NL Publicatieblad van de Europese Unie C 386/6

Samenvatting van het advies van de Europese Toezichthouder voor gegevensbescherming over het voorstel voor een verordening betreffende eu-LISA

(De volledige tekst van dit advies is beschikbaar in het Engels, het Frans en het Duits op de EDPS-website: www.edps.europa.eu)

(2017/C 386/06)

Sinds zijn oprichting in 2011 werd het Europees Agentschap voor het operationeel beheer van grootschalige IT-systemen op het gebied van vrijheid, veiligheid en recht (hierna „eu-LISA” genoemd) gaandeweg belast met het operationeel beheer van het Schengeninformatiesysteem, het Visuminformatiesysteem en Eurodac. Toen dit agentschap vier jaar operationeel was, heeft de Europese Commissie een algemene evaluatie uitgevoerd. Als gevolg daarvan werd een voorstel voor een verordening betreffende het Europees Agentschap voor het operationeel beheer van grootschalige IT-systemen op het gebied van vrijheid, veiligheid en recht voorgelegd op 29 juni 2017.

Dit voorstel heeft voornamelijk tot doel eu-LISA te belasten met: i) het operationeel beheer van de bestaande en toekomstige grootschalige IT-systemen op het gebied van vrijheid, veiligheid en recht, ii) het ontwikkelen van bepaalde aspecten van interoperabiliteit van deze systemen, iii) het uitvoeren van onderzoeksactiviteiten en proefprojecten, en iv) het ontwikkelen, beheren en hosten van een gemeenschappelijk IT-systeem voor een groep lidstaten die op vrijwillige basis kiezen voor een gecentraliseerde oplossing voor het uitvoeren van technische aspecten uit de EU-wetgeving op het gebied van vrijheid, veiligheid en recht.

Het voorstel betreffende eu-LISA maakt deel uit van een breder proces waarmee het beheer van de buitengrenzen evenals de interne veiligheid in de Europese Unie wordt versterkt om zo aan specifieke veiligheidsproblemen tegemoet te komen. Er wordt momenteel over verschillende wetgevingsvoorstellen inzake grootschalige IT-systemen onderhandeld met het Europees Parlement en de Raad (het inreis-uitreissysteem, Eurodac, het Europees Systeem voor reisinformatie en -autorisatie, het Schengeninformatiesysteem en het Europees Strafregisterinformatiesysteem met betrekking tot onderdanen van derde landen). In deze wetgevingsvoorstellen wordt eu-LISA belast met het operationele beheer van de bovengenoemde grootschalige IT-systemen.

In zijn hoedanigheid van toezichthoudende autoriteit van eu-LISA beveelt de EDPS aan dat het voorstel betreffende eu-LISA vergezeld gaat van een gedetailleerde effectbeoordeling van het recht op persoonlijke levenssfeer en het recht op gegevensbescherming die zijn verankerd in het EU-Handvest van de grondrechten.

De EDPS wijst er tevens op dat er momenteel geen rechtskader bestaat voor de interoperabiliteit van grootschalige IT-systemen in de EU. Daarom kan eu-LISA deze maatregelen enkel ontwikkelen indien een dergelijk rechtskader wordt vastgesteld.

Tot slot is de EDPS bezorgd over de mogelijkheid dat eu-LISA een gemeenschappelijke gecentraliseerde oplossing voor grootschalige IT-systemen kan ontwikkelen en hosten, hoewel deze in beginsel gedecentraliseerd zijn. De architectuur van elk grootschalig IT-systeem in de EU wordt duidelijk omschreven in een specifieke rechtsgrondslag en kan niet worden gewijzigd uit hoofde van een delegatieovereenkomst tussen eu-LISA en een groep lidstaten. Een systeemarchitectuur kan enkel worden gewijzigd door de desbetreffende rechtsgrondslag te wijzigen, hetgeen moet worden voorafgegaan door een effectbeoordeling en haalbaarheidsonderzoek.

1. INLEIDING EN ACHTERGROND

1. Het Europees Agentschap voor het operationeel beheer van grootschalige IT-systemen op het gebied van vrijheid, veiligheid en recht (hierna „eu-LISA” genoemd) is opgericht bij Verordening (EU) nr. 1077/2011 van het Europees Parlement en de Raad (1). Krachtens deze verordening wordt eu-LISA belast met het operationele beheer op centraal niveau van het Schengeninformatiesysteem van de tweede generatie (hierna „SIS II” genoemd) (2) en het Visuminformatiesysteem (hierna „VIS” genoemd) (3). Verordening (EU) nr. 1077/2011 is gewijzigd bij Verordening (EU) nr. 603/2013 van het Europees Parlement en de Raad (4) uit hoofde waarvan eu-LISA ook wordt belast met het beheer van Eurodac.

2. In 2016, vier jaar na de oprichting van eu-LISA, heeft de Commissie een evaluatie (5) van het agentschap verricht. Hieruit is gebleken dat de effectiviteit en de doelmatigheid van de werking van eu-LISA moeten worden verbeterd. In deze context heeft de Commissie op 29 juni 2017 een voorstel ingediend voor een verordening betreffende het Europees Agentschap voor het operationeel beheer van grootschalige IT-systemen op het gebied van vrijheid, veiligheid en recht (6) (hierna „het voorstel betreffende eu-LISA” genoemd).

3. Daarnaast denkt de Commissie sinds 2016 verder na over de manier waarop het beheer en gebruik van gegevens, zowel voor grensbeheer als voor veiligheidsdoeleinden, effectiever en efficiënter kunnen worden gemaakt. Als gevolg hiervan heeft de Commissie een mededeling aangenomen over krachtigere en slimmere informatiesystemen voor grenzen en veiligheid (7), evenals het eindverslag van de deskundigenwerkgroep op hoog niveau voor informatiesystemen en interoperabiliteit (8) en het zevende voortgangsverslag over de totstandbrenging van een echte en doeltreffende Veiligheidsunie (9) met voorstellen over nieuwe taken en bijgevolg een nieuw mandaat voor eu-LISA.

4. De EDPS werd informeel geraadpleegd vóór de publicatie van het voorstel betreffende eu-LISA en heeft informele opmerkingen ingediend bij de Commissie, die daarmee slechts gedeeltelijk rekening heeft gehouden.

5. Het voorstel betreffende eu-LISA heeft tot doel het mandaat van het agentschap uit te breiden met: — het operationele beheer van de bestaande en toekomstige grootschalige IT-systemen op het gebied van vrijheid, veiligheid en recht; — het verzekeren van de kwaliteit van de gegevens in alle grootschalige IT-systemen die door eu-LISA worden beheerd; — het ontwikkelen van de nodige maatregelen om de interoperabiliteit van systemen mogelijk te maken; — het uitvoeren van onderzoeksactiviteiten voor het operationele beheer van grootschalige IT-systemen; — het uitvoeren van proefprojecten, conceptvalideringen en testactiviteiten; — het ondersteunen en adviseren van lidstaten en de Commissie inzake de verbinding van nationale systemen met het centrale systeem; — het ontwikkelen, beheren en hosten van een gemeenschappelijk IT-systeem voor een groep lidstaten die op een vrijwillige basis kiezen voor een gecentraliseerde oplossing voor het uitvoeren van technische aspecten uit de EU-wetgeving inzake gedecentraliseerde systemen op het gebied van vrijheid, veiligheid en recht.

6. De EDPS zal eerst de belangrijkste aanbevelingen met betrekking tot het voorstel betreffende eu-LISA bespreken. Deze betreffen de voornaamste vraagstukken die door de EDPS zijn vastgesteld en die tijdens het wetgevingsproces in elk geval moeten worden geregeld. De aanvullende aanbevelingen betreffen de punten waarvan de EDPS heeft vastgesteld dat zij verduidelijkingen, aanvullende informatie of geringe aanpassingen behoeven. Dit onderscheid moet de wetgever helpen om prioriteit te geven aan de voornaamste kwesties die in dit advies aan de orde worden gesteld.

4. CONCLUSIE

23. Na een grondige analyse van het voorstel betreffende eu-LISA doet de EDPS de volgende aanbevelingen: — een gedetailleerde effectbeoordeling uitvoeren of beschikbaar stellen om het effect van het voorstel betreffende eu-LISA op de grondrechten beter te kunnen beoordelen, vooral naar aanleiding van de concentratie van alle grootschalige IT-systemen van de EU in één agentschap en rekening houdend met de ruimere wettelijke context, met inbegrip van hangende wetgevingsvoorstellen over grootschalige IT-systemen; — de bestaande verwijzingen naar interoperabiliteit in het voorstel betreffende eu-LISA verwijderen; — de bepaling die een wijziging van de systeemarchitectuur op grond van een delegatieovereenkomst tussen eu-LISA en een groep lidstaten toelaat, verwijderen.

24. Naast de bovengenoemde belangrijkste zorgpunten hebben de aanbevelingen van de EDPS in dit advies betrekking op de volgende aspecten van het voorstel betreffende eu-LISA: — de door het systeem gegenereerde statistieken; — intern toezicht; — risicobeheer in verband met informatiebeveiliging; — taken van de EDPS en de functionaris voor gegevensbescherming.

25. De EDPS blijft beschikbaar voor verdere advisering over het voorstel betreffende eu-LISA, alsmede in verband met gedelegeerde en uitvoeringshandelingen die krachtens de voorgestelde verordening worden aangenomen en die mogelijk gevolgen hebben voor de verwerking van persoonsgegevens.

Brussel, 9 oktober 2017. Giovanni BUTTARELLI Europese Toezichthouder voor gegevensbescherming

(1) PB L 286 van 1.11.2011, blz. 1.

(2) Verordening (EG) nr. 1987/2006 van het Europees Parlement en de Raad van 20 december 2006 betreffende de instelling, de werking en het gebruik van het Schengeninformatiesysteem van de tweede generatie (SIS II) (PB L 381 van 28.12.2006, blz. 4), en Besluit 2007/533/JBZ van de Raad van 12 juni 2007 betreffende de instelling, de werking en het gebruik van het Schengeninformatiesysteem van de tweede generatie (SIS II) (PB L 205 van 7.8.2007, blz. 63).

(3) Verordening (EG) nr. 767/2008 van het Europees Parlement en de Raad van 9 juli 2008 betreffende het Visuminformatiesysteem (VIS) en de uitwisseling tussen de lidstaten van gegevens op het gebied van visa voor kort verblijf (VIS-verordening) (PB L 218 van 13.8.2008, blz. 60).

(4) Verordening (EU) nr. 603/2013 van het Europees Parlement en van de Raad van 26 juni 2013 betreffende de instelling van „Eurodac” voor de vergelijking van vingerafdrukken ten behoeve van een doeltreffende toepassing van Verordening (EU) nr. 604/2013 tot vaststelling van de criteria en instrumenten om te bepalen welke lidstaat verantwoordelijk is voor de behandeling van een verzoek om internationale bescherming dat door een onderdaan van een derde land of een staatloze bij een van de lidstaten wordt ingediend en betreffende verzoeken van rechtshandhavingsinstanties van de lidstaten en Europol om vergelijkingen van Eurodac-gegevens ten behoeve van rechtshandhaving, en tot wijziging van Verordening (EU) nr. 1077/2011 tot oprichting van een Europees Agentschap voor het operationeel beheer van grootschalige IT-systemen op het gebied van vrijheid, veiligheid en recht (PB L 180 van 29.6.2013, blz. 1).

(5) Verslag van de Commissie aan het Europees Parlement en de Raad over het functioneren van het Europees Agentschap voor het operationeel beheer van grootschalige IT-systemen op het gebied van vrijheid, veiligheid en recht (eu-LISA) (COM(2017) 346), 29.6.2017.

(6) Voorstel voor een verordening betreffende het Europees Agentschap voor het operationeel beheer van grootschalige IT-systemen op het gebied van vrijheid, veiligheid en recht, tot wijziging van Verordening (EG) nr. 1987/2006 en Besluit 2007/533/JBZ en tot intrekking van Verordening (EU) nr. 1077/2011 (COM(2017) 352 final), 29.6.2017.

(7) COM(2016) 205 final, 6.4.2016.

(8) http://ec.europa.eu/transparency/regexpert/index.cfm?do=groupDetail.groupDetailDoc&id=32600&no=1

(9) COM(2017) 261 final, 16.5.2017.