SK Úradný vestník Európskej únie C 55/4

Zhrnutie stanoviska európskeho dozorného úradníka pre ochranu údajov k návrhu nariadenia o systéme ECRIS-TCN

(Úplné znenie tohto stanoviska je k dispozícii v anglickom, francúzskom a nemeckom jazyku na webovom sídle európskeho dozorného úradníka pre ochranu údajov www.edps.europa.eu)

(2018/C 55/05)

Súčasný systém ECRIS zriadený rámcovým rozhodnutím Rady č. 2009/315/SVV (1) podporuje výmenu informácií o odsúdeniach najmä v kontexte justičnej spolupráce. Systém ECRIS možno využiť aj na iné účely než na účely trestných konaní v súlade s vnútroštátnym právom žiadajúceho a dožiadaného členského štátu. Aj keď sa súčasný systém ECRIS môže využívať aj v prípade štátnych príslušníkov tretích krajín, nerobí tak účinným spôsobom. To je dôvodom na zlepšenia.

Účinnosť systému ECRIS v prípade štátnych príslušníkov tretích krajín bola zdôraznená v Európskom programe v oblasti bezpečnosti a stala sa legislatívnou prioritou na rok 2017. Komisia už v roku 2016 prijala návrh smernice, ktorou sa menia súčasné právne predpisy a zavádzajú sa zlepšenia pre štátnych príslušníkov tretích krajín decentralizovaným systémom prostredníctvom využívania indexového filtra s odtlačkami prstov uloženými v podobe hašovacích šablón. V rámci tohto riešenia sa vyskytli technické problémy. Návrhom nariadenia o systéme ECRIS-TCN prijatým 29. júna 2017 sa vytvára centrálna databáza EÚ, v ktorej sú uložené informácie o totožnosti štátnych príslušníkov tretích krajín vrátane odtlačkov prstov a podoby tváre, a sú určené na použitie v systéme pozitívnej/negatívnej lustrácie s cieľom určiť členský štát, ktorý má k dispozícii informácie odsúdení štátneho príslušníka tretej krajiny. Návrh ústredného systému ECRIS-TCN je okrem toho čiastočne zdôvodnený ako podpora budúcej interoperability rozsiahlych systémov EÚ v oblasti slobody, bezpečnosti a spravodlivosti.

Európsky dozorný úradník pre ochranu údajov (EDPS) sleduje spis od začiatku rokovaní o zriadení systému ECRIS. Už vydal dve stanoviská a uznal význam účinnej výmeny informácií pre štátnych príslušníkov EÚ, i pre štátnych príslušníkov tretích krajín. Toto stanovisko zostáva nezmenené.

Stanovisko rieši konkrétne otázky nastolené v návrhu nariadenia. V prípade potreby odkazuje na návrh smernice, keďže tieto dva návrhy by sa mali dopĺňať. EDPS nastoľuje štyri hlavné obavy a ďalšie dodatočné odporúčania, ktoré sú podrobne uvedené v stanovisku. Stručne povedané, nakoľko EÚ prijala systém ECRIS pred Lisabonskou zmluvou, EDPS odporúča, aby tieto nové návrhy smernice a nariadenia dostali systém na úroveň požadovanú článkom 16 ZFEÚ a Charty základných práv Európskej únie, a to vrátane splnenia požiadaviek týkajúcich sa zákonného obmedzenia základných práv.

Potreba centrálneho systému EÚ by mala byť predmetom posúdenia vplyvu, ktoré by malo zohľadniť aj vplyv sústredenia riadenia všetkých rozsiahlych databáz EÚ v oblasti slobody, bezpečnosti a spravodlivosti v jednej agentúre. Predpokladať interoperabilitu v tejto súvislosti by bolo predčasné, keďže tento koncept by mal najprv získať právny základ a mal by sa zabezpečiť jeho súlad so zásadami ochrany údajov.

Účely spracovania údajov iné než na účely trestných konaní, pre ktoré sú plánované systémy ECRIS a ECRIS-TCN, by mali byť jasne vymedzené v súlade so zásadou ochrany údajov týkajúcou sa obmedzenia účelu. To platí aj pre prístup orgánov Únie, ktorý by sa mal posúdiť aj vzhľadom na právo rovnakého zaobchádzania so štátnymi príslušníkmi EÚ a štátnymi príslušníkmi tretích krajín. Každý prístup zo strany orgánov EÚ sa musí preukázať ako nevyhnutný, primeraný, v súlade s účelom ECRIS a musí sa prísne obmedzovať na relevantné úlohy v rámci mandátu týchto orgánov EÚ.

Spracovanie predmetných osobných údajov, ktoré majú veľmi citlivú povahu, by mal byť výslovne podriadený dodržiavaniu zásady nevyhnutnosti: pozitívna lustrácia by mala byť možná len vtedy, ak požiadaný členský štát môže na základe jeho vnútroštátneho práva poskytnúť informácie o odsúdeniach na iné účely, než sú trestné konania. Rozsah spracovania odtlačkov prstov by sa mal obmedziť a malo by sa využívať len vtedy, keď totožnosť konkrétneho štátneho príslušníka tretej krajiny nie je možné zistiť iným spôsobom. Pokiaľ ide o podoby tváre, EDPS odporúča vykonať – alebo ak už k vykonaniu došlo, sprístupniť – posúdenie založené na dôkazoch, pokiaľ ide o potrebu zhromažďovať takéto údaje a využívať ich na účely overenia alebo aj identifikácie.

Návrh nariadenia nesprávne oprávňuje agentúru eu-LISA ako spracovateľa. EDPS odporúča navrhnúť agentúru eu-LISA a ústredné orgány členských štátov ako spoločných prevádzkovateľov. Okrem toho odporúča jasne uviesť v hmotnoprávnom ustanovení, že eu-LISA by mala niesť zodpovednosť za všetky porušenia tohto návrhu nariadenia a nariadenia Európskeho parlamentu a Rady (ES) č. 45/2001 (2).

1. ÚVOD A SÚVISLOSTI

1. Európska komisia 29. júna 2017 uverejnila návrh nariadenia, ktorým sa zriaďuje centralizovaný systém na identifikáciu členských štátov, v ktorých sú k dispozícii informácie o odsúdeniach štátnych príslušníkov tretích krajín a osôb bez štátnej príslušnosti (TCN), s cieľom doplniť a podporiť Európsky informačný systém registrov trestov (systém ECRIS-TCN), a ktorým sa mení nariadenie (EÚ) č. 1077/2011 (ďalej len „návrh nariadenia“) (3). Návrh dopĺňa analytický podporný dokument (4). Európska komisia v ten istý deň prijala prvú štatistickú správu o výmene informácií z registrov trestov medzi členskými štátmi prostredníctvom Európskeho informačného systému registrov (ECRIS), ako je stanovené v článku 7 rozhodnutia Rady 2009/316/SVV (5).

2. Cieľom návrhu nariadenia je zlepšiť výmenu informácií o štátnych príslušníkoch tretích krajín a občanoch EÚ, ktorí sú zároveň štátnymi príslušníkmi tretej krajiny. Základnou zásadou súčasného systému ECRIS je, že informácie o odsúdeniach týkajúce sa štátnych príslušníkov EÚ možno získať od členského štátu štátnej príslušnosti osoby, ktorý uchováva všetky záznamy o odsúdeniach za trestné činy bez ohľadu na to, v ktorej krajine EÚ boli vynesené. Pokiaľ ide o štátnych príslušníkov tretích krajín, každý členský štát uchováva záznamy o odsúdeniach za trestné činy, ktoré v ňom boli vynesené, a v dôsledku toho je potrebné poslať žiadosť o informácie všetkým členským štátom. Odpoveď na takéto plošné žiadosti podľa Komisie spôsobuje administratívnu záťaž a vysoké náklady, ak sa bude systém ECRIS využívať systematicky na získavanie informácií o štátnych príslušníkoch tretích krajín. Členské štáty sa zdráhajú systém využívať – podľa štatistickej správy sa 10 % žiadostí týka štátnych príslušníkov tretích krajín (6) – a trestné záznamy štátnych príslušníkov tretích krajín tak nie sú k dispozícii podľa plánu (7). Zvýšenie účinnosti systému ECRIS, pokiaľ ide o štátnych príslušníkov tretích krajín, urýchľuje Európsky program v oblasti bezpečnosti (8) a je jednou z legislatívnych priorít na rok 2017 (9).

3. Návrh nariadenia dopĺňa návrh smernice Komisie z 19. januára 2016, ktorou sa mení rámcové rozhodnutie Rady 2009/315/SVV, pokiaľ ide o výmenu informácií o štátnych príslušníkoch tretích krajín a pokiaľ ide o Európsky informačný systém registrov trestov (ECRIS), a ktorou sa nahrádza rozhodnutie Rady 2009/316/SVV (ďalej len „návrh smernice“).

4. Oba návrhy spoločne zriaďujú systém na určenie členských štátov, v ktorých sú k dispozícii informácie o odsúdeniach štátnych príslušníkov tretích krajín a občanov EÚ, ktorí sú zároveň štátnymi príslušníkmi tretej krajiny. Návrh smernice predpokladá centralizovaný systém, čiže nebude existovať jedna databáza EÚ, ale každý členský štát bude udržiavať súbor indexového filtra. Tento súbor by mal obsahovať informácie o štátnych príslušníkoch tretích krajín v šifrovanej podobe z trestných záznamov členských štátov a mal by sa distribuovať všetkým členským štátom. Členské štáty by následne porovnali ich údaje s týmto súborom s cieľom zistiť zhodu a na základe pozitívnej/negatívnej lustrácie by zistili, v ktorých členských štátoch sú k dispozícii informácie o odsúdeniach štátnych príslušníkov tretích krajín. Už v návrhu smernice sa predpokladalo spracovanie odtlačkov prstov, a využívanie odtlačkov bolo zvažované ako jedna z možností v posúdení vplyvu v roku 2016 v porovnaní s návrhom nariadenia, ktoré ich využívanie stanovuje ako povinné. Komisia vysvetľuje, že teroristické útoky urýchlili podporu systematického využívania odtlačkov prstov na účely identifikácie (10). Prostredníctvom štúdie uskutočniteľnosti po prijatí návrhu smernice sa zistilo, že v súčasnosti neexistuje žiadna vyspelá technológia na porovnanie jedného odtlačku prstov s viacerými s použitím hašovacích šablón.

5. Návrh nariadenia v reakcii na zistené technické problémy namiesto toho predpokladá centralizovaný systém, ktorý zahŕňa alfanumerické údaje, odtlačky prstov a podoby tváre štátnych príslušníkov tretích krajín. Alfanumerické údaje a odtlačky prstov sa môžu využívať na identifikáciu štátnych príslušníkov tretích krajín a podoby tváre spočiatku na účely overenia a po získaní vyspelej technológie aj na identifikáciu. „Ústredný orgán“ odsudzujúceho členského štátu vloží údaje do miestneho systému ECRIS-TCN, ktorý tieto údaje odošle do centrálneho systému EÚ. Žiadajúci členský štát môže na základe pozitívnej/negatívnej lustrácie identifikovať členský štát/členské štáty, kde sú k dispozícii informácie o odsúdeniach štátnych príslušníkov tretích krajín a následne si tieto informácie vyžiadať s použitím existujúceho systému ECRIS, zlepšeného podľa návrhu smernice. Ak sa odtlačky prstov využívajú na identifikáciu, mali by sa poskytnúť aj všetky zodpovedajúce alfanumerické údaje. Databáza EÚ je zverená agentúre eu-LISA a na tento účel návrh nariadenia mení nariadenie o agentúre eu-LISA (EÚ) č. 1077/2011.

6. Riešenie pre centralizovaný systém sa navyše dáva do súvislosti s plánovanou interoperabilitou všetkých informačných systémov pre bezpečnosť, riadenie hraníc a migrácie. V skutočnosti sa medzi dôvodmi na zvolenie centralizovaného systému zdôrazňuje interoperabilita, a nie zistené technické problémy (11). Systém ECRIS je zahrnutý aj v pláne Rady na zlepšenie výmeny informácií a riadenie a dosiahnutie interoperability (12). Interoperabilitu so systémom ECRIS predpokladá aj návrh systému ETIAS (13).

7. Oba návrhy sa po zosúladení majú dopĺňať. Kým návrh nariadenia by sa mal vzťahovať na otázky týkajúce sa centralizovaného systému, návrh smernice by mal regulovať otázky všeobecného charakteru týkajúce sa fungovania systému ECRIS pre štátnych príslušníkov tretích krajín a tiež občanov EÚ (14). Výbor Európskeho parlamentu LIBE prijal správu o návrhu smernice v roku 2016 (15), kým návrh správy týkajúci sa návrhu nariadenia bol prijatý 30. októbra 2017 (16). Rada najprv prerušila rokovania o návrhu smernice na žiadosť členských štátov Komisii v Rade 9. júna 2016, s cieľom predložiť návrh zriadenia centralizovaného systému (17) a v súčasnosti preskúmava oba návrhy súbežne (18).

8. Systém ECRIS-TCN je dôležitou iniciatívou, ktorá rieši informačné systémy v oblasti slobody, bezpečnosti a spravodlivosti. EDPS sleduje zložku od začiatku rokovaní o zriadení systému ECRIS. Prvé stanovisko k ECRIS bolo uverejnené v roku 2006 (19), ako bolo vtedy zriadené rámcovým rozhodnutím Rady 2009/315/SVV, a EDPS v roku 2016 v stanovisku č. 3/2016 riešil návrh smernice (20).

9. EDPS v oboch stanoviskách uznáva význam účinnej výmeny informácií získaných z trestných záznamov odsúdených osôb, ako aj potrebu systému, ktorý dokáže účinne fungovať v prípade štátnych príslušníkov tretích krajín, najmä v súvislosti s prijatím Európskeho programu v oblasti bezpečnosti (21). Toto stanovisko zostáva nezmenené.

10. Toto stanovisko vychádza zo stanoviska č. 3/2016 a riešia sa v ňom konkrétne otázky nastolené v návrhu nariadenia. V prípade potreby stanovisko odkazuje aj na návrh smernice. EDPS v oddiele 2 vzniesol svoje hlavné obavy a uviedol odporúčania týkajúce sa spôsobu ich riešenia. Ďalšie obavy a odporúčania pre ďalšie zlepšenie sú opísané v oddiele 3.

3. ZÁVER

66. Po dôkladnej analýze návrhu týkajúceho sa systému ECRIS-TCN predkladá EDPS tieto odporúčania:

67. EDPS odporúča, aby sa pri zriaďovaní novej centrálnej databázy EÚ a zmene súčasného práva týkajúceho sa systému ECRIS zohľadnili požiadavky Charty základných práv Európskej únie, pokiaľ ide o zákonné obmedzenie základných práv a poskytla sa dostatočná úroveň ochrany osobných údajov v súvislosti s návrhom nariadenia.

68. EDPS pripomína najmä potrebu poskytnutia objektívnych dôkazov, pokiaľ ide o nevyhnutnosť zriadiť centralizovaný systém na úrovni EÚ. V tejto súvislosti by sa mal najprv posúdiť vplyv interoperability na základné práva a mal by sa jasne vymedziť jej účel spolu s účelom systému ECRIS. Primerané posúdenie vplyvu v prípade základných práv na súkromie a ochranu údajov by malo byť pripojené k návrhu nariadenia s ohľadom na tento aspekt, ako aj v prípade sústredenia všetkých systémov v jednej agentúre.

69. Zriadenie novej centrálnej databázy EÚ a zmena súčasného práva týkajúceho sa systému ECRIS by mali byť v súlade s požiadavkami zákonného obmedzenia základných práv v súlade s ustálenou judikatúrou. Preto by spracovanie údajov na iné účely, než na účely trestných konaní, na ktoré boli systémy ECRIS a ECRIS-TCN vytvorené, malo byť posúdené z hľadiska nevyhnutnosti a proporcionality a malo by sa jasne vymedziť, v súlade so zásadou ochrany údajov týkajúcou sa obmedzenia účelu. Okrem toho by mal byť prístup orgánov Únie, medzi ktoré patrí Europol, v súlade s účelom súčasného systému ECRIS a právom na rovnaké zaobchádzanie so štátnymi príslušníkmi EÚ a štátnymi príslušníkmi tretích krajín, a mal by sa obmedzovať na úlohy v rámci ich mandátu, pre ktorý je prístup výslovne nevyhnutný. Akékoľvek zamýšľané rozšírenie súčasného účelu by sa malo vykonať prostredníctvom hmotnoprávneho ustanovenia (odôvodnenie nie je dostatočné).

70. Keďže systém ECRIS-TCN si vyžaduje spracovanie osobných údajov, ktorých povaha je veľmi citlivá, EDPS odporúča zahrnutie primeraných podmienok pre spracovanie osobných údajov v súlade so zásadou nevyhnutnosti: pozitívna lustrácia by mala byť možná len vtedy, ak požiadaný členský štát môže na základe jeho vnútroštátneho práva poskytnúť informácie o odsúdení na iné účely, než sú trestné konania. Rozsah spracovania odtlačkov prstov by sa mal obmedziť a malo by sa využívať len vtedy, keď nie je možné identifikovať štátneho príslušníka tretej krajiny iným spôsobom. Pokiaľ ide o podoby tváre, EDPS odporúča vykonanie alebo sprístupnenie posúdenia založeného na dôkazoch v súvislosti s potrebou registrácie takýchto údajov a ich využívanie na účely overenia a/alebo identifikácie.

71. Navyše by sa agentúra eu-LISA a ústredné orgány členských štátov mali určiť ako spoločných prevádzkovateľov, keďže nesú spoločnú zodpovednosť za vymedzenie účelu a prostriedkov plánovaných činností spracovania. Určenie agentúry eu-LISA ako spracovateľa by primerane neodrazilo status quo a nemalo by prínos pre zabezpečenie vysokej úrovne ochrany údajov ani pre legitímne záujmy členských štátov. Navyše by sa v návrhu o ECRIS-TCN mala jasne uviesť zodpovednosť agentúry eu-LISA za akékoľvek porušenie tohto návrhu nariadenia alebo nariadenia (ES) č. 45/2001:

72. Okrem hlavných už identifikovaných obáv sa odporúčania európskeho dozorného úradníka pre ochranu údajov v tomto stanovisku týkajú týchto aspektov návrhov: — odkazy na uplatniteľnosť smernice (EÚ) 2016/680 a nariadenia (ES) č. 45/2001, — práva dotknutých osôb, — štatistiky, centrálny register a monitorovanie, — bezpečnosť údajov, — úloha EDPS, — vnútroštátne dozorné orgány.

73. EDPS zostáva k dispozícii, aby poskytol ďalšie poradenstvo týkajúce sa návrhu nariadenia a smernice, aj v súvislosti so všetkými delegovanými alebo vykonávacími aktmi, ktoré môžu vyť prijaté podľa navrhovaných nástrojov, a v súvislosti so spracovaním osobných údajov.

V Bruseli 12. decembra 2017 Giovanni BUTTARELLI európsky dozorný úradník pre ochranu údajov

(1) Ú. v. EÚ L 93, 7.4.2009, s. 23.

(2) Ú. v. ES L 8, 12.1.2001, s. 1.

(3) COM(2017) 344 final.

(4) SWD(2017) 248 final.

(5) COM(2017) 341 final. K tejto správe je pripojený pracovný dokument útvarov Komisie, SWD(2017) 242 final.

(6) COM(2017) 341 final, s. 15.

(7) Dôvodová správa k návrhu, COM(2017) 344 final, s. 2.

(8) COM (2015) 185 final.

(9) Spoločné vyhlásenie o legislatívnych prioritách EÚ na rok 2017, https://ec.europa.eu/commission/sites/beta-political/files/joint-declaration-legislative-priorities-2017-jan2017_sk.pdf.

(10) Dôvodová správa k návrhu, COM(2017) 344 final, s. 3; Doplňujúci analytický podporný dokument, SWD(2017) 248 final, s. 3.

(11) Dôvodová správa k návrhu, COM(2017) 344 final, s. 3.

(12) Plán zlepšenia výmeny informácií a riadenia informácií vrátane interoperabilných riešení v oblasti spravodlivosti a vnútorných vecí, 9368/1/16, http://data.consilium.europa.eu/doc/document/ST-9368-2016-REV-1/sk/pdf; Prvá správa Rady z 8. novembra 2016, http://statewatch.org/news/2016/dec/eu-council-info-exhang-interop-sop-13554-REV-1-16.pdf; Druhá správa Rady z 11. mája 2017, http://www.statewatch.org/news/2017/may/eu-council-information-management-strategy-second-implementation-report-8433-17.pdf.

(13) COM(2016) 731 final.

(14) Dôvodová správa k návrhu, COM(2017) 344 final, s. 4.

(15) A8-0219/2016.

(16) PE 612.310v01-00.

(17) Výsledok zasadnutia Rady (SVV), 9979/16, http://data.consilium.europa.eu/doc/document/ST-9979-2016-INIT/en/pdf.

(18) Pozri program Coreper z 29. novembra 2017, http://data.consilium.europa.eu/doc/document/CM-5236-2017-INIT/en/pdf.

(19) Stanovisko európskeho dozorného úradníka pre ochranu údajov k návrhu rámcového rozhodnutia Rady o organizácii a obsahu výmeny informácií z registra trestov medzi členskými štátmi [KOM(2005) 690 konečné znenie] (Ú. v. EÚ C 313, 20.12.2006, s. 26) https://edps.europa.eu/sites/edp/files/publication/06-05-29_criminal_records_sk.pdf.

(20) Stanovisko EDPS č. 3/2016 k ECRIS, https://edps.europa.eu/sites/edp/files/publication/16-04-13_ecris_en.pdf.

(21) Stanovisko EDPS č. 3/2016 k ECRIS, s. 12 s ďalším odkazom 38 na stanovisko EDPS z roku 2006.