat in de Europol-verordening de situaties waarin en de voorwaarden waaronder Europol van de voorgestelde afwijkingen gebruik mag maken, beter worden omschreven. Bovendien dient de verwerking van persoonsgegevens door het agentschap, zelfs in deze gevallen, geheel in overeenstemming te zijn met de algemene beginselen en verplichtingen van hoofdstuk IX van Verordening (EU) 2018/1725.

Wat betreft de uitgebreidere wettelijke mogelijkheden voor Europol om met particuliere partijen samen te werken, met name in het geval van datasets die op meerdere rechtsgebieden betrekking hebben of die niet aan een rechtsgebied kunnen worden toegeschreven, waardeert de EDPS het dat er met specifieke waarborgen, zoals het verbod op systematische, massale of structurele gegevensdoorgiften, tegenwicht wordt geboden. Tegelijkertijd beveelt de EDPS aan deze belangrijke beperking toe te passen op alle uitwisselingen tussen Europol en particuliere partijen, ongeacht hun locatie – in de EU of daarbuiten. De EDPS meent ook dat de precieze wettelijke rol en verantwoordelijkheden van Europol, wanneer deze optreedt als dienstverlener aan nationale autoriteiten en dus als gegevensverwerker, nader dienen te worden verduidelijkt in een bindende rechtshandeling. Voorts acht hij het noodzakelijk dat de mogelijke veiligheidsrisico’s bij het openstellen van de communicatie-infrastructuur van Europol voor het gebruik door particulieren partijen worden nagegaan.

De EDPS schenkt ook speciale aandacht aan het beoogde gebruik van persoonsgegevens, door Europol, voor onderzoek en innovatie. Tegelijkertijd is hij zich er goed van bewust dat het alternatief – Europol en de nationale rechtshandhavingsautoriteiten moeten gebruikmaken van instrumenten en producten die zijn ontwikkeld door externe, vaak buiten de EU gevestigde verkopers – duidelijk veel grotere risico’s voor de grondrechten met zich brengt. Desalniettemin meent de EDPS dat het nieuwe verwerkingsdoel te ruim omschreven is; hij beveelt dan ook aan de reikwijdte van de onderzoeks- en innovatieactiviteiten in een bindend document te verduidelijken.

De EDPS verwelkomt en ondersteunt ten volle de voorgestelde verdere versterking van het gegevensbeschermingskader van Europol, met name de rechtstreekse toepassing van de horizontale regels in hoofdstuk IX van Verordening (EU) 2018/1725 op de verwerking van operationele gegevens door het agentschap. Het betekent ook een belangrijke stap voorwaarts naar een uitgebreidere afstemming van het gegevensbeschermingskader voor alle instellingen, organen en instanties van de EU, waartoe de EDPS herhaaldelijk heeft opgeroepen.

Een sterker mandaat voor Europol dient altijd gepaard te gaan met een sterker toezicht. Daarom roept de EDPS op tot een volledige harmonisatie van zijn toezichtsbevoegdheden ten aanzien van Europol met de algemene bevoegdheden van de EDPS waarin Verordening (EU) 2018/1725 voorziet en die van toepassing zijn op de andere instellingen, organen en instanties van de EU, zoals het Europees Parlement, de Raad en de Commissie. Een dergelijke afstemming zou in overeenstemming zijn met de wil van de EU-wetgever en zou ook helpen voorkomen dat de organen van de Unie verschillend worden behandeld en in een meer of minder bevoorrechte positie worden geplaatst.

1. INLEIDING EN ACHTERGROND

1. Het Agentschap van de Europese Unie voor samenwerking op het gebied van rechtshandhaving (Europol) werd opgericht bij Verordening (EU) 2016/794 van het Europees Parlement en de Raad (Europol-verordening) ter ondersteuning en versterking van het optreden van de bevoegde autoriteiten van de lidstaten en hun wederzijdse samenwerking bij de voorkoming en bestrijding van zware grensoverschrijdende criminaliteit, van terrorisme en van andere vormen van criminaliteit die een schending inhouden van de gemeenschappelijke belangen van de Unie. De Europol-verordening heeft de vorige basisrechtshandeling – Besluit 2009/371/JBZ van de Raad ( 1 ) – vervangen; in de verordening krijgt de EDPS de taak toe te zien op de rechtmatigheid van de verwerking van persoonsgegevens door Europol met ingang van 1 mei 2017.

2. Op 9 december 2020 heeft de Europese Commissie een voorstel aangenomen voor een verordening van het Europees Parlement en de Raad tot wijziging van Verordening (EU) 2016/794 wat betreft de samenwerking van Europol met particuliere partijen, de verwerking van persoonsgegevens door Europol ter ondersteuning van strafrechtelijke onderzoeken en de rol van Europol op het gebied van onderzoek en innovatie ( 2 )

3. Het voorstel is als wetgevingsinitiatief in het werkprogramma van de Commissie voor 2020 opgenomen om “het mandaat van Europol [te] versterken om de operationele politiesamenwerking te versterken”. Het voorstel is ook een van de belangrijkste maatregelen van de EU-strategie voor de veiligheidsunie van juli 2020 ( 3 ) . Verder maakt het wetgevingsvoorstel deel uit van een pakket maatregelen dat de Commissie op 9 december 2020 heeft aangekondigd om de respons van de Unie op de terreurdreiging te versterken ( 4 )

4. Het voorstel heeft tot doel het mandaat van Europol binnen de opdracht en de taken van Europol zoals neergelegd in artikel 88 van het Verdrag betreffende de werking van de Europese Unie (VWEU) te versterken en, waar nodig, uit te breiden. De drie voornaamste gebieden waarop het voorstel betrekking heeft, worden expliciet genoemd in de titel van de ontwerpverordening, namelijk samenwerking met particuliere partijen, operationele ondersteuning bij strafrechtelijke onderzoeken, en onderzoek en innovatie. Daarnaast zijn er echter nog enkele wijzigingen van andere belangrijke aspecten van het werk van Europol, zoals het rechtskader voor gegevensbescherming, doorgiften van gegevens aan derde landen, de invoering van signaleringen in het Schengeninformatiesysteem, enzovoorts. Aan het laatste punt is een afzonderlijk wetgevingsvoorstel gewijd ( 5 ) , waarover de EDPS eveneens is geraadpleegd en een afzonderlijk advies is uitgebracht.

5. Volgens de toelichting is het wetgevingsvoorstel een respons op de veranderingen in het veiligheidslandschap en de veranderende en steeds complexer wordende bedreigingen, zoals het benutten van de digitale transformatie, nieuwe technologieën en de COVID-19-crisis door criminele groepen. In dit verband brengt de Commissie diverse recente politieke verklaringen van de Raad en het Europees Parlement in herinnering waarin specifiek wordt ingegaan op de noodzaak van een verdere versterking van het mandaat en de capaciteit van Europol ( 6 )

6. De EDPS is tijdens de opstellingsprocedure van het wetgevingsvoorstel diverse keren informeel geraadpleegd door de Commissie, laatstelijk op 25 november 2020; de EDPS heeft informele opmerkingen hierover meegedeeld. De EDPS is ingenomen met het feit dat in een vroeg stadium van de procedure om zijn standpunten is gevraagd en spoort de Commissie aan deze goede praktijk voort te zetten. Daarnaast heeft de EDPS op 9 oktober 2020 een deskundigenwebinar georganiseerd, “The Europol reform: the data protection perspective” (De hervorming van Europol: het perspectief van de gegevensbescherming), waarin speciale aandacht werd besteed aan de afstemming van de gegevensbeschermingsbepalingen in de Europol-verordening op de algemene regels voor de verwerking van operationele persoonsgegevens.

7. De EDPS is op 7 januari 2021 formeel geraadpleegd door de Commissie over het voorstel voor een verordening van het Europees Parlement en de Raad tot wijziging van Verordening (EU) 2016/794 en heeft het huidige advies uitgebracht in overeenstemming met artikel 42, lid 3, van Verordening (EU) 2018/1725.

2. CONCLUSIES

49. In het licht van het voorgaande formuleert de EDPS de volgende aanbevelingen:

Samenwerking met particuliere partijen

— Het verbod op systematische, massale of structurele doorgiften (artikel 26, lid 6, laatste alinea) dient van toepassing te zijn op alle uitwisselingen met particuliere partijen, ook binnen de EU.

— De verplichtingen van Europol in zijn rol als gegevensverwerker/dienstverlener, met name de verplichte elementen van artikel 87, lid 3, van Verordening (EU) 2018/1725, moeten worden vastgelegd in een bindende rechtshandeling krachtens het Unierecht of het lidstatelijke recht.

— Verder dient Europol over te gaan tot een beoordeling van de mogelijke veiligheidsrisico’s bij het openstellen van zijn infrastructuur voor het gebruik door particuliere partijen en, zo nodig, passende preventieve en beperkende maatregelen te treffen.

Verwerking van grote en complexe datasets, onder meer ter ondersteuning van specifieke strafrechtelijke onderzoeken

— De Europol-verordening dient voldoende waarborgen te bevatten om ervoor zorgen dat de afwijkingen krachtens artikel 18, lid 5 bis, en artikel 18 bis in werkelijkheid niet de regel worden.

— In de Europol-verordening moet nader worden omschreven in welke gevallen Europol gebruik mag maken van de afwijking op grond van artikel 18, lid 5 bis, respectievelijk wanneer het agentschap om een verlenging van de periode van ten hoogste één jaar mag verzoeken. Daarnaast zou de wisselwerking tussen de leden 5 bis en 6 van artikel 18 moeten worden verduidelijkt.

— In artikel 18 bis dienen nadere voorwaarden en grenzen te worden vastgesteld voor de gegevensverwerking door Europol ter ondersteuning van een specifiek strafrechtelijk onderzoek (zoals omvang, complexiteit, type of belang van het onderzoek), wanneer het gaat om gegevens die geen betrekking hebben op de in bijlage II opgenomen categorieën betrokkenen.

— De verwerking van persoonsgegevens volgens de afwijkingen in artikel 18, lid 5 bis, en artikel 18 bis dient in alle gevallen in overeenstemming te zijn met de algemene beginselen en verplichtingen van hoofdstuk IX van Verordening (EU) 2018/1725.

Gebruik van gegevens voor onderzoek en innovatie

— De reikwijdte van de onderzoeks- en innovatieactiviteiten dient beter te worden omschreven in de Europol-verordening en nader te worden verduidelijkt in een bindend document, dat vervolgens kan worden bijgewerkt.

Samenwerking van Europol met derde landen

— De betekenis van “categorieën van doorgiften” in artikel 25, lid 5, en het onderscheid met “reeks overdrachten” in lid 6 van hetzelfde artikel zouden in de Europol-verordening nader moeten worden omschreven en verduidelijkt.

Gegevensbeschermingskader dat van toepassing is op Europol

— De toezichtsbevoegdheden van de EDPS ten aanzien van Europol dienen geheel te worden afgestemd op de algemene bevoegdheden van de EDPS waarin artikel 58 van Verordening (EU) 2018/1725 voorziet.

— Het voorgestelde nieuwe doeleinde in artikel 37 bis dient te worden geschrapt en de beperking van de verwerking van persoonsgegevens door Europol wordt daarom rechtstreeks gereguleerd door het bepaalde in artikel 82 van Verordening (EU) 2018/1725.

Andere elementen van het voorstel

— De voorwaarden voor doorzending van gegevens aan andere organen van de Unie in artikel 24 van de Europol-verordening dienen te worden afgestemd op de algemene regels in artikel 71, lid 2, van Verordening (EU) 2018/1725, met name de evenredigheidseis.

— Het begrip “gezamenlijke operationele analyse” en de rechtsregels die hierbij van toepassing zijn op de verwerking van persoonsgegevens, moeten in de Europol-verordening duidelijk worden omschreven.

Brussel, 8 maart 2021. Wojciech Rafał WIEWIÓROWSKI

(1) Besluit 2009/371/JBZ van de Raad van 6 april 2009 tot oprichting van de Europese politiedienst (Europol) (PB L 121 van 15.5.2009, blz. 37).

(2) COM(2020) 796 final.

(3) COM(2020) 605 final van 24 juli 2020.

(4) https://ec.europa.eu/commission/presscorner/detail/nl/ip_20_2326

(5) Voorstel voor een verordening van het Europees Parlement en de Raad tot wijziging van Verordening (EU) 2018/1862 betreffende de instelling, de werking en het gebruik van het Schengeninformatiesysteem (SIS) op het gebied van politiële en justitiële samenwerking in strafzaken, met betrekking tot de invoering van signaleringen door Europol, COM(2020) 791 final.

(6) Zie met name de resolutie van het Europees Parlement van 10 juli 2020 over een alomvattend EU-beleid voor de preventie van witwassen en financieren van terrorisme (2020/2686(RSP), de conclusies van de Raad van 2 december 2019 over de samenwerking van Europol met particuliere partijen of de verklaring van de ministers van Binnenlandse Zaken van de EU (“Ten points on the Future of Europol”, Tien punten over de toekomst van Europol) van 21 oktober 2020.