Samenvatting van het advies van de Europese Toezichthouder voor gegevensbescherming (EDPS) inzake het voorstel voor een verordening betreffende de versterking van de beveiliging van identiteitskaarten van burgers van de Unie en andere documenten

(De volledige tekst van dit advies is beschikbaar in het Duits, het Engels en het Frans op de EDPS-website: www.edps.europa.eu)

(2018/C 338/12)

In dit advies wordt het standpunt van de EDPS uiteengezet inzake het voorstel voor een verordening van het Europees Parlement en de Raad betreffende de versterking van de beveiliging van identiteitskaarten van burgers van de Unie en van verblijfsdocumenten afgegeven aan burgers van de Unie en hun familieleden die hun recht van vrij verkeer uitoefenen.

In dit verband merkt de EDPS op dat de Commissie er duidelijk voor gekozen heeft de aspecten van het voorstel betreffende vrij verkeer voorop te stellen en de doelstelling van beveiliging als een uitvloeisel daarvan te behandelen. De EDPS merkt op dat dit mogelijk gevolgen heeft voor de analyse van noodzaak en evenredigheid van de elementen van het voorstel.

De EDPS steunt de doelstelling van de Europese Commissie om de beveiligingsnormen te verbeteren die van toepassing zijn op identiteitskaarten en verblijfsdocumenten, hetgeen bijdraagt aan de veiligheid van de Unie als geheel. Tegelijkertijd overweegt de EDPS dat in dit kader de noodzaak van het verwerken van twee typen biometrische gegevens (gezichtsopname en vingerafdrukken) in het voorstel onvoldoende is gerechtvaardigd, en dat daarnaast de genoemde doelstellingen kunnen worden bereikt met een minder ingrijpende benadering.

In het kader van de EU-wetgeving en het gemoderniseerde Verdrag 108 worden biometrische gegevens als gevoelige gegevens beschouwd, waarop bijzondere bescherming van toepassing is. De EDPS benadrukt dat zowel gezichtsopnamen als vingerafdrukken die zouden worden verwerkt uit hoofde van het voorstel, duidelijk in deze categorie gevoelige gegevens zouden vallen.

Bovendien overweegt de EDPS dat het voorstel een brede impact zou hebben op zo’n 370 miljoen EU-burgers, en dat mogelijk 85 % van de bevolking van de EU onderworpen zou zijn aan het vereiste van verplichte afname van vingerafdrukken. Gezien dit brede toepassingsgebied en de grote gevoeligheid van de gegevens die worden verwerkt (gezichtsopnamen in combinatie met vingerafdrukken), moet de noodzakelijkheid nauwkeurig worden getoetst.

Daarbij erkent de EDPS dat, gezien de verschillen tussen identiteitskaarten en paspoorten, echtheidskenmerken die als passend zijn te beschouwen voor paspoorten, niet automatisch maar pas na reflectie en grondige analyse op identiteitskaarten kunnen worden ingevoerd.

Bovendien wenst de EDPS te benadrukken dat op onderhavige verwerking artikel 35, lid 10, van de algemene verordening gegevensbescherming (1) (hierna „AVG” genoemd) van toepassing zou zijn. In dit kader merkt de EDPS op dat de effectbeoordeling waarvan het voorstel vergezeld gaat, geen steun lijkt te bieden voor de beleidsoptie die door de Commissie is gekozen, d.w.z. het in de gegevens op identiteitskaarten (en verblijfsdocumenten) opnemen van zowel gezichtsopnamen als (twee) vingerafdrukken. De effectbeoordeling waarvan het voorstel vergezeld gaat, kan dan ook niet worden beschouwd als toereikend voor naleving van artikel 35, lid 10, van de AVG. Daarom beveelt de EDPS aan de noodzaak en evenredigheid van het verwerken van biometrische gegevens (gezichtsopname in combinatie met vingerafdrukken) in dit kader opnieuw te beoordelen.

Bovendien moet het voorstel uitdrukkelijk voorzien in waarborgen tegen het door lidstaten opzetten van nationale databases van vingerafdrukgegevens in het kader van uitvoering van het voorstel. Aan het voorstel moet een uitdrukkelijke bepaling worden toegevoegd dat de biometrische gegevens die in het kader van het voorstel worden verwerkt, onmiddellijk nadat ze op de chip zijn opgenomen moeten worden gewist en niet verder mogen worden verwerkt voor andere doeleinden dan die uitdrukkelijk in het voorstel zijn genoemd.

De EDPS begrijpt dat het gebruik van biometrische gegevens kan worden beschouwd als legitieme antifraudemaatregel, maar de noodzaak om twee typen biometrische gegevens op te slaan voor de in het voorstel bepaalde doeleinden wordt niet door het voorstel gerechtvaardigd. Het gebruik van slechts één biometrisch gegeven (bijv. alleen gezichtsopname) behoort ook tot de mogelijkheden.

De EDPS benadrukt bovendien dat hij er begrip voor heeft dat het opslaan van vingerafdrukken bevorderlijk is voor interoperabiliteit, maar dat het tegelijkertijd leidt tot een grotere hoeveelheid verwerkte biometrische gegevens en tot een hoger risico op identiteitsfraude wanneer er een inbreuk in verband met persoonsgegevens plaatsvindt. De EDPS beveelt dan ook aan de vingerafdrukgegevens die op de chip van het document worden opgeslagen, te beperken tot minutiae of patronen, een subset van de kenmerken die uit het beeld van de vingerafdruk worden geëxtraheerd.

Ten slotte beveelt de EDPS aan, met inachtneming van het brede toepassingsgebied en het potentiële effect van het voornoemde voorstel, de minimumleeftijd voor kinderen van wie vingerafdrukken worden verzameld uit hoofde van het voorstel, te stellen op veertien jaar, in overeenstemming met andere instrumenten van EU-recht.

1. INLEIDING EN ACHTERGROND

1. Op 17 april 2018 bracht de Europese Commissie (hierna „de Commissie” genoemd) het voorstel uit voor een verordening van het Europees Parlement en de Raad betreffende de versterking van de beveiliging van identiteitskaarten van burgers van de Unie en van verblijfsdocumenten afgegeven aan burgers van de Unie en hun familieleden die hun recht van vrij verkeer uitoefenen ( 2 ) , dat beoogt de beveiligingskenmerken van identiteitskaarten van EU-burgers en verblijfskaarten van niet-EU-familieleden te verbeteren (hierna „het voorstel” genoemd).

2. Dit voorstel voor een verordening is onderdeel van het actieplan van december 2016 „voor een krachtige Europese reactie op reisdocumentfraude” (hierna „het actieplan van december 2016” genoemd) ( 3 ) , waarin de Commissie maatregelen noemde ter bestrijding van het probleem van de beveiliging van documenten, met inbegrip van identiteitskaarten en verblijfsdocumenten, in het kader van recente terroristische aanslagen in Europa.

3. Identiteitskaarten spelen een belangrijke rol bij het identificeren van een persoon voor administratieve en commerciële doeleinden, hetgeen door de Commissie is benadrukt in haar mededeling die op 14 september 2016 is aangenomen: „Versterking van de veiligheid in een door mobiliteit gekenmerkte wereld door betere informatie-uitwisseling in de strijd tegen terrorisme en door sterkere buitengrenzen” ( 4 ) . De noodzaak tot verbetering van de veiligheid van deze documenten is eveneens uitgelicht in het verslag over het EU-burgerschap van 2017.

4. De EDPS heeft onder andere tot taak de diensten van de Commissie te adviseren bij het opstellen van nieuwe wetgevingsvoorstellen die gevolgen hebben voor gegevensbescherming.

5. De EDPS waardeert het dat hij reeds informeel door de Europese Commissie over het conceptvoorstel is geraadpleegd en de gelegenheid heeft gekregen om input te leveren over aspecten betreffende gegevensbescherming.

7. CONCLUSIES

De EDPS merkt op dat de Commissie er duidelijk voor gekozen heeft de aspecten van het voorstel betreffende vrij verkeer voorop te stellen en de doelstelling van beveiliging als een uitvloeisel daarvan te behandelen. De EDPS merkt op dat dit mogelijk gevolgen heeft voor de analyse van noodzaak en evenredigheid van de elementen van het voorstel.

De EDPS steunt de doelstelling van de Europese Commissie om de beveiligingsnormen te verbeteren die van toepassing zijn op identiteitskaarten en verblijfsdocumenten, hetgeen bijdraagt aan de veiligheid van de Unie als geheel. Tegelijkertijd overweegt de EDPS dat in dit kader de noodzaak van het verwerken van twee typen biometrische gegevens (gezichtsopname en vingerafdrukken) in het voorstel onvoldoende is gerechtvaardigd, en dat daarnaast de genoemde doelstellingen kunnen worden bereikt met een minder ingrijpende benadering.

In het kader van de EU-wetgeving en het gemoderniseerde Verdrag 108 worden biometrische gegevens als gevoelige gegevens beschouwd, waarop bijzondere bescherming van toepassing is. De EDPS benadrukt dat zowel gezichtsopnamen als vingerafdrukken die zouden worden verwerkt uit hoofde van het voorstel, duidelijk in deze categorie gevoelige gegevens zouden vallen.

Bovendien overweegt de EDPS dat het voorstel een brede impact zou hebben op zo’n 370 miljoen EU-burgers, en dat mogelijk 85 % van de bevolking van de EU onderworpen zou zijn aan het vereiste van verplichte afname van vingerafdrukken. Gezien dit brede toepassingsgebied en de grote gevoeligheid van de gegevens die worden verwerkt (gezichtsopnamen in combinatie met vingerafdrukken), moet de noodzakelijkheid nauwkeurig worden getoetst.

Daarbij erkent de EDPS dat, gezien de verschillen tussen identiteitskaarten en paspoorten, echtheidskenmerken die als passend zijn te beschouwen voor paspoorten, niet automatisch maar pas na reflectie en grondige analyse op identiteitskaarten kunnen worden ingevoerd.

Bovendien wenst de EDPS te benadrukken dat op onderhavige verwerking artikel 35, lid 10, van de AVG van toepassing zou zijn. In dit kader merkt de EDPS op dat de effectbeoordeling waarvan het voorstel vergezeld gaat, geen steun lijkt te bieden voor de beleidsoptie die door de Commissie is gekozen, d.w.z. het in de gegevens op identiteitskaarten (en verblijfsdocumenten) opnemen van zowel gezichtsopnamen als (twee) vingerafdrukken. De effectbeoordeling waarvan het voorstel vergezeld gaat, kan dan ook niet worden beschouwd als toereikend voor naleving van artikel 35, lid 10, van de AVG. Daarom beveelt de EDPS aan de noodzaak en evenredigheid van het verwerken van biometrische gegevens (gezichtsopname in combinatie met vingerafdrukken) in dit kader opnieuw te beoordelen.

Bovendien moet het voorstel uitdrukkelijk voorzien in waarborgen tegen het door lidstaten opzetten van nationale databases van vingerafdrukgegevens in het kader van uitvoering van het voorstel. Aan het voorstel moet een uitdrukkelijke bepaling worden toegevoegd dat de biometrische gegevens die in het kader van het voorstel worden verwerkt, onmiddellijk nadat ze op de chip zijn opgenomen moeten worden gewist en niet verder mogen worden verwerkt voor andere doeleinden dan die uitdrukkelijk in het voorstel zijn genoemd.

De EDPS begrijpt dat het gebruik van biometrische gegevens kan worden beschouwd als legitieme antifraudemaatregel, maar de noodzaak om twee typen biometrische gegevens op te slaan voor de in het voorstel bepaalde doeleinden wordt niet door het voorstel gerechtvaardigd. Het gebruik van slechts één biometrisch gegeven (bijv. alleen gezichtsopname) behoort ook tot de mogelijkheden.

De EDPS benadrukt bovendien dat hij er begrip voor heeft dat het opslaan van vingerafdrukken bevorderlijk is voor interoperabiliteit, maar dat het tegelijkertijd leidt tot een grotere hoeveelheid verwerkte biometrische gegevens en tot een hoger risico op identiteitsfraude wanneer er een inbreuk in verband met persoonsgegevens plaatsvindt. De EDPS beveelt dan ook aan de vingerafdrukgegevens die op de chip van het document worden opgeslagen, te beperken tot minutiae of patronen, een subset van de kenmerken die uit het beeld van de vingerafdruk worden geëxtraheerd.

Ten slotte beveelt de EDPS aan, met inachtneming van het brede toepassingsgebied en het potentiële effect van het voornoemde voorstel, de minimumleeftijd voor kinderen van wie vingerafdrukken worden verzameld uit hoofde van het voorstel, te stellen op veertien jaar, in overeenstemming met andere instrumenten van EU-recht.

Gedaan te Brussel, 10 augustus 2018. Giovanni BUTTARELLI Europese Toezichthouder voor gegevensbescherming

(1) Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB L 119 van 4.5.2016, blz. 1).

(2) Voorstel voor een verordening van het Europees Parlement en de Raad van 17 april 2018 betreffende de versterking van de beveiliging van identiteitskaarten van burgers van de Unie en van verblijfsdocumenten afgegeven aan burgers van de Unie en hun familieleden die hun recht van vrij verkeer uitoefenen, COM(2018) 212 final, 2018/0104 (COD).

(3) Mededeling van de Commissie aan het Europees Parlement en de Raad van 8 december 2016: Actieplan voor een krachtige Europese reactie op reisdocumentfraude, COM(2016) 790 final.

(4) Mededeling van de Commissie aan het Europees Parlement, de Europese Raad en de Raad „Versterking van de veiligheid in een door mobiliteit gekenmerkte wereld door betere informatie-uitwisseling in de strijd tegen terrorisme en door sterkere buitengrenzen”, COM(2016) 602 final.