Povzetek mnenja evropskega nadzornika za varstvo podatkov o predlogu uredbe o okrepitvi varnosti osebnih izkaznic državljanov Unije in drugih dokumentov

(Celotno besedilo tega mnenja je na voljo v angleščini, francoščini in nemščini na spletišču evropskega nadzornika za varstvo podatkov (v nadaljnjem besedilu: ENVP) www.edps.europa.eu.)

(2018/C 338/12)

To mnenje povzema stališče ENVP o predlogu uredbe Evropskega parlamenta in Sveta o okrepitvi varnosti osebnih izkaznic državljanov Unije in dokumentov za prebivanje, izdanih državljanom Unije in njihovim družinskim članom, ki uresničujejo svojo pravico do prostega gibanja.

ENVP v zvezi s tem ugotavlja, da je Komisija jasno izbrala, da bo prednostno obravnavala vidike predloga v zvezi s prostim gibanjem in da bo cilj, povezan z varnostjo, obravnavala kot logično posledico. Pri tem opozarja, da bi to lahko vplivalo na analizo nujnosti in sorazmernosti elementov predloga.

ENVP podpira cilj Evropske komisije, da okrepi varnostne standarde, ki se uporabljajo za osebne izkaznice in dokumente za prebivanje, in tako prispeva k varnosti Unije kot celote. Hkrati meni, da predlog v tem okviru potrebe po obdelavi dveh vrst biometričnih podatkov (tj. podobo obraza in prstne odtise) ne utemeljuje zadovoljivo, navedene cilje pa bi lahko dosegli z manj vsiljivim pristopom.

Na podlagi pravnega okvira EU in okvira posodobljene konvencije št. 108 se biometrični podatki štejejo za občutljive podatke in zanje velja posebna zaščita. ENVP poudarja, da bi podobe obraza in prstni odtisi, ki bi bili obdelani v skladu s predlogom, nedvoumno spadali v to kategorijo občutljivih podatkov.

Poleg tega meni, da bi predlog močno vplival na najmanj 370 milijonov državljanov EU, zaradi česar bi lahko za 85 % prebivalstva EU morda veljala obveznost odvzema prstnega odtisa. Ta široki obseg zahteva skupaj z obdelanimi zelo občutljivimi podatki (podobe obraza v kombinaciji s prstnimi odtisi) natančen nadzor v skladu s strogim preizkusom nujnosti.

Poleg tega ENVP potrjuje, da zaradi razlik med osebnimi izkaznicami in potnimi listi varnostnih značilnosti, ki se lahko štejejo za primerne za potne liste in osebne izkaznice, ni mogoče samodejno uvesti, ampak sta za to potrebna premislek in temeljita analiza.

Še več, želi poudariti, da bi se za zadevno obdelavo uporabljal člen 35(10) Splošne uredbe o varstvu podatkov (1). V zvezi s tem ugotavlja, da ocena učinka, ki spremlja predlog, ne podpira možnosti politike, ki jo je izbrala Komisija, tj. obvezno vključitev podob obraza in (dveh) prstnih odtisov v osebne izkaznice (in dokumente za prebivanje). Posledično se ocena učinka, ki spremlja predlog, ne more šteti za zadovoljivo za namene skladnosti s členom 35(10) Splošne uredbe o varstvu podatkov. Zato ENVP v tem okviru priporoča ponovno presojo nujnosti in sorazmernosti obdelave biometričnih podatkov (podob obraza v kombinaciji s prstnimi odtisi).

Poleg tega bi moral predlog izrecno predvideti zaščitne ukrepe proti državam članicam, ki v okviru izvajanja predloga vzpostavijo nacionalne daktiloskopske podatkovne zbirke. V predlogu bi bilo treba dodati določbo, v kateri je izrecno navedeno, da je treba v tem okviru obdelane biometrične podatke izbrisati takoj po njihovi vključitvi na čip in se ne smejo dodatno obdelovati za namene, ki niso izrecno navedeni v predlogu.

ENVP razume, da bi se lahko uporaba biometričnih podatkov štela za zakonit ukrep proti goljufijam, vendar v predlogu ni utemeljena potreba po shranjevanju dveh vrst biometričnih podatkov za namene, predvidene v predlogu. Ena od možnosti, ki jih je treba upoštevati, bi lahko bila, da se uporabljeni biometrični podatki omejijo na eno vrsto (na primer samo podoba obraza).

Poleg tega želi poudariti, da razume, da shranjevanje podob prstnih odtisov poveča interoperabilnost, vendar hkrati poveča količino obdelanih biometričnih podatkov in tveganje za goljufijo po podobnosti v primeru kršitve varstva osebnih podatkov. Zato priporoča, da se podatki o prstnih odtisih, shranjeni v biometričnih dokumentih, omejijo na podrobnosti ali vzorce, podskupino značilnosti, pridobljenih iz podobe prstnih odtisov.

Ne nazadnje ob upoštevanju širokega obsega in možnega učinka zgoraj opisanega predloga ENVP priporoča, da se za odvzem prstnih odtisov otrok v skladu s predlogom določi starostna meja pri 14 letih starosti, skladno z drugimi instrumenti zakonodaje EU.

1. UVOD IN OZADJE

1. Evropska komisija (v nadaljnjem besedilu: Komisija) je 17. aprila 2018 objavila predlog Uredbe Evropskega parlamenta in Sveta o okrepitvi varnosti osebnih izkaznic državljanov Unije in dokumentov za prebivanje, izdanih državljanom Unije in njihovim družinskim članom, ki uresničujejo svojo pravico do prostega gibanja ( 2 ) , cilj predloga pa je izboljšati varnostne značilnosti osebnih izkaznic državljanov EU in dovoljenj za prebivanje, izdanih njihovim družinskim članom, ki niso državljani EU (v nadaljnjem besedilu: predlog).

2. Ta predlog uredbe je del akcijskega načrta iz decembra 2016 „za okrepitev evropskega odziva na preprečevanje goljufij s potnimi listinami“ (v nadaljnjem besedilu: akcijski načrt iz decembra 2016) ( 3 ) , v katerem je Komisija opredelila ukrepe za obravnavanje vprašanja varnosti dokumentov, vključno z osebnimi izkaznicami in dokumenti za prebivanje, v okviru nedavnih terorističnih napadov v Evropi.

3. Osebne izkaznice imajo pomembno vlogo pri zagotavljanju identifikacije osebe za upravne in komercialne namene, kar je Komisija poudarila v svojem sporočilu, ki ga je sprejela 14. septembra 2016: Krepitev varnosti v svetu mobilnosti: boljša izmenjava informacij na področju boja proti terorizmu in trdnejše zunanje meje ( 4 ) . Potreba po izboljšanju varnosti teh dokumentov je bila poudarjena tudi v poročilu o državljanstvu EU iz leta 2017.

4. Del poslanstva ENVP je svetovati službam Komisije pri pripravi novih zakonodajnih predlogov, ki vplivajo na varstvo podatkov.

5. ENVP tako pozdravlja pobudo, da se je Evropska komisija že neuradno posvetovala z njim o osnutku predloga in je imel priložnost, da predloži mnenje o vidikih v zvezi z varstvom podatkov.

7. SKLEPNE UGOTOVITVE

ENVP ugotavlja, da je Komisija jasno izbrala, da bo prednostno obravnavala vidike predloga v zvezi s prostim gibanjem in da bo cilj, povezan z varnostjo, obravnavala kot logično posledico. Pri tem opozarja, da bi to lahko vplivalo na analizo nujnosti in sorazmernosti elementov predloga.

ENVP podpira cilj Evropske komisije, da okrepi varnostne standarde, ki se uporabljajo za osebne izkaznice in dokumente za prebivanje, in tako prispeva k varnosti Unije kot celote. Hkrati meni, da predlog v tem okviru potrebe po obdelavi dveh vrst biometričnih podatkov (tj. podobo obraza in prstne odtise) ne utemeljuje zadovoljivo, navedene cilje pa bi lahko dosegli z manj vsiljivim pristopom.

Na podlagi pravnega okvira EU in okvira posodobljene konvencije št. 108 se biometrični podatki štejejo za občutljive podatke in zanje velja posebna zaščita. ENVP poudarja, da bi podobe obraza in prstni odtisi, ki bi bili obdelani v skladu s predlogom, nedvoumno spadali v to kategorijo občutljivih podatkov.

Poleg tega meni, da bi predlog močno vplival na najmanj 370 milijonov državljanov EU, zaradi česar bi lahko za 85 % prebivalstva EU morda veljala obveznost odvzema prstnega odtisa. Ta široki obseg zahteva skupaj z obdelanimi zelo občutljivimi podatki (podobe obraza v kombinaciji s prstnimi odtisi) natančen nadzor v skladu s strogim preizkusom nujnosti.

Poleg tega ENVP potrjuje, da zaradi razlik med osebnimi izkaznicami in potnimi listi varnostnih značilnosti, ki se lahko štejejo za primerne za potne liste in osebne izkaznice, ni mogoče samodejno uvesti, ampak sta za to potrebna premislek in temeljita analiza.

Še več, želi poudariti, da bi se za zadevno obdelavo uporabljal člen 35(10) Splošne uredbe o varstvu podatkov. V zvezi s tem ugotavlja, da ocena učinka, ki spremlja predlog, ne podpira možnosti politike, ki jo je izbrala Komisija, tj. obvezno vključitev podob obraza in (dveh) prstnih odtisov v osebne izkaznice (in dokumente za prebivanje). Posledično se ocena učinka, ki spremlja predlog, ne more šteti za zadovoljivo za namene skladnosti s členom 35(10) Splošne uredbe o varstvu podatkov. Zato ENVP v tem okviru priporoča ponovno presojo nujnosti in sorazmernosti obdelave biometričnih podatkov (podob obraza v kombinaciji s prstnimi odtisi).

Poleg tega bi moral predlog izrecno predvideti zaščitne ukrepe proti državam članicam, ki v okviru izvajanja predloga vzpostavijo nacionalne daktiloskopske podatkovne zbirke. V predlogu bi bilo treba dodati določbo, v kateri je izrecno navedeno, da je treba v tem okviru obdelane biometrične podatke izbrisati takoj po njihovi vključitvi na čip in se ne smejo dodatno obdelovati za namene, ki niso izrecno navedeni v predlogu.

ENVP razume, da bi se lahko uporaba biometričnih podatkov štela za zakonit ukrep proti goljufijam, vendar v predlogu ni utemeljena potreba po shranjevanju dveh vrst biometričnih podatkov za namene, predvidene v predlogu. Ena od možnosti, ki jih je treba upoštevati, bi lahko bila, da se uporabljeni biometrični podatki omejijo na eno vrsto (na primer samo podoba obraza).

Poleg tega želi poudariti, da razume, da shranjevanje podob prstnih odtisov poveča interoperabilnost, vendar hkrati poveča količino obdelanih biometričnih podatkov in tveganje za goljufijo po podobnosti v primeru kršitve varstva osebnih podatkov. Zato priporoča, da se podatki o prstnih odtisih, shranjeni v biometričnih dokumentih, omejijo na podrobnosti ali vzorce, podskupino značilnosti, pridobljenih iz podobe prstnih odtisov.

Ne nazadnje ob upoštevanju širokega obsega in možnega učinka zgoraj opisanega predloga ENVP priporoča, da se za odvzem prstnih odtisov otrok v skladu s predlogom določi starostna meja pri 14 letih starosti, skladno z drugimi instrumenti zakonodaje EU.

V Bruslju, 10. avgusta 2018 Giovanni BUTTARELLI Evropski nadzornik za varstvo podatkov

(1) Uredba (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL L 119, 4.5.2016, str. 1).

(2) Predlog Uredbe Evropskega parlamenta in Sveta z dne 17. aprila 2018 o okrepitvi varnosti osebnih izkaznic državljanov Unije in dokumentov za prebivanje, izdanih državljanom Unije in njihovim družinskim članom, ki uresničujejo svojo pravico do prostega gibanja (COM(2018) 212 final, 2018/0104(COD)).

(3) Sporočilo Komisije Evropskemu parlamentu in Svetu z dne 8. decembra 2016: Akcijski načrt za okrepitev evropskega odziva na preprečevanje goljufij s potnimi listinami (COM(2016) 790 final).

(4) Sporočilo Komisije Evropskemu parlamentu, Evropskemu svetu in Svetu: Krepitev varnosti v svetu mobilnosti: boljša izmenjava informacij na področju boja proti terorizmu in trdnejše zunanje meje (COM(2016) 602 final).