De opstelling van voorstellen voor de herziening van de SARP’s op het gebied van PNR-gegevens werd toevertrouwd aan een deskundigengroep, de PNR-taskforce van de ICAO, die in maart 2019 door het luchtvervoercomité (Air Transport Committee, ATC) van de ICAO is opgericht. De werkzaamheden van de taskforce zijn in december 2019 afgerond en in januari 2020 door het Facilitation Panel van de ICAO geëvalueerd.

De opstelling van nieuwe internationale normen en aanbevolen praktijken (SARP’s) op het gebied van PNR is gebaseerd op Resolutie 2396 (2017) van de Veiligheidsraad van de Verenigde Naties, die op 21 december 2017 werd aangenomen. Volgens de resolutie moeten de VN-lidstaten de capaciteit ontwikkelen om, ter bevordering van de ICAO-normen en aanbevolen praktijken, persoonsgegevens van passagiers (PNR-gegevens) te verzamelen, te verwerken en te analyseren, en ervoor zorgen dat PNR-gegevens worden gebruikt door en gedeeld met al hun bevoegde nationale autoriteiten, met volledige eerbiediging van de mensenrechten en de fundamentele vrijheden. Ook roept de resolutie de ICAO op om in samenwerking met de ICAO-lidstaten een norm vast te stellen voor het verzamelen, gebruiken, verwerken en beschermen van PNR-gegevens.

De ICAO-raad roept ook de Algemene Vergadering bijeen, die het hoogste orgaan van de ICAO is. De Algemene Vergadering van de ICAO komt ten minste om de drie jaar bijeen en stelt de politieke koers van de organisatie voor de komende driejarige periode vast. De 40e zitting van de Algemene Vergadering van de ICAO vond plaats van 24 september tot en met 4 oktober 2019 in Montreal, Canada.

Tot de verplichte taken van de ICAO-raad, zoals vermeld in artikel 54 van het Verdrag van Chicago, behoort de vaststelling van internationale normen en aanbevolen praktijken (ook wel SARP’s genoemd); deze worden vastgelegd in bijlagen bij het Verdrag van Chicago. Normen zijn specificaties waarvoor een uniforme toepassing noodzakelijk wordt geacht, terwijl aanbevolen praktijken niet verplicht zijn.

De ICAO-raad is een permanent orgaan van de ICAO. In deze raad zijn 36 lidstaten van de ICAO vertegenwoordigd, die door de Algemene Vergadering van de ICAO worden verkozen voor een periode van drie jaar. Voor de periode 2019-2022 zijn zeven EU-lidstaten vertegenwoordigd in de ICAO-raad.

Het Verdrag van Chicago reguleert het internationale luchtvervoer. Het is op 4 april 1947 in werking getreden en voorzag in de oprichting van de Internationale Burgerluchtvaartorganisatie ofwel ICAO.

Op 23 juni 2020 heeft de ICAO-raad tijdens de tiende vergadering van zijn 220e zitting amendement 28 op bijlage 9 bij het Verdrag van Chicago goedgekeurd. Zoals hierboven vermeld, bevat bijlage 9 internationale normen inzake facilitering en heeft hoofdstuk 9, afdeling D, van die bijlage specifiek betrekking op PNR-gegevens.

Op 17 juli 2020 heeft de ICAO haar lidstaten via een andere brief (EC 6/3-20/71) in kennis gesteld van de goedkeuring van amendement 28. Dit amendement zou op 30 oktober 2020 van kracht worden, tenzij een meerderheid van de lidstaten vóór die datum overeenkomstig artikel 90 van het Verdrag van Chicago zijn afkeuring kenbaar had gemaakt. Het amendement zal met ingang van 28 februari 2021 van toepassing zijn. De ICAO-lidstaten kunnen echter uiterlijk op 30 januari 2020 kennisgeven van verschillen tussen hun nationale voorschriften en praktijken en die welke zijn vastgelegd in de bij amendement 28 vastgestelde normen, indien zij van mening zijn dat er van dergelijke verschillen sprake is. Een dergelijke kennisgeving moet worden ingediend overeenkomstig artikel 38 van het Verdrag van Chicago en via het toepasselijke mechanisme voor het registreren van verschillen.

2.4.De PNR-aspecten van amendement 28 op bijlage 9

Indien van kracht, vervangt amendement 28 de bestaande normen 9.22-9.22.1 en aanbevolen praktijk 9.23 door de nieuwe SARP’s 9.23-9.38. Deze SARP’s zijn aanzienlijk gedetailleerder dan het bestaande kader en hebben onder meer betrekking op aspecten die verband houden met doelbinding, toezicht, de rechten van betrokkenen, de methode voor doorgifte, gegevensbewaring, de verwerking van gevoelige gegevens en de relatie tussen de staten die partij zijn bij het Verdrag van Chicago op het gebied van de doorgifte van PNR-gegevens. Sommige van de niet-bindende richtsnoeren in ICAO-document 9944 met richtsnoeren inzake PNR-gegevens zijn aangepast aan de nieuwe normen.

Norm 9.23 schrijft voor dat de verdragsluitende staten de capaciteit ontwikkelen om PNR-gegevens te verzamelen, te gebruiken, te verwerken en te beschermen en om de regels voor de praktische verwezenlijking van deze capaciteit in overeenstemming met de SARP’s om te zetten in het juiste nationaal wettelijk en administratief kader. Het verplichte karakter van de ontwikkeling van PNR-verwerkingscapaciteiten is in overeenstemming met Resolutie 2396 (2017) van de Veiligheidsraad van de Verenigde Naties.

Norm 9.24 verplicht de verdragsluitende staten om, met volledige eerbiediging van de mensenrechten en de fundamentele vrijheden, duidelijk aan te geven welke PNR-gegevens bij hun operaties worden gebruikt en de doeleinden vast te stellen waarvoor PNR-gegevens door de autoriteiten mogen worden gebruikt. Dergelijke doeleinden mogen niet verder gaan dan nodig is en omvatten met name de grensbeveiliging ter bestrijding van terrorisme en ernstige criminaliteit. Bovendien moet de openbaarmaking van PNR-gegevens binnen de ontvangende lidstaat of in andere lidstaten worden beperkt tot de bevoegde autoriteiten die relevante functies vervullen in verband met de doeleinden waarvoor PNR-gegevens worden verwerkt. Deze autoriteiten moeten ook zorgen voor bescherming die vergelijkbaar is met die welke door de openbaar makende autoriteit wordt geboden.

Norm 9.25 stelt eisen vast met betrekking tot de beveiliging van gegevens en de rechten van personen in verband met de verwerking van hun PNR-gegevens, onder meer wat betreft non-discriminatie, informatieverstrekking, administratief en gerechtelijk beroep, toegang tot gegevens en de mogelijkheid om te verzoeken om correcties, schrappingen of aantekeningen. Aanbevolen praktijk 26 moedigt lidstaten aan om personen in kennis te stellen van de verwerking van hun PNR-gegevens en van hun rechten en rechtsmiddelen.

Norm 9.27 verplicht de verdragsluitende staten ertoe om de geautomatiseerde verwerking van PNR-gegevens te baseren op objectieve, nauwkeurige en betrouwbare criteria die daadwerkelijk het bestaan van een risico aantonen, zonder dat dit leidt tot onrechtmatige differentiatie, en om niet uitsluitend op basis van de geautomatiseerde verwerking van PNR-gegevens beslissingen te nemen die aanzienlijke nadelige gevolgen hebben voor de juridische belangen van de betrokkene.

Op grond van norm 9.28 moeten de lidstaten een (of meer) bevoegde nationale autoriteiten aanwijzen die bevoegd zijn om onafhankelijk toezicht uit te oefenen op de bescherming van PNR-gegevens en te bepalen of PNR-gegevens met volledige eerbiediging van de mensenrechten en de fundamentele vrijheden worden verzameld, gebruikt, verwerkt en beschermd.

Norm 9.29 belet lidstaten om van luchtvaartmaatschappijen te eisen dat zij PNR-gegevens verzamelen die niet vereist zijn in het kader van hun normale bedrijfsprocedures, of deze gegevens vóór de doorgifte filteren. Deze norm verbiedt ook de verwerking van gevoelige gegevens – dat wil zeggen PNR-gegevens waaruit de raciale of etnische afkomst, de politieke opvattingen, de godsdienstige of levensbeschouwelijke overtuiging of het lidmaatschap van een vakvereniging van een persoon blijken, of gegevens over diens gezondheid, seksueel gedrag of seksuele geaardheid – behalve in uitzonderlijke en dringende omstandigheden ter bescherming van de vitale belangen van de betrokkene of van een andere natuurlijke persoon. Indien dergelijke gegevens worden doorgegeven, moeten de lidstaten deze zo spoedig mogelijk wissen.

Norm 9.30 bevat verplichtingen met betrekking tot het bewaren van gegevens en de anonimisering en het terugdraaien van de anonimisering van PNR-gegevens, waarbij lidstaten ertoe worden gehouden de gegevens slechts te bewaren voor een in hun wettelijk en administratief kader vastgestelde periode, die gelet op de doeleinden waarvoor de PNR-gegevens worden gebruikt, noodzakelijk en evenredig moet zijn, en om deze gegevens na een vastgestelde termijn af te schermen. Na afscherming mag het terugdraaien van de anonimisering alleen mogelijk zijn wanneer de gegevens gebruikt gaan worden in verband met een lopende zaak, actuele bedreiging of actueel risico in verband met de doeleinden waarvoor PNR-gegevens kunnen worden verwerkt. Aanbevolen praktijk 9.32 stelt een maximale bewaringstermijn van vijf jaar voor en aanbevolen praktijk 9.33 stelt voor om PNR-gegevens binnen zes maanden en uiterlijk twee jaar nadat ze door luchtvaartmaatschappijen zijn doorgegeven, te anonimiseren.

Norm 9.33 bepaalt dat PNR-gegevens in de regel moeten worden doorgegeven via de push-methode, die minder inbreuk op de privacy maakt. Deze norm beoogt ook de lasten voor luchtvaartmaatschappijen zoveel mogelijk te reduceren door de mogelijkheid voor lidstaten te beperken om in bepaalde omstandigheden boetes op te leggen voor fouten bij doorgifte en door hen te verplichten het aantal doorgiften via de push-methode te beperken.

Norm 9.34, onder a), vereist dat de verdragsluitende staten de doorgifte van PNR-gegevens naar een andere verdragsluitende staat die aan de nieuwe normen voldoet, niet belemmeren of verhinderen. Tegelijkertijd bepaalt norm 9.34, onder b), dat de bij de ICAO aangesloten staten de mogelijkheid behouden om een hoger niveau van bescherming van PNR-gegevens in te voeren of te handhaven, overeenkomstig hun nationale rechtskader, en om aanvullende regelingen te treffen met andere staten, met name om te voldoen aan hun interne wettelijke vereisten, of meer gedetailleerde bepalingen inzake de verwerking en doorgifte van PNR-gegevens vast te stellen, mits deze maatregelen niet anderszins in strijd zijn met de normen.

Volgens norm 9.35 kunnen verdragsluitende staten op verzoek van een andere staat worden verzocht aan te tonen dat zij aan de nieuwe normen voldoen. Wanneer verdragsluitende staten bepalen dat zij de doorgifte van PNR-gegevens moeten beletten of een luchtvaartmaatschappij een boete moeten opleggen, verplicht norm 9.36 hen dit op transparante wijze te doen en met de bedoeling de situatie op te lossen.

De aanbevolen praktijk 9.37 moedigt lidstaten aan om andere staten waarmee zij luchtverbindingen onderhouden, in kennis te stellen van belangrijke wijzigingen in hun PNR-programma, onder meer wat betreft de naleving van de SARP’s. Aanbevolen praktijk 9.38 stelt voor dat luchtvaartmaatschappijen door de lidstaten niet worden gestraft wanneer zij proberen geschillen over de doorgifte van PNR-gegevens op te lossen.

2.5.Het toepasselijk EU-rechtskader

Het verwerken van PNR-gegevens is zowel een essentieel instrument waar het gaat om de gemeenschappelijke reactie van de EU op terrorisme en ernstige criminaliteit als een bouwsteen van de veiligheidsunie. Het identificeren en traceren van verdachte reispatronen door het verwerken van PNR-gegevens om bewijsmateriaal te verzamelen en, indien nodig, medeplichtigen van criminelen op te sporen en criminele netwerken op te rollen is van essentieel belang gebleken voor het voorkomen, opsporen, onderzoeken en vervolgen van terroristische en ernstige strafbare feiten. Tegelijkertijd vormt de verwerking van PNR-gegevens een beperking van het recht op privacy en op bescherming van persoonsgegevens, zoals verankerd in de artikelen 7 en 8 van het Handvest van de grondrechten van de Europese Unie (hierna: “Handvest” genoemd). Overeenkomstig artikel 52, lid 1, van het Handvest moet een dergelijke beperking daarom bij wet worden gesteld, de wezenlijke inhoud van de betrokken rechten eerbiedigen en mag deze, met inachtneming van het evenredigheidsbeginsel, slechts worden toegestaan voor zover zij noodzakelijk is en daadwerkelijk beantwoordt aan een doelstelling van algemeen belang van de Unie of aan de eisen van de bescherming van de rechten en vrijheden van anderen. Een van die doelstellingen van algemeen belang is de bescherming van burgers tegen ernstige bedreigingen van de veiligheid.

Op 27 april 2016 hebben het Europees Parlement en de Raad Richtlijn (EU) 2016/681 over het gebruik van persoonsgegevens van passagiers (PNR-gegevens) voor het voorkomen, opsporen, onderzoeken en vervolgen van terroristische misdrijven en ernstige criminaliteit vastgesteld. Deze richtlijn stelt de nationale autoriteiten in staat luchtvaartmaatschappijen te verplichten PNR-gegevens door te geven, waarbij het recht van personen op privacy en gegevensbescherming wordt gewaarborgd. De lidstaten moesten de richtlijn uiterlijk op 25 mei 2018 in nationaal recht hebben omgezet. Uit de evaluatie van de eerste twee jaar van toepassing van de richtlijn in 2020 is gebleken dat de verwerking van PNR-gegevens tastbare resultaten heeft opgeleverd in de strijd tegen terrorisme en ernstige criminaliteit.

Eveneens in april 2016 hebben het Europees Parlement en de Raad nieuwe EU-regels inzake gegevensbescherming aangenomen: Verordening (EU) 2016/679 (de algemene verordening gegevensbescherming of AVG) en Richtlijn (EU) 2016/680 (inzake gegevensbescherming in de rechtshandhavingssector). De AVG bevat onder meer regels voor de internationale doorgifte van persoonsgegevens die van toepassing zijn op de doorgifte van PNR-gegevens door luchtvaartmaatschappijen. Richtlijn (EU) 2016/680 regelt de verwerking van persoonsgegevens door rechtshandhavingsinstanties en vervolledigt de regeling van Richtlijn (EU) 2016/681 wat betreft aspecten als de rechten van betrokkenen en de ad-hocdoorgifte van gegevens aan rechtshandhavinginstanties in derde landen.

Er zijn momenteel twee internationale overeenkomsten van kracht tussen de EU en derde landen (namelijk Australië en de Verenigde Staten) over de verwerking en doorgifte van PNR-gegevens. Op 26 juli 2017 heeft het Hof van Justitie van de Europese Unie een advies uitgebracht (hierna: “advies 1/15” genoemd) over de voorgenomen overeenkomst tussen de EU en Canada inzake de doorgifte en verwerking van PNR-gegevens, die op 25 juni 2014 is ondertekend. Het Hof oordeelde dat de overeenkomst in zijn beoogde vorm niet kon worden gesloten, omdat een aantal bepalingen ervan niet verenigbaar was met de door het Handvest beschermde grondrechten op eerbiediging van het privéleven en bescherming van persoonsgegevens. Het Hof heeft met name de relevante bepalingen van het Handvest aldus uitgelegd dat zij specifieke waarborgen vereisen met betrekking tot het toezicht door een onafhankelijke autoriteit, de verwerking van gevoelige gegevens, de geautomatiseerde verwerking van PNR-gegevens en non-discriminatie, de doeleinden waarvoor PNR-gegevens mogen worden verwerkt, en de bewaring, het gebruik, de vrijgave en de verdere doorgifte van PNR-gegevens. Nadat de Raad in december 2017 onderhandelingsrichtsnoeren had vastgesteld, is de Commissie in juni 2018 begonnen met nieuwe PNR-onderhandelingen met Canada.