SL Uradni list Evropske unije C 55/4

Povzetek mnenja evropskega nadzornika za varstvo podatkov o predlogu uredbe o sistemu ECRIS-TCN

(Celotno besedilo tega mnenja je na voljo v angleščini, francoščini in nemščini na spletišču evropskega nadzornika za varstvo podatkov (v nadaljnjem besedilu: ENVP) www.edps.europa.eu.)

(2018/C 55/05)

Sedanji sistem ECRIS, vzpostavljen z Okvirnim sklepom Sveta 2009/315/PNZ (1), podpira izmenjavo informacij o kazenskih obsodbah predvsem v okviru pravosodnega sodelovanja. Sistem ECRIS se poleg za namene kazenskega postopka lahko uporablja tudi za druge namene v skladu z nacionalnim pravom države članice, ki pošlje zahtevek, in države članice, na katero je naslovljen zahtevek. Čeprav se sedanji sistem ECRIS lahko uporablja za državljane tretjih držav, ta uporaba ni učinkovita. Izboljšave so zato upravičene.

Učinkovitost sistema ECRIS za državljane tretjih držav, ki je bila poudarjena v evropski agendi za varnost, je postala zakonodajna prednostna naloga za leto 2017. Komisija je že leta 2016 sprejela predlog direktive o spremembi veljavne zakonodaje in uvedbi izboljšav za državljane tretjih držav, in sicer na podlagi decentraliziranega sistema z indeksnim filtrom, v okviru katerega se prstni odtisi shranjujejo v obliki zgoščenih predlog. V zvezi s to rešitvijo so se pojavile tehnične težave. S predlogom uredbe o sistemu ECRIS-TCN, sprejetem 29. junija 2017, se vzpostavlja osrednja podatkovna zbirka EU, v kateri se hranijo podatki o identiteti državljanov tretjih držav, vključno s prstnimi odtisi in podobami obraza, ki naj bi se uporabljali z iskanjem po načelu „zadetek/ni zadetka“ za določitev države članice, ki ima informacije o kazenskih obsodbah državljanov tretjih držav. Poleg tega je predlog uredbe za osrednji sistem ECRIS-TCN delno utemeljen, saj podpira prihodnjo interoperabilnost obsežnih sistemov EU s področja svobode, varnosti in pravice.

ENVP to zadevo spremlja od začetka pogajanj za vzpostavitev sistema ECRIS. Izdal je že dve mnenji in potrdil pomen učinkovite izmenjave informacij o državljanih EU in državljanih tretjih držav. To stališče ostaja nespremenjeno.

V tem mnenju se obravnavajo posebna vprašanja, ki se postavljajo na podlagi predloga uredbe. Po potrebi je v njem vključeno sklicevanje na predlog direktive, saj naj bi se oba predloga dopolnjevala. ENVP je izrazil štiri glavne pomisleke in druga dodatna priporočila, ki so podrobneje opredeljena v mnenju. Na kratko, ENVP priporoča, da je treba – glede na to, da je ECRIS sistem, ki ga je EU sprejela pred Lizbonsko pogodbo – s tema novima predlogoma direktive in uredbe zadevni sistem uskladiti s standardi, zahtevanimi s členom 16 PDEU in Listino EU o temeljnih pravicah, vključno z izpolnitvijo zahtev za vsakršno zakonito omejitev temeljnih pravic.

V zvezi s potrebo po osrednjem sistemu EU je treba opraviti oceno učinka, v kateri je treba upoštevati tudi učinek koncentracije upravljanja vseh obsežnih podatkovnih zbirk EU s področja svobode, varnosti in pravice v samo eni agenciji. V tem okviru bi bilo predvidevanje interoperabilnosti prezgodnje, saj je treba ta pojem najprej pravno utemeljiti in zagotoviti njegovo skladnost z načeli varstva podatkov.

Namene obdelave podatkov – razen za kazenski postopek –, za katere sta predvidena sistema ECRIS in ECRIS-TCN, je treba jasno opredeliti v skladu z načelom varstva podatkov glede omejitve namena. To velja tudi za dostop organov Unije, ki ga je treba proučiti tudi glede na pravico državljanov EU in državljanov tretjih držav do enakega obravnavanja. V zvezi z vsakim dostopom organov EU je treba dokazati, da je nujen, sorazmeren, skladen z namenom sistema ECRIS in strogo omejen na ustrezne naloge v pristojnosti navedenih organov EU.

Pri obdelavi zadevnih osebnih podatkov, ki so zelo občutljivi, je treba strogo upoštevati načelo potrebnosti: „zadetek“ se lahko sproži šele, ko lahko država članica, na katero je naslovljen zahtevek, v skladu z nacionalnim pravom zagotovi informacije o kazenskih obsodbah za namene, ki niso nameni kazenskega postopka. Obdelava prstnih odtisov mora imeti omejen obseg in se sme izvajati le, kadar identitete zadevnega državljana tretje države ni mogoče preveriti z drugimi sredstvi. ENVP v zvezi s podobami obraza priporoča, naj se opravi – ali (če je bila že opravljena) da na voljo – ocena potrebe po zbiranju takih podatkov in njihovi uporabi za namene preverjanja ali tudi identifikacije, pri čemer ta ocena temelji na dokazih.

V predlogu uredbe je agencija eu-LISA netočno opredeljena kot obdelovalka podatkov. ENVP priporoča, naj se agencija eu-LISA in osrednji organi držav članic imenujejo za skupne upravljavce podatkov. Poleg tega priporoča, naj se v vsebinski določbi jasno navede, da je agencija eu-LISA odgovorna za vse kršitve tega predloga uredbe in Uredbe (ES) št. 45/2001 Evropskega parlamenta in Sveta (2).

1. UVOD IN OZADJE

1. Evropska komisija je 29. junija 2017 objavila predlog uredbe o vzpostavitvi centraliziranega sistema za določitev držav članic, ki imajo informacije o obsodbah državljanov tretjih držav in oseb brez državljanstva, za dopolnitev in podporo evropskega informacijskega sistema kazenskih evidenc (ECRIS-TCN) ter o spremembi Uredbe (EU) št. 1077/2011 (v nadaljnjem besedilu: predlog uredbe) (3). Predlogu je priložen analitičen podporni dokument (4). Evropska komisija je istega dne sprejela prvo statistično poročilo o izmenjavi informacij iz kazenskih evidenc med državami članicami prek evropskega informacijskega sistema kazenskih evidenc (ECRIS), kot je določeno v členu 7 Sklepa Sveta 2009/316/PNZ (5).

2. Cilj predloga uredbe je izboljšati izmenjavo informacij o državljanih tretjih držav in državljanih EU, ki imajo tudi državljanstvo tretje države. Osnovno načelo obstoječega sistema ECRIS je, da je informacije o kazenskih obsodbah v zvezi z državljani EU mogoče pridobiti od države članice državljanstva navedene osebe, ki hrani vse kazenske obsodbe, ne glede na to, kje v EU so bile izrečene. Kar zadeva državljane tretjih držav, vsaka država članica hrani informacije o obsodbah, ki jih je izrekla, zato je treba zahtevek za informacije poslati vsem državam članicam. Komisija meni, da bi odgovarjanje na splošne zahtevke povzročilo upravno breme in visoke stroške, če bi se sistem ECRIS sistematično uporabljal za pridobivanje informacij o državljanih tretjih držav. Države članice niso naklonjene uporabi sistema – v skladu s statističnim poročilom se 10 % zahtevkov nanaša na državljane tretjih držav (6) –, zato informacije o kazenski preteklosti državljanov tretjih držav niso na voljo, kot je bilo predvideno (7). Izboljšanje učinkovitosti sistema ECRIS v zvezi z državljani tretjih držav je v agendi EU za varnost (8) pospešeno in je eno od zakonodajnih prednostnih nalog za leto 2017 (9).

3. S predlogom uredbe se dopolnjuje predlog Komisije z dne 19. januarja 2016 za direktivo v zvezi z izmenjavo informacij o državljanih tretjih držav in evropskim informacijskim sistemom kazenskih evidenc (ECRIS), zaradi česar se spremeni veljavni Okvirni sklep Sveta 2009/315/PNZ in se nadomesti Sklep Sveta 2009/316/PNZ (v nadaljnjem besedilu: predlog direktive).

4. Obema predlogoma je skupna vzpostavitev sistema za določitev držav članic, ki imajo informacije o kazenskih obsodbah državljanov tretjih držav in državljanov EU, ki imajo tudi državljanstvo tretje države. V predlogu direktive je predviden decentralizirani sistem, kar pomeni, da ne bo enotne podatkovne zbirke EU, temveč da bo vsaka država članica upravljala svojo datoteko z „indeksnim filtrom“. Ta datoteka, v katero naj bi se vnašale kodirane informacije o državljanih tretjih držav iz kazenske evidence držav članic, bi se poslala vsem državam članicam. Države članice bi nato svoje podatke primerjale s podatki iz pridobljene datoteke in z iskanjem po načelu „zadetek/ni zadetka“ ugotovile, katere države članice imajo informacije o kazenski obsodbi državljana tretje države. Obdelava prstnih odtisov je bila predvidena že v predlogu direktive, vendar se je uporaba prstnih odtisov v oceni učinka iz leta 2016 štela za eno od možnosti, v predlogu uredbe pa je bila njihova uporaba obvezna. Komisija pojasnjuje, da se je zaradi terorističnih napadov okrepila podpora sistematični uporabi prstnih odtisov za namene identifikacije (10). Po sprejetju predloga direktive je bilo v študiji izvedljivosti ugotovljeno, da trenutno ni zrele tehnologije za ugotavljanje ujemanja prstnih odtisov po načelu „eden proti mnogo“ z zgoščenimi predlogami.

5. V predlogu uredbe je kot odgovor na nastale tehnične težave namesto tega predviden centralizirani sistem, ki vključuje alfanumerične podatke, prstne odtise in podobe obraza državljanov tretjih držav. Alfanumerični podatki in prstni odtisi se bodo lahko uporabljali za identifikacijo državljanov tretjih držav in podobe obraza, in sicer na začetku za namene preverjanja, ko pa bo tehnologija postala zrela, tudi za identifikacijo. „Osrednji organ“ države članice izreka obsodbe vnese podatke v lokalni sistem ECRIS TCN, ta pa te podatke pošlje v osrednji sistem EU. Država članica prosilka lahko po načelu „zadetek/ni zadetka“ ugotovi, katera(-e) država(-e) članica(-e) ima(-jo) informacije o obsojenih državljanih tretjih držav, in nato te informacije zahteva z uporabo obstoječega sistema ECRIS, kot je bil izboljšan s predlogom direktive. Če se za identifikacijo uporabljajo prstni odtisi, se lahko zagotovijo tudi ustrezni alfanumerični podatki. Za vzdrževanje podatkovne zbirke EU je pooblaščena agencija eu-LISA in v ta namen se s predlogom uredbe spreminja Uredba (EU) št. 1077/2011 o agenciji eu-LISA.

6. Poleg tega je rešitev za centralizirani sistem umeščena v okvir predvidene interoperabilnosti vseh informacijskih sistemov za upravljanje varnosti, meja in migracij. Dejansko je med razlogi za izbiro centraliziranega sistema poudarjena interoperabilnost, ne pa težave, ki so se pojavile (11). Sistem ECRIS je vključen tudi v načrt Sveta za boljšo izmenjavo in upravljanje informacij ter dosego interoperabilnosti (12). Interoperabilnost s sistemom ECRIS je predvidena tudi v predlogu za vzpostavitev sistema ETIAS (13).

7. Ko bosta predloga medsebojno usklajena, naj bi se dopolnjevala. Predlog uredbe naj bi zajemal vprašanja v zvezi s centraliziranim sistemom, predlog direktive pa naj bi urejal splošna vprašanja v zvezi z delovanjem sistema ECRIS za državljane tretjih držav in državljane EU (14). Odbor LIBE Evropskega parlamenta je poročilo o predlogu direktive sprejel leta 2016 (15), osnutek poročila o predlogu uredbe pa 30. oktobra 2017 (16). Svet je pogajanja o predlogu direktive prvič prekinil na podlagi zahteve, ki so jo države članice naslovile na Komisijo na seji Sveta z dne 9. junija 2016 glede predložitve predloga za vzpostavitev centraliziranega sistema (17), in trenutno proučuje oba predloga hkrati (18).

8. Sistem ECRIS-TCN je pomembna pobuda, ki obravnava informacijske sisteme s področja svobode, varnosti in pravice. ENVP spremlja to zadevo od začetka pogajanj za vzpostavitev sistema ECRIS. Prvo mnenje o sistemu ECRIS je bilo objavljeno leta 2006 (19), kot je bil takrat vzpostavljen z Okvirnim sklepom Sveta 2009/315/PNZ, leta 2016 pa je ENVP v Mnenju 3/2016 obravnaval predlog direktive (20).

9. ENVP je v obeh mnenjih potrdil pomen učinkovite izmenjave informacij, pridobljenih o obsojenih osebah iz kazenskih evidenc, in potrebo po sistemu, ki se lahko učinkovito uporablja za državljane tretjih držav, zlasti v okviru sprejetja agende EU za varnost (21). To stališče ostaja nespremenjeno.

10. V tem mnenju, ki temelji na Mnenju 3/2016, so obravnavana posebna vprašanja, postavljena na podlagi predloga uredbe. Kadar je to potrebno, je v tem mnenju tudi sklicevanje na predlog direktive. ENVP v razdelku 2 izrazi svoje glavne pomisleke in navede priporočila za njihovo reševanje. Dodatni pomisleki in priporočila za nadaljnje izboljšave so opisani v razdelku 3.

3. SKLEPNA UGOTOVITEV

66. ENVP po skrbni proučitvi predloga o sistemu ECRIS-TCN daje naslednja priporočila:

67. ENVP priporoča, da se pri vzpostavitvi nove osrednje podatkovne zbirke EU in spremembi obstoječe zakonodaje o sistemu ECRIS v okviru predloga uredbe upoštevajo zahteve iz Listine EU o temeljnih pravicah glede zakonite omejitve temeljnih pravic in zagotovi zadostna raven varstva osebnih podatkov.

68. ENVP zlasti opozarja na potrebo po zagotovitvi objektivnih dokazov o nujnosti vzpostavitve centraliziranega sistema na ravni EU. V tem okviru je treba najprej proučiti interoperabilnost glede na njen učinek na temeljne pravice, poleg tega je treba jasno opredeliti njene namene skupaj z nameni sistema ECRIS. Predlogu uredbe je treba priložiti ustrezno oceno učinka glede temeljnih pravic na področju zasebnosti in varstva podatkov, in sicer v zvezi s tem vidikom in koncentracijo vseh sistemov v samo eni agenciji.

69. Vzpostavitev nove osrednje podatkovne zbirke EU in sprememba veljavne zakonodaje o sistemu ECRIS morata biti skladni z zahtevami glede zakonite omejitve temeljnih pravic v skladu z ustaljeno sodno prakso. Zato je treba namene obdelave podatkov, razen tistih za kazenski postopek, za katere sta sistema ECRIS in ECRIS-TCN predvidena, proučiti z vidika njihove nujnosti in sorazmernosti ter jih jasno opredeliti v skladu z načelom varstva podatkov glede omejitve namena. Poleg tega mora biti dostop organov Unije – kot je Europol – do sistema ECRIS-TCN v skladu z namenom sedanjega sistema ECRIS ter pravico državljanov EU in državljanov tretjih držav do enakega obravnavanja, pri čemer mora biti omejen na naloge v njihovi pristojnosti, v zvezi s katerimi je dostop nujno potreben. Vsako predvideno širitev sedanjih namenov je treba izvesti z vsebinsko določbo (uvodna izjava ne zadostuje).

70. Ker sistem ECRIS-TCN vključuje obdelavo osebnih podatkov, ki so zelo občutljivi, ENVP priporoča vključitev ustreznih pogojev za obdelavo osebnih podatkov v skladu z načelom potrebnosti: „zadetek“ se lahko sproži šele, ko lahko država članica, na katero je zahtevek naslovljen, v skladu z nacionalnim pravom zagotovi informacije o obsodbi za namene, ki niso nameni kazenskega postopka. Obdelava prstnih odtisov mora imeti omejen obseg in se sme izvajati le, kadar identitete zadevnega državljana tretje države ni mogoče preveriti z drugimi sredstvi. ENVP v zvezi s podobami obraza priporoča, naj se opravi ali da na voljo ocena potrebe po pridobitvi takih podatkov ter njihovi uporabi za namene preverjanja in/ali identifikacije, pri čemer ta ocena temelji na dokazih.

71. Poleg tega je treba agencijo eu-LISA in osrednje organe držav članic imenovati za skupne upravljavce podatkov, saj si delijo odgovornost za določitev namenov in načinov predvidenih dejavnosti obdelave podatkov. Imenovanje agencije eu-LISA za obdelovalca podatkov ne bi ustrezno izražalo obstoječega stanja in ne bi prispevalo k zagotavljanju visoke ravni varstva podatkov ali k legitimnim interesom držav članic. Poleg tega bi moralo biti v predlogu za sistem ECRIS-TCN jasno navedeno, da je agencija eu-LISA odgovorna za vsako kršitev tega predloga uredbe ali Uredbe (ES) št. 45/2001.

72. Poleg zgoraj navedenih glavnih pomislekov se priporočila ENVP v tem mnenju nanašajo na izboljšave predlaganih določb v zvezi s: — sklicevanji na uporabo Direktive (EU) 2016/680 in Uredbe (ES) št. 45/2001, — pravicami posameznikov, na katere se nanašajo osebni podatki, — statističnimi podatki, osrednjim odložiščem in spremljanjem, — varnostjo podatkov, — vlogo ENVP, — nacionalnimi nadzornimi organi.

73. ENVP je še naprej na voljo za dodatne nasvete o predlogih uredbe in direktive, tudi v zvezi z delegiranimi ali izvedbenimi akti, ki bodo morda sprejeti v skladu s predlaganima instrumentoma, in v zvezi z obdelavo osebnih podatkov.

V Bruslju, 12. decembra 2017 Giovanni BUTTARELLI Evropski nadzornik za varstvo podatkov

(1) UL L 93, 7.4.2009, str. 23.

(2) UL L 8, 12.1.2001, str. 1.

(3) COM(2017) 344 final.

(4) SWD(2017) 248 final.

(5) COM(2017) 341 final. Temu poročilu je priložen delovni dokument služb Komisije, SWD(2017) 242 final.

(6) COM(2017) 341 final, str. 15.

(7) Obrazložitveni memorandum k predlogu, COM(2017) 344 final, str. 2.

(8) COM(2015) 185 final.

(9) Skupna izjava o zakonodajnih prednostnih nalogah EU za leto 2017, https://ec.europa.eu/commission/sites/beta-political/files/joint-declaration-legislative-priorities-2017-jan2017_sl.pdf

(10) Obrazložitveni memorandum k predlogu, COM(2017) 344 final, str. 3; spremni analitični podporni dokument, SWD(2017) 248 final, str. 3.

(11) Obrazložitveni memorandum k predlogu, COM(2017) 344 final, str. 3.

(12) Načrt za boljšo izmenjavo in upravljanje informacij, vključno z interoperabilnostnimi rešitvami, na področju pravosodja in notranjih zadev, 9368/1/16, http://data.consilium.europa.eu/doc/document/ST-9368-2016-REV-1/sl/pdf; prvo poročilo Sveta z dne 8. novembra 2016, http://statewatch.org/news/2016/dec/eu-council-info-exhang-interop-sop-13554-REV-1-16.pdf; drugo poročilo Sveta z dne 11. maja 2017, http://www.statewatch.org/news/2017/may/eu-council-information-management-strategy-second-implementation-report-8433-17.pdf.

(13) COM(2016) 731 final.

(14) Obrazložitveni memorandum k predlogu, COM(2017) 344 final, str. 4.

(15) A8-0219/2016.

(16) PE 612.310v01-00.

(17) Izid seje Sveta (PNZ), 9979/16, http://data.consilium.europa.eu/doc/document/ST-9979-2016-INIT/en/pdf.

(18) Glej dnevni red odbora Coreper z dne 29. novembra 2017, http://data.consilium.europa.eu/doc/document/CM-5236-2017-INIT/en/pdf.

(19) Mnenje Evropskega nadzornika za varstvo podatkov o predlogu okvirnega sklepa Sveta o pripravi in vsebini izmenjave podatkov, izpisanih iz kazenske evidence, med državami članicami (COM(2005) 690 final) (UL C 313, 20.12.2006, str. 26), https://edps.europa.eu/sites/edp/files/publication/06-05-29_criminal_records_sl.pdf.

(20) Mnenje Evropskega nadzornika za varstvo podatkov 3/2016 o sistemu ECRIS, https://edps.europa.eu/sites/edp/files/publication/16-04-13_ecris_en.pdf.

(21) Mnenje ENVP 3/2016 o sistemu ECRIS, str. 12, z dodatnim sklicevanjem 38 na mnenje ENVP iz leta 2006.