EUROPSKA KOMISIJA

Bruxelles, 25.1.2017.

COM(2017) 41 final

KOMUNIKACIJA KOMISIJE EUROPSKOM PARLAMENTU, EUROPSKOM VIJEĆU I VIJEĆU

Četvrto izvješće o napretku prema uspostavi učinkovite i istinske sigurnosne unije

I.    UVOD

Ovo je četvrto mjesečno izvješće o napretku prema uspostavi učinkovite i istinske sigurnosne unije, koje obuhvaća promjene u dvama glavnim stupovima: suzbijanje terorizma i organiziranog kriminala i infrastrukture kojom se podupiru te jačanje zajedničke obrane i otpornosti na te prijetnje. Ovo izvješće usmjereno je na četiri ključna područja: informacijske sustave i interoperabilnost, zaštitu lakih meta, kibernetičku prijetnju te zaštitu podataka u kontekstu kriminalnih istraga.

Teroristički napad na berlinskom božićnom sajmu u prosincu novo je upozorenje na ozbiljne nedostatke naših informacijskih sustava koje treba hitno ukloniti, posebice na razini EU-a, kako bi se nacionalnim graničnim tijelima i tijelima kaznenog progona na terenu omogućilo da učinkovitije obavljaju svoje zahtjevne zadatke. Činjenica da različiti informacijski sustavi nisu međusobno povezani, zbog čega se napadači mogu koristiti s više identiteta za neopaženo kretanje i prelaženje granica, kao i činjenica da države članice ne unose redovito informacije u relevantne baze podataka EU-a praktični su nedostaci u provedbi koje je potrebno hitno ispraviti. Uz to, potrebno je više učiniti u pogledu mjera kaznenog progona na granicama i vraćanja osoba čiji su zahtjevi za azil odbijeni 1 .

Kada je riječ o zaštiti lakih meta, Komisija će ubrzati rad na okupljanju stručnjaka iz država članica radi razmjene najbolje prakse i usuglašavanja standardnih smjernica.

U izvješću se razmatraju različita područja rada na uklanjanju kibernetičke prijetnje s kojom se suočava EU i kojoj mediji posvećuju veliku pozornost. To obuhvaća rad na sprečavanju prijetnje putem suradnje s predstavnicima industrije u cilju promicanja sigurnosti osmišljavanjem i provedbom Direktive o sigurnosti mreže i informacija te razvijanje suradnje među državama članicama, s međunarodnim organizacijama i partnerima u pogledu odgovora u slučaju kibernapada. Komisija i Visoki predstavnik Unije za vanjske poslove i sigurnosnu politiku u idućim će mjesecima na temelju Strategije EU-a za kibersigurnost iz 2013. utvrditi mjere koje su potrebne za osiguranje učinkovitog odgovora na te prijetnje na razini EU-a.

Zaštita privatnosti i osobnih podataka jedno je od najvažnijih temeljnih prava i stoga je temelj svih mjera za uspostavu istinske sigurnosne unije. Direktivom o zaštiti podataka za policijska i kaznenopravna tijela, koja je donesena u travnju 2016., zajamčen je zajednički visoki standard zaštite podataka, što će pridonijeti nesmetanoj razmjeni važnih podataka među tijelima kaznenog progona država članica. Komisija je započela i reviziju Direktive o privatnosti i elektroničkim komunikacijama u sklopu svojeg paketa za zaštitu podataka kako bi se područje primjene Direktive proširilo na sve pružatelje usluga elektroničkih komunikacija i kako bi se njezine odredbe uskladile s Općom uredbom o zaštiti podataka. Prijedlogom se želi osigurati privatnost elektroničkih komunikacija, a na njegovoj će se osnovi utvrditi ograničenja područja primjene Uredbe o e-privatnosti, među ostalim iz razloga nacionalne sigurnosti ili kaznenih istraga.

II.    JAČANJE INFORMACIJSKIH SUSTAVA I INTEROPERABILNOSTI

U govoru predsjednika Junckera o stanju Unije u rujnu 2016. te u zaključcima Europskog vijeća iz prosinca 2016. ističe se važnost prevladavanja postojećih nedostataka u upravljanju informacijama i poboljšanja interoperabilnosti i međusobne povezanosti postojećih informacijskih sustava. Nedavni događaji ponovo su upozorili na hitnu potrebu za povezivanjem postojećih baza podataka EU-a, među ostalim kako bi se graničnim tijelima i tijelima kaznenog progona na terenu osigurali alati potrebni za otkrivanje slučajeva zloupotrebe identiteta. Primjerice, počinitelj terorističkog napada u Berlinu u prosincu 2016. koristio se s najmanje 14 različitih identiteta te je neopaženo putovao među državama članicama. Kako bi se spriječila takva praksa terorista i kriminalaca, nedvojbeno je potrebno da se postojeći i budući informacijski sustavi EU-a mogu istodobno pretraživati uz upotrebu biometrijskih identifikacijskih oznaka.

Komisija je u vezi s tim u travnju 2016. počela pripremati prijedloge za „jače i pametnije informacijske sustave za granice i sigurnost” 2 . Pritom je utvrdila nedostatkeci u funkcijama postojećih sustava i EU-ovoj arhitekturi upravljanja podacima, probleme zbog složenog okruženja informacijskih sustava kojima se različito upravlja te opće fragmentacije zbog toga što su postojeći sustavi osmišljeni pojedinačno, a ne kao dio cjeline. U sklopu tog procesa Komisija je uspostavila stručnu skupinu na visokoj razini za informacijske sustave i interoperabilnost, sastavljenu od predstavnika agencija EU-a, država članica i važnih dionika. U izvješću predsjednika skupine od 21. prosinca 2016. 3 navode se njezini privremeni nalazi, što uključuje prioritetnu mogućnost uspostave jedinstvenog portala za pretraživanje kako bi se nacionalnim tijelima kaznenog progona i graničnim tijelima omogućilo istodobno pretraživanje EU-ovih baza podataka i informacijskih sustava. U privremenom izvješću ističe se i važnost kvalitete podataka s obzirom na to da učinkovitost informacijskih sustava ovisi o kvaliteti i formatu podataka koji se unose u njih te se donose preporuke za poboljšanje kvalitete podataka u sustavima EU-a putem automatizirane kontrole kvalitete podataka.

Komisija će brzo poduzeti daljnje korake ka uspostavi jedinstvenog portala za pretraživanje te zajedno s agencijom EU-a za operativno upravljanje opsežnim informacijskim sustavima, eu-LISA-om, započeti s radom na portalu koji bi omogućavao istodobno pretraživanje svih postojećih EU-ovih sustava. Do lipnja bi trebalo biti dovršeno s time povezano istraživanje na temelju kojeg će se do kraja godine osmisliti i testirati prototip portala. Komisija smatra da bi Europol trebao usporedno s tim nastaviti s radom na sučelju sustava koji će službenicima na prvoj liniji u državama članicama omogućiti da pri pretraživanju svojih nacionalnih sustava automatski istodobno pretražuju baze podataka Europola.

Radom na postizanju interoperabilnosti informacijskih sustava želi se prevladati postojeća fragmentacija EU-ove arhitekture upravljanja podacima za potrebe nadzora nad granicama i održavanja sigurnosti te osigurati potpuni pregled podataka. Kada se za baze podataka upotrebljava zajednički repozitorij podataka o identitetu, kao što je predviđeno za predloženi sustav EU-a za ulaske i izlaske te sustav EU-a za informacije o putovanjima i njihovu odobrenju (ETIAS), u različite baze podataka može se upisati samo jedan identitet osobe, čime se sprečava korištenje različitim lažnim identitetima. U skladu s privremenim nalazima stručne skupine na visokoj razini, Komisija je najprije od eu-LISA-e zatražila analizu tehničkih i operativnih aspekata provedbe zajedničke službe biometrijskog uparivanja. Takva bi služba omogućila pretraživanje različitih baza podataka s biometrijskim podacima, a time i otkrivanje lažnih identiteta kojima se predmetna osoba koristi u drugom sustavu. Uz to, stručna skupina na visokoj razini sada bi trebala procijeniti je li proširenje zajedničkog repozitorija podataka o identitetu na druge sustave, kako je predviđeno za sustav EU-a za ulaske i izlaske te ETIAS, potrebno, tehnički izvedivo i razmjerno. Uz biometrijske podatke pohranjene u službi biometrijskog uparivanja takav zajednički repozitorij podataka o identitetu uključivao bi i alfanumeričke podatke o identitetu. Skupina bi svoje nalaze o tome trebala predstaviti i u svojem konačnom izvješću do kraja travnja 2017.

Nedavni incidenti ukazuju na potrebu da se ponovno postavi pitanje obveznog dijeljenja informacija među državama članicama. Komisija je u prosincu 2016. donijela prijedlog jačanja Schengenskog informacijskog sustava, u kojem prvi put za države članice predviđa obvezu izdavanja upozorenja o osobama povezanima s kaznenim djelima terorizma. Suzakonodavci bi sada trebali što prije donijeti predložene mjere. Komisija je spremna ispitati treba li se obveza dijeljenja informacija uvesti i za druge baze podataka EU-a.

III.    ZAŠTITA NAŠIH LAKIH META OD TERORISTIČKIH NAPADA

Napad u Berlinu najnoviji je napad na tlu EU-a čiji su cilj bile tzv. lake mete, najčešće mjesta na kojima se građani okupljaju u velikom broju (npr. javne površine, bolnice, škole, sportske dvorane, kulturni centri, kavane i restorani, trgovački centri i prometna čvorišta). Te su lokacije po svojoj prirodi izložene, teško ih je zaštititi, a u slučaju napada karakterizira ih rizik od velikog broja žrtava. Iz tih su razloga omiljena meta terorista. I dalje postoji velika opasnost od budućih napada na lake mete, uključujući prometna sredstva, što potvrđuju i dostupne procjene, kao što je Europolovo izvješće o promjenama u načinu djelovanja Daiša 4 . 

U europskom programu sigurnosti iz 2015. i Komunikaciji o sigurnosnoj uniji iz 2016. istaknuta je potreba za ulaganjem većih napora da se poveća sigurnost i korištenje inovativnih alata i tehnologije za otkrivanje radi zaštite lakih meta. Komisija je pružala potporu te poticala razmjenu najbolje prakse među državama članica u razvijanju boljih alata za sprečavanje napada na lake mete i odgovora na njih. U tu su svrhu napisani operativni priručnici i smjernice. Komisija trenutačno u bliskoj suradnji sa stručnjacima iz država članica izrađuje sveobuhvatni priručnik o sigurnosnim postupcima i predloške koji su primjenjivi na različite lake mete (npr. trgovačke centre, bolnice, sportska i kulturna događanja). Namjera je početkom 2017. izdati smjernice za zaštitu lakih meta na temelju najbolje prakse u državama članicama.

U suradnji s državama članicama Komisija će ispitati i koja bi vrsta potpore EU-a mogla pridonijeti jačanju otpornosti i sigurnosti oko potencijalnih lakih meta. Države članice mogu zatražiti i financijsku potporu Europske investicijske banke (EIB) (uključujući Europski fond za strateška ulaganja) u skladu s politikama EU-a i Grupe EIB-a. Na svaki projekt primjenjivat će se uobičajeni postupci donošenja odluka u skladu sa zakonodavstvom.

IV.    SUOČAVANJE S KIBERNETIČKIM PRIJETNJAMA

Djelovanje na razini EU-a nužno je za jačanje zajedničke otpornosti na jedan od najvećih izazova s kojima se Unija danas suočava– kiberkriminalitet i kibernapadi. Kiberincidenti svakodnevno ozbiljno narušavaju živote ljudi i uzrokuju ogromne gubitke za europsko gospodarstvo i poduzeća. Kibernapadi su ključni element hibridne prijetnje jer planirani zajedno s fizičkom prijetnjom, primjerice terorističkim napadom, mogu imati razoran učinak. Mogu biti i čimbenik u destabilizaciji zemlje ili ugrožavanju njezinih političkih institucija i temeljnih demokratskih procesa. Budući da sve više ovisimo o internetskim tehnologijama, naše će ključne infrastrukture (od bolnica do nuklearnih elektrana) postajati sve ranjivije.

Strategija Europske unije za kibersigurnost iz 2013. dio je glavnog političkog odgovora na kibersigurnosne izazove. Temelj za djelovanje je Direktiva o sigurnosti mreža i podataka (NIS) 5 , koja je donesena prošlog srpnja. To je osnova za poboljšanje suradnje na razini EU-a te kiberotpornost jer podupire suradnju i razmjenu informacija među državama članicama te promiče suradnju u vezi s posebnim kiberincidentima i razmjenu informacija o rizicima. Kako bi se osigurala dosljedna provedba u različitim sektorima i preko granica, Komisija će u veljači organizirati prvi sastanak skupine za suradnju u području sigurnosti mreža i podataka s državama članicama.

Komisija i Visoki predstavnik EU-a u travnju 2016. donijeli su Zajednički okvir za suzbijanje hibridnih prijetnji 6 s predložene 22 operativne mjere usmjerene na jačanje svijesti i otpornosti, poboljšanje odgovora na krize i intenziviranje suradnje između EU-a i NATO-a. U skladu sa zahtjevom Vijeća, Komisija i Visoki predstavnik EU-a do srpnja 2017. dostavit će izvješće o ocjeni napretka.

Komisija također promiče i podupire tehnološke inovacije, uključujući korištenjem sredstava EU-a za istraživanja kako bi se pronašla nova rješenja i osmislile nove tehnologije za jačanje naše otpornosti na kibernapade (npr. projekti integrirane sigurnosti). Komisija je prošlog ljeta s predstavnicima industrije uspostavila privatno partnerstvo za kibersigurnost vrijedno 1,8 milijardi EUR 7 .

U području prometa digitalizacija postaje glavni pokretač prijeko potrebne transformacije današnjeg prometnog sustava. Brzo širenje digitalizacije donosi brojne koristi, ali je zbog toga sektor prometa izloženiji rizicima povezanima s kibersigurnošću. Poduzete su brojne mjere za ublažavanje te prijetnje na različitim razinama, posebno u području zrakoplovstva, ali i pomorskog, željezničkog i cestovnog prometa 8 . Preostaje dodatno razjasniti, harmonizirati i dopuniti aktivnosti različitih dionika koji su uključeni u poboljšanje različitih aspekata kiberotpornosti.

U širem kontekstu i s obzirom na brzi razvoj prijetnje Komisija i visoki predstavnik EU-a idućih će mjeseci u skladu sa Strategijom EU-a za kibersigurnosti iz 2013. utvrditi mjere koje su potrebne za učinkoviti odgovor na te prijetnje na razini EU-a.

V.    ZAŠTITA OSOBNIH PODATAKA UZ POTPORU UČINKOVITIH KAZNENIH ISTRAGA

Direktiva o zaštiti podataka za policijska i kaznenopravna tijela 9 ključni je element u borbi protiv terorizma i teških kaznenih djela. Na temelju zajedničkog standarda zaštite podataka utvrđenog u Direktivi tijela kaznenog progona u državama članicama moći će nesmetano razmjenjivati relevantne podatke, a pritom će podaci o žrtvama i svjedocima zločina te osumnjičenicima biti propisno zaštićeni.

Nadalje, kako bi se osigurala visoka razina povjerljivosti komunikacija za pojedince i poduzeća te ravnopravni uvjeti za sve sudionike na tržištu, kako je navedeno u strategiji jedinstvenog digitalnog tržišta iz travnja 2015., Komisija je 11. siječnja donijela predloženu Uredbu o e-privatnosti (kojom se stavlja izvan snage Direktiva 2002/58/EZ) 10 . Kao i u postojećoj Direktivi, u revidiranoj Uredbi o e-privatnosti podrobnije se opisuje Opća uredba o zaštiti podataka 11 i utvrđuje okvir za zaštitu privatnosti i osobnih podataka u sektoru elektroničkih komunikacija.

U skladu s revizijom svi podaci elektroničke komunikacije, čak i kada je ta komunikacija sporedna, smatraju se povjerljivima, bez obzira na to prenose li se putem tradicionalnih telekomunikacijskih usluga ili tzv. over the top (OTT) usluga koje su im funkcionalno jednakovrijedne (npr. Skype i WhatsApp) te su za brojne korisnike često zamjenjive s uobičajenim telekomunikacijskim operaterima 12 . Obveze nametnute pružateljima usluga – uz poštovanje privatnosti klijenata u pogledu upotrebe, pohrane i obrade njihovih podataka – uključuju i obvezu pružatelja usluga sa sjedištem izvan EU-a da imenuju predstavnika u državi članici. To će državama članicama omogućiti da olakšaju suradnju tijela kaznenog progona i pravosudnih tijela s pružateljima usluga u pristupu elektroničkim dokazima (vidjeti u nastavku).

U skladu s postojećim propisima o e-privatnosti, pristup tijela kaznenog progona i pravosudnih tijela relevantnim elektroničkim informacijama koje su nužne za istrage kaznenih dijela bit će uređen iznimkom u članku 11. predložene Uredbe o e-privatnosti 13 . Tom je odredbom predviđena mogućnost u pravu EU-a ili nacionalnom pravu za ograničenje povjerljivosti komunikacija, ako je to potrebno i razmjerno, iz razloga nacionalne sigurnosti, obrane, javne sigurnosti i sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršenja kaznenih sankcija. Nakon presude Suda Europske unije iz 2014. kojom je ukinuta Direktiva o zadržavanju podataka 14 , ta je odredba posebno važna za nacionalna pravila o zadržavanju podataka, odnosno uvođenje obveze za pružatelje telekomunikacijskih usluga u pogledu čuvanja komunikacijskih podataka u određenom razdoblju kako bi im po potrebi mogla pristupiti tijela kaznenog progona. Odonda ne postoji instrument EU-a za zadržavanje podataka, a neke su države članice donijele vlastite zakone o zadržavanju podataka. Švedski i britanski zakoni o zadržavanju podataka osporeni su na Sudu EU-a, koji je 21. prosinca donio presudu u predmetu Tele2 15 . Sud EU-a zaključio je da nacionalno zakonodavstvo kojim se za potrebe suzbijanja kriminala predviđa opće i neselektivno zadržavanje svih podataka o prometu i lokacijama pretplatnika i korisnika za sva sredstva elektroničke komunikacije nije u skladu s pravom EU-a. Implikacije te presude analiziraju se, a Komisija će izraditi smjernice za donošenje nacionalnih zakona o zadržavanju podataka koji će biti u skladu s presudom.

Iza kaznenih djela ostaju digitalni tragovi koji mogu poslužiti kao dokaz u sudskim postupcima. Tijela kaznenog progona i tužitelji dokazni materijal često mogu prikupiti samo iz elektroničke komunikacije osumnjičenika. Međutim, dobivanje pristupa elektroničkim dokazima – osobito onima pohranjenima u inozemstvu ili u oblaku – može biti tehnički i pravno složeno, a često uključuje i poveće administrativno opterećenje, što usporava rad istražitelja. Kako bi riješila taj problem, Komisija trenutačno razmatra kako istražiteljima omogućiti pribavljanje prekograničnih elektroničkih dokaza, među ostalim povećavanjem učinkovitosti uzajamne pravne pomoći i traženjem načina za izravnu suradnju s pružateljima internetskih usluga te predlaže kriterije za utvrđivanje i izvršenje jurisdikcije u kiberprostoru, uz potpuno poštovanje primjenjivih propisa o zaštiti podataka. 16 Komisija je 9. prosinca 2016. Vijeću za pravosuđe i unutarnje poslove podnijela izvješće o napretku 17 .

Sveobuhvatni postupak stručnog savjetovanja (koji je još uvijek u tijeku) omogućio je Komisiji da definira različite i često složene probleme u vezi s pristupom elektroničkim komunikacijama, bolje razumije postojeće propise i prakse u državama članicama te da utvrdi moguće politike. Izvješće o napretku donosi pregled ideja koje su se dosad iskristalizirale tijekom prikupljanja informacija i postupka stručnog savjetovanja, i koji će Komisija uz savjetovanje s dionicima idućih mjeseci detaljno razmotriti. Kako je najavljeno u programu rada Komisije, Komisija će predstaviti svoju inicijativu tijekom 2017.

VI. ZAKLJUČAK

Sljedeće izvješće predviđeno za 1. ožujka bit će prilika za pregled napretka u provedbi tih i drugih ključnih područja rada.

(1)  Komisija će idućih tjedana predstaviti revidirani akcijski plan o vraćanju. Vidjeti Izvješće Komisije Europskom parlamentu i Vijeću o operativnosti europske granične i obalne straže, COM(2017) 42.

(2) Komunikacija „Jači i pametniji informacijski sustavi za granice i sigurnost” COM(2016) 205 final.

(3)  http://ec.europa.eu/transparency/regexpert/index.cfm?do=groupDetail.groupDetailDoc&id=28994&no=1 

(4)  Europol, Promjene u načinu na koji Islamska država izvodi terorističke napade, studeni 2016. – Europol Public Information, dostupno na: https://www.europol.europa.eu/publications-documents/changes-in-modus-operandi-of-islamic-state-revisited

(5)  Direktiva (EU) 2016/1148 Europskog parlamenta i Vijeća od 6. srpnja 2016. o mjerama za visoku zajedničku razinu sigurnosti mrežnih i informacijskih sustava širom Unije.

(6)  JOIN(2018) 18.

(7)  Najavljeno u Komunikaciji o kiberotpornosti iz 2016., COM(2016) 410 final.

(8)  Primjeri za to su međunarodne smjernice, kao što su smjernice Međunarodne pomorske organizacije ili nedavno donesena Rezolucija ICAO-a, na zajedničku inicijativu EU-a i SAD-a; izvješćivanje o incidentima, pri čemu Europska agencija za sigurnost zračnog prometa trenutačno razvija reaktivniji pristup, te integrirana kibersigurnost, primjenjiva na nove sustave koji se razvijaju, kao što je glavni plan upravljanja zračnim prometom Zajedničkog poduzeća SESAR.

(9)  Direktiva (EU) 2016/680 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka od strane nadležnih tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Okvirne odluke Vijeća 2008/977/PUP. Direktiva je stupila na snagu 5. svibnja 2016., a države članice je u svoje zakonodavstvo trebaju prenijeti do 6. svibnja 2018. Komisija je zajedno s državama članicama uspostavila stručnu skupinu radi razmjene mišljenja o prenošenju Direktive o policiji.

(10)  Uredba o privatnosti i elektroničkim komunikacijama, COM(2017) 10.

(11)  Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka), koja će stupiti na snagu 25. svibnja 2018.

(12)  To je u skladu s pristupom iz Prijedloga direktive o Europskom zakoniku elektroničkih komunikacija, koji je Komisija iznijela 14. rujna 2016. (telekomunikacijski paket), COM(2016) 590 final.

(13)  Vidjeti članak 11. stavak 1., „klauzula o zadržavanju podataka“, koji je neizmijenjen u odnosu na članak 15. Direktive o e-privatnosti te usklađen sa zahtjevima Opće uredbe o zaštiti podataka. Pri takvim se ograničenjima mora voditi računa o poštovanju biti temeljnih prava te ona moraju biti nužna, odgovarajuća i razmjerna.

(14)  Presuda SEU-a u spojenim predmetima C-293/12 i C-594/12 Digital Rights Ireland od 8. travnja 2014.

(15)  Presuda SEU-a u spojenim predmetima C203/15 i C698/15 Tele2 od 21. prosinca 2016.

(16)  Kako se obvezala u europskom programu sigurnosti, COM(2015) 185 final, i Komunikaciji Komisije o provedbi Europskog programa sigurnosti za suzbijanje terorizma i stvaranje uvjeta za uspostavu učinkovite i istinske sigurnosne unije, COM(2016) 230 final.

(17)  U svojim zaključcima o unapređenju kaznenog pravosuđa u kiberprostoru od 9. lipnja 2016. Vijeće je pozvalo Komisiju da do lipnja 2017. poduzme konkretne mjere, osmisli zajednički pristup EU-a i predstavi rezultate.