6.8.2008   

CS

Úřední věstník Evropské unie

C 200/1

1.

Evropská komise předložila dne 18. října 2007 Evropskému parlamentu a Radě návrh nařízení (dále jen „návrh“) na změnu nařízení (ES) č. 2252/2004 (1). Evropský inspektor ochrany údajů (EIOÚ) nebyl o tomto návrhu konzultován, přestože čl. 28 odst. 2 nařízení (ES) č. 45/2001 stanoví, že při přijímání návrhů právních předpisů týkajících se ochrany individuálních práv a svobod v souvislosti se zpracováním osobních údajů konzultuje Komise evropského inspektora ochrany údajů.

2.

EIOÚ vyjadřuje politování nad skutečností, že Komise nesplnila svou právní povinnost jej konzultovat a očekává, že v budoucnu bude konzultován o všech návrzích spadajících do oblasti působnosti čl. 28 odst. 2 nařízení. EIOÚ se rozhodl vydat stanovisko na vlastní podnět. S ohledem na závaznou povahu čl. 28 odst. 2 nařízení by toto stanovisko mělo být uvedeno v preambuli návrhu.

3.

Souvislosti tohoto návrhu jsou tyto: Rada dne 13. prosince 2004 přijala za účelem zavedení biometrických údajů v cestovních pasech nařízení (ES) č. 2252/2004 o normách pro bezpečnostní a biometrické prvky v cestovních pasech a cestovních dokladech vydávaných členskými státy. Společně se zajišťovacími prvky je účelem biometrických údajů posílit spojení mezi cestovním pasem a držitelem tohoto dokladu. Komise dne 28. února 2005 přijala první část technické specifikace (2) týkající se uchovávání zobrazení obličeje držitele na bezkontaktním čipu. Komise dne 28. června 2006 přijala druhé rozhodnutí (3) týkající se dodatečného uchovávání dvou otisků prstů na čipu začleněném v cestovním pasu.

4.

S ohledem na harmonizaci výjimek z biometrického pasu byla v návrhu doplněna tato opatření: děti ve věku do 6 let jsou osvobozeny od povinnosti poskytnout otisk prstů a osoby, které nejsou k poskytnutí otisků prstů fyzicky způsobilé, by rovněž měly být od tohoto požadavku osvobozeny.

5.

Kromě toho návrh zavádí povinnost „pro každou osobu jeden cestovní pas“, což je uváděno jako dodatečné bezpečnostní opatření, které poskytuje dětem další ochranu.

6.

EIOÚ vítá skutečnost, že Komise podle zmínky obsažené v důvodové zprávě k tomuto návrhu zohlednila otázku týkající se záložních postupů uvedenou v jeho předchozích stanoviscích.

7.

EIOÚ vyjadřuje politování, že Komise neprovedla v souvislosti s tímto návrhem posouzení dopadu. Není proto jasné, jak byla Komise bez zevrubného posouzení dopadu s to řádně vyhodnotit nutnost a přiměřenost návrhu ve vztahu k otázkám ochrany údajů. Takováto analýza by neměla být omezena na náklady spojené s novými opatřeními a mohla by těžit z podobných otázek již nastolených v souvislosti s jinými návrhy, jako je návrh na přezkum Společné konzulární instrukce (4). Jak je dále vysvětleno v části 2.1 tohoto stanoviska, je potřeba přezkoumat věkovou hranici uvedenou v návrhu tím naléhavější, že není k dispozici posouzení dopadu.

8.

EIOÚ uznal při několika příležitostech výhody používání biometrie, ale zároveň zdůraznil, že tyto výhody závisí na použití přísných ochranných opatření. EIOÚ ve svém stanovisku o SIS II (5) navrhl demonstrativní výčet společných povinností nebo požadavků, které je třeba při používání biometrických údajů v příslušném systému dodržovat. Tyto prvky přispějí k tomu, aby držitel pasu nebyl postižen nedokonalostmi systému, jako je dopad chybného určení totožnosti nebo nezařazení do systému.

9.

EIOÚ proto jednoznačně podporuje návrh Komise zavést výjimky z poskytování otisků prstů na základě věku příslušné osoby nebo při její nezpůsobilosti otisky prstů poskytnout. Tyto výjimky jsou součástí záložních postupů, které by měly být provedeny. EIOÚ také vítá úsilí Komise přijmout k různým nástrojům pojednávajícím o podobných otázkách důsledný přístup, neboť návrh na výjimku byl zahrnut i do návrhu na přezkum Společné konzulární instrukce.

10.

EIOÚ nicméně stále považuje tyto výjimky ze neuspokojivé, neboť neřeší veškeré možné a příslušné otázky, které pramení z nedokonalostí, které jsou biometrickým systémům vlastní, a konkrétněji z nedostatků týkajících se dětí a starších osob.

11.

Komise v důvodové zprávě vztahující se k návrhu odkazuje na pilotní projekty v některých členských státech, které potvrdily, že otisky prstů „dětí mladších šesti let se nejeví dostatečně kvalitní pro ověření totožnosti určité osoby“. Informací o těchto pilotních projektech a okolnostech, za nichž byly provedeny, je však málo, nebo nejsou vůbec k dispozici. Význam pojmu „dostatečně kvalitní“ nebyl dosud vysvětlen, ani vymezen.

12.

Podle EIOÚ by měla být věková hranice pro poskytování otisků prstů dětí určena na základě soustavné a hloubkové studie, která řádně určí přesnost systémů za skutečných podmínek a která zohlední různorodost zpracovávaných údajů. Pilotní projekty jako takové neposkytují dostatečné informace, z nichž by bylo možné vycházet, pokud jde o zásadní volby normotvůrce Společenství.

13.

EIOÚ již zdůraznil potřebu provedení takovéto studie před tím, než dojde ke stanovení jakékoli věkové hranice, a to ve svém stanovisku k návrhu nařízení, kterým se mění Společná konzulární instrukce (6). Nezvratné důkazy o řádně odůvodněné věkové hranici pro děti neposkytuje ani dostupná vědecká literatura, ani předchozí studie o dopadu provedená Komisí v rámci návrhu o vízovém informačním systému (7).

14.

EIOÚ proto doporučuje, aby věková hranice uvedená v návrhu byla považována pouze za prozatímní. Po třech letech by se měla věková hranice přehodnotit a podložit rozsáhlou a hloubkovou studií. Vzhledem k citlivosti biometrických údajů, jakož i konkurenčním aspektům biometrických systémů, navrhuje EIOÚ, aby tato studie byla řízena jediným evropským orgánem disponujícím v této oblasti jasnou odborností, jakož i zkušebním vybavením (8). Všechny příslušné zúčastněné strany od zástupců průmyslu až po orgány členských států by měly být vyzvány, aby k této studii přispěly.

15.

EIOÚ doporučuje, aby před tím, než bude touto studií jasně určena věková hranice a v zájmu zamezení případnému nebezpečnému provádění, odpovídala používaná hranice hranicím již přijatým pro větší skupiny obyvatel v nařízení o systému EURODAC (9), které se týká žadatelů o azyl (kde věková hranice pro snímání otisků prstů dětí činí 14 let) nebo v programu návštěv USA (US Visit, kde věková hranice činí rovněž 14 let) (10). Tyto hranice by mohly dokonce být o něco málo nižší, neboť používání biometrických údajů je podle čl. 4 odst. 3 nařízení (ES) č. 2252/2004 přísně omezeno na proces ověřování (porovnávání dvou otisků). Takovýmto procesem obvykle vzniká méně chyb v porovnání s procesem určování totožnosti (porovnávání jednoho otisku s vícero), který vykazuje vyšší chybovost.

16.

Nedokonalost systémů otisků prstů se netýká pouze mladších dětí, nýbrž také starších osob. Bylo totiž prokázáno, že přesnost a použitelnost otisků prstů se s narůstajícím věkem (11) snižuje a vyvstávají zejména otázky účelnosti a ergonomie. V souladu s úvahami o věkové hranici pro děti doporučuje EIOÚ, aby byla jako dodatečná výjimka stanovena věková hranice pro starší osoby, kterou lze odvodit od podobných již nabytých zkušeností (program US Visit používá hranici 79 let). Kvalita otisků prstů starších osob pro účely zařazení a srovnávání bude rovněž muset být součástí již navržené studie.

17.

Závěrem EIOÚ připomíná, že z důvodu těchto výjimek by nemělo žádným způsobem dojít ke stigmatizaci nebo diskriminaci osob, které budou podle zásady předběžné opatrnosti od této povinnosti osvobozeny z důvodu jejich věku, nebo proto že jsou jejich otisky prstů zjevně nečitelné.

18.

Podle vysvětlení na internetové stránce Mezinárodní organizace pro civilní letectví (ICAO) bylo doporučení „pro každou osobu jeden cestovní pas“ (12) navrženo hlavně jako možné řešení nedostatku jednotných pravidel, pokud jde o rodinné cestovní pasy a zavádění strojově čitelných cestovních pasů. EIOÚ uznává, že by toto opatření mohlo přinést i další výhodu tím, že by přispělo k boji proti obchodování s dětmi. Hlavním účelem cestovního pasu je však usnadnit cestování občanů EU a nikoliv bojovat proti únosům dětí, proti nimž byla vypracována další konkrétní a účinná opatření.

19.

Podle nedávné studie (13) vzniká většina rizik obchodování s nezletilými nebo dochází k jejich únosu, cestují-li bez doprovodu. Je zřejmé, že pro tuto kategorii osob představuje osobní cestovní doklad dodatečnou ochranu. Je však třeba zdůraznit, že podle Mezinárodního sdružení leteckých dopravců (IATA) není dětem ve věku do šesti let povoleno cestovat bez doprovodu osoby, která je vykonavatelem rodičovské odpovědnosti.

20.

Komise v důvodové zprávě k tomuto návrhu znázorňuje potřebu tohoto bezpečnostního opatření příkladem rodiče a dětí zapsaných ve stejném cestovním pase a skutečností, že na čipu by nebyly uchovávány biometrické údaje dětí, nýbrž pouze biometrické údaje rodičů. Je třeba zdůraznit, že pokud jde o děti pod věkovou hranicí navrženou Komisí, jejich biometrické údaje by v cestovním pase nebyly uloženy v žádném případě. V tomto případě se vzhledem k přidané hodnotě, kterou tato zásada nabízí, zdá být břemeno dodatečných nákladů a postupů pro rodiče, jakož i dodatečný sběr osobních údajů týkajících se dětí, nepřiměřené.

21.

Je třeba rovněž zdůraznit, že umožnění přístupu k údajům nebo jejich zařazení (tím, že se dětem, které jsou osvobozeny od povinnosti být držiteli cestovního pasu, poskytne biometrický pas) často představuje silnou motivaci pro shromažďování a využívání těchto údajů. Lze se s jistotou domnívat, že jakmile budou technické prostředky k dispozici, budou i využívány. Jinými slovy se někdy stává, že prostředky světí účel, a nikoliv naopak. To může vést k následným požadavkům na méně přísné právní předpisy (a nižší věkovou hranici) za účelem usnadnění využití těchto technických možností. Právní změny pak mohou pouze potvrdit již zavedenou praxi.

22.

EIOÚ doporučuje, aby zásada „pro každou osobu jeden cestovní pas“ byla uplatňována pouze pro děti, které budou nad věkovou hranicí navrženou Komisí nebo hranicí, která bude přezkoumána a potvrzena již výše zmíněnou studií.

23.

Vydávání cestovních pasů v členských státech EU podléhá vnitrostátním právním předpisům příslušných členských států. Podle vnitrostátních právních předpisů se vyžaduje předložení různých dokladů, jako je rodný list, osvědčení o občanství, doklad týkající se složení rodiny, potvrzení od rodiče, řidičský průkaz, faktura za komunální služby, atd. Tyto doklady se většinou nazývají „podkladové dokumenty“, neboť mohou být podkladem pro cestovní pasy.

24.

V tomto ohledu existují mezi právními předpisy členských států EU výrazné rozdíly. Ze způsobu, jakým se podkladové dokumenty a doklady, jež jsou k vystavení pasu požadovány, v členských státech vydávají, vyplývá velké množství různých situací a postupů, což zákonitě snižuje kvalitu údajů v cestovních pasech a dokonce zvyšuje riziko krádeže identity.

25.

U podkladových dokumentů, které většinou mají méně bezpečnostních prvků, je větší pravděpodobnost pozměnění a padělání oproti moderním cestovním pasům s použitím biometrických údajů chráněných systémy PKI (Public Key Infrastructure).

26.

EIOÚ sice vítá cíl Komise zdokonalit bezpečnostní opatření cestovních pasů, zdůrazňuje však, že pas je pouze jedním článkem bezpečnostního řetězce začínajícího u těchto podkladových dokumentů a končícího na hraničních přechodech; a že tento řetězec bude pouze tak bezpečný, jako je jeho nejslabší článek. EIOÚ proto Komisi doporučuje, aby navrhla další opatření pro harmonizaci způsobu, kterým se podkladové doklady vydávají, jakož i pro stanovení dokladů, které mají být požadovány pro vystavení cestovního pasu.

27.

Podle hloubkového šetření (14) provedeného na žádost Výboru pro občanské svobody, spravedlnost a vnitřní věci Evropského parlamentu Pracovní skupinou pro ochranu údajů zřízenou podle článku 29 směrnice 95/46 a zaměřeného na prováděcí postupy, pokud jde o nařízení (ES) č. 2252/2004, očekávají některé členské státy zřízení centrální databáze pro uchovávání biometrických údajů obsažených v cestovních pasech. Členské státy sice smí provádět s použitím centralizované databáze pouze postup ověřování biometrických údajů, neboť toto omezení je v nařízení přísně stanoveno, tato možnost však představuje dodatečná rizika, pokud jde o ochranu osobních údajů, jako je vznik dalších účelů, které nejsou v nařízení stanoveny, nebo dokonce „lovení údajů“ z databáze, což bude obtížné omezit (15).

28.

EIOÚ doporučuje Komisi, aby navrhla další harmonizaci opatření, která by pro biometrické údaje shromážděné pro cestovní pasy členských států EU stanovila pouze využívání decentralizovaného uchovávání (v bezdrátovém čipu začleněném v pase).

29.

Rozhodnutí Komise (16) ze dne 28. června 2006, C(2006)2909 stanovilo pouze formát a kvalitu otisků prstů, které by měly být zpracovávány, jakož i způsob, jímž je třeba je chránit (rozšířená kontrola přístupu – Extended Access Control) V návrhu není žádný náznak ani o případné míře nezdařených zařazení (Failure to Enrol Rate – FER), ani o mírách v souvislosti se srovnávacími procesy. Návrh skutečně stanovil záložní postup pro malé děti (věkovou hranici), ale není definován práh, který by určil, kdy nejsou otisky prstů dostatečně kvalitní k tomu, aby mohly být zařazeny.

30.

Pokud jde o proces srovnávání, v návrhu rovněž chybí vymezení míry chybného odmítnutí (False Rejection Rate – FRR), která by se měla na hranici uplatňovat; návrh rovněž nestanoví, jak naložit s osobami, které byly patrně chybně odmítnuty. Tento nedostatek jednotných norem, pokud jde o četnost, by mohl vést ke vzniku odlišných procesů pro biometrické údaje občanů EU podle hranice, kterou by si příslušná osoba vybrala pro vstup do schengenského prostoru, a mohlo by tudíž dojít k nerovnému zacházení s občany EU, pokud jde o zbytkové riziko biometrických systémů. Jelikož se jedná o proces ověřování určité osoby, EIOÚ si je vědom, že četnost chybného odmítnutí bude nižší, než v případě procesu určování totožnosti a že bude proto méně případů k řešení. Záložní postupy je však třeba stanovit harmonizovaným a uspokojivým způsobem i pro tyto osoby.

31.

EIOÚ doporučuje Komisi, aby navrhla společné míry pro proces zařazování a srovnávání a aby je společně s orgány členských států doplnila o záložní postupy.

32.

Navrhovanými změnami stávajících pravidel o normách pro bezpečnostní a biometrické prvky v cestovních pasech a jiných cestovních dokladech vydávaných členskými státy vznikají podobné otázky, jaké vznikly v předchozích stanoviscích, i když EIOÚ vítá skutečnost, že již byly zohledněny záložní postupy.

33.

EIOÚ rovněž vítá zavedení výjimek na základě věku osoby nebo její schopnosti poskytnout otisky prstů, jakož i snahu přijmout v různých nástrojích upravujících podobné otázky jednotný přístup.

34.

EIOÚ nicméně stále považuje tyto výjimky ze neuspokojivé, neboť neřeší veškeré možné a příslušné otázky, které vyvstávají z nedostatků, které jsou biometrickým systémům vlastní, a konkrétněji nedostatků týkajících se dětí a starších osob.

35.

Věková hranice pro děti by měla být určena na základě soustavné a hloubkové studie, která řádně určí přesnost systémů za skutečných podmínek a která zohlední různorodost zpracovávaných údajů. Tuto studii by měl provést evropský orgán s jasnou odborností a odpovídající vybaveností v tomto oboru.

36.

Dříve než bude studií určena věková hranice a v zájmu zamezení případnému nebezpečnému provádění by měla prozatímní hranice odpovídat hranicím již přijatým pro větší skupiny obyvatelstva, buď v systému EURODAC nebo v programu US Visit (věk 14 let), nebo být o něco málo nižší, avšak pouze v rámci procesu ověřování.

37.

Věková hranice pro starší osoby, která může být rovněž založena na podobných zkušenostech (US Visit: věk 79 let), by měla být zavedena jakožto dodatečná výjimka. Takovéto výjimky by v žádném případě neměly příslušné osoby stigmatizovat nebo diskriminovat.

38.

Zásada „pro každou osobu jeden cestovní pas“ by se měla vztahovat pouze na děti nad příslušnou věkovou hranicí.

39.

Vzhledem ke stávajícím rozdílům podle vnitrostátních právních předpisů, pokud jde o skutečnost, jaké doklady se vyžadují pro vystavení cestovních pasů, by měla Komise navrhnout dodatečná opatření vedoucí k harmonizaci zhotovování a používání těchto podkladových dokumentů.

40.

Komise by měla také navrhnout další harmonizační opatření za účelem provedení pouze decentralizovaného uchovávání biometrických údajů shromážděných pro cestovní pasy členských států.

41.

Závěrem by měla Komise navrhnout obecně platné procento případů, u nichž se proces zařazování a srovnávání provede záložními postupy společně s orgány členských států.