Povzetek mnenja evropskega nadzornika za varstvo podatkov o predlogu za spremembo uredbe o Europolu

(Celotno besedilo tega mnenja je na voljo v angleščini, francoščini in nemščini na spletišču ENVP www.edps.europa.eu.)

(2021/C 143/05)

Evropska komisija je 9. decembra 2020 predstavila predlog uredbe Evropskega parlamenta in Sveta o spremembi Uredbe (EU) 2016/794 v zvezi s sodelovanjem Europola z zasebnimi strankami, obdelavo osebnih podatkov s strani Europola v podporo preiskavam kaznivih dejanj ter vlogo Europola na področju raziskav in inovacij. Namen zakonodajnega predloga je okrepiti in v nekaterih primerih razširiti mandat Europola v odziv na spreminjajoče se varnostne okoliščine ter porajanje vedno novih in vse bolj kompleksnih varnostnih groženj.

ENVP razume, da morajo imeti organi preprečevanja, odkrivanja in preiskovanja kaznivih dejanj na voljo najboljša možna pravna in tehnična sredstva za izvrševanje svojih nalog, ki zajemajo odkrivanje, preiskovanje in preprečevanje kaznivih dejanj ter drugih groženj za javno varnost. Prepričan je tudi, da ni neizogibnega in nepremostljivega navzkrižja med varnostjo in temeljnimi pravicami, vključno s pravico do varstva podatkov. Zato je namen tega mnenja podati pošteno in objektivno oceno nujnosti in sorazmernosti predlaganih ukrepov ter več posebnih priporočil za zagotavljanje pravega ravnovesja med vrednotami in zadevnimi interesi.

Organi preprečevanja, odkrivanja in preiskovanja kaznivih dejanj v kazenskih preiskavah in operacijah pridobivanja kriminalističnoobveščevalnih informacij vse pogosteje zbirajo in obdelujejo obsežne in kompleksne nabore podatkov. ENVP sicer pozitivno ocenjuje zaščitne ukrepe, ki spremljajo predlagana odstopanja v takih primerih, vendar ga skrbi, da bi lahko izjeme od sedanjih pravil o varstvu podatkov, ki se uporabljajo za Europol, dejansko postale pravilo. Zato predlaga, naj se v uredbi o Europolu natančneje opredelijo okoliščine in pogoji, v katerih lahko Europol uporabi predlagana odstopanja. Poleg tega bi morala ta agencija tudi v teh primerih podatke obdelovati popolnoma v skladu s splošnimi načeli in obveznostmi iz poglavja IX Uredbe (EU) 2018/1725.

ENVP pozdravlja, da so razširjene pravne možnosti za sodelovanje Europola z zasebnimi strankami, zlasti v primeru podatkovnih naborov iz več jurisdikcij ali podatkovnih naborov, ki jih ni mogoče pripisati posamezni jurisdikciji, uravnotežene s posebnimi zaščitnimi ukrepi, kot je prepoved sistematičnega, obsežnega ali strukturnega prenosa podatkov. Hkrati priporoča, naj se ta pomembna omejitev uporablja za vse izmenjave med Europolom in zasebnimi strankami, ne glede na njihovo lokacijo v EU ali zunaj nje. ENVP meni, da je treba v zavezujočem pravnem aktu dodatno pojasniti točno pravno vlogo in odgovornosti Europola, kadar deluje kot ponudnik storitev za nacionalne organe in posledično kot obdelovalec podatkov. Poleg tega meni, da je treba oceniti morebitna varnostna tveganja, ki izhajajo iz omogočanja uporabe komunikacijske infrastrukture Europola za zasebne stranke.

ENVP posebno pozornost namenja tudi predvideni uporabi osebnih podatkov s strani Europola za raziskave in inovacije. Ob tem pa se dobro zaveda, da druga možnost, torej da se Europol in nacionalni organi preprečevanja, odkrivanja in preiskovanja kaznivih dejanj zanašajo na orodja in proizvode, ki so jih razvili zunanji dobavitelji, ki so pogosto locirani zunaj EU, seveda prinaša veliko večja tveganja v zvezi s temeljnimi pravicami. ENVP kljub temu meni, da je opredelitev novega namena obdelave preširoka, zato priporoča, naj se obseg raziskovalnih in inovacijskih dejavnosti pojasni v zavezujočem dokumentu.

ENVP pozdravlja in v celoti podpira predlagano nadaljnjo krepitev okvira Europola za varstvo podatkov in zlasti neposredno uporabo horizontalnih pravil iz poglavja IX Uredbe (EU) 2018/1725 za operativne podatke, ki jih obdeluje ta agencija. To je tudi pomemben korak k celoviti uskladitvi okvira za varstvo podatkov za vse institucije, organe in agencije EU, h kateri je ENVP večkrat pozval.

Okrepljen mandat Europola bi moral vsekakor spremljati tudi večji nadzor. Zato ENVP poziva, naj se njegova pooblastila za nadzor Europola popolnoma uskladijo z njegovimi splošnimi pooblastili, ki so določena v Uredbi (EU) 2018/1725 in se uporabljajo za druge institucije, agencije in organe EU, vključno z Evropskim parlamentom, Svetom in Komisijo. Taka uskladitev bi bila v skladu z voljo zakonodajalca EU in bi prispevala tudi k preprečevanju različnega obravnavanja organov Unije in njihovega bolj ali manj privilegiranega položaja.

1. UVOD IN OZADJE

1. Agencija Evropske unije za sodelovanje na področju preprečevanja, odkrivanja in preiskovanja kaznivih dejanj (Europol) je bila ustanovljena z Uredbo (EU) 2016/794 Evropskega parlamenta in Sveta (uredba o Europolu), da bi podpirala in krepila ukrepe pristojnih organov držav članic ter njihovo medsebojno sodelovanje pri preprečevanju in zatiranju hudih čezmejnih kaznivih dejanj, terorizma in drugih kriminalnih dejavnosti, ki vplivajo na skupne interese Unije. Uredba o Europolu je nadomestila predhodni temeljni pravni akt, Sklep Sveta 2009/371/PNZ ( 1 ) , v njej pa je ENVP dodeljena naloga, da od 1. maja 2017 spremlja, ali Europol zakonito obdeluje podatke.

2. Evropska komisija je 9. decembra 2020 sprejela predlog uredbe Evropskega parlamenta in Sveta o spremembi Uredbe (EU) 2016/794 v zvezi s sodelovanjem Europola z zasebnimi strankami, obdelavo osebnih podatkov s strani Europola v podporo preiskavam kaznivih dejanj ter vlogo Europola na področju raziskav in inovacij ( 2 )

3. Predlog je Komisija vključila v delovni program za leto 2020 kot zakonodajno pobudo, v skladu s katero bo „okrepila pooblastila Europola za izboljšanje operativnega policijskega sodelovanja“. To je tudi eden od ključnih ukrepov strategije EU za varnostno unijo, ki je bila predstavljena julija 2020 ( 3 ) . Zakonodajni predlog je hkrati del svežnja ukrepov za boljše odzivanje Unije na teroristične grožnje, ki ga je Komisija napovedala 9. decembra 2020 ( 4 )

4. Namen predloga je okrepiti in po potrebi razširiti mandat Europola v okviru nalog agencije, kot so opredeljene v členu 88 Pogodbe o delovanju EU (PDEU). Tri glavna področja, ki jih obravnava predlog, so izrecno omenjena v naslovu osnutka uredbe, in sicer sodelovanje z zasebnimi strankami, operativna podpora preiskavam kaznivih dejanj ter raziskave in inovacije. Dodatno pa so spremenjeni tudi nekateri drugi pomembni vidiki dela Europola, kot so pravna ureditev varstva podatkov, prenosi podatkov v tretje države, vnos razpisov ukrepov v schengenski informacijski sistem itd. Slednji element je obravnavan v ločenem zakonodajnem predlogu ( 5 ) , o katerem je bilo prav tako opravljeno posvetovanje z ENVP, ki je o tem pripravil ločeno mnenje.

5. Glede na obrazložitveni memorandum je zakonodajni predlog odziv na spreminjajoče se varnostne okoliščine ter porajanje vedno novih in vse bolj kompleksnih varnostnih groženj, vključno s kriminalnimi združbami, ki izkoriščajo digitalizacijo, nove tehnologije in krizo zaradi covida-19. Komisija v zvezi s tem opozarja na več nedavnih političnih izjav Sveta in Evropskega parlamenta, ki obravnavajo prav potrebo po dodatni okrepitvi mandata in zmogljivosti Europola ( 6 )

6. Komisija se je med postopkom priprave zakonodajnega predloga večkrat, nazadnje 25. novembra 2020, neformalno posvetovala z ENVP, ki ji je podal neformalne pripombe. Pozdravlja dejstvo, da je bil za mnenja zaprošen že v zgodnji fazi postopka, in spodbuja Komisijo, naj nadaljuje to dobro prakso. ENVP je 9. oktobra 2020 organiziral tudi strokovni spletni seminar o reformi Europola z vidika varstva podatkov s posebnim poudarkom na uskladitvi določb o varstvu podatkov v uredbi o Europolu s splošnimi pravili o obdelavi operativnih osebnih podatkov.

7. Komisija se je o predlogu uredbe Evropskega parlamenta in Sveta o spremembi Uredbe (EU) 2016/794 z ENVP formalno posvetovala 7. januarja 2021, ENVP pa je sprejel to mnenje v skladu s členom 42(3) Uredbe (EU) št. 2018/1725.

2. SKLEPNE UGOTOVITVE

49. Glede na navedeno ENVP podaja naslednja priporočila:

O sodelovanju z zasebnimi strankami

— Prepoved sistematičnih, obsežnih ali strukturnih prenosov (člen 26(6), zadnji odstavek) bi morala veljati za vse izmenjave z zasebnimi strankami, vključno znotraj EU;

— obveznosti Europola, kadar deluje kot obdelovalec podatkov/ponudnik storitev, zlasti obvezne elemente, določene v odstavku 3 člena 87 Uredbe (EU) 2018/1725, bi bilo treba določiti v zavezujočem pravnem aktu v skladu s pravom Unije ali pravom držav članic;

— Europol bi moral izvesti oceno morebitnih varnostnih tveganj, ki izhajajo iz omogočanja uporabe njegove infrastrukture za zasebne stranke, ter po potrebi izvajati ustrezne ukrepe za njihovo preprečevanje in zmanjšanje.

O obdelavi obsežnih in kompleksnih podatkovnih naborov, tudi v podporo preiskavam kaznivih dejanj

— Uredba o Europolu bi morala vključevati zadostne zaščitne ukrepe, da se zagotovi, da odstopanja iz člena 18(5)(a) in člena 18(a) ne bodo dejansko postala pravilo;

— v uredbi o Europolu bi bilo treba podrobneje opredeliti primere, v katerih bi Europol lahko uporabil odstopanje iz člena 18(5)(a), oziroma v katerih bi lahko zaprosil za podaljšanje najdaljšega obdobja enega leta. Poleg tega bi bilo treba pojasniti medsebojno vplivanje med odstavkoma 5(a) in 6 člena 18;

— v členu 18(a) bi bilo treba določiti dodatne pogoje in pragove za obdelavo podatkov, ki niso zajeti v kategorijah posameznikov, na katere se nanašajo osebni podatki, navedenih v Prilogi II, s strani Europola za podporo posamezni preiskavi kaznivega dejanja, kot so obseg, kompleksnost, vrsta ali pomembnost preiskave;

— obdelava osebnih podatkov v skladu z odstopanji iz člena 18(5)(a) in člena 18(a) bi morala biti v vseh primerih skladna s splošnimi načeli in obveznostmi, določenimi v Poglavju IX Uredbe (EU) 2018/1725.

O uporabi podatkov za raziskave in inovacije

— Obseg raziskovalnih in inovacijskih dejavnosti bi bilo treba v uredbi o Europolu bolje opredeliti ter dodatno pojasniti v zavezujočem dokumentu, ki bi ga lahko naknadno posodobili.

O sodelovanju Europola s tretjimi državami

— V uredbi o Europolu bi bilo treba natančneje opredeliti in pojasniti pomen „kategorije prenosov“ v odstavku 5 člena 25 ter razliko med tem pojmom in „nizom prenosov“ iz člena 6 istega odstavka.

O okviru za varstvo podatkov, ki se uporablja za Europol

— Pooblastila ENVP za nadzor Europola bi bilo treba popolnoma uskladiti s splošnimi pooblastili ENVP, določenimi v členu 58 Uredbe (EU) 2018/1725;

— predlog novega namena v členu 37(a) bi bilo treba črtati, omejitev obdelave osebnih podatkov s strani Europola pa bi tako morala neposredno urejati določba člena 82 Uredbe (EU) 2018/1725.

O drugih elementih predloga

— Pogoje za prenos podatkov drugim organom Unije iz člena 24 uredbe o Europolu bi bilo treba uskladiti s splošnimi pravili iz člena 71(2) Uredbe (EU) 2018/1725, zlasti z zahtevo o sorazmernosti;

— pojem „skupna operativna analiza“ ter pravna pravila, ki se uporabljajo za obdelavo osebnih podatkov v njenem okviru, bi bilo treba v uredbi o Europolu jasno opredeliti.

Bruselj, 8. marec 2021. Wojciech Rafał WIEWIÓROWSKI

(1) Sklep Sveta 2009/371/PNZ z dne 6. aprila 2009 o ustanovitvi Evropskega policijskega urada (Europol) (UL L 121, 15.5.2009, str. 37).

(2) COM(2020) 796 final.

(3) COM(2020) 605 final (24. julij 2020).

(4) https://ec.europa.eu/commission/presscorner/detail/sl/ip_20_2326.

(5) Predlog uredbe Evropskega parlamenta in Sveta o spremembi Uredbe (EU) 2018/1862 o vzpostavitvi, delovanju in uporabi schengenskega informacijskega sistema (SIS) na področju policijskega sodelovanja in pravosodnega sodelovanja v kazenskih zadevah glede vnosa razpisov ukrepov s strani Europola, COM(2020) 791 final.

(6) Glej zlasti Resolucijo Evropskega parlamenta z dne 10. julija 2020 o celoviti politiki Unije o preprečevanju pranja denarja in boju proti financiranju terorizma (2020/2686(RSP)), Sklepe Sveta o sodelovanju Europola z zasebnimi strankami z dne 2. decembra 2019 ali izjavo ministrov za notranje zadeve EU („Ten points on the Future of Europol“ (Deset točk o prihodnosti Europola)) z dne 21. oktobra 2020.