None
C_2018055NL.01000401.xml











14.2.2018   


NL


Publicatieblad van de Europese Unie


C 55/4





Samenvatting van het advies van de Europese Toezichthouder voor gegevensbescherming over het voorstel voor een verordening betreffende ECRIS-TCN

(De volledige tekst van dit advies is beschikbaar in het Engels, Frans en Duits op de EDPS-website: www.edps.europa.eu)

(2018/C 55/05)
Het huidige ECRIS-systeem, ingesteld bij Kaderbesluit 2009/315/JBZ van de Raad (1), ondersteunt de uitwisseling van informatie over strafrechtelijke veroordelingen hoofdzakelijk in het kader van justitiële samenwerking. ECRIS mag ook voor andere doeleinden dan strafrechtelijke procedures worden gebruikt in overeenstemming met het nationale recht van de verzoekende en aangezochte lidstaat. Hoewel het huidige ECRIS-systeem mag worden gebruikt voor onderdanen van derde landen („TCN”), doet het dit niet op efficiënte wijze. Derhalve zouden er verbeteringen moeten worden doorgevoerd.
De effectiviteit van ECRIS voor TCN is benadrukt in de Europese veiligheidsagenda en werd voor 2017 prioriteit op wetgevingsgebied. De Commissie had reeds in 2016 een voorstel aangenomen voor een richtlijn tot wijziging van de huidige wetgeving en tot invoering van verbeteringen voor TCN door een gedecentraliseerd systeem via het gebruik van een indexfilter met vingerafdrukken, bewaard in een soort versleutelde sjablonen. Deze oplossing stuitte op technische problemen. Het op 29 juni 2017 aangenomen voorstel voor een verordening betreffende ECRIS-TCN creëert een centrale Europese databank waarin identiteitsgegevens over TCN, met inbegrip van vingerafdrukken en gezichtsopnamen, worden opgeslagen en die bedoeld is voor gebruik door middel van een „treffer/geen treffer”-zoeksysteem om vast te stellen welke lidstaat over informatie over strafrechtelijke veroordelingen van de TCN beschikt. Bovendien wordt het voorstel voor een centraal ECRIS-TCN-systeem mede gerechtvaardigd als ondersteuning voor de toekomstige interoperabiliteit van grootschalige Europese systemen op het gebied van vrijheid, veiligheid en recht.
 De EDPS volgt het dossier vanaf het begin van de onderhandelingen over de instelling van ECRIS. Hij heeft reeds twee adviezen uitgevaardigd en onderkent het belang van een efficiënte uitwisseling van informatie voor zowel EU-onderdanen als TCN. Dit standpunt blijft ongewijzigd.
Dit advies bespreekt bepaalde kwesties die in het voorstel voor een verordening aan de orde komen. Waar nodig, verwijst dit advies naar het voorstel voor een richtlijn, aangezien beide voorstellen als complementair aan elkaar zijn bedoeld. De EDPS bespreekt vier belangrijke zorgpunten en doet andere aanvullende aanbevelingen, die nader beschreven worden in het advies. Samengevat adviseert de EDPS dat, aangezien ECRIS een systeem is dat de EU vóór het Verdrag van Lissabon heeft ingesteld, deze nieuwe voorstellen voor een richtlijn en een verordening moeten zorgen dat het systeem voldoet aan de normen van artikel 16 VWEU en het Handvest van de grondrechten van de EU, met inbegrip van de naleving van de eisen voor een wettige restrictie van de grondrechten.
De noodzaak van een centraal Europees systeem moet worden onderworpen aan een effectbeoordeling waarbij ook rekening wordt gehouden met het effect van de concentratie van het beheer van alle grootschalige Europese databanken op het gebied van vrijheid, veiligheid en recht binnen één orgaan. Het zou prematuur zijn om in dit kader op de interoperabiliteit vooruit te lopen, aangezien dit concept eerst op een rechtsgrondslag moet worden gebaseerd en de naleving van de beginselen van de gegevensbescherming door dit concept moet worden gewaarborgd.
 De doeleinden van de gegevensverwerking, anders dan voor strafrechtelijke procedures, waarvoor ECRIS en ECRIS-TCN worden voorzien, dienen duidelijk te worden omschreven in lijn met het gegevensbeschermingsbeginsel van de doelbeperking. Dit geldt ook voor de toegang door de Unie-organen, die mede moet worden beoordeeld in het licht van het recht op gelijke behandeling van EU-onderdanen en TCN. Voor elke toegang door EU-instanties moet worden aangetoond dat deze noodzakelijk, proportioneel en in overeenstemming met het doel van ECRIS is en strikt beperkt is tot relevante taken binnen het mandaat van die EU-organen.
De verwerking van de betreffende persoonsgegevens, die zeer gevoelig van aard zijn, dient strikt te voldoen aan het noodzakelijkheidsbeginsel: er zou alleen een „treffer” mogen worden gegenereerd wanneer de aangezochte lidstaat op grond van zijn nationale recht informatie over strafrechtelijke veroordelingen mag verstrekken voor andere doeleinden dan strafrechtelijke procedures. De verwerking van vingerafdrukken dient beperkt van omvang te zijn en mag slechts plaatsvinden wanneer de identiteit van een bepaalde TCN niet op andere wijze kan worden vastgesteld. Voor wat betreft gezichtsopnames adviseert de EDPS om een op bewijsmateriaal gebaseerde beoordeling uit te voeren — of (indien deze reeds uitgevoerd is) ter beschikking te stellen — van de noodzaak van verzameling van dergelijke gegevens en het gebruik daarvan voor verificatie- of ook voor identificatiedoeleinden.
Het voorstel voor een verordening merkt ten onrechte eu-LISA als verwerker aan. De EDPS adviseert om eu-LISA en de centrale autoriteiten van de lidstaten als gezamenlijke verwerkingsverantwoordelijken aan te wijzen. Daarnaast adviseert hij om duidelijk in een materiële bepaling op te nemen dat eu-LISA aansprakelijk is voor een overtreding van dit voorstel voor een verordening en van Verordening (EG) nr. 45/2001 van het Europees Parlement en de Raad (2).
1.   INLEIDING EN ACHTERGROND









1.
 Op 29 juni 2017 heeft de Europese Commissie een voorstel gepubliceerd voor een verordening tot invoering van een gecentraliseerd systeem voor de vaststelling welke lidstaten over informatie beschikken inzake veroordelingen van onderdanen van derde landen en staatlozen (TCN) ter aanvulling en ondersteuning van het Europees Strafregister Informatiesysteem (ECRIS) en tot wijziging van Verordening (EU) nr. 1077/2011 (hierna „het voorstel voor een verordening”) (3). Het voorstel is vergezeld van een Analytisch Ondersteuningsdocument (4). Op dezelfde dag heeft de Europese Commissie het eerste statistische verslag inzake de uitwisseling via het Europees Strafregister Informatiesysteem (ECRIS) van gegevens uit de strafregisters van de lidstaten vastgesteld, zoals voorzien in artikel 7 van Besluit 2009/316/JBZ van de Raad (5).
2.
 Het voorstel voor een verordening is bedoeld om de uitwisseling van gegevens van TCN en EU-burgers die ook de nationaliteit van een derde land hebben, te verbeteren. Het onderliggende principe van het bestaande ECRIS is dat er informatie over strafrechtelijke veroordelingen van EU-onderdanen kunnen worden verkregen van de lidstaat waarvan de betrokkene de nationaliteit heeft, die alle strafrechtelijke veroordelingen, ongeacht waar in de EU de betrokkene is veroordeeld, opslaat. Voor TCN slaat elke lidstaat de door hem uitgesproken veroordelingen op en als gevolg hiervan dient een verzoek om informatie aan alle lidstaten te worden verzonden. Het beantwoorden van niet-specifieke verzoeken leidt volgens de Commissie tot een administratieve last en hoge kosten indien ECRIS systematisch zou worden gebruikt om informatie over TCN te verkrijgen. lidstaten zijn terughoudend om het systeem te gebruiken — volgens het statistische verslag heeft 10 % van de verzoeken betrekking op TCN (6)- en derhalve is het criminele verleden van de TCN niet beschikbaar zoals voorzien was (7). De verbetering van de effectiviteit van ECRIS met betrekking tot TCN wordt versneld door de Europese veiligheidsagenda (8) en is één van de wetgevingsprioriteiten voor 2017 (9).
3.
Het voorstel voor een verordening vormt een aanvulling op het voorstel van de Commissie van 19 januari 2016 voor een richtlijn betreffende de uitwisseling van informatie over onderdanen van derde landen en betreffende het Europees Strafregister Informatiesysteem (ECRIS), dat Kaderbesluit 2009/315/JBZ van de Raad wijzigt en Besluit 2009/316/JBZ van de Raad vervangt (hierna „het voorstel voor een richtlijn”).
4.
 Beide voorstellen hebben gemeenschappelijk dat zij een systeem instellen om vast te stellen welke lidstaten beschikken over informatie over strafrechtelijke veroordelingen van TCN en EU-burgers die ook de nationaliteit van een derde land hebben. In het voorstel voor een richtlijn werd een gedecentraliseerd systeem beoogd, hetgeen betekent dat er niet één Europese databank met alle relevante informatie zou zijn, maar dat elke lidstaat een indexfilterbestand zou bijhouden. Het bestand zou worden gevoed met informatie over TCN in gecodeerde vorm uit het strafregister van de lidstaten en onder alle lidstaten worden verspreid. De lidstaten zouden vervolgens hun eigen gegevens vergelijken met het bestand en vaststellen, op basis van een „treffer/geen treffer”-systeem welke lidstaten beschikken over informatie over een strafrechtelijke veroordeling van een TCN. Hoewel het voorstel voor een richtlijn voorzag in de verwerking van vingerafdrukken, werd het gebruik van vingerafdrukken beschouwd als één van de mogelijke opties in de Effectbeoordeling 2016, in tegenstelling tot het voorstel voor een verordening, dat het gebruik daarvan verplicht stelt. De Commissie heeft toegelicht dat terroristische aanslagen de ondersteuning voor een systematisch gebruik van vingerafdrukken voor identificatiedoeleinden hebben versneld (10). Nadat het voorstel voor een richtlijn was aangenomen, bleek uit een haalbaarheidsstudie dat er momenteel geen volwassen technologie is voor de één-op-veel-matching van vingerafdrukken met gebruikmaking van versleutelde sjablonen.
5.
 Als reactie op de ondervonden technische problemen, voorziet het voorstel voor een verordening in plaats daarvan in een gecentraliseerd systeem dat alfanumerieke gegevens, vingerafdrukken en gezichtsopnamen van TCN omvat. Alfanumerieke gegevens en vingerafdrukken kunnen worden gebruikt voor de identificatie van TCN en gezichtsopnamen, initieel voor verificatiedoeleinden en, wanneer de technologie volwassen wordt, ook voor identificatie. De „centrale autoriteit” van de veroordelende lidstaat voert de gegevens in in het lokale ECRIS-TCN-systeem, dat deze gegevens doorstuurt naar een centraal Europees systeem. Op basis van een „treffer/geen treffer”-systeem kan de verzoekende lidstaat vaststellen welke lidstaat/lidstaten beschikt/beschikken over informatie over strafrechtelijke vervolgingen van TCN en deze informatie vervolgens opvragen door gebruikmaking van het bestaande ECRIS, zoals verbeterd door het voorstel voor een richtlijn. Wanneer de vingerafdrukken worden gebruikt voor identificatiedoeleinden kunnen ook de corresponderende alfanumerieke gegevens worden verstrekt. De Europese databank wordt toevertrouwd aan eu-LISA en met het oog hierop wijzigt het voorstel voor een verordening Verordening (EU) nr. 1077/2011 inzake eu-LISA.
6.
Voorts wordt de oplossing voor een gecentraliseerd systeem geplaatst in het kader van de beoogde interoperabiliteit van alle informatiesystemen voor veiligheids-, grens- en migratiebeheer. Bij de motivering voor de keuze van een gecentraliseerd systeem wordt de interoperabiliteit zelfs benadrukt, in plaats van de ondervonden technische problemen (11). ECRIS is ook opgenomen in de routekaart van de Raad om informatie-uitwisseling en —beheer te verbeteren en interoperabiliteit te bevorderen (12). De interoperabiliteit met ECRIS wordt ook voorzien in het ETIAS-voorstel (13).
7.
 Zodra de voorstellen op elkaar zijn afgestemd, zijn zij als complementair met elkaar bedoeld. Terwijl het voorstel voor een verordening de kwesties met betrekking tot het gecentraliseerde systeem zou moeten bestrijken, zou het voorstel voor een richtlijn de kwesties van algemene aard in verband met het functioneren van ECRIS voor zowel TCN als EU—onderdanen moeten reguleren (14). De LIBE-Commissie van het Europees Parlement heeft het verslag inzake het voorstel voor een richtlijn in 2016 aangenomen (15), terwijl het conceptverslag inzake het voorstel voor een verordening op 30 oktober 2017 is aangenomen (16). De Raad heeft eerst de onderhandelingen over het voorstel voor een richtlijn opgeschort na een verzoek van de lidstaten aan de Commissie tijdens de Raad van 9 juni 2016 om een voorstel tot instelling van een gecentraliseerd systeem te presenteren (17) en behandelt momenteel beide voorstellen parallel (18).
8.
ECRIS-TCN is een belangrijk initiatief met betrekking tot informatiesystemen op het gebied van vrijheid, veiligheid en recht. De EDPS volgt het dossier vanaf het begin van de onderhandelingen over de instelling van ECRIS. Het eerste advies inzake ECRIS werd gepubliceerd in 2006 (19), zoals destijds vastgesteld door Kaderbesluit 2009/315/JBZ van de Raad, en in 2016 heeft de EDPS in advies 3/2016 het voorstel voor een richtlijn besproken (20).
9.
In beide adviezen heeft de EDPS het belang erkend van een efficiënte uitwisseling van informatie over veroordeelde personen uit strafregisters alsmede de noodzaak van een systeem dat effectief kan werken voor onderdanen van derde landen, in het bijzonder in het kader van de vaststelling van de Europese veiligheidsagenda (21). Dit standpunt blijft ongewijzigd.
10.
 Dit advies bouwt voort op advies 3/2016 en bespreekt bepaalde kwesties die in het voorstel voor een verordening aan de orde komen. Waar nodig, verwijst het advies ook naar het voorstel voor een richtlijn. Vervolgens bespreekt de EDPS in hoofdstuk 2 zijn belangrijkste zorgpunten en worden aanbevelingen gegeven over hoe deze kunnen worden weggenomen. Andere zorgpunten en aanbevelingen voor verdere verbeteringen worden in hoofdstuk 3 beschreven.
3.   CONCLUSIE









66.
Na een zorgvuldige analyse van het voorstel voor ECRIS-TCN doet de EDPS de volgende aanbevelingen:












67.
De EDPS adviseert om bij de instelling van een nieuwe centrale Europese databank en de wijziging van de bestaande ECRIS-wetgeving rekening te houden met de eisen van het Europese handvest van de grondrechten om een wettige restrictie van de grondrechten te verzekeren en een voldoende niveau van bescherming van persoonsgegevens te bieden in het kader van een voorstel voor een verordening.
68.
De EDPS wijst in het bijzonder op de noodzaak om objectief bewijs te leveren van de noodzaak om een gecentraliseerd systeem op Europees niveau in te richten. In dit verband dient de interoperabiliteit eerst te worden beoordeeld op haar effect op de grondrechten en dienen de doeleinden ervan duidelijk te worden beschreven, samen met de doelstellingen van ECRIS. Een passende effectbeoordeling inzake de grondrechten op privacy en gegevensbescherming alsmede inzake de concentratie van alle systemen in één orgaan dient het voorstel voor een verordening met betrekking tot dit aspect te vergezellen.
69.
 De instelling van een nieuwe centrale Europese databank en de wijziging van de bestaande ECRIS-wetgeving dienen te voldoen aan de eisen voor de wettige restrictie van de grondrechten in overeenstemming met vaste jurisprudentie. Met het oog hierop dienen de doeleinden van de gegevensverwerking anders dan voor de strafrechtelijke procedures waarvoor ECRIS en ECRIS-TCN zijn voorzien, te worden beoordeeld uit het oogpunt van hun noodzaak en evenredigheid en duidelijk te worden omschreven, in lijn met het gegevensbeschermingsbeginsel van doelbinding. Daarnaast dient de toegang tot ECRIS-TCN door Unie-organen zoals Europol in overeenstemming te zijn met de doelstelling van het huidige ECRIS en het recht op gelijke behandeling van EU-onderdanen en TCN en te worden beperkt tot de taken binnen hun mandaat waarvoor de toegang strikt noodzakelijk is. Een voorgenomen verbreding van de huidige doelstellingen dient te worden geïmplementeerd door een inhoudelijke bepaling (een overweging alleen is niet genoeg).
70.
Aangezien ECRIS-TCN de verwerking van persoonsgegevens die zeer gevoelig van aard zijn met zich meebrengt, adviseert de EDPS om gepaste voorwaarden voor de verwerking van persoonsgegevens op te nemen in lijn met het noodzakelijkheidsbeginsel: er zou alleen een „treffer” mogen worden gegenereerd, wanneer het voor de aangezochte lidstaat op grond van zijn nationale recht is toegestaan om informatie over strafrechtelijke veroordelingen te verstrekken voor andere doeleinden dan strafrechtelijke procedures. De verwerking van vingerafdrukken dient beperkt van omvang te zijn en alleen plaats te vinden wanneer de identiteit van een bepaalde TCN niet op andere wijze kan worden vastgesteld. Voor wat betreft gezichtsafbeeldingen adviseert de EDPS om een op bewijsmateriaal gebaseerde beoordeling van de noodzaak tot invoer van dergelijke gegevens en het gebruik daarvan voor verificatie- en/of identificatiedoeleinden uit te voeren of beschikbaar te stellen.
71.
 Ook dienen eu-LISA en de centrale autoriteiten van de lidstaat als gezamenlijke verwerkingsverantwoordelijken te worden aangewezen, aangezien zij de verantwoordelijkheid voor de omschrijving van de doeleinden en middelen voor de beoogde verwerkingsactiviteiten delen. De aanwijzing van eu-LISA als verwerker zou de status quo niet goed tot uiting brengen en niet bevorderlijk zijn om een hoog niveau van gegevensbescherming te waarborgen of de legitieme belangen van de lidstaten te dienen. Daarnaast dient het ECRIS-TCN-voorstel duidelijk te vermelden dat eu-LISA aansprakelijk is voor een overtreding van dit voorstel voor een verordening of van Verordening (EG) nr. 45/2001.
72.
Naast de hierboven genoemde belangrijkste zorgpunten hebben de aanbevelingen van de EDPS in dit advies betrekking op verbeteringen van de voorgestelde bepalingen met betrekking tot:






—


verwijzingen naar de toepasselijkheid van Richtlijn (EU) 2016/680 en Verordening (EG) nr. 45/2001;










—


de rechten van de betrokkenen;










—


statistieken, centrale bewaarplaats en monitoring;










—


gegevensbeveiliging;










—


de rol van de EDPS;










—


nationale toezichthoudende autoriteiten
















73.
De EDPS blijft beschikbaar voor verder advies over het voorstel voor een verordening en voor een richtlijn, ook met betrekking tot een gedelegeerde of uitvoeringshandeling die zou kunnen worden aangenomen op grond van de voorgestelde instrumenten, en met betrekking tot de verwerking van persoonsgegevens.
Gedaan te Brussel, 12 december 2017.
Giovanni BUTTARELLI

Europese Toezichthouder voor gegevensbescherming





(1)  PB L 93 van 7.4.2009, blz. 23.
(2)  PB L 8 van 12.1.2001, blz. 1.
(3)  COM(2017) 344 final.
(4)  COM(2017) 248 final.
(5)  COM(2017) 341 final. Dit verslag gaat vergezeld van een werkdocument van de diensten van de Commissie, SWD(2017) 242 final.
(6)  COM(2017) 341 final, blz. 15.
(7)  Toelichting op het voorstel, COM(2017) 344 final, blz. 2.
(8)  COM(2015) 185 final.
 (9)  Gezamenlijke verklaring over de wetgevingsprioriteiten van de EU voor 2017, https://ec.europa.eu/commission/sites/beta-political/files/joint-declaration-legislative-priorities-2017-jan2017_nl.pdf

(10)  Toelichting op het voorstel, COM(2017) 344 final, blz. 3; Bijbehorend Analytisch Ondersteuningsdocument, SWD (2017) 248 final, blz. 3.
(11)  Toelichting op het voorstel, COM(2017) 344 final, blz. 3.
(12)  Routekaart voor het verbeteren van informatie-uitwisseling en informatiebeheer op het gebied van justitie en binnenlandse zaken, onder meer door middel van interoperabiliteitsoplossingen, 9368/1/16, http://data.consilium.europa.eu/doc/document/ST-9368-2016-REV-1/nl/pdf; eerste verslag van de Raad van 8 november 2016, http://statewatch.org/news/2016/dec/eu-council-info-exhang-interop-sop-13554-REV-1-16.pdf; tweede verslag van de Raad van 11 mei 2017, http://www.statewatch.org/news/2017/may/eu-council-information-management-strategy-second-implementation-report-8433-17.pdf

(13)  COM(2016) 731 final.
(14)  Toelichting op het voorstel, COM(2017) 344 final, blz. 4.
(15)  A8-0219/2016.
(16)  PE 612.310v01-00.
(17)  Uitkomst van de vergadering van de Raad (JBZ), 9979/16, http://data.consilium.europa.eu/doc/document/ST-9979-2016-INIT/en/pdf

(18)  Zie de agenda van Coreper op 29 november 2017, http://data.consilium.europa.eu/doc/document/CM-5236-2017-INIT/en/pdf

(19)  Advies van de Europese Toezichthouder voor gegevensbescherming over het voorstel voor een kaderbesluit van de Raad betreffende de organisatie en de inhoud van uitwisselingen van gegevens uit het strafregister tussen de lidstaten (COM(2005) 690 definitief) (PB C 313 van 20.12.2006, blz. 26) https://edps.europa.eu/sites/edp/files/publication/06-05-29_criminal_records_nl.pdf

(20)  Advies 3/2016 van de Europese Toezichthouder voor gegevensbescherming over ECRIS, https://edps.europa.eu/sites/edp/files/publication/16-04-13_ecris_en.pdf

(21)  Advies 3/2016 van de Europese Toezichthouder voor gegevensbescherming over ECRIS, blz. 12 met verdere verwijzing 38 naar het advies van de Europese Toezichthouder voor gegevensbescherming van 2006.
