12.1.2017

Den Europæiske Unions Tidende

C 9/3

Resumé af udtalelse fra Den Europæiske Tilsynsførende for Databeskyttelse om den første reformpakke i forbindelse med det fælles europæiske asylsystem (Eurodac-, EASO- og Dublinforordningerne)

(Udtalelsen findes i sin helhed på engelsk, fransk og tysk på den tilsynsførendes websted www.edps.europa.eu)

(2017/C 9/04)

Europa har i flere år stået over for en presserende migrations— og flygtningekrise, som blev en endnu større udfordring i 2015. Kommissionen foreslog derfor en reform af Dublinforordningen for at tilpasse den til den nuværende situation. Denne reform er kombineret med et forslag om at oprette et asylagentur for Den Europæiske Union, som skal hjælpe medlemsstaterne med at varetage deres opgaver på asylområdet.

Eurodac har siden sin oprettelse haft til formål at levere fingeraftryksbeviser for at fastlægge, hvilken medlemsstat der er ansvarlig for at behandle en asylansøgning, som er indgivet i EU.

Kommissionen foreslog også en omarbejdning af Eurodacforordningen. Den vigtigste ændring i denne forordning er, at Eurodacs anvendelsesområde udvides til at omfatte en registrering af tredjelandsstatsborgere, som opholder sig ulovligt i medlemsstaterne, eller som pågribes i forbindelse med ulovlig krydsning af en medlemsstats grænse til et tredjeland.

Den tilsynsførende anerkender nødvendigheden af en mere effektiv forvaltning af migration og asyl i EU. Han anbefaler dog, at der foretages nogle vigtige forbedringer for bedre at tage hensyn til de legitime rettigheder og interesser hos de relevante personer, der kan være berørt af behandlingen af personoplysninger, navnlig de sårbare grupper, der kræver særlig beskyttelse, såsom migranter og flygtninge.

I sin udtalelse anbefaler den tilsynsførende bl.a. følgende hovedpunkter:

—	at det i Dublinforordningen angives, at indførelsen af en unik identifikator i Dublindatabasen under ingen omstændigheder må anvendes til andre formål end de formål, der er beskrevet i Dublinforordningen

—	at der i omarbejdningen af Eurodacforordningen 2016 foretages en fuldstændig vurdering af konsekvenserne for databeskyttelsen og privatlivets fred med henblik på at måle, hvilke konsekvenser den nye foreslåede tekst og udvidelsen af Eurodacdatabasens anvendelsesområde har for privatlivets fred

—	at der foretages en vurdering af behovet for at indsamle og anvende ansigtsbilleder af de personkategorier, der er omhandlet i omarbejdningen af Eurodacforordningen 2016, og af forholdsmæssigheden af indsamlingen heraf, idet der anvendes en konsekvent studie- eller evidensbaseret tilgang

—	at der foruden begrundelsen foretages en detaljeret vurdering af situationen for mindreårige og en afvejning af de risici og ulemper, der er ved proceduren med at tage fingeraftryk af mindreårige, i forhold til fordelene for dem.

I udtalelsen identificeres der endvidere en række andre mangler ved de forskellige forslag, og der fremsættes yderligere anbefalinger med hensyn til databeskyttelse og privatlivets fred, som bør tages i betragtning i lovgivningsprocessen.

I. INDLEDNING OG BAGGRUND

I april 2016 vedtog Kommissionen en meddelelse om en reform af det fælles europæiske asylsystem og om fremme af lovlige migrationsveje til Europa (1), hvori den fastlagde prioriteterne for en forbedring af det fælles europæiske asylsystem (CEAS). I denne sammenhæng vedtog Kommissionen den 4. maj 2016 tre forslag som led i den første reformpakke for det fælles europæiske asylsystem:

—

et forslag til Europa-Parlamentets og Rådets forordning om fastsættelse af kriterier og procedurer til afgørelse af, hvilken medlemsstat der er ansvarlig for behandlingen af en ansøgning om international beskyttelse, der er indgivet af en tredjelandsstatsborger eller en statsløs i en af medlemsstaterne (herefter kaldet »Dublinforslaget«) (2)

—	et forslag til Europa-Parlamentets og Rådets forordning om Den Europæiske Unions Asylagentur og om ophævelse af forordning (EU) nr. 439/2010 (herefter kaldet »forslaget om Den Europæiske Unions Asylagentur« eller »EUAA-forslaget«) (3) og

—

et forslag til Europa-Parlamentets og Rådets forordning om ændring af forordning (EU) nr. 603/2013 om oprettelse af »Eurodac« til sammenligning af fingeraftryk med henblik på en effektiv anvendelse af [forordning (EU) nr. 604/2013] om fastsættelse af kriterier og procedurer til afgørelse af, hvilken medlemsstat der er ansvarlig for behandlingen af en ansøgning om international beskyttelse, der er indgivet af en tredjelandsstatsborger eller en statsløs i en af medlemsstaterne, identificering af en tredjelandsstatsborger eller en statsløs person med ulovligt ophold og om medlemsstaternes retshåndhævende myndigheders og Europols adgang til at indgive anmodning om sammenligning med Eurodacoplysninger med henblik på retshåndhævelse (omarbejdning 2016) (herefter kaldet »forslaget til omarbejdning af Eurodacforordningen 2016«) (4).

Den tilsynsførende blev hørt uformelt inden offentliggørelsen af forslaget til omarbejdning af Eurodacforordningen og EASO-forslaget og fremsendte uformelle bemærkninger til Kommissionen om begge dokumenter.

Den tilsynsførende forstår, at det er nødvendigt for EU at tackle de udfordringer, som migrations- og flygtningekrisen har givet siden 2015, og at der er behov for en effektiv og harmoniseret EU-politik for at imødegå den ulovlige indvandring, der finder sted både inden for EU og til EU. Den tilsynsførende vil med sin rådgivende rolle, med fuld respekt for lovgiverens rolle i vurderingen af de foreslåede foranstaltningers nødvendighed og forholdsmæssighed, i denne udtalelse fremsætte nogle anbefalinger med hensyn til databeskyttelse og privatlivets fred, der har til formål at hjælpe lovgiveren med at opfylde kravene i artikel 7 og 8 i chartret om grundlæggende rettigheder, hvad angår retten til privatlivets fred og databeskyttelse, og artikel 16 i traktaten om Den Europæiske Unions funktionsmåde.

Den tilsynsførende vil først fremsætte sine hovedanbefalinger i forbindelse med de tre forslag. Disse hovedanbefalinger omhandler de vigtigste spørgsmål, som den tilsynsførende har observeret, og som under alle omstændigheder bør tages op under lovgivningsprocessen. Yderligere anbefalinger er de punkter, hvor den tilsynsførende mener, at der er brug for uddybning, yderligere oplysninger eller mindre ændringer. Denne skelnen skal hjælpe lovgiveren med at prioritere de vigtigste spørgsmål, som behandles i denne udtalelse.

IV. KONKLUSION

68.

Den tilsynsførende bifalder databeskyttelsesindsatsen i de forskellige tekster. Han konstaterer, at databeskyttelseskulturen er ved at blive en del af lovgivningsprocessen, hvilket også kan ses på forslagenes udarbejdelse.

69.

Den tilsynsførende vil med sin rådgivende rolle, med fuld respekt for lovgiverens rolle i vurderingen af de foreslåede foranstaltningers nødvendighed og forholdsmæssighed, fremsætte nogle anbefalinger i denne udtalelse med hensyn til databeskyttelse og privatlivets fred i de tre behandlede forslag.

70.

Hvad angår Dublinforslaget, giver den tilsynsførende udtryk for sin bekymring over, at den unikke identifikator kan anvendes til andre formål, f.eks. til at identificere personer i andre databaser, da den gør det nemt og enkelt at sammenligne databaserne. Den tilsynsførende anbefaler, at enhver anden brug af identifikatoren udtrykkeligt forbydes.

71.

Hvad angår forslaget til omarbejdning af Eurodacforordningen, er den tilsynsførende af den opfattelse, at udvidelsen af Eurodacs anvendelsesområde giver anledning til bekymring, når det gælder respekten for princippet om formålsbegrænsning, som er stadfæstet i artikel 7 i EU's charter om grundlæggende rettigheder. Den tilsynsførende anbefaler ligeledes, at man yderligere specificerer de andre typer foranstaltninger end udsendelse og hjemsendelse, som medlemsstaterne kunne træffe på baggrund af Eurodacdata. Den tilsynsførende anbefaler, at Kommissionen offentliggør en fuldstændig vurdering af de konsekvenser, som omarbejdningen af Eurodacforordningen 2016 har for databeskyttelsen og privatlivets fred, med det formål at måle, hvilke konsekvenser den foreslåede tekst har for privatlivets fred.

72.

Den tilsynsførende er også bekymret over medtagelsen af ansigtsbilleder, da der i forordningen ikke henvises til nogen vurdering af behovet for at indsamle og anvende ansigtsbilleder af de personkategorier, der er omhandlet i forslaget til omarbejdning af Eurodacforordningen. Endvidere er den tilsynsførende af den opfattelse, at det i forslaget bør klarlægges, i hvilke tilfælde der skal finde en sammenligning af fingeraftryk og/eller ansigtsbilleder sted, eftersom det udarbejdede forslag til omarbejdning synes at indebære, at en sådan sammenligning systematisk skal finde sted.

73.

Den tilsynsførende anbefaler ligeledes, at der foruden begrundelsen offentliggøres en detaljeret vurdering af situationen for mindreårige og foretages en afvejning af risiciene og ulemperne for mindreårige ved en sådan procedure i forhold til fordelene for dem. I den forbindelse bør man også i forordningen (dvs. i en betragtning) definere betydningen af, at der tages fingeraftryk af mindreårige på en børnevenlig måde.

74.

Hvad angår datalagringsperioden, som i princippet er fem år, anbefaler den tilsynsførende, at der gives flere oplysninger og en forklaring på, hvorfor og hvordan en datalagringsperiode på fem år blev anset for nødvendig i denne sammenhæng med henblik på at nå de nye målsætninger med Eurodacdatabasen. Endvidere anbefaler den tilsynsførende, at datalagringsperioden reduceres til den reelle længde af den specifikke persons indrejseforbud. Endelig anbefaler den tilsynsførende, at det specificeres i forslaget, at datalagringsperiodens startdato er den dato, hvor det første fingeraftryk behandles af en medlemsstat.

75.

Afslutningsvis anbefaler den tilsynsførende en blokering af alle data til retshåndhævelsesformål efter tre år, samt at der ikke længere gøres forskel på de forskellige kategorier af tredjelandsstatsborgere i den henseende.

76.

Ud over de vigtigste mangler, der er identificeret ovenfor, vedrører den tilsynsførendes anbefalinger i denne udtalelse følgende aspekter:

—

Med hensyn til forslaget til omarbejdning af Eurodacforordningen

—	Den tilsynsførende anbefaler, at det i forslaget specificeres, at det endelige ansvar for behandlingen af personoplysninger ligger hos de medlemsstater, der betragtes som registeransvarlige i henhold til direktiv 95/46/EF.

—	Artikel 37 bør omformuleres med henblik på at klarlægge, i hvilke tilfælde en international overførsel er tilladt eller forbudt, navnlig når det gælder en overførsel til ansøgerens oprindelsesland.

—	I artikel 38, stk. 1, bør det specificeres, at kun data, der er strengt nødvendige i tilbagesendelsesøjemed, kan overføres af medlemsstaterne.

—	Det bør ikke være tilladt at optage personers fingeraftryk ved anvendelse af tvang. Dette bør specificeres i Eurodacforordningen.

—	Den tilsynsførende anbefaler i den forbindelse en klarlæggelse af, at frihedsberøvelse ikke må betragtes som en straf for manglende efterlevelse af kravet om at afgive fingeraftryk.

—

Eu-LISA's anvendelse af reelle personoplysninger til testformål giver anledning til alvorlig bekymring og bør ikke være tilladt i henhold til Eurodacforordningen. Lovgiveren bør overveje og vurdere anvendelsen af ikkereelle personoplysninger som et alternativ i betragtning af risikoen for privatlivets fred for de pågældende personer. Under alle omstændigheder bør der ikke stå i forslaget, at biometriske data kan anonymiseres, eftersom de altid vil vedrøre en person og derfor kan betragtes som personoplysninger.

—	Hvad angår eu-LISA's behandling af oplysninger, anbefaler den tilsynsførende en specifik angivelse af, at der skal sørges for tilstrækkelig beskyttelse, når det gælder eksterne underleverandørers dataadgang.

—	Endelig bifalder den tilsynsførende indsatsen for at sikre, at de retshåndhævende myndigheders adgang vurderes af et uafhængigt organ. For at bevare kontrolmyndighedens uafhængighed bør de udpegede myndigheder og kontrolmyndighederne dog ikke tilhøre samme organisation.

—

Med hensyn til EUAA-forslaget

—	Den tilsynsførende anbefaler, at det specificeres, at agenturets eksperter kun kan få adgang til databaserne i overensstemmelse med de retsakter, der gælder for disse databaser, og med databeskyttelsesreglerne.

—	Den tilsynsførende anbefaler endvidere, at det udtrykkeligt angives, hvad man forstår ved administrative formål i artikel 30, stk. 3, eftersom alle formål, der forfølges af en forvaltning, kunne falde ind under denne definition.

—	Den tilsynsførende anbefaler en klarlæggelse af ansvaret for at sørge for sikkerheden af det udstyr, som agenturet bruger. Ansvaret bør defineres i alle faser af udstyrets livscyklus, dvs. lige fra erhvervelsen af det til dets opbevaring og anvendelse og til sidst dets bortskaffelse.

Bruxelles, den 21. september 2016.

Den Europæiske Tilsynsførende for Databeskyttelse

Giovanni BUTTARELLI

(1) COM(2016) 197 final.

(2) COM(2016) 270 final.

(3) COM(2016) 271 final.

(4) COM(2016) 272 final.