C 338/22

Zhrnutie stanoviska európskeho dozorného úradníka pre ochranu údajov k návrhu nariadenia o posilnení zabezpečenia preukazov totožnosti občanov Únie a iných dokladov

(Úplné znenie tohto stanoviska je k dispozícii v anglickom, francúzskom a nemeckom jazyku na webovom sídle európskeho dozorného úradníka pre ochranu údajov www.edps.europa.eu)

(2018/C 338/12)

V stanovisku sa uvádza pozícia EDPS o návrhu nariadenia Európskeho parlamentu a Rady o posilnení zabezpečenia preukazov totožnosti občanov Únie a dokladov o pobyte vydávaných občanom Únie a ich rodinným príslušníkom vykonávajúcim svoje právo na voľný pohyb.

EDPS v tejto súvislosti konštatuje, že Komisia sa jasne rozhodla uprednostniť aspekty voľného pohybu v návrhu a pristupovať k cieľu týkajúcemu sa bezpečnosti ako k súvisiacemu dôsledku. EDPS poznamenáva, že to môže mať vplyv na analýzu nevyhnutnosti a proporcionality prvkov návrhu.

EDPS podporuje cieľ Európskej komisie zlepšiť bezpečnostné normy platné pre preukazy totožnosti a doklady o pobyte, teda prispievať k bezpečnosti Únie ako celku. Zároveň sa EDPS domnieva, že v návrhu nie je v tejto súvislosti dostatočne odôvodnená potreba spracúvať dva druhy biometrických údajov (podoba tváre a odtlačky prstov), pričom uvedené účely možno dosiahnuť menej narušujúcim spôsobom.

V právnom rámci EÚ, ako aj v rámci modernizovaného Dohovoru č. 108 o ochrane jednotlivcov pri automatizovanom spracovaní osobných údajov sa biometrické údaje považujú za citlivé údaje a podliehajú osobitnej ochrane. EDPS zdôrazňuje, že podoby tváre, ako aj odtlačky prstov, ktoré sa majú spracúvať podľa tohto návrhu, jednoznačne patria do tejto kategórie citlivých údajov.

EDPS sa ďalej domnieva, že návrh bude mať rozsiahly vplyv až na 370 miliónov občanov EÚ, takže potenciálne bude povinnej požiadavke týkajúcej sa odtlačkov prstov podliehať 85 % populácie EÚ. Tento široký rozsah pôsobnosti v kombinácii so spracúvaním veľmi citlivých údajov (podoby tváre v kombinácii s odtlačkami prstov) si vyžaduje starostlivú kontrolu podľa prísnej skúšky nevyhnutnosti.

EDPS ďalej uznáva, že so zreteľom na rozdiely medzi preukazmi totožnosti a pasmi nemôže byť zavedenie bezpečnostných prvkov, ktoré možno považovať za vhodné pre pasy, pre preukazy totožnosti automatické, ale vyžaduje si zváženie a dôkladnú analýzu.

EDPS chce okrem toho zdôrazniť, že článok 35 ods. 10 všeobecného nariadenia o ochrane údajov (ďalej len „GDPR“) (1) sa bude vzťahovať na toto spracovanie. V tejto súvislosti poznamenáva, že sa nezdá, že by posúdenie vplyvu, ktoré je priložené k návrhu, podporovalo možnosť politiky, ktorú zvolila Komisia, t. j. povinné začlenenie podoby tváre a (dvoch) odtlačkov prstov na preukazy totožnosti (a doklady o pobyte). Posúdenie vplyvu, ktoré je priložené k návrhu, preto nemožno považovať za dostatočné na účely dodržania článku 35 ods. 10 GDPR. EDPS preto v tejto súvislosti odporúča opätovne posúdiť nevyhnutnosť a proporcionalitu spracovania biometrických údajov (podoba tváre v kombinácii s odtlačkami prstov).

V návrhu by mali byť ďalej výslovne stanovené záruky vo vzťahu k členským štátom, ktoré v rámci vykonávania tohto návrhu zriaďujú vnútroštátne daktyloskopické databázy. Do návrhu by sa malo pridať ustanovenie, v ktorom sa výslovne uvedie, že biometrické údaje spracúvané v tejto súvislosti sa musia vymazať okamžite po ich začlenení na čip a nesmú sa ďalej spracúvať na účely iné než tie, ktoré sú výslovne uvedené v návrhu.

EDPS chápe, že používanie biometrických údajov by sa mohlo považovať za legitímne opatrenie na boj proti podvodom, návrh však neodôvodňuje potrebu uchovávať dva druhy biometrických údajov na účely v ňom stanovené. Jedna možnosť, ktorú treba zvážiť, je obmedzenie používanej biometrie na jeden druh (napr. len podoba tváre).

EDPS by chcel ešte zdôrazniť, že chápe, že uchovávanie podôb odtlačkov prstov zlepšuje interoperabilitu, zároveň však zvyšuje objem spracúvaných biometrických údajov a riziko zneužitia identity dvojníkom v prípade porušenia ochrany osobných údajov. Preto odporúča obmedziť údaje o odtlačkoch prstov uchovávané na čipe dokumentu na detail alebo vzory, podsúbor charakteristík získaných z podoby odtlačkov prstov.

Napokon so zreteľom na uvedený rozsiahly a možný vplyv návrhu EDPS odporúča stanoviť vekový limit na získavanie odtlačkov prstov detí na základe návrhu na 14 rokov v súlade s ostatnými nástrojmi práva Únie.

1. ÚVOD A SÚVISLOSTI

1. Európska komisia (ďalej len „Komisia“) vydala 17. apríla 2018 návrh nariadenia Európskeho parlamentu a Rady o posilnení zabezpečenia preukazov totožnosti občanov Únie a dokladov o pobyte vydávaných občanom Únie a ich rodinným príslušníkom vykonávajúcim svoje právo na voľný pohyb ( 2 ) , ktorého cieľom je zlepšiť bezpečnostné prvky preukazov totožnosti občanov EÚ a pobytových preukazov rodinných príslušníkov z krajín mimo EÚ (ďalej len „návrh“).

2. na posilnenie európskej reakcie na podvody týkajúce sa cestovných dokladov “ (ďalej len „akčný plán z decembra 2016“) Tento návrh nariadenia je súčasťou akčného plánu z decembra 2016 „“ (ďalej len „akčný plán z decembra 2016“) ( 3 ) , v ktorom Komisia v súvislosti s nedávnymi teroristickými útokmi v Európe určila opatrenia na riešenie otázky bezpečnosti dokladov vrátane preukazov totožnosti a dokladov o pobyte.

3. Posilnenie bezpečnosti vo svete mobility: lepšia výmena informácií v boji proti terorizmu a lepšie chránené vonkajšie hranice Preukazy totožnosti zohrávajú dôležitú úlohu pri zaisťovaní identifikácie osoby na administratívne a komerčné účely, čo Komisia vyzdvihla vo svojom oznámení prijatom 14. septembra 2016 s názvom ( 4 ) . Potreba zlepšiť bezpečnosť týchto dokumentov bola zdôraznená aj v správe o občianstve EÚ z roku 2017.

4. Súčasťou misie EDPS je radiť útvarom Komisie pri navrhovaní nových legislatívnych návrhov, ktoré majú vplyv na ochranu údajov.

5. EDPS víta, že s ním Európska komisia už vykonala neformálne konzultácie o návrhu a dostal možnosť poskytnúť svoj príspevok k aspektom ochrany údajov.

7. ZÁVERY

EDPS konštatuje, že Komisia sa jasne rozhodla uprednostniť aspekty voľného pohybu v návrhu a pristupovať k cieľu týkajúcemu sa bezpečnosti ako k súvisiacemu dôsledku. EDPS poznamenáva, že to môže mať vplyv na analýzu nevyhnutnosti a proporcionality prvkov návrhu.

EDPS podporuje cieľ Európskej komisie zlepšiť bezpečnostné normy platné pre preukazy totožnosti a doklady o pobyte, teda prispievať k bezpečnosti Únie ako celku. Zároveň sa EDPS domnieva, že v návrhu nie je v tejto súvislosti dostatočne odôvodnená potreba spracúvať dva druhy biometrických údajov (podoba tváre a odtlačky prstov), pričom uvedené účely možno dosiahnuť menej narušujúcim spôsobom.

V právnom rámci EÚ, ako aj v rámci modernizovaného Dohovoru č. 108 o ochrane jednotlivcov pri automatizovanom spracovaní osobných údajov sa biometrické údaje považujú za citlivé údaje a podliehajú osobitnej ochrane. EDPS zdôrazňuje, že podoby tváre, ako aj odtlačky prstov, ktoré sa majú spracúvať podľa tohto návrhu, jednoznačne patria do tejto kategórie citlivých údajov.

EDPS sa ďalej domnieva, že návrh bude mať rozsiahly vplyv až na 370 miliónov občanov EÚ, takže potenciálne bude povinnej požiadavke týkajúcej sa odtlačkov prstov podliehať 85 % populácie EÚ. Tento široký rozsah pôsobnosti v kombinácii so spracúvaním veľmi citlivých údajov (podoby tváre v kombinácii s odtlačkami prstov) si vyžaduje starostlivú kontrolu podľa prísnej skúšky nevyhnutnosti.

EDPS ďalej uznáva, že so zreteľom na rozdiely medzi preukazmi totožnosti a pasmi nemôže byť zavedenie bezpečnostných prvkov, ktoré možno považovať za vhodné pre pasy, pre preukazy totožnosti automatické, ale vyžaduje si zváženie a dôkladnú analýzu.

EDPS chce okrem toho zdôrazniť, že článok 35 ods. 10 GDPR sa bude vzťahovať na toto spracovanie. V tejto súvislosti poznamenáva, že sa nezdá, že by posúdenie vplyvu, ktoré je priložené k návrhu, podporovalo možnosť politiky, ktorú zvolila Komisia, t. j. povinné začlenenie podoby tváre a (dvoch) odtlačkov prstov na preukazy totožnosti (a doklady o pobyte). Posúdenie vplyvu, ktoré je priložené k návrhu, preto nemožno považovať za dostatočné na účely dodržania článku 35 ods. 10 GDPR. EDPS preto v tejto súvislosti odporúča opätovne posúdiť nevyhnutnosť a proporcionalitu spracovania biometrických údajov (podoba tváre v kombinácii s odtlačkami prstov).

V návrhu by mali byť ďalej výslovne stanovené záruky vo vzťahu k členským štátom, ktoré v rámci vykonávania tohto návrhu zriaďujú vnútroštátne daktyloskopické databázy. Do návrhu by sa malo pridať ustanovenie, v ktorom sa výslovne uvedie, že biometrické údaje spracúvané v tejto súvislosti sa musia vymazať okamžite po ich začlenení na čip a nesmú sa ďalej spracúvať na účely iné než tie, ktoré sú výslovne uvedené v návrhu.

EDPS chápe, že používanie biometrických údajov by sa mohlo považovať za legitímne opatrenie na boj proti podvodom, návrh však neodôvodňuje potrebu uchovávať dva druhy biometrických údajov na účely v ňom stanovené. Jedna možnosť, ktorú treba zvážiť, je obmedzenie používanej biometrie na jeden druh (napr. len podoba tváre).

EDPS by chcel ešte zdôrazniť, že chápe, že uchovávanie podôb odtlačkov prstov zlepšuje interoperabilitu, zároveň však zvyšuje objem spracúvaných biometrických údajov a riziko zneužitia identity dvojníkom v prípade porušenia ochrany osobných údajov. Preto odporúča obmedziť údaje o odtlačkoch prstov uchovávané na čipe dokumentu na detail alebo vzory, podsúbor charakteristík získaných z podoby odtlačkov prstov.

Napokon so zreteľom na uvedený rozsiahly a možný vplyv návrhu EDPS odporúča stanoviť vekový limit na získavanie odtlačkov prstov detí na základe návrhu na 14 rokov v súlade s ostatnými nástrojmi práva Únie.

V Bruseli 10. augusta 2018 Giovanni BUTTARELLI európsky dozorný úradník pre ochranu údajov

(1) Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov), Ú. v. EÚ L 119, 4.5.2016, s. 1.

(2) Návrh nariadenia Európskeho parlamentu a Rady zo 17. apríla 2018 o posilnení zabezpečenia preukazov totožnosti občanov Únie a dokladov o pobyte vydávaných občanom Únie a ich rodinným príslušníkom vykonávajúcim svoje právo na voľný pohyb, COM(2018) 212 final, 2018/0104 (COD).

(3) Oznámenie Komisie Európskemu parlamentu a Rade z 8. decembra 2016: Akčný plán na posilnenie európskej reakcie na podvody týkajúce sa cestovných dokladov, COM(2016) 790 final.

(4) Oznámenie Komisie Európskemu parlamentu, Európskej rade a Rade – Posilnenie bezpečnosti vo svete mobility: lepšia výmena informácií v boji proti terorizmu a lepšie chránené vonkajšie hranice, COM(2016) 602 final.