Stanovisko Evropského inspektora ochrany údajů k návrhu rozhodnutí Rady o zřízení, provozu a využívání Schengenského informačního systému druhé generace (SIS II) (KOM(2005)230 v konečném znění), k návrhu nařízení Evropského parlamentu a Rady o zřízení, provozu a využívání Schengenského informačního systému druhé generace (SIS II) (KOM(2005)236 v konečném znění) a k návrhu nařízení Evropského parlamentu a Rady o přístupu subjektů odpovědných za vydávání osvědčení o registraci vozidel v členských státech k Schengenskému informačnímu systému druhé generace (SIS II) (KOM(2005)237 v konečném znění)
Gronden voor toegang Over de toegang van Europol en Eurojust tot bepaalde SIS- gegevens is reeds gesproken voordat deze werden opge- nomen in het besluit van de Raad van 24 februari 2005 (1). Van alle autoriteiten die voor hun eigen doeleinden toegang hebben, genieten zij de meest ruime toegang. Hoewel het gebruik van deze gegevens wordt omschreven in hoofdstuk XII van het besluit, zijn de gronden voor toegang niet voldoende uitgewerkt. Dat geldt des te meer omdat de taken van Europol en Eurojust waarschijnlijk met de tijd zullen evolueren. De EDPS verzoekt de Commissie met klem om de taken waarvoor toegang van Europol en Eurojust gerechtvaardigd is, restrictief te omschrijven. b. Restrictie van gegevens Om „fishing expeditions” van Europol en Eurojust te vermijden, en om ervoor te zorgen dat zij alleen toegang krijgen tot de gegevens „die nodig zijn om hun taken te vervullen”, heeft de GCA in haar advies van 27 september 2005 over de SIS II-voorstellen de suggestie gedaan om de toegang van Europol en Eurojust te beperken tot gegevens over personen wier naam al in hun bestanden staat. Aldus (1) Besluit 2005/211/JBZ van de Raad van 24 februari 2005 betref- fende de invoering van enkele nieuwe functies in het Schengeninfor- matiesysteem, inclusief bij de bestrijding van terrorisme (PB L 68 van 15. 3. 2005, blz. 44). zou worden gewaarborgd dat alleen signaleringen die voor hen relevant zijn, kunnen worden geraadpleegd. De EDPS onderschrijft deze aanbeveling. c. Beveiligingsaspecten De EDPS is ingenomen met de verplichting om alle transac- ties in verband met Europol en Eurojust op te slaan, alsmede met het verbod om delen van het systeem te kopiëren of te downloaden. Artikel 56 van het voorstel voor een besluit beoogt „één of twee” toegangspunten voor Europol en Eurojust. Hoe begrij- pelijk het ook kan zijn dat een lidstaat vanwege de gedecen- traliseerde structuur van zijn bevoegde autoriteiten meer dan één toegangspunt nodig heeft, de status en de activi- teiten van Europol en Eurojust rechtvaardigen dit niet. Opgemerkt zij tevens dat, uit het oogpunt van de veiligheid, een verhoging van het aantal toegangspunten het gevaar van misbruik doet toenemen, en derhalve met consistentere elementen moet worden gerechtvaardigd. Bij gebreke van overtuigende argumenten stelt de EDPS derhalve voor om Europol en Eurojust slechts één toegangspunt te verlenen. 4. 3.  Koppeling van signaleringen Artikel 26 van de verordening en artikel 46 van het besluit bepalen dat een lidstaat signaleringen overeenkomstig zijn nationale wetgeving kan koppelen, om twee of meer signale- ringen met elkaar te verbinden. Hoewel koppeling van signaleringen nuttig kan zijn voor controles (zo kan een aanhoudingsbevel voor een autodief worden gekoppeld aan een gestolen voertuig), gaat het hier om een typisch kenmerk van een politieel onderzoeksinstrument. gezochte personen, Koppeling van signaleringen kan een belangrijk effect hebben op de rechten van de betrokkene, omdat die niet langer wordt „beoordeeld” op basis van de hem betreffende gegevens, maar op basis van mogelijke associatie met andere personen. Personen wier gegevens gekoppeld zijn aan die van misdadigers of zullen waarschijnlijk met meer wantrouwen worden bejegend dan andere. Koppeling van signaleringen komt bovendien neer op uitbreiding van de onderzoeksbevoegdheden van het SIS, omdat daardoor de regi- stratie van vermeende bendes of netwerken mogelijk wordt (indien bijvoorbeeld gegevens over illegale immigranten worden gekoppeld aan gegevens over mensenhandelaars). Tenslotte heeft koppeling van signaleringen, aangezien daarop de natio- nale wetgeving van toepassing is, mogelijkerwijs tot gevolg dat een koppeling die in één lidstaat als illegaal wordt aangemerkt, door een andere lidstaat wel kan worden bewerkstelligd, en dat aldus „illegale” gegevens in het systeem worden opgenomen. 19. 4. 2006 NL Publicatieblad van de Europese Unie C 91/47 In de conclusies van de Raad van 14 juni 2004 over de aan SIS II te stellen functie-eisen wordt gesteld dat elke koppeling duidelijk moet beantwoorden aan operationele behoeften, het evenredigheidsbeginsel moet eerbiedigen en moet berusten op een duidelijk omschreven verband. Bovendien mag koppeling geen afbreuk doen aan de toegangsrechten. Hoe het ook zij, koppeling van signaleringen moet, aangezien het om een verwerking gaat, in overeenstemming zijn met de nationale wetgeving ter uitvoering van Richtlijn 95/46/EG en/of Verdrag 108. De verbeteringen zijn gelegen in een preciezere omschrijving van de gronden voor opneming van gegevens. De huidige redactie van de Schengenuitvoeringsovereenkomst heeft geleid tot aanzienlijke verschillen tussen de lidstaten wat betreft het aantal op grond van artikel 96 SUO gesignaleerde personen. De GCA Schengen heeft een alomvattende studie (1) terzake verricht en aanbevolen dat „de beleidsmakers zouden moeten overwegen om de gronden voor opneming van signaleringen in de afzonderlijke Schengenstaten te harmoniseren”.  In de voorstellen wordt herhaald dat het bestaan van koppe- lingen geen afbreuk mag doen aan de toegangsrechten (anders zou toegang worden verleend tot gegevens waarvan de verwer- king overeenkomstig de nationale wetgeving onwettig is, wat in strijd is met artikel 6 van de richtlijn). De EDPS wijst op het belang van een strikte uitlegging van artikel 26 van het verordeningsvoorstel en van artikel 46 van het voorstel voor een besluit: dit kan worden gewaarborgd door duidelijk te stellen dat autoriteiten die geen toegang hebben tot bepaalde categorieën van gegevens, evenmin toegang mogen hebben tot koppelingen met die categorieën, en zelfs niet op de hoogte mogen zijn van het bestaan van deze koppelingen. Koppelingen mogen niet zichtbaar zijn wanneer er geen recht van toegang is tot de gekoppelde gegevens. Bovendien zou de EDPS willen worden geraadpleegd over de technische maatregelen om een en ander te waarborgen. 4. 4. Signaleringen ter fine van weigering van toegang 4. 4. 1. Gronden voor opneming Het gebruik van „signaleringen van onderdanen van derde landen ter fine van weigering van toegang” (artikel 15 van de verordening) heeft een beduidende weerslag op de vrijheden van de betrokkene: een op grond van deze bepaling gesigna- jaren geen leerde persoon heeft gedurende verscheidene toegang meer tot het Schengengebied. Het betreft tot dusverre de meest voorkomende signalering wat betreft het aantal gesig- naleerde personen. Gezien de gevolgen van deze signaleringsca- tegorie en het aantal betrokken personen, moet uiterst zorg- vuldig te werk worden gegaan bij de invulling en de uitvoering ervan. Hoewel dat ook voor de andere signaleringscategorieën geldt, zal de EDPS een specifiek hoofdstuk wijden aan deze signaleringscategorie, omdat zij specifieke problemen doet rijzen in verband met de gronden voor opneming. De nieuwe signalering ter fine van weigering van toegang houdt verbeteringen in ten opzichte van de huidige situatie, maar is ook niet volledig bevredigend, omdat zij goeddeels gebaseerd is op instrumenten die nog niet zijn aangenomen, of zelfs nog niet zijn ingediend. Het voorgestelde artikel 15 is gedetailleerder, wat positief moet worden onthaald. Bovendien bevat artikel 15, lid 2, een opsomming van gevallen waarin personen niet kunnen worden gesignaleerd, omdat ze, op grond van verschillende statussen, legaal op het grondgebied van een lidstaat verblijven. Hoewel dat al uit de huidige Schen- genuitvoeringsovereenkomst kon worden afgeleid, heeft de praktijk aangetoond dat de toepassing van dit mechanisme onderhevig is aan variatie tussen de lidstaten.  Verduidelijking is dan ook een positief element. De bovengenoemde bepaling staat echter ook bloot aan seri- euze kritiek, omdat zij voor een groot deel gebaseerd is op een nog niet aangenomen tekst, namelijk de richtlijn betreffende terugkeer. Na de aanname van de SIS II-voorstellen heeft de Commissie (op 1 september 2005) een richtlijn ingediend over gemeen- schappelijke normen en procedures in de lidstaten voor de terugkeer van onderdanen van derde landen die illegaal op hun grondgebied verblijven; zolang deze tekst evenwel niet definitief is, kan hij niet worden beschouwd als geldige grondslag voor de opneming van gegevens in een systeem. De richtlijn druist met name in tegen artikel 8 EVRM, omdat inmenging in de persoonlijke levenssfeer van personen gerechtvaardigd moet worden met — onder meer — een duidelijke en toegankelijke wetgeving. De EDPS verzoekt de Commissie dan ook met klem deze bepa- ling in te trekken, dan wel op grond van de bestaande wetge- ving zo te herformuleren dat de betrokkene kan vernemen welke maatregelen de autoriteiten precies jegens hem kunnen nemen. 4. 4. 2. Toegang tot de in artikel 15 bedoelde signaleringen Artikel 18 bepaalt welke autoriteiten toegang hebben tot deze signaleringen, en voor welke doeleinden. In de leden 1 en 2 van artikel 18 wordt bepaald welke autoriteiten toegang hebben tot de op grond van de richtlijn betreffende terugkeer opgenomen signaleringen. Verwezen wordt naar de opmer- kingen hierboven. (1) Verslag van de gemeenschappelijke controleautoriteit van Schengen over een inspectie van het gebruik van de in artikel 96 bedoelde signaleringen in het Schengeninformatiesysteem, Brussel, 20 juni 2005. C 91/48 NL Publicatieblad van de Europese Unie 19. 4. 2006 Artikel 18, lid 3, van het verordeningsvoorstel verleent toegang aan de voor toekenning van de vluchtelingenstatus bevoegde autoriteiten uit hoofde van een richtlijn die zelfs nog niet is ingediend. Bij gebreke van een beschikbare tekst verwijst de EDPS naar de opmerkingen hierboven. Signalering in het SIS kan aanzienlijke gevolgen met zich mee brengen voor het leven van de betrokkenen. Dat is met name zorgwekkend in het geval van signalering van personen ter fine van onopvallende of gerichte controle, omdat deze signale- ringen op basis van vermoedens kunnen worden opgenomen. 4. 4. 3. Bewaartermijn van de in artikel 15 bedoelde signaleringen Volgens artikel 20 mag de signalering slechts worden bewaard gedurende de periode van weigering van toegang die is vastge- steld in de beslissing (tot verwijdering of terugkeer).  Dit stemt overeen met de gegevensbeschermingsregels. Bovendien wordt de signalering na vijf jaar automatisch verwijderd, tenzij de lidstaat die de gegevens in SIS II heeft opgenomen, anders beslist. Passend toezicht op nationaal niveau moet ervoor zorgen dat de bewaartermijn niet automatisch wordt verlengd wanneer dit niet gerechtvaardigd is, en dat de lidstaten de gegevens vóór het verstrijken van de termijn van vijf jaar verwijderen, indien de periode van weigering van toegang korter is. 4. 5. Bewaartermijnen Hoewel het beginsel van bewaring hetzelfde blijft (als algemene regel geldt dat een signalering uit SIS II moet worden verwij- derd zodra de in de signalering gevraagde maatregel is genomen), vloeit uit de voorstellen voort dat de bewaartermijn voor signaleringen in het algemeen is verlengd. In de Schengenuitvoeringsovereenkomst is bepaald dat uiterlijk drie jaar (of één jaar, in het geval van ter fine van onopvallende controle opgenomen gegevens) na de opneming van de gege- vens wordt getoetst of verdere opslag nodig is. De nieuwe voor- stellen voorzien in automatische verwijdering (met de mogelijk- heid van verzet van de signalerende lidstaat) na 5 jaar voor immigratiegegevens, na 10 jaar voor gegevens inzake aanhou- ding, vermiste personen en personen die in het kader van een gerechtelijke procedure worden gezocht, en na 3 jaar voor personen die moeten worden onderworpen aan onopvallende controle. De EDPS wil een gegronde reden voor de verlenging van de bewaartermijnen. Indien hiervoor geen overtuigende rechtvaar- diging kan worden gegeven, stelt hij voor deze termijnen tot hun huidige duur te herleiden, met name in het geval van signaleringen ter fine van onopvallende of gerichte controle. 4. 6. Toegang van de autoriteiten die belast zijn met de afgifte van voertuigkentekenbewijzen Het belangrijkste vraagstuk houdt verband met de keuze van een meer dan twijfelachtige rechtsgrondslag. De Commissie slaagt er niet in de EDPS te overtuigen van het gebruik van een rechtsgrondslag van de eerste pijler in verband met „vervoer” voor een maatregel die ertoe strekt bestuurlijke autoriteiten toegang tot het SIS te verlenen met het oog op de preventie en de bestrijding van criminaliteit (smokkel van gestolen voer- tuigen). De noodzaak van een gegronde reden en een solide rechtsgrondslag voor het verlenen van toegang tot SIS II wordt uiteengezet in punt 4. 2. 2 van dit advies. De EDPS verwijst naar de opmerkingen vervat in het advies van de GCA Schengen over de voorgestelde rechtsgrondslag voor SIS II.  Met name het voorstel van de GCA Schengen om het voorstel voor een besluit te wijzigen teneinde er deze toegang in op te nemen, verdient aanbeveling. 5. ROL VAN DE COMMISSIE EN DE LIDSTATEN Een duidelijke omschrijving en toewijzing van verantwoorde- lijkheden in het kader van SIS II is van het allergrootste belang, niet alleen voor de goede werking van het systeem, maar ook uit het oogpunt van toezicht. De bevoegdheidsverdeling op het gebied van het toezicht vloeit voort uit de omschrijving van de verantwoordelijkheden; absolute duidelijkheid is dan ook een noodzaak. 5. 1. Rol van de Commissie Ofschoon de lidstaten de gegevens in beginsel moeten verwij- deren wanneer het doel van de signalering is verwezenlijkt, wordt de maximale bewaartermijn aanzienlijk verlengd (in de meeste gevallen is die drie keer zo lang), zonder enige motive- ring van de Commissie. Wat de immigratiegegevens betreft, kan men alleen maar gissen dat de termijn van 5 jaar gekop- peld is aan de periode van weigering van toegang die in de ontwerp-richtlijn betreffende terugkeer wordt voorgesteld. In alle andere gevallen is niet in te zien waarom de termijn is verlengd. De EDPS is ingenomen met hoofdstuk III van beide voorstellen, waarin de rol en de verantwoordelijkheden van de Commissie in het kader van SIS II (als een rol van „operationeel beheer”) worden omschreven. Die verduidelijking blijft in het VIS-voor- stel achterwege. De rol van de Commissie wordt evenwel niet uitsluitend in hoofdstuk III bepaald. Zoals reeds besproken in hoofdstuk 9 van dit advies, is de Commissie via de comitologie- procedure tevens betrokken bij de uitvoering en het beheer van het systeem. 19. 4. 2006 NL Publicatieblad van de Europese Unie C 91/49 Wat gegevensbescherming betreft, heeft de Commissie een rol die al in het kader van het VIS en Eurodac is erkend, namelijk de rol van verantwoordelijke voor het operationele beheer. Samen met haar belangrijke rol op het vlak van de ontwikke- ling en het onderhoud van het systeem, moet deze rol worden beschouwd als de rol van een toezichthouder sui generis. Zoals vermeld in het advies van de EDPS over het VIS, houdt dit veel meer in dan de taak van een gegevensverwerker, maar is het tegelijk beperkter dan de taak van een normale toezichthouder, doordat de Commissie geen toegang heeft tot de in het SIS II verwerkte gegevens.  Aangezien SIS II gebaseerd zal zijn op complexe systemen, waarvan sommige berusten op nieuwe technologieën, dringt de EDPS aan op een grotere verantwoordelijkheid van de Commissie voor het up-to-date houden van de systemen door de beste beschikbare technologie in verband met beveiliging en gegevensbescherming toe te passen. In artikel 12 van de voorstellen dient derhalve te worden toege- voegd dat de Commissie regelmatig voorstellen moet doen voor de implementatie van nieuwe technologieën die beantwoorden aan de jongste stand van de techniek op dit gebied, de gege- vensbescherming en veiligheidsniveaus zullen verbeteren en de taken van de nationale autoriteiten die toegang hebben tot deze gegevens, zullen vergemakkelijken. 5. 2. Rol van de lidstaten De situatie van de lidstaten is niet echt duidelijk, omdat moei- lijk uit te maken valt welke autoriteiten zullen fungeren als toezichthouder. In de voorstellen wordt een omschrijving gegeven van de rol van de nationale SIS II-instantie (zorgen voor toegang van de bevoegde autoriteiten tot SIS II) en van de Sirene-autoriteit (zorgen voor de uitwisseling van alle aanvullende informatie). De lidstaten moeten tevens zorgen voor de werking en de beveiliging van hun „NS” („Nationaal Systeem”). Het is niet duidelijk of laatstgenoemde verantwoordelijkheid door één van de bovengenoemde autoriteiten moet worden gedragen. In ieder geval dient een en ander te worden verduidelijkt. Wat gegevensbescherming betreft, moeten de Commissie en de lidstaten als één toezichthouder worden beschouwd, zij het elk met specifieke verantwoordelijkheden. Erkenning van deze complementaire taken is de enige weg naar volledig toezicht op alle SIS II-activiteiten. 6. RECHTEN VAN DE BETROKKENE 6. 1. Informatie 6. 1. 1. Verordeningsvoorstel op artikel 10 van Richtlijn 95/46. Dit is een wijziging ten goede, want de Schengenuitvoeringsovereenkomst voorziet niet uitdrukkelijk in een recht van informatie. De volgende punten zijn evenwel voor verbetering vatbaar. Er moet informatie worden toegevoegd aan de lijst: dat zou bijdragen tot een eerlijke behandeling van de betrokkene (1). Die informatie heeft betrekking op de bewaartermijn van de gegevens, het bestaan van het recht om een besluit tot opne- ming van een signalering te laten toetsen of daartegen beroep in te stellen (in sommige gevallen, zie artikel 15, lid 3, van het verordeningsvoorstel), de mogelijkheid om bijgestaan te worden door de gegevensbeschermingsautoriteit, en het bestaan van rechtsmiddelen. Het verordeningsvoorstel bevat geen aanwijzingen omtrent het tijdstip waarop de informatie moet worden verstrekt.  Daardoor zou het voor de betrokkene onmogelijk kunnen zijn om zijn rechten te doen gelden Om deze rechten te kunnen doen gelden, dient de verordening te voorzien in een tijdstip waarop de informatie moet worden verstrekt, een tijdstip dat afhanke- lijk is van de signalerende autoriteit. Een praktische oplossing zou erin bestaan informatie over de signalering op te nemen in het besluit dat aan de signalering ten grondslag ligt: een rechterlijke of administratieve beslissing die wordt gerechtvaardigd door een gevaar voor de openbare orde (…), een terugkeerbesluit of een uitzettingsbevel gepaard gaand met een verbod om het land opnieuw binnen te komen. Bovenstaande informatie moet worden toegevoegd aan artikel 28 van de verordening. 6. 1. 2. Voorgestelde besluit In artikel 50 van het besluit wordt bepaald dat informatie wordt verstrekt op verzoek van de persoon van wie gegevens worden verwerkt (de betrokkene), en worden de mogelijke gronden voor het weigeren van informatie genoemd. Gezien de aard van de gegevens en de context waarin deze worden verwerkt, valt het natuurlijk te begrijpen dat aan dit recht beperkingen worden gesteld. Het recht van informatie mag echter niet afhankelijk worden gemaakt van een verzoek van de betrokkene (eigenlijk zou een verzoek om toegang eerder zo moeten worden gedefinieerd). Er kan worden verondersteld dat het gerechtvaardigd is om infor- matie te „verzoeken” in de gevallen waarin de betrokkene niet kan worden geïnformeerd omdat niet bekend is waar hij zich bevindt. Dit zou beter worden aangepakt door een uitzondering op het recht van informatie toe te voegen in gevallen waarin het verstrekken van informatie onmogelijk is of een buitensporige inspanning vergt. Artikel 50 van het besluit moet dienovereen- komstig worden gewijzigd. Artikel 28 van het verordeningsvoorstel voorziet in het recht van informatie van de betrokkene, en is voornamelijk gebaseerd (1) Zie het advies van de EDPS over het visuminformatiesysteem, punt 3. 10. 1. C 91/50 NL Publicatieblad van de Europese Unie 19. 4. 2006 Deze oplossing zou ook stroken met de toepassing van het ontwerp-kaderbesluit over gegevensbescherming in het kader van de derde pijler. een administratieve autoriteit is vastgesteld, te laten toetsen door of daartegen beroep in te stellen bij een justitiële autori- teit. In vergelijking met de huidige Schengenovereenkomst is dit een welkome toevoeging. 6. 2. Toegang Het is positief te noemen dat zowel in het verordeningsvoorstel als in het voorgestelde besluit termijnen worden opgelegd voor het beantwoorden van verzoeken om toegang.  Aangezien de procedure voor de uitoefening van het recht van toegang op nationaal niveau is gedefinieerd, kan echter de vraag worden gesteld hoe de termijnen die in deze voorstellen worden opge- legd, in de bestaande procedures kunnen worden ingepast, met name indien in bepaalde lidstaten kortere termijnen van toepas- sing zijn voor de beantwoording van een verzoek om toegang. Er moet duidelijk worden gemaakt dat de termijnen die het meest in het voordeel van de betrokkene zijn, moeten worden toegepast. 6. 2. 1. Verordeningsvoorstel Opgemerkt zij dat de huidige beperkingen op het recht van („wordt geweigerd, toegang in de Schengenovereenkomst wanneer dat voor de uitoefening van een rechtmatige taak in verband met de in SIS II opgenomen gegevens of ter bescher- ming van de rechten en vrijheden van de betrokken persoon of van derden onontbeerlijk is”) niet in het verordeningsvoorstel zijn opgenomen. Dit is echter wellicht het gevolg van de toepasselijkheid van Richtlijn 95/46/EG, die (in artikel 13) in de mogelijkheid van uitzonderingen in de nationale wetgeving voorziet. In elk geval moet worden aangetekend dat het gebruik van artikel 13 in de nationale wetgeving met het oog op het beperken van het recht van toegang steeds in overeenstemming moet zijn met artikel 8 EVRM en slechts in een beperkt aantal gevallen kan worden toegepast. Hiermee wordt kracht bijgezet aan de noodzaak om de betrok- kene tijdig volledig te informeren, zoals gesteld in punt 6. 1 hierboven: zonder deze informatie zou dit nieuwe recht inhoudsloos blijven. 6. 4. Rechtsmiddelen In artikel 30 van het verordeningsvoorstel alsmede in artikel 52 van het voorgestelde besluit wordt bepaald dat eenieder het recht heeft op het grondgebied van een lidstaat een rechtsvor- dering in te stellen of een klacht in te dienen indien hem het recht is ontzegd om toegang te krijgen tot de hem betreffende gegevens of om deze gegevens te laten rechtzetten of verwij- deren of om informatie of schadevergoeding te krijgen. De gekozen formulering („Eenieder heeft het recht op het grondgebied van een lidstaat…”) suggereert dat de eiser fysiek op het grondgebied aanwezig moet zijn om een rechtsvorde- ring te kunnen instellen. Deze territoriale beperking is niet gerechtvaardigd en kan afbreuk doen aan de efficiëntie van het recht op rechtsmiddelen, aangezien het voor de hand ligt dat in instellen vele gevallen de eiser juist een rechtsvordering zal omdat hem geen toegang tot het Schengengrondgebied wordt verleend.  Wat het verordeningsvoorstel betreft, moet, aangezien de richtlijn de lex generalis is, rekening worden gehouden met artikel 22 van de richtlijn; daarin wordt bepaald dat „eenieder” recht op rechtsmiddelen heeft, ongeacht zijn of haar het verblijfplaats. Het voorgestelde kaderbesluit bevat evenmin een territoriale beperking. De EDPS stelt voor om de territoriale beperking in artikel 30 en in artikel 52 te schrappen. 6. 2. 2. Voorgestelde besluit 7. TOEZICHT In het voorgestelde besluit wordt de beperking van het recht van toegang uit de Schengenovereenkomst overgenomen. Het voorstel voor het kaderbesluit bevat in essentie dezelfde beper- kingen van het recht van toegang; op dit punt zal de aanne- instrument bijgevolg geen significant verschil ming van dit uitmaken. Aangezien de toegang tot wetshandhavingsgegevens in verschil- lende lidstaten „indirect” is (dit betekent dat deze toegang wordt uitgeoefend via de nationale gegevensbeschermingsautoriteit), zou moeten worden voorzien in de verplichting dat de gege- vensbeschermingsautoriteiten actief samenwerken bij de uitoe- fening van het recht van toegang. 6. 3. Recht om de beslissing tot opneming van een signale- ring te laten toetsen of daartegen beroep in te stellen 7. 1. Inleiding: gedeelde verantwoordelijkheden In de voorstellen wordt de toezichthoudende taak over de nationale controleautoriteiten (1) en de EDPS verdeeld, elk voor wat hun eigen bevoegdheden betreft. Dit strookt met de wijze waarop in de voorstellen de toepasselijke wetgeving en de verantwoordelijkheden voor de werking en het gebruik van het SIS II worden benaderd, en met de noodzaak van een doeltref- fend toezicht. De EDPS juicht daarom deze benadering in artikel 31 van het verordeningsvoorstel en in artikel 53 van het voorgestelde besluit toe. Voor een beter begrip en ter verduidelijking van de respectieve taken stelt de EDPS echter voor om elk artikel op te splitsen in verschillende leden, die elk gewijd zijn aan een bepaald niveau van toezicht, naar analogie van het VIS-voor- stel. In artikel 15, lid 3, van de verordening is het recht opgenomen om een beslissing om een signalering op te nemen die door (1) De controleautoriteiten van Europol en Eurojust spelen ook een rol, zij het in mindere mate. 19. 4. 2006 NL Publicatieblad van de Europese Unie C 91/51 7. 2. Toezicht door de nationale gegevensbeschermingsau- 7. 4.  Gemeenschappelijk toezicht toriteiten Op grond van artikel 31 van het verordeningsvoorstel en artikel 53 van het voorgestelde besluit moet elke lidstaat ervoor zorgen dat een onafhankelijke autoriteit toezicht houdt op de rechtmatigheid van de verwerking van SIS II-persoonsgegevens. In artikel 53 van het voorgestelde besluit wordt daaraan toege- voegd dat eenieder het recht heeft de controleautoriteiten te verzoeken de rechtmatigheid van de verwerking van de hem betreffende gegevens te toetsen. Een vergelijkbare bepaling is niet opgenomen in het verordeningsvoorstel, aangezien de richtlijn van toepassing is als lex generalis. Er moet derhalve van worden uitgegaan dat de nationale gegevensbeschermingsauto- riteiten met betrekking tot het SIS II alle bevoegdheden kunnen uitoefenen die hen in artikel 28 van Richtlijn 95/46/EG worden toegedeeld, met inbegrip van het toezicht op de rechtmatigheid van de gegevensverwerking. Artikel 31, lid 1, van de verorde- ning vormt een verduidelijking van hun taken, maar kan geen beperking van deze bevoegdheden inhouden. De erkenning van deze bevoegdheden moet in de tekst van het verordeningsvoor- stel worden verduidelijkt. In vergelijking met het voorgestelde besluit worden in het verordeningsvoorstel uitvoeriger taken van de nationale contro- leautoriteiten erkend, omdat de lex generalis anders is. Een situ- atie waarin de controleautoriteiten verschillende taken en bevoegdheden hebben al naargelang de categorie gegevens die worden verwerkt, is echter niet deugelijk en valt in de praktijk zeer moeilijk te beheren. Een dergelijke situatie moet derhalve worden voorkomen, hetzij door deze autoriteiten dezelfde bevoegdheden toe te delen in de tekst van het voorgestelde besluit, hetzij door naar een andere lex generalis te verwijzen (namelijk het kaderbesluit over gegevensbescherming in het kader van de derde pijler) waarin de gegevensbeschermingsau- toriteiten meer bevoegdheden wordt gegeven. In de voorstellen wordt ook erkend dat de controleactiviteiten van de verschillende betrokken autoriteiten moeten worden gecoördineerd. In artikel 31 van het verordeningsvoorstel en in artikel 53 van het voorgestelde besluit wordt het volgende „De nationale controleautoriteiten en de Europese bepaald: toezichthouder gegevensbescherming werken actief samen. De Europese toezichthouder voor gegevensbescherming belegt daartoe minstens eenmaal per jaar een vergadering”. voor De EDPS is verheugd over dit voorstel, dat de noodzakelijke elementen in zich draagt om te zorgen voor samenwerking — die inderdaad van cruciaal belang is — tussen de autoriteiten die op nationaal en op Europees niveau met toezicht zijn belast.  Beklemtoond zij dat in de voorstellen weliswaar wordt bepaald dat ten minste eenmaal per jaar een vergadering plaats- vindt, maar dit moet als een minimum worden beschouwd. Deze bepalingen (artikel 31 van het verordeningsvoorstel en artikel 53 van het voorgestelde besluit) behoeven echter verdui- delijking met betrekking tot de inhoud van die coördinatie. De bestaande GCA is bevoegd om moeilijkheden bij de uitlegging of toepassing van de Schengenovereenkomst te behandelen, zich te buigen over problemen die zich kunnen voordoen bij de uitoefening van onafhankelijk toezicht of van het recht van toegang, en om geharmoniseerde voorstellen te doen voor gemeenschappelijke probleemoplossing. De nieuwe voorstellen mogen de huidige reikwijdte van het gemeenschappelijke toezicht niet afzwakken. Het is duidelijk dat de gegevensbeschermingsautoriteiten met betrekking tot het SIS II alle toezichthoudende bevoegdheden kunnen uitoefenen die hen op grond van de richtlijn zijn toegedeeld, en dat de samenwerking tussen die autoriteiten tal van aspecten van het toezicht op het SIS II kan omvatten, daaronder begrepen de taken van de bestaande GCA als bedoeld in artikel 115 van de Schengenovereenkomst. 7. 3. Toezicht door de EDPS Om dit volkomen duidelijk te maken, zou dit echter in de voor- stellen nog eens uitdrukkelijk moeten worden opgenomen. De EDPS ziet erop toe dat de verwerking van gegevens door de Commissie gebeurt overeenkomstig de betreffende wetgevings- voorstellen. De EDPS moet tevens al zijn bevoegdheden op grond van Verordening (EG) nr. 45/2001 kunnen uitoefenen, met dien verstande evenwel dat de bevoegdheden van de Commissie met betrekking tot de gegevens zelf beperkt zijn. 8. BEVEILIGING dat, Hieraan moet worden toegevoegd overeenkomstig artikel 46, punt f), van Verordening (EG) nr. 45/2001, de EDPS „met de nationale toezichthoudende autoriteiten samenwerkt, voorzover dat voor de uitoefening van hun onderscheiden taken nodig is”. De samenwerking met de lidstaten bij het toezicht op het SIS II vloeit niet alleen voort uit de nieuwe wetgevingsvoorstellen, maar ook uit Verordening (EG) nr. 45/ 2001. Het beheer en de inachtneming van een optimaal beveiligings- niveau voor het SIS II is een basisvereiste voor een passende bescherming van de in het gegevensbestand opgenomen persoonsgegevens. Om dit beschermingsniveau te kunnen halen, moeten specifieke garanties worden ingebouwd om het hoofd te kunnen bieden aan de potentiële risico's die gepaard gaan met de systeeminfrastructuur en de betrokken personen. Dit punt wordt thans in verschillende delen van het voorstel behandeld en behoeft verbetering. C 91/52 NL Publicatieblad van de Europese Unie 19. 4.  2006 De artikelen 10 en 13 van het voorstel bevatten verschillende maatregelen voor de beveiliging van de gegevens en specifi- ceren welke soorten misbruiken moeten worden voorkomen. De EDPS juicht toe dat in deze artikelen bepalingen betreffende systematische (interne) controle van de beveiligingsmaatregelen zijn opgenomen. Artikel 59 van het voorgestelde besluit en artikel 34 van het verordeningsvoorstel, die bepalingen inzake en evaluatie bevatten, mogen echter niet alleen betrekking hebben op de resultaten, de kosteneffectiviteit en de kwaliteit van de dienstverlening, maar moeten ook gaan over de mate waarin aan de wettelijke voorschriften wordt voldaan, met name op het gebied van gegevensbescherming. De EDPS beveelt derhalve aan de reikwijdte van deze artikelen uit te breiden tot toezicht op en rapportering over de rechtmatigheid van de verwerking. toezicht Als aanvulling op artikel 10, lid 1, punt f), of artikel 18 van het voorgestelde besluit en artikel 17 van het verordeningsvoorstel betreffende de naar behoren gemachtigde personeelsleden die toegang hebben tot de gegevens, dient ook te worden toege- voegd dat de lidstaten (alsmede Europol en Eurojust) ervoor moeten zorgen dat er precieze gebruikersprofielen voorhanden zijn (die ten behoeve van controle ter beschikking van de natio- nale controleautoriteiten moeten worden gehouden). Naast deze gebruikersprofielen moet een volledige lijst van gebruikersiden- titeiten worden opgesteld en permanent door de lidstaten worden bijgewerkt. Dit geldt mutatis mutandis ook voor de Commissie. Deze beveiligingsmaatregelen worden aangevuld met organisa- torische en controlegaranties. In artikel 14 van het voorstel staat beschreven onder welke voorwaarden en voor welke doel- einden een register van alle gegevensverwerkingshandelingen moet worden gehouden. Deze registers moeten worden opge- slagen om de gegevensbescherming te kunnen controleren en de gegevensbeveiliging te kunnen garanderen, alsook om de regelmatige interne controle van het SIS II op grond van artikel 10 te consolideren. De interne-controleverslagen zullen ertoe bijdragen dat de controleautoriteiten hun taken doeltref- fend kunnen uitvoeren, doordat zij de zwakste punten zullen kunnen blootleggen en zich tijdens hun eigen controle daarop zullen kunnen toeleggen. Zoals eerder gesteld in dit advies, moet uitvoerig worden gerechtvaardigd waarom er meer toegangspunten tot het systeem zijn, aangezien het gevaar van misbruik daardoor groter wordt. Op grond van artikel 4, lid 1, punt b), van de voorstellen moet derhalve worden verlangd dat concreet wordt aangetoond waarom een tweede toegangspunt nodig is.  In de voorstellen wordt niet duidelijk uitgelegd waarom er nationale kopieën van het centrale systeem nodig zijn, hetgeen aanleiding geeft tot grote bezorgdheid over het algemene risico- en veiligheidsniveau van het systeem, bijvoorbeeld: — de toename van het aantal kopieën verhoogt het risico van misbruik (met name gelet op de aanwezigheid van nieuwe gegevens, zoals biometrische gegevens); — er is niet duidelijk gedefinieerd welke gegevens worden gekopieerd; — de in artikel 9 opgenomen eisen inzake accuraatheid, kwali- teit en beschikbaarheid vormen een grote technische uitda- ging en jagen de kosten bijgevolg de hoogte in, in verband met de nieuwste stand van de beschikbare technologie; — het toezicht op deze kopieën door de nationale autoriteiten zal extra personele en financiële middelen vergen, die misschien niet altijd beschikbaar zijn. Gezien de daaraan verbonden risico's is de EDPS niet overtuigd van de noodzaak (gelet op de beschikbare technologie) of de meerwaarde van het gebruik van nationale kopieën. Hij beveelt aan om af te zien van de mogelijkheid dat de lidstaten nationale kopieën gebruiken. Indien er nationale kopieën worden ontwikkeld, dan herinnert de EDPS eraan dat het gebruik van dergelijke nationale kopieën onderworpen moet zijn aan een strikt beginsel van doelbeper- king. Voorts mag een nationale kopie nooit op een andere manier worden aangezocht dan de centrale gegevensbank. De rechtmatigheid van de verwerking van persoonsgegevens berust op de strikte naleving van gegevensbeveiliging en gege- vensintegriteit. De EDPS zal zorgen voor efficiënte controle; hij kan niet alleen de beveiliging van de gegevens, maar ook, door analyse van de beschikbare registers, de integriteit ervan contro- leren. Derhalve moet aan artikel 14, lid 6, „gegevensintegriteit” worden toegevoegd. 9. COMITOLOGIE De voorstellen voorzien in comitologieprocedures voor de verschillende gevallen waarin technische besluiten moeten worden genomen ten behoeve van de uitvoering of het beheer van het SIS II. Zoals om vergelijkbare redenen in het advies over het VIS is gesteld, zullen deze besluiten een grote stempel drukken op de eigenlijke toepassing van het beginsel van doel- binding en proportionaliteit. De EDPS adviseert dat beslissingen die ingrijpende gevolgen hebben voor de gegevensbescherming, zoals toegang tot en invoering van gegevens, uitwisseling van aanvullende infor- matie, kwaliteit van gegevens en verenigbaarheid van signale- ringen, technische overeenstemming van nationale kopieën, enz. in de vorm van een verordening of een besluit worden genomen, bij voorkeur in het kader van de medebeslissingspro- cedure (1). (1) Zie hierover ook punt 3.  12 van het advies van de EDPS over het Visuminformatiesysteem, en punt 60 van het advies van de EDPS van 26 september 2005 over het voorstel voor een richtlijn betref- fende de bewaring van gegevens die zijn verwerkt in verband met het aanbieden van openbare elektronische communicatiediensten. 19. 4. 2006 NL Publicatieblad van de Europese Unie C 91/53 Voor alle andere gevallen die gevolgen hebben voor de gege- vensbescherming, moet de EDPS in de mogelijkheid worden gesteld advies uit te brengen over de door de betreffende comités gemaakte keuzes. De adviserende rol van de EDPS moet worden opgenomen in de artikelen 60 en 61 van het besluit en in artikel 35 van de verordening. Wat het meer specifieke geval van de technische voorschriften voor koppelingen tussen signaleringen betreft (artikel 26 van de verordening en artikel 46 van het besluit), moet worden verduidelijkt dat er een andere comitologieprocedure (advies- procedure voor het besluit, en regelgevingsprocedure voor de verordening) vereist is. 10. INTEROPERABILITEIT rabel zijn met de signaleringen die de autoriteiten van een andere lidstaat toesturen. — interoperabiliteit tussen systemen die voor uiteenlo- pende doelen zijn ingesteld of met systemen van derde landen is veel minder vanzelfsprekend. Eén van de beschikbare beschermingen die worden gebruikt om het doel van het systeem af te bakenen en „functieverschui- ving” te voorkomen, kan het gebruik van verschillende techno- logische normen zijn. Voorts moet iedere vorm van interactie tussen twee verschillende systemen terdege worden gedocu- menteerd. Interoperabiliteit mag nooit leiden tot een situatie waarin een autoriteit die geen toegang heeft tot bepaalde gege- vens en deze niet mag gebruiken, deze toegang kan verkrijgen via een ander informatiesysteem. Voorzover uit de voorstellen valt op te maken, blijkt bijvoorbeeld dat er in de eerste jaren van het SIS II geen automatisch vingerafdrukkenidentificatiesys- teem (AFIS) voorhanden zal zijn; er is alleen sprake van een toekomstige biometrische zoekmachine. Indien een scenario wordt overwogen waarin een AFIS van een ander EU-systeem wordt gebruikt, moet dit duidelijk worden gedocumenteerd, met de nodige garanties die voor dergelijke synergieën vereist zijn. Bij ontstentenis van de mededeling van de Commissie over de interoperabiliteit van nieuwe EU-systemen, valt de meerwaarde van de beoogde, maar nog niet gedefinieerde synergieën moei- lijk naar behoren te evalueren.  De EDPS wenst nogmaals te benadrukken dat de invoering van interoperabiliteit tussen systemen niet mag inhouden dat het beginsel van de afbakening van het doel wordt geschonden, en dat ieder voorstel op dit gebied aan hem moet worden voorge- legd. In dit verband verwijst de EDPS tevens naar de verklaring van de Raad van 25 maart 2004 over de bestrijding van terrorisme, waarin de Commissie wordt verzocht voorstellen in te dienen voor het versterken van de interoperabiliteit en de synergieën tussen informatiesystemen (SIS, VIS en Eurodac). Ook verwijst hij naar het debat dat momenteel wordt gevoerd over de vraag welk orgaan in de toekomst kan worden belast met het beheer van de verschillende grootschalige systemen (zie ook punt 3. 8 van dit advies). In zijn advies over het Visuminformatiesysteem heeft de EDPS reeds verklaard dat interoperabiliteit een kritieke en essentiële voorwaarde is voor de doeltreffendheid van grootschalige IT- systemen zoals SIS II. De algemene kosten kunnen er conse- quent door worden teruggedrongen en de voorspelbare overbo- digheid van heterogene elementen kan erdoor worden vermeden. — Interoperabiliteit kan ook bijdragen aan de beoogde hand- having van een hoog niveau van veiligheid in een ruimte zonder controles aan de binnengrenzen tussen de lidstaten doordat dezelfde procedurele standaard wordt toegepast op alle onderdelen van dit beleid. Het is echter van groot belang onderscheid te maken tussen twee niveaus van inter- operabiliteit: 11. SAMENVATTING VAN DE CONCLUSIES 11. 1. Algemene punten 1. De EDPS is verheugd over de diverse positieve aspecten van deze voorstellen, die op een aantal punten een verbetering ten opzichte van de huidige situatie inhouden. Hij erkent dat de bepalingen inzake gegevensbescherming over het algemeen met de grootste zorg zijn opgesteld. 2. De EDPS beklemtoont dat het nieuwe rechtskader, hoe complex ook, — moet zorgen voor een hoog niveau van gegevensbe- scherming; — voorspelbaar moet zijn voor de burgers en voor de auto- riteiten die gegevens uitwisselen; — interoperabiliteit tussen de lidstaten van de EU is zeer wenselijk; de signaleringen die door de autoriteiten van de ene lidstaat worden toegestuurd moeten interope- — in zijn toepassing moet stroken met verschillende contexten (eerste of derde pijler). C 91/54 NL Publicatieblad van de Europese Unie 19. 4. 2006 3.  Voorts moet de toevoeging van nieuwe elementen in het SIS II, waardoor de mogelijke gevolgen van het systeem voor de individuele levenssfeer toenemen, gepaard gaan met strin- gentere garanties, zoals beschreven in dit advies. Meer bepaald het volgende: 3. De volgende strikte voorwaarden moeten van toepassing zijn wanneer instanties toegang wordt verleend tot het SIS II: — er kan aan nieuwe instanties geen toegang tot het SIS II worden verleend zonder dat dit zeer uitvoerig wordt gerechtvaardigd. Bovendien moet de toegang zoveel mogelijk worden beperkt, zowel wat de toegankelijke gegevens als wat de gemachtigde personen betreft. — een koppeling tussen signaleringen mag nooit, zelfs niet indirect, leiden tot een wijziging van de toegangsrechten. — niet-aangenomen wetgeving kan niet worden beschouwd als geldige grond voor het opnemen van gegevens in het SIS II (signaleringen met het oog op weigering van toegang). — de rechtsgrondslag voor de toegang van de instanties die belast zijn met de afgifte van kentekenbewijzen van voertuigen moet opnieuw worden bekeken, aangezien deze hoofdzakelijk voor is bedoeld. criminaliteitsbestrijding — de EDPS erkent dat het gebruik van biometrische gege- vens de prestaties van het systeem kan verbeteren en slachtoffers van identiteitsmisbruik kan helpen. Er lijkt echter niet voldoende te zijn nagedacht over de gevolgen van de opneming daarvan, en de betrouwbaarheid van deze gegevens lijkt te zijn overschat. 11. 2. Specifieke opmerkingen 1. Het verheugt de EDPS dat de Commissie erkent dat Veror- dening (EG) nr. 45/2001 van toepassing is op alle gege- vensverwerkingsactiviteiten van de Commissie in het kader van het SIS II, want dit zal mede zorgen voor een samen- hangende en eenvormige toepassing van de voorschriften ter bescherming van de fundamentele rechten en vrijheden individu in verband met de verwerking van van het persoonsgegevens. 2. Teneinde een strikte beperking van het doel op nationaal niveau te garanderen, stelt de EDPS voor om in de SIS II- voorstellen (namelijk in artikel 21 van de voorgestelde verordening en in artikel 40 van het voorgestelde besluit) een bepaling op te nemen in de trant van artikel 102, lid 4, van de Schengenuitvoeringsovereenkomst, ter beperking van de mogelijkheid voor de lidstaten om te voorzien in gebruik van gegevens waar de SIS II-teksten niet in voor- zien. — de toegang moet verenigbaar zijn met het algemene doel van het SIS II, en in overeenstemming zijn met de rechtsgrondslag ervan.  — de noodzaak van de toegang tot de in het SIS II opge- nomen gegevens moet aangetoond zijn. — het beoogde gebruik van de gegevens moet uitdrukke- lijk en restrictief worden omschreven. — de voorwaarden voor toegang moeten welomschreven en restrictief zijn. Meer in het bijzonder moet er een bijgewerkte lijst voorhanden zijn van personen die toegang hebben tot het SIS II, ook voor Europol en Eurojust. — het feit dat deze autoriteiten toegang tot SIS II-gegevens krijgen, kan nimmer een grond zijn voor opneming of handhaving in het systeem van gegevens die niet dien- stig zijn voor de specifieke signalering waarop zij betrekking hebben. — de bewaartermijn van de gegevens mag niet worden verlengd wanneer dat niet nodig is voor het doel waar- voor de gegevens zijn opgenomen. toegang 4. Wat de specifieke gevallen van Europol en Eurojust betreft, verzoekt de EDPS de Commissie met klem om de taken waarvoor te gerechtvaardigd omschrijven. De toegang van Europol en Eurojust moet bovendien worden beperkt tot gegevens over personen van wie de naam reeds in de Europol- of Eurojust-bestanden voorkomt. Verder wordt voorgesteld om Europol en Euro- just slechts één toegangspunt ter beschikking te stellen. restrictief is, 5. Wat signaleringen met het oog op weigering van toegang betreft, moeten bepalingen die op nog niet aangenomen wetgeving zijn gebaseerd, worden ingetrokken of zodanig worden geherformuleerd — op basis van bestaande wetge- ving — dat personen kunnen weten welke maatregelen de autoriteiten precies tegen hen kunnen nemen. 6. De bewaartermijnen van de gegevens zijn verlengd zonder dat daarvoor gegronde redenen zijn aangevoerd. Indien hiervoor geen overtuigende rechtvaardiging kan worden gegeven, moeten deze termijnen tot hun huidige duur worden teruggebracht, met name in het geval van signale- ringen met het oog op onopvallende of gerichte controles. 19. 4. 2006 NL Publicatieblad van de Europese Unie C 91/55 7. De rol van de Commissie wordt beschreven als de rol van verantwoordelijke voor het operationele beheer. Samen met haar belangrijke rol op het vlak van de ontwikkeling en het onderhoud van het systeem, moet deze rol worden beschouwd als toezichthouder sui generis. Dit houdt veel meer in dan de taak van een gegevensverwerker, maar is tegelijk beperkter dan de taak van een normale toezicht- houder, doordat de Commissie geen toegang heeft tot de in het SIS II verwerkte gegevens.  kunnen uitoefenen die hun op grond van artikel 28 van Richtlijn 95/46/EG zijn toegedeeld; dit moet in de tekst van het verordeningsvoorstel worden verduide- lijkt. — wat het voorgestelde besluit betreft: moeten de toezichthoudende autoriteiten dezelfde bevoegdheden krijgen als in de verordening/richtlijn. In het verlengde van deze rol moet in artikel 12 van de beide voorstellen worden toegevoegd dat de Commissie regelmatig voorstellen moet doen voor de implementatie van nieuwe technologieën die beantwoorden aan de jongste stand van de techniek op dit gebied en de gege- vensbescherming en veiligheidsniveaus zullen verbeteren. 13. Wat de bevoegdheden van de EDPS betreft: de EDPS moet al zijn bevoegdheden op grond van Verordening (EG) nr. 45/2001 kunnen uitoefenen, rekening houdend met de beperkte bevoegdheden van de Commissie met betrekking tot de gegevens zelf. evenwel 8. Wat de rol van de lidstaten betreft, moet worden verduide- lijkt welke autoriteiten controle zullen uitoefenen. 9. Wat betreft het informeren van de persoon wiens gegevens worden verwerkt: — moet in de voorgestelde verordening de volgende infor- matie aan de lijst worden toegevoegd: de bewaarter- mijn van de gegevens, het bestaan van het recht om een beslissing om een signalering op te nemen, te laten toetsen of daartegen beroep in te stellen, de mogelijk- heid om bijgestaan te worden door de gegevensbe- schermingsautoriteit, en het bestaan van rechtsmid- delen. Wat het tijdstip betreft waarop deze informatie wordt verstrekt, moet de verplichting worden opgenomen dat de informatie over de signalering in de eerste plaats moet worden verstrekt in het besluit waarop de signa- lering is gebaseerd. — moet in het voorgestelde besluit artikel 50 zodanig worden gewijzigd dat het recht van informatie niet langer afhankelijk is van een verzoek van de betrok- kene. 10. Wat de termijnen voor de beantwoording van een verzoek om toegang betreft, is het verheugend dat in de voorstellen termijnen worden opgelegd. Wanneer in de nationale wetgeving eveneens termijnen worden opgelegd, moet duidelijk worden gemaakt dat de termijnen die het meest in het voordeel van de betrokkene zijn, toegepast moeten worden. Verder zou het dienstig zijn om de gegevensbeschermings- autoriteiten te verplichten tot actieve samenwerking bij de uitoefening van het recht van toegang. 11. Wat het recht op rechtsmiddelen betreft, stelt de EDPS voor om de territoriale beperking in artikel 30 en in artikel 52 te schrappen. 12.  Wat de bevoegdheden van de nationale gegevensbescher- mingsautoriteiten betreft: — in de verordening: moet voor ogen worden gehouden dat zij, met betrekking tot het SIS II, alle bevoegdheden 14. Wat het gecoördineerde toezicht betreft: wordt in de voor- stellen ook erkend dat de controleactiviteiten van de verschillende betrokken autoriteiten moeten worden gecoördineerd. De EDPS juicht toe dat de voorstellen de noodzakelijke elementen in zich dragen om te zorgen voor samenwerking tussen de autoriteiten die op nationaal en op Europees niveau met toezicht zijn belast. Deze bepa- lingen (artikel 31 van het verordeningsvoorstel en artikel 53 van het voorgestelde besluit) behoeven echter verduidelij- king met betrekking tot de inhoud van die coördinatie. 15. De artikelen 10 en 13 van het voorstel bevatten verschil- lende gegevensbeveiligingsmaatregelen: de opneming van bepalingen over systematische (interne) controle van de beveiligingsmaatregelen wordt toegejuicht. — Artikel 59 van het voorgestelde besluit en artikel 34 van het verordeningsvoorstel, die bepalingen inzake toezicht en evaluatie bevatten, mogen echter niet alleen betrekking hebben op de resultaten, de kosteneffectivi- teit en de kwaliteit van de dienstverlening, maar moeten ook gaan over de mate waarin aan de wette- lijke voorschriften wordt voldaan, met name op het gebied van gegevensbescherming. Deze bepalingen moeten dienovereenkomstig worden gewijzigd. — Als aanvulling op artikel 10, lid 1, punt f), of artikel 18 van het voorgestelde besluit en artikel 17 van het verordeningsvoorstel dient te worden toegevoegd dat de lidstaten, Europol en Eurojust ervoor moeten zorgen dat precieze gebruikersprofielen voorhanden zijn (die ten behoeve van controle ter beschikking van de natio- nale controleautoriteiten moeten worden gehouden). Naast deze gebruikersprofielen moet een volledige lijst van gebruikersidentiteiten worden opgesteld en perma- nent door de lidstaten worden bijgewerkt. Dit geldt ook voor de Commissie. — De rechtmatigheid van de verwerking van persoonsge- gevens berust op de strikte naleving van gegevensbevei- liging en gegevensintegriteit. De EDPS moet in staat worden gesteld om niet alleen de beveiliging, maar ook de integriteit van de gegevens — door analyse van de beschikbare registers — te controleren. Derhalve moet aan artikel 14, „gegevensintegriteit” worden toegevoegd. lid 6, C 91/56 NL Publicatieblad van de Europese Unie 19. 4. 2006 16. Het gebruik van nationale kopieën kan heel wat extra gevaren opleveren. De EDPS is niet overtuigd van de nood- zaak (gelet op de beschikbare technologie) of de meer- waarde van het gebruik van nationale kopieën.  C 91/38 ET Euroopa Liidu Teataja 19. 4. 2006 EUROOPA ANDMEKAITSEINSPEKTOR Euroopa andmekaitseinspektori arvamus järgmiste õigusaktide kohta: — ettepanek: nõukogu otsus teise põlvkonna Schengeni infosüsteemi (SIS II) loomise, toimimise ja kasutamise kohta (KOM (2005) 230 lõplik); — ettepanek: Euroopa Parlamendi ja nõukogu määrus teise põlvkonna Schengeni infosüsteemi (SIS II) loomise, toimimise ja kasutamise kohta (KOM (2005) 236 lõplik) ning — ettepanek: Euroopa Parlamendi ja nõukogu määrus, mis käsitleb liikmesriikides sõidukite regis- treerimistunnistusi väljaandvate teenistuste juurdepääsu teise põlvkonna Schengeni infosüstee- mile (SIS II) (KOM (2005) 237 lõplik). (2006/C 91/11) EUROOPA ANDMEKAITSEINSPEKTOR, võttes arvesse Euroopa Ühenduse asutamislepingut, eriti selle artiklit 286, võttes arvesse Euroopa Liidu põhiõiguste hartat, eriti selle artik- lit 8, võttes arvesse Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiivi 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta, võttes arvesse Euroopa Parlamendi ja nõukogu 18. detsembri 2000. aasta määrust (EÜ) nr 45/2001 üksikisikute kaitse kohta isikuandmete töötlemisel ühenduse institutsioonides ja asutustes ning selliste andmete vaba liikumise kohta, eriti selle artiklit 41, võttes arvesse komisjoni 17. juuni 2005. aasta taotlust arva- muse esitamise kohta kooskõlas määruse (EÜ) nr 45/2001 ar- tikli 28 lõikega 2, Schengeni konventsioon jõustus 1995. aastal valitsustevahelise lepinguna. SIS integreeriti hiljem Schengeni konventsiooni osana Amsterdami lepinguga ELi raamistikku. Uus “teise põlvkonna” Schengeni infosüsteem (SIS II) asendab praeguse süsteemi, võimaldades seeläbi Schengeni piirkonna laienemist uutele ELi liikmesriikidele. SIS IIga lisatakse süstee- funktsioone. Schengeni sätted, mis on välja mile ka uusi töötatud valitsustevahelises koostöös, muudetakse täies ulatuses tavapärasteks Euroopa õigusaktideks. Euroopa komisjoni esitas 1. juunil 2005 kolm SIS II loomist käsitlevat ettepanekut. Nimetatud ettepanekud on järgmised: — EÜ asutamislepingu IV jaotisel (viisa-, varjupaiga-, sisse- rände- ja muu isikute vaba liikumisega seotud poliitika) põhinev kavandatav määrus, mis reguleerib teise samba (sisseränne) alla kuuluvaid SIS II aspekte (edaspidi “kavan- datav määrus”); ON VASTU VÕTNUD JÄRGMISE ARVAMUSE: 1. SISSEJUHATUS 1. 1. Taust infosüsteem (SIS II) on ELi Schengeni suuremahuline IT- süsteem, mis loodi tasakaalustava meetmena pärast kontrollide kaotamist Schengeni piirkonna sisepiiridel. SIS võimaldab liik- mesriikide pädevatel asutustel vahetada teavet, mida kasutatakse välispiiridel või liikmesriikide territooriumil isikute ja esemete kontrollimiseks ning viisade ja elamislubade väljastamiseks. — EÜ asutamislepingu VI ja õigusalane jaotisel koostöö kriminaalasjades) põhinev kavandatav otsus, mis reguleerib SISi kasutamist kolmanda samba alla kuuluvatel eesmärkidel (edaspidi “kavandatav otsus”); (politsei- — V jaotisel (transport) põhinev kavandatav määrus, mis käsitleb eelkõige sõidukite registreerimise eest vastutavate asutuste juurdepääsu SISi andmetele; kõnealust ettepanekut käsitletakse eraldi (vt allpool punkt 4. 6).  Selles kontekstis väärib märkimist, et komisjon annab eelole- vatel kuudel välja teatise ELi infosüsteemide (SIS, VIS, Eurodac) koostalitlusvõime parandamise ja sünergia suurendamise kohta. 19. 4. 2006 ET Euroopa Liidu Teataja C 91/39 andmebaasist, mille operatiivjuhtimise SIS II koosneb Schengeni keskinfosüsteemiks (CS-SIS) nimetata- eest vast kesksest vastutab komisjon ja mis on ühendatud kõigi liikmesriikide SIRENE juurdepääsupunktidega poolt määratud asutused tagavad kogu täiendava teabe (teave, mis on seotud SIS II hoiatusteadetega, kuid mida ei säilitata SIS IIs) vaheta- mise. (NI-SIS). Liikmesriigid sisestavad SIS IIte andmeid isikute kohta, keda otsitakse vahistamise, üle- või väljaandmise eesmärgil või kohtumenetluse jaoks, isikute kohta, kes tuleb võtta järelevalve alla või kelle suhtes tuleb teostada erikontrolle, isikute kohta, kellele tuleb keelata sisenemine välispiiril ning kaotatud või varastatud esemete kohta. SISi sisestatud andmekogum, mida nimetatakse “hoiatusteadeteks”, võimaldab pädeval asutusel isiku või objekti kindlaks teha. 4. Samuti on ilmne, et ettepanekud on koostatud suure hoolega — need on keerulised, kuid see kajastab pigem selle süsteemi keerukust, mida nad hõlmavad. Enamiku käes- olevas arvamuses esitatud märkuste eesmärk on olemasole- vate sätete selgitamine või täiendamine, kuid need ei nõua täielikku uuestisõnastamist. Hoolimata sellest üldjoontes positiivsest hinnangust võib aga siiski väljendada mõningaid reservatsioone eelkõige alljärgneva suhtes: 1. Mitmes mõttes on raske mõista, milline on teksti eesmärk; seletuskirja puudumine on äärmiselt kahetsusväärne. Arves- tades kõnealuste dokumentide keerukust, oleks seletuskiri olnud üks põhinõue. Selle puudumine ei jäta aga lugejale mõningatel juhtudel muud võimalust kui oletada. toob kaasa uuendusi: SIS II laialdasem juurdepääs SISile (Europol, Eurojust, riikide prokurörid, sõidukite registreerimise eest vastutavad asutused), hoiatusteadete omavaheline seosta- mine, uute andmeliikide, sealhulgas biomeetriliste andmete (sõrmejäljed ja fotod) lisamine ning samuti viisainfosüsteemiga ühine tehniline platvorm. Need täiendused on aastaid andnud ainet aruteludeks SISi eesmärgi sellise nihkumise üle, et kontrol- livahendist saab teatamis- ja uurimissüsteem. 2. Lisaks sellele on samuti kahetsusväärne, et ei ole läbi viidud mõjuhindamist. Asjaolu, et süsteemi esimene versioon on juba käigus, ei ole siinkohal õigustuseks, kuna kahe süsteemi vahel esineb märkimisväärseid erinevusi. Muu hulgas oleks tulnud paremini läbi mõelda biomeetriliste andmete kasutu- selevõtmise mõju. 1. 2. Üldhinnang ettepanekutele 1. Euroopa andmekaitseinspektor tervitab asjaolu, et temaga konsulteeritakse määruse (EÜ) nr 45/2001 artikli 28 lõike 2 alusel. Pidades silmas artikli 28 lõike 2 kohustuslikkust, tuleks käesolevat arvamust mainida teksti preambulis. 2. Euroopa andmekaitseinspektor tervitab ettepanekuid mitmel põhjusel.  Valitsustevahelise struktuuri muutmine Euroopa õigusaktideks toob endaga kaasa mitmeid positiivseid taga- järgi: selgitatakse SIS II reguleerivate eeskirjade õigusjõudu, Euroopa Kohus saab pädevuse tõlgendada esimese samba alla kuuluvaid õigusakte, Euroopa Parlament kaasatakse vähemalt osaliselt (ehkki protsessi üsna hilises etapis). 3. Peale selle sisaldavad ettepanekud olulisi andmekaitsele pühendatud sätteid, millest mõned on võrreldes praeguse olukorraga teretulnud parandused. Eelkõige võib märkida identiteedi võetud meetmeid, määruse (EÜ) nr 45/2001 laiendamist VI jaotise alla kuulu- vatele komisjoni andmetöötlustoimingutele ja sisenemise keelamise eesmärgil isikute suhtes hoiatusteadete väljasta- mise põhjenduste paremat määratlust. varguse ohvrite kasuks 3. Andmekaitset käsitlev õiguslik raamistik on väga keerukas. See põhineb üldseaduste (lex generalis) ja eriseaduste (lex specialis) kombineeritud kohaldamisel. Tuleks tagada, et isegi eriseaduse väljatöötamise korral säiliks direktiivis 95/46/EÜ ja määruses (EÜ) nr 45/2001 sätestatud olemasoleva andme- kaitseraamistiku täielik kohaldatavus. Erinevate õigusaktide kombineeritud kohaldamine ei tohiks viia ei erinevusteni riiklike süsteemide vahel põhiaspektide osas ega praeguse andmekaitsetaseme langemiseni. 4. Paljude selliste uute asutuste juurdepääsuga, kellesse esialgne isikute ja esemete kontrollimise eesmärk ei puutu, peaks kaasnema rangemad kaitsemeetmed. 5. Ettepanekud põhinevad suures osas muudel veel valmimis- järgus õigusaktidel (millest mõnede kohta ei ole veel isegi ettepanekut tehtud). Euroopa andmekaitseinspektor mõistab raskusi, mis kaasnevad õigusloomega keerukas ja pidevalt muutuvas keskkonnas, kuid pidades silmas selle tagajärgi asjaomastele isikutele ning selle tulemusel tekkivat õigus- kindlusetust, ei pea ta seda vastuvõetavaks. 6. Mõnevõrra ähmane on ka liikmesriikide ja komisjoni vahe- line pädevuste jaotus. Selgus on otsustava tähtsusega, kuna see on vajalik mitte üksnes süsteemi tõrgeteta toimimiseks, vaid ka seetõttu, et see on põhinõue süsteemi igakülgse järe- levalve tagamiseks. C 91/40 ET Euroopa Liidu Teataja 19. 4. 2006 1. 3. Arvamuse ülesehitus — Euroopa Liidu lepingu artikli 6 lõikes 2 sätestatakse, et liit kaitse ja põhivabaduste inimõiguste austab Euroopa konventsiooniga tagatud põhiõigusi. Arvamuse ülesehitus on järgmine: esmalt selgitatakse SIS II suhtes kohaldatavat õiguslikku raamistikku. Seejärel käsitletakse SIS II eesmärgi määratlust ja praegusest süsteemist märkimis- väärselt erinevaid elemente. Punkt 5 sisaldab märkusi komisjoni ja liikmesriikide vastavate rollide kohta seoses SIS II toimimi- sega. Punktis 6 käsitletakse andmesubjekti õigusi ning punktis 7 nii liikmesriikide kui Euroopa andmekaitseinspektori tasandil toimuvat järelevalvet ja järelevalveasutuste vahelist koostööd. Punkt 8 sisaldab mõningaid turvalisusega seotud märkusi ja muudatusettepanekuid. Punktides 9 ja 10 käsitletakse komitee- menetlust tuuakse kokkuvõttes esile peamised järeldused, milleni iga punkti puhul jõuti. koostoimimisvõimet. Lõpetuseks ja 2. ASJAKOHANE ÕIGUSLIK RAAMISTIK 2. 1.  SIS II alane andmekaitseraamistik Ettepanekutes viidatakse andmekaitset käsitlevate õiguslike alus- tena direktiivile 95/46/EÜ, konventsioonile nr 108 ja määrusele (EÜ) nr 45/2001. On ka muid asjakohaseid dokumente. Selle konteksti selgitamiseks ning käesoleva analüüsi peamiste lähtepunktide meeldetuletamiseks on otstarbekas osutada järg- mistele asjaoludele: — Eraelu austamine on olnud Euroopas tagatud alates sellest, kui Euroopa Nõukogu võttis 1950. aastal vastu Euroopa inimõiguste ja põhivabaduste kaitse konventsiooni (edaspidi “EIPKK”). EIPKK artiklis 8 sätestatakse igaühe “õigus sellele, et austataks tema era- ja perekonnaelu”, Artikli 8 lõike 2 kohaselt võib riigiasutus selle õiguse kasu- tamist piirata üksnes, kui see on “kooskõlas seadusega” ning “kui see on demokraatlikus ühiskonnas vajalik” oluliste huvide kaitsmiseks. Euroopa Inimõiguste Kohtu praktikas on nende tingimuste tulemusel kehtestatud lisanõuded, mis käsitlevad õiguste piiramise õigusliku aluse kvaliteeti, mis tahes meetme proportsionaalsust ning kuritarvitamise vastaste meetmete vajadust. — Hiljem on õigus eraelu puutumatusele ja isikuandmete kait- sele sätestatud Euroopa Liidu põhiõiguste harta artiklites 7 ja 8. Harta artikli 52 kohaselt võib neid õigusi piirata samadel tingimusel, mis kehtivad vastavalt EIPKK artiklile 8. Kolm SIS II alaste ettepanekute suhtes selgelt kohaldatavat õigusakti on järgmised: — Euroopa Nõukogu 28. jaanuari 1981. aasta konventsioon nr 108 üksikisikute kaitse kohta isikuandmete automaat- töötlusel (edaspidi konventsioon nr 108), milles esitati aluspõhimõtted üksikisikute kaitseks isikuandmete töötle- misel. Kõik liikmesriigid on konventsiooni nr 108 ratifitsee- rinud. See on samuti kohaldatav politsei ja õigusalal teosta- tavate toimingute suhtes. Praegu kohaldatakse SIS konvent- siooni suhtes konventsioonis nr 108 ning Euroopa Nõukogu ministrite komitee 17. septembri 1987. aasta soovituses nr R (87) 15 (millega reguleeritakse isikuandmete kasutamist politseivaldkonnas) sätestatud andmekaitsekorda. — Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiiv 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta (EÜT L 281, lk 31). Edaspidi viidatakse nimetatud direktiivile järg- miselt: “direktiiv 95/46/EÜ”. Märkimisväärne on ka see, et enamikus liikmesriikides hõlmavad direktiivi rakendamist käsitlevad riiklikud õigusaktid ka politsei ja õigusalal teosta- tavaid andmetöötlustoiminguid. — Euroopa Parlamendi ja nõukogu 18. detsembri 2000. aasta määrus (EÜ) nr 45/2001 üksikisikute kaitse kohta isikuand- mete töötlemisel ühenduse institutsioonides ja asutustes ning selliste andmete vaba liikumise kohta (EÜT L 8, lk 1). Edaspidi viidatakse nimetatud määrusele järgmiselt: “määrus 45/2001”. Direktiivi 95/46/EÜ ja määruse 45/2001 tõlgendamine peab vastavalt 1950. aasta Euroopa inimõiguste ja põhivabaduste kaitse konventsioonile sõltuma osaliselt Euroopa Inimõiguste Kohtu asjaomasest kohtupraktikast. Teisisõnu tuleb direktiivi ja määrust selles ulatuses, milles neis käsitletakse isikuandmete töötlemist, mis võib piirata põhivabadusi, eelkõige eraelu puutumatust, tõlgendada põhiõiguste valguses.  Sama tuleneb ka Euroopa Kohtu praktikast (1). (1) Antud kontekstis on kasulik viidata Euroopa Kohtu otsusele kohtuasjas Österreichischer Rundfunk ja teised (Liidetud kohtuasjad C-465/00, C-138/01 ja C-139/01, 20. mai 2003. aasta kohtuotsus, täiskogu, (2003) EKL I-4989). Kohus käsitles Austria õigusakti, millega nähakse ette avaliku sektori töötajate palkadega seotud üksi- kasjade edastamine Austria Kontrollikojale ning nende avaldamine seejärel. Oma otsuses sätestab kohus mitmed Euroopa inimõiguste konventsiooni artiklist 8 tulenevad kriteeriumid, mida tuleks kasu- tada direktiivi 95/46/EÜ kohaldamisel selles ulatuses, milles nime- tatud direktiivi alusel on lubatud teatud piirangud eraelu puutuma- tuse õigusele. 19. 4. 2006 ET Euroopa Liidu Teataja C 91/41 Komisjon esitas 4. oktoobril 2005 ettepaneku võtta vastu nõukogu raamotsus kriminaalasjadega ja õigusalase koostöö raames töödeldavate isikuandmete kaitse kohta (1) (edaspidi “raamotsuse eelnõu”). Nimetatud raamotsusega kavatsetakse asendada konventsioon nr 108 kui SIS II käsitleva otsuse tõenäoliselt mõjutab andmekaitsekorda selles kontekstis (vt allpool punkt 2. 2. 5). eelnõu referentsõigusakt, mis seotud politsei- 2. 2. SIS II õiguslik andmekaitsekord 2. 2. 1. Üldmärkus SIS II reguleerimiseks vajalik õiguslik alus koosneb erinevatest dokumentidest, kuid — nagu juba põhjendustes märgitud — ei mõjuta see “põhimõtet, et SIS II on üks ühtne infosüsteem, mis peaks sellisena ka toimima. Seetõttu peaksid nende dokumen- tide teatavad sätted olema samasugused”. Kahe dokumendi struktuur on põhijoontes sama ning peatükid I–III on mõlemas tekstis tõepoolest peaaegu identsed. Asjaolu, et SIS II tuleks käsitada üheainsa infosüsteemina, millel on kaks erinevat õiguslikku alust, kajastub ka üsna keerukas andmekait- sekorras. Andmekaitsekord on osalt kindlaks määratud ettepanekutes endis eriseadusena (lex specialis), mida täiendab iga valdkonna puhul (komisjon, liikmesriigid esimese samba osas, liikmesriigid teise samba osas) eraldi referentsõigusakt (lex generalis). Selline struktuur tõstatab küsimuse, kuidas käsitleda erieeskirju seoses üldseadustega. Sellisel juhul käsitab Euroopa andmekait- seinspektor erieeskirja üldeeskirja rakendusena. Sellest tulene- valt peab eriseadus olema alati kooskõlas üldseadusega; eriseadus arendab üldseadust edasi lisab (täpsustab seda või sellele midagi), kuid seda ei peeta erandiks üldseadusest. Küsimuse puhul, millist eeskirja tuleks kohaldada erijuhtudel, kehtib põhimõte, et eelisjärjekorras kohaldatakse eriseadust; kui aga eriseaduses asjakohaseid sätteid ei ole või need on ebaselged, tuleks viidata üldseadusele. Kavandatava otsuse põhjenduses 21 sätestatakse järgmist: “Isikuandmete töötlemise suhtes Euroopa Komisjoni poolt kohaldatakse (…) määrust (EÜ) nr 45/2001 (…), kui töötlemine toimub nende tegevuste raames, mis täielikult või osaliselt kuuluvad ühenduse õiguse reguleerimisalasse. Osaliselt kuulub isikuandmete töötlemine SIS IIs ühenduse õiguse alla”.  Sellel on praktilised põhjused: selles osas, mis puutub komis- joni, oleks tõepoolest äärmiselt raske määratleda, kas andmeid töödeldakse esimese või kolmanda samba seadusandluse alla kuuluvate tegevuste raames. Peale selle on ühe õigusakti kohaldamine kõigi komisjoni poolt SIS II raames läbiviidavate tegevuste suhtes mitte ainult praktili- sest seisukohast mõistlik, vaid see suurendab ka järjepidevust (tagades vastavalt kavandatava otsuse põhjendusele 21 “isikute põhiõiguste ja –vabaduste kaitset isikuandmete töötlusel käsitle- vate eeskirjade” järjepideva ja ühtse kohaldamise). Seetõttu tunnistamist andmekaitseinspektor tervitab Euroopa komisjoni poolt, et määrust 45/2001 kohaldatakse kõigi komis- joni poolt SIS II raames teostatavate andmetöötlustoimingute suhtes. selle 2. 2. 3. Liikmesriikide suhtes kohaldatav kord Liikmesriikide osas on olukord keerulisem. Kavandatava määruse kohast isikuandmete töötlemist reguleerib kavandatav määrus ise ning direktiiv 95/46/EÜ. Kavandatava määruse põhjendusest 14 nähtub väga selgesti, et direktiivi tuleb käsi- tada üldseadusena ning SIS II käsitlevat määrust eriseadusena. Sellel on rida tagajärgi, mis leiavad allpool üksikasjalikumat käsitlemist. Kavandatava otsuse puhul on andmekaitsealaseks referentsõigu- saktiks (lex generalis) konventsioon nr 108, mis võib mõnes osas kaasa tuua olulise erinevuse esimese ja kolmanda samba alla kuuluvate andmekaitsekordade vahel. Vastavalt kõnealusele struktuurile võib eristada kolme üldsea- duste ja eriseaduste kombinatsiooni. Alljärgnevalt on esitatud nende kokkuvõtlik kirjeldus. 2. 2. 4. Mõju andmekaitse tasemele 2. 2. 2. Komisjoni suhtes kohaldatav kord Andmekaitse rõhutab Euroopa andmekaitseinspektor järgmist: sellist korraldust käsitleva üldise märkusena Kui komisjon on kaasatud, kohaldatakse määrust 45/2001, sealhulgas Euroopa andmekaitseinspektori rolli osas, olenemata sellest, kas andmetöötlustoiminguid teostatakse esimese (kavan- datav määrus) või kolmanda samba (kavandatav otsus) raames. (1) (KOM (2005) 475 lõplik). — Kavandatava määruse kohaldamine direktiivi 95/46/EÜ eriseadusena (ning analoogselt sellele kavandatava otsuse kohaldamine konventsiooni nr 108 eriseadusena) ei tohiks juhul viia direktiivi või konventsiooniga tagatud mingil andmekaitsetaseme langemiseni. Euroopa andmekaitseins- pektor esitab oma sellekohased soovitused (vt nt õigus kasu- tada õiguskaitsevahendeid). C 91/42 ET Euroopa Liidu Teataja 19. 4. 2006 — Samamoodi ei tohi õigusaktide kombineeritud kohaldamise tagajärjeks olla praeguse Schengeni konventsiooniga tagatud andmekaitsetaseme langus (vt nt allpool esitatud märkused direktiivi 95/46/EÜ artikli 13 kohta). 2. 2. 6. Direktiivi 95/46/EÜ artikli 13 ja konventsiooni nr 108 ar- tikli 9 kohaldamine — Kahe erineva õigusakti kohaldamine, olenemata selle vaja- likkusest Euroopa õigusliku raamistiku tõttu, ei tohiks viia põhjendamatute lahknevusteni asjaomaste isikute andmete kaitse vahel töödeldavate andmete liigist tulenevalt. Seda tuleb vältida niipalju kui võimalik. Allpool toodud soovi- tuste eesmärk on samuti suurendada niipalju kui võimalik järjepidevust (vt nt riiklike järelevalveasutuste volitused).  Direktiivi 95/46/EÜ artiklis 13 ja konventsiooni nr 108 artik- lis 9 sätestatakse, et liikmesriigid võivad võtta seadusandlikke meetmeid, et piirata neis ette nähtud kohustuste ja õiguste ulatust, kui selline piirang on vajalik muude oluliste huvide kaitsmiseks (nt riiklik julgeolek, riigikaitse, avalik julgeolek) (2). — Õiguslik raamistik on nii keerukas, et see tekitab väga tõenäoliselt mõningast segadust praktilisel rakendamisel. Mõnedel juhtudel on raske mõista, milline on üldseaduste ja eriseaduste omavaheline mõju ning seda oleks otstarbekas ettepanekutes selgitada. Peale selle on kirjeldatud keerulises õiguskeskkonnas väga kasulik soovitus, mille Schengeni ühine järelevalveasutus esitas oma arvamuses SIS II kavan- datava õigusliku aluse kohta (27. september 2005) ning mille kohaselt võiks välja töötada “vademeekumi”, milles loetletakse kõik SIS IIga seonduvad olemasolevad õigused ning esitatakse kohaldatavate õigusaktide selge hierarhia. Sellest tulenevalt püütakse käesoleva arvamusega tagada kõrge- tasemeline andmekaitse, järjepidevus ja selgus, et anda andme- subjektile vajalik õiguskindlus. Nii kavandatava määruse kui kavandatava otsuse põhjendustes liikmesriigid võiksid seda võimalust kasutada mainitakse, et ettepanekute siseriiklikul juhul peaks olema täidetud kaks eeldust: direktiivi 95/46/EÜ artikli 13 kohaldamine peab olema kooskõlas Euroopa inimõiguste ja põhivabaduste kaitse konventsiooni artikliga 8 ja ei tohiks viia kehtiva andmekaitsekorra halvenemiseni. rakendamisel. Sellisel See on veelgi olulisem SIS II puhul, kuna süsteem peab olema usaldusväärne. Kuna liikmesriigid jagavad omavahel andmeid, peab olema võimalik saada piisavalt usaldusväärset teavet selle kohta, kuidas neid riiklikul tasandil töödeldakse. 2. 2. 5. Andmekaitset kolmanda samba raames käsitleva raamotsuse eelnõu mõju Konventsioon nr 108 kui SIS II käsitleva otsuse andmekaitsea- lane referentsdokument asendatakse raamotsusega andmekaitse kohta kolmanda samba raames (1). Ettepanekus seda ei mainita, kuid see tuleneb kavandatavast raamotsusest. Selle artikli 34 lõikes 2 sätestatakse, et “kõiki viiteid Euroopa Nõukogu 28. jaanuari 1981. aasta konventsioonile nr 108 üksikisikute kaitse kohta isikuandmete automaattöötlusel käsitletakse viide- tena käesolevale raamotsusele. ” Euroopa andmekaitseinspektor esitab eelolevatel nädalatel eraldi arvamuse raamotsuse eelnõu kohta ning ei analüüsi käesolevas arvamuses üksikasjalikult selle sisu. Kui aga raamotsuse kohaldamine avaldab tõenäoliselt märkimisväärset mõju SIS II andmekaitsekorrale, ei jäeta seda märkimata. rangelt ei vasta Sellega seoses on eelkõige üks murettekitav asjaolu, mille puhul ettepanekud võiksid viia praeguse andmekaitsetaseme langemi- seni. Schengeni konventsiooni artiklis 102 sätestatakse sellise loomine, mille puhul andmete kasutamine on isegi süsteemi reguleeritud riiklike piiritletud õigusaktidega ja (“Andmekasutust, mis lõigetele 1–4, käsitatakse konventsiooniosalise siseriikliku õiguse kohaselt väärkasutu- sena”). Nii direktiivis 95/46/EÜ kui konventsioonis nr 108 sätestatakse aga, et riiklike õigusaktidega võib kehtestada eran- deid muu hulgas ka eesmärgi suhtes kohaldatavate piirangute põhimõttest.  Kui seda tehakse, kujutaks see endast vastuolu Schengeni konventsiooniga kehtestatud praeguse süsteemiga, tohi kõrvale kalduda mille kohaselt riiklik seadusandlus ei eesmärgi ja kasutuse suhtes kohaldatavate piirangute põhimõt- test. Raamotsuse vastuvõtmine ei muudaks kõnealuse tähelepaneku puhul midagi: probleem seisneb nimelt pigem SIS II andmete töötlemisel range eesmärgikohase piirangu põhimõtte säilita- mises kui selle tagamises, et andmeid töödeldaks kooskõlas raamotsusega. (1) Lisaks asendatakse sellega Schengeni konventsioonis ette nähtud üldine andmekaitsekord (Schengeni konventsiooni artiklid 126– 130). Nimetatud korda ei kohaldata SISi suhtes. (2) Liikmesriik, kes soovib kasutada nimetatud võimalust õiguste piira- miseks, võib seda - nagu eespool mainitud - teha üksnes kooskõlas Euroopa inimõiguste ja põhivabaduste kaitse konventsiooni artikliga 8. 19. 4. 2006 ET Euroopa Liidu Teataja C 91/43 Euroopa andmekaitseinspektor teeb ettepaneku lisada SIS II käsitlevatesse ettepanekutesse (täpsemalt kavandatava määruse artiklisse 21 ja kavandatava otsuse artiklisse 40) samasuguse mõjuga säte kui Schengeni konventsiooni artikli 102 praegune lõige 4, milles piiratakse liikmesriikide võimalust sätestada selliste andmete kasutamine, mida ei ole mainitud SIS II käsitle- vates tekstides. Teine võimalus oleks kavandatavas otsuses ja kavandatavas määruses selgesõnaliselt piirata nende erandite ulatust, mida võib direktiivi artikli 13 ja konventsiooni artikli 9 kohaselt kasutada, sätestades näiteks, et liikmesriigid võivad piirata üksnes juurdepääsu- ja teabe saamise õigust, kuid mitte andmete kvaliteeti käsitlevaid põhimõtteid. Kokkuvõtlikult võib öelda, et ettepanekutel on palju laiem regu- leerimisala kui olemasoleval õigusraamistikul. Seega on vaja täiendavaid kaitsemeetmeid. Sellega seoses keskendub Euroopa andmekaitseinspektor oma analüüsis mitte niivõrd artiklis 1 esitatud üldisele määratlusele, vaid SIS II funktsioonidele ja muudele süsteemi koostisosadele. 4. MÄRKIMISVÄÄRSED MUUDATUSED SIS IIS Selles peatükis keskendutakse esmalt SIS IIga kaasnevatele uutele elementidele, nimelt biomeetria kasutuselevõtmisele, uutele, eelkõige Europolile ja Eurojustile antavatele juurdepää- suõigustele, sõidukite registreerimise eest vastutavatele asutus- tele, hoiatusteadete omavahelisele seostamisele ja erinevate asutuste juurdepääsule sisserände alastele andmetele. 3. EESMÄRK Vastavalt kummagi dokumendi artiklile 1 (“SIS II loomine ja üldeesmärk”), luuakse SIS II, et “liikmesriikide pädevad asutused saaksid teha koostööd, vahetades teavet isikute ja esemete kont- rollimiseks” ning süsteem “aitab kaasa kõrgetasemelise turvali- suse säilitamisele liikmesriikide vaheliste sisepiirikontrollideta alal”. SIS II eesmärk on sõnastatud üsna üldsõnaliselt; eespool nime- tatud sätted ei sisalda iseenesest täpset määratlust, mida nime- tatud eesmärk hõlmab (tähendab). 4. 1.  Biomeetria SIS II eesmärk näib märksa laiem kui praeguse SISi eesmärk, mis on sätestatud Schengeni konventsiooni artiklis 92, milles märgitakse eelkõige, et “(Schengeni infosüsteemi kaudu saavad konventsiooniosaliste määratud asutused …) kätte teated isikute ja esemete kohta piirikontrolli ning muude riigis siseriikliku õiguse kohaselt tehtavate politsei- ja tollikontrollide korral, ning artiklis 96 osutatud teatekategooria korral selleks, et anda viisasid ja elamislube ning rakendada välismaalaste õigusi (…)”. Nimetatud laiem eesmärk tuleneb ka SIS II-le selliste uute funkt- sioonide ja juurdepääsuõiguste lisamisest, mis ei kuulu esialgse isikute ja esemete kontrollimise eesmärgi, vaid pigem uurimis- vahendile kohase eesmärgi alla. Eelkõige on ette nähtud selliste asutuste juurdepääs SIS II andmetele, kes kasutavad neid enda eesmärkidel ning mitte SIS II eesmärkide saavutamiseks (vt allpool); hoiatusteadete omavahelist seostamist üldistatakse, kuna see on politsei poolt kasutatava uurimisvahendi tüüpiline tunnusjoon. Peale selle on küsimusi seoses eelseisvatel aastatel väljatöötatava biomeetriliste tunnuste otsingumootoriga, mis võimaldab teos- tada süsteemis kontrollisüsteemi vajadusi ületavaid päringuid. liiki andmeid, mis väärivad erilist SIS II käsitlevate ettepanekutega viiakse sisse võimalus töödelda uut tähelepanu, nimelt biomeetrilisi andmeid. Nagu Euroopa andmekaitseinspektor oma viisainfosüsteemi käsitlevas arvamuses (1) juba rõhutas, nõuab biomeetrilistele andmetele omane tundlikkus erilisi kait- semeetmeid, mida SIS II käsitlevad ettepanekud ei sisalda. Üldise märkusena võib öelda, et biomeetriliste andmete kasuta- mine kogu ELi hõlmavates infosüsteemides (VIS, EURODAC, juhilubade infosüsteem jne) näitab pidevat tõusutendentsi, kuid sellega kaasnevatele ohtudele ja vajalikele kaitsemeetmetele ei pöörata piisavat tähelepanu. alases toimunud Seda põhjalikumate asjakohaste kaalutluste vajadust rõhutati ka resolutsioonis, mis biomeetria vastu võeti hiljuti andmekaitsevolinike rahvusvahelisel Montreux's konverentsil (2). Seni on seisnud küsimuse puhul, milline on standardite väljatöötamisega kaasnev lisandväärtus, tähelepanu keskmes üksnes süsteemide vaheline koostalitusvõime ja mitte biomeetriliste andmete töötlemise kvaliteedi parandamine. (1) Euroopa andmekaitseinspektori 23. märtsi 2005. aasta arvamuse ja nõukogu määruse kohta, mis käsitleb ja liikmesriikidevahelist teabevahetust lühiajaliste (Euroopa Parlamendi viisainfosüsteemi viisade kohta) punkt 3. 4. 2. (2) 16. septembril 2005 Montreux's toimunud 27. rahvusvaheline andmekaitse ja eraelu puutumatuse eest vastutavate volinike konve- rents; kohta andmete passides, isikutunnistustel ja reisidokumentides. resolutsioon biomeetriliste kasutamise C 91/44 ET Euroopa Liidu Teataja 19. 4. 2006 Otstarbekas oleks välja töötada kõnealuste andmete spetsiifili- sust arvesse võtvate ühiste kohustuste või nõuete kogum ja ühine metoodika selliste kohustuste või nõuete rakendamiseks.  Kõnelaused ühised nõuded võiksid sisaldada eelkõige järgmisi elemente (mille vajalikkust näitavad SIS II käsitlevad ettepa- nekud): SIS II andmete võimalik kasutamine uurimise eesmärgil toob kaasa tõsiseid ohte andmesubjektile, kui tuginetakse eelkõige biomeetrilistele tõenditele või omistatakse neile liiga suurt täht- sust, nagu varasematel juhtudel on selgunud (2). Seetõttu tuleks ettepanekutes võimalusi isiku tuvastamisel ning tõsta sellekohast teadlikkust. tunnistada biomeetria tõelisi — Suunatud mõjuhindamine: Tuleb rõhutada, et ettepane- kute suhtes ei ole läbi viidud biomeetriliste andmete kasuta- misele keskenduvat mõjuhindamist (1). — Registreerimismenetluse rõhutamine: Biomeetriliste andmete allikat ja nende kogumise viisi ei ole täpsemalt kirjeldatud. Registreerimine on keskse tähtsusega samm isiku biomeetrilise seda ei ole võimalik paika panna lisades või alltöörühmade koosole- kutel toimuvatel aruteludel, kuna sellest sõltub otseselt prot- sessi lõpptulemus, s. t valedel alustel tagasilükkamiste või valedel alustel heakskiitmiste määr. tuvastamise protsessis; — Täpsuse määra esiletõstmine: Biomeetriliste andmete kasutamine isiku tuvastamisel (võrdlus: üks mitmele), mida ettepanekus esitletakse “biomeetrilise otsingumootori” tule- vase rakendusvõimalusena, on problemaatilisem, kuna selle protsessi tulemuste täpsuse määr on madalam kui autenti- mise või kontrollimise puhul Isiku biomeetrilisest tohiks seetõttu kujuneda isikutuvastamise ainus meetod ega ainus juurdepääsuvõi- malus täiendavale teabele. (võrdlus: üks ühele). tuvastamisest ei — Varumenetlus: Hõlpsasti kättesaadavaid varumenetlusi rakendatakse, et austada nende isikute väärikust, kes on valesti tuvastatud ning vältida seda, et nad kannataksid süsteemi puuduste all. 4. 2. Juurdepääs SIS II andmetele 4. 2. 1. Uus nägemus juurdepääsuõigusest Asutused, millel on juurdepääs SISi andmetele, määratletakse iga hoiatusteate puhul eraldi. Põhimõtteliselt peab SISi andme- tele juurdepääsu andmiseks olema täidetud kaks eeldust: juurde- pääs tuleb anda asutustele, kes vastavad täielikult SISi üldees- märgile ja iga hoiatusteate erieesmärgile. See tuleneb nii kavandatavas määruses kui kavandatavas otsuses esitatavast hoiatusteate määratlusest (mõlema dokumendi artik- li 3 lõike 1 punktis a sätestatakse: hoiatusteade — SIS II sisestatud andmekogum, mis võimaldab pädevatel asutustel teha kindlaks isik või objekt vajaliku erimeetme võtmiseks). Kavandatava otsuse artik- li 39 lõikes 3 kinnitatakse eeltoodut, sätestades, et “lõikes 1 osutatud andmeid kasutatakse ainult isiku tuvastamiseks konkreetse meetme rakendamiseks kooskõlas käesoleva otsusega”. Selles suhtes on SIS IIs endiselt elemente, mis iseloomustavad kokkulangevu- sest või selle puudumisest teada andvat süsteemi, mille puhul hoiatusteade sisestatakse kindla eesmärgiga (üleandmine, sisene- miskeeld jne). SISi andmetele juurdepääsu omavate asutustele kehtib nende facto kasutuspiirang, kuna nad saavad andmete suhtes de andmetele vajaliku erimeetme võtmiseks. põhimõtteliselt juurdepääsu üksnes Biomeetriliste andmete kasutamine ilma nõuetekohase eelhinda- miseta näitab samuti, et biomeetria usaldusväärsust ülehinna- takse. 