Az európai adatvédelmi biztos véleményének összefoglalója a rendőrségi együttműködés céljából történő automatizált adatcseréről szóló rendeletre irányuló javaslatról („Prüm II”)

(A vélemény teljes szövege angol, francia és német nyelven megtalálható az európai adatvédelmi biztos honlapján: www.edps.europa.eu)

(2022/C 225/04)

Az Európai Bizottság 2021. december 8-án elfogadta a 2008/615/IB és 2008/616/IB tanácsi határozatokat, valamint az (EU) 2018/1726, 2019/817 és 2019/818 európai parlamenti és tanácsi rendeleteket (az úgynevezett „Prüm határozatok”) módosító, rendőrségi együttműködés céljából történő automatizált adatcseréről szóló európai parlamenti és tanácsi rendeletre („Prüm II”) irányuló javaslatot. A javaslat egy nagyobb, „uniós rendőrségi együttműködési kódexnek” nevezett jogalkotási csomag része, amely emellett magában foglalja a tagállamok bűnüldöző hatóságai közötti információcseréről szóló európai parlamenti és tanácsi irányelvre irányuló javaslatot (ez külön európai adatvédelmi biztosi vélemény tárgyát képezi), valamint az operatív rendőrségi együttműködésről szóló tanácsi ajánlásra irányuló javaslatot.

A javaslat célja a bűnüldözésben történő együttműködés és különösen a bűncselekmények megelőzéséért, felderítéséért és kivizsgálásáért felelős illetékes hatóságok közötti információcsere előmozdítása a DNS-profilok, daktiloszkópiai adatok (ujjlenyomatok), arcképmások, rendőrségi nyilvántartások és egyes gépjármű-nyilvántartási adatok automatizált keresésére, valamint az egyezést követő adatcserére vonatkozó feltételek és eljárások meghatározásával.

Bár az európai adatvédelmi biztos megérti, hogy a bűnüldöző hatóságoknak a bűncselekmények felderítése, kivizsgálása és megelőzése érdekében a lehető legjobb jogi és technikai eszközökkel kell rendelkezniük, megjegyzi, hogy a javasolt új prümi keret nem határozza meg egyértelműen az adatcsere alapvető elemeit, például a lekérdezést indokoló bűncselekménytípusokat, és nem eléggé egyértelmű az automatikus adatcsere által érintettek körét illetően sem, például, hogy a lekérdezés tárgyát képező adatbázisok csak a gyanúsítottak és/vagy elítéltek adatait tartalmazzák-e, vagy más érintettek, például áldozatok vagy tanúk adatait is.

Az európai adatvédelmi biztos úgy véli, hogy különösen a DNS-profilok és arcképmások automatizált lekérdezését csak súlyos bűncselekményekkel kapcsolatos egyedi nyomozás keretében kellene lehetővé tenni, nem pedig bármely bűncselekmény esetében, ahogyan azt a javaslat előírja. Az európai adatvédelmi biztos szükségesnek tartja továbbá, hogy a javaslatban közös követelményeket és feltételeket állapítsanak meg az automatizált keresés céljából hozzáférhetővé tett nemzeti adatbázisokban található adatokra vonatkozóan, kellően figyelembe véve a 680/2016 (LED) bűnüldözési irányelv 6. cikke szerinti azon kötelezettséget, hogy különbséget kell tenni az érintettek különböző kategóriái (pl. elítélt bűnözők, gyanúsítottak, áldozatok stb.) között.

Az európai adatvédelmi biztos aggályosnak tartja azt is, hogy a rendőrségi nyilvántartásokban javasolt automatizált keresés és adatcsere kihathat az érintett személyek alapvető jogaira. Úgy véli, hogy a rendőrségi nyilvántartásokban javasolt automatizált keresés és adatcsere szükségességét nem bizonyították kellőképpen. Ha mégis elfogadnak egy ilyen intézkedést, még ha önkéntes alapon is, akkor is további szigorú biztosítékokra lenne szükség az arányosság elvének való megfeleléshez. Különösen az adatminőséggel kapcsolatos problémákra tekintettel a jövőbeni rendeletben többek között kifejezetten meg kell határozni azokat a bűncselekménytípusokat és/vagy a bűncselekmények súlyosságát, amelyek indokolhatják a nemzeti rendőrségi nyilvántartásokból történő automatizált lekérdezést.

Az Europolnak a prümi keretbe történő bevonásával kapcsolatban az európai adatvédelmi biztos úgy véli, hogy az Europol-rendelet módosítására irányuló javaslatról szóló 4/2021. sz. véleményében foglalt észrevételei és ajánlásai teljes mértékben érvényesek maradnak a prümi együttműködéssel kapcsolatban, különösen az úgynevezett „nagy adathalmazokkal kapcsolatos kihívások”, azaz a nagy és összetett adatkészleteknek a szervezet általi kezelése vonatkozásában. Az európai adatvédelmi biztos szeretne emlékeztetni az Europolról szóló vélemény két fő üzenetére: a szélesebb hatáskörökhöz mindig erősebb felügyeletnek kell társulnia, és ugyanilyen fontos, hogy az eltérések formájában előforduló kivételek nem válhatnak szabállyá.

A javaslat a prümi keretben az adatok automatizált keresésére és cseréjére összetett mechanizmust ír elő, három különálló technikai megoldással, amelyeket három különböző szervezet fejlesztett ki és tart fenn. Az európai adatvédelmi biztos úgy véli, hogy a javaslatnak egyértelműbbnek kellene lennie a személyes adatok kezeléséért való felelősség tekintetében, különösen az Európai Gépjármű és Vezetői Engedély Információs Rendszerben (EUCARIS), amely nem az uniós jogon alapul és kormányközi jellegű. Az európai adatvédelmi biztos továbbá úgy véli, hogy a személyes adatok kezelésének nagyságrendjére és érzékenységére tekintettel a prümi keret javasolt horizontális irányítási modellje nem megfelelő, és azt tovább kell fejleszteni, például egy uniós szerv, mint például a Bizottság központi koordinációs szerepének kijelölésével.

Emellett az európai adatvédelmi biztos úgy véli, hogy a jogbiztonság érdekében egyértelműen tisztázni kell a javaslatban szereplő adatvédelmi szabályoknak az EU-ban meglévő adatvédelmi jogi kerethez, különösen a LED-hez és az (EU) 1725/2018 rendelethez (EUDPR) való viszonyát.

A vélemény emellett számos más konkrét kérdést is elemez, illetve azokban ajánlásokat fogalmaz meg, például a prümi keret és az interoperabilitási keretrendszer kapcsolata, az adatok harmadik országok és nemzetközi szervezetek részére történő továbbítása, illetve a prümi együttműködés céljából végzett adatkezelési műveletek felügyelete tekintetében.

1.   BEVEZETÉS ÉS HÁTTÉR

1.

Az Európai Bizottság 2021. december 8-án elfogadta a rendőrségi együttműködés céljából történő automatizált adatcseréről szóló európai parlamenti és tanácsi rendeletre („Prüm II”) irányuló javaslatot, amely módosítja a 2008/615/IB és 2008/616/IB tanácsi határozatot, valamint az (EU) 2018/1726, 2019/817 és 2019/818 európai parlamenti és tanácsi rendeletet (a „javaslat”) (1).

2.

A javaslat egy nagyobb jogalkotási csomag része, amelyet „uniós rendőrségi együttműködési kódexnek” neveznek, és amely magában foglalja a következőket is: — a tagállamok bűnüldöző hatóságai közötti információcseréről és a 2006/960/IB tanácsi kerethatározat hatályon kívül helyezéséről szóló európai parlamenti és tanácsi irányelvre irányuló javaslat (2), és — az operatív rendőrségi együttműködésről szóló tanácsi ajánlásra irányuló javaslat (3).

3.

A Bizottság által megfogalmazottak szerint az uniós rendőrségi együttműködési kódex célja a tagállamok közötti bűnüldözési együttműködés, és különösen az illetékes hatóságok közötti információcsere előmozdítása (4). E tekintetben a javaslat meghatározza a DNS-profilok, daktiloszkópiai adatok (ujjlenyomatok), arcképmások, rendőrségi nyilvántartások és egyes gépjármű-nyilvántartási adatok automatizált keresésének, valamint a bűncselekmények megelőzéséért, felderítéséért és kivizsgálásáért felelős hatóságok közötti egyezést követő adatcserének a feltételeit és eljárásait.

4.

A javaslat, valamint tágabb értelemben véve az uniós rendőrségi együttműködési kódex kapcsolódik a bel- és igazságügyi területet érintő több uniós stratégiai dokumentum politikai céljaihoz, különösen a biztonsági unióra vonatkozó uniós stratégiához (5), a szervezett bűnözés elleni küzdelemre irányuló 2021–2025-ös uniós stratégiához (6) és a schengeni térségre vonatkozó 2021-es stratégiához (7). A rendőrségi együttműködési kódex létrehozásáról szóló javaslatokat emellett az Europol folyamatban lévő reformjának szempontjából is vizsgálni kell, valamint annak tükrében, hogy a szervezet egyre nagyobb szerepet játszik az Unió központi bűnügyi információs központjaként, és egyre nagyobb mennyiségű adatot gyűjt és kezel (8).

5.

A Bizottság az (EU) 2018/1725 rendelet 42. cikkének (1) bekezdése alapján 2022. január 5-én konzultált az európai adatvédelmi biztossal a „Prüm II” rendeletre irányuló javaslatról. A jelen véleményben megfogalmazott észrevételek és ajánlások a javaslat adatvédelmi szempontból legfontosabb rendelkezéseire szorítkoznak.

4.   KÖVETKEZTETÉSEK

73.

A javasolt új prümi keret nem határozza meg egyértelműen az adatcsere alapvető elemeit, például azt, hogy milyen típusú bűncselekmények indokolhatják a lekérdezést (keresést), különösen a DNS-profilok esetében, azaz bármely bűncselekmény vagy csak a súlyosabb bűncselekmények. A javaslat továbbá nem egyértelmű az automatikus adatcsere által érintettek körét illetően, azaz, hogy a lekérdezés tárgyát képező adatbázisok csak a gyanúsítottak és/vagy elítéltek adatait tartalmazzák-e, vagy más érintettek, például áldozatok vagy tanúk adatait is.

74.

A személyes adatok védelméhez való alapvető jogba történő beavatkozás szükségességének és arányosságának biztosítása érdekében, a Charta 52. cikkének (1) bekezdésére tekintettel, elengedhetetlen az intézkedések személyi és tárgyi hatályának tisztázása, azaz a közvetlenül érintettek kategóriáinak, valamint azon objektív feltételeknek a tisztázása, amelyek indokolhatják az automatizált lekérdezést más tagállamok vagy az Europol megfelelő adatbázisából.

75.

Az európai adatvédelmi biztos különösképpen úgy véli, hogy a DNS-profilok és arcképmások automatizált lekérdezése csak súlyos bűncselekményekkel kapcsolatos egyedi nyomozás keretében lehetséges, nem pedig bármely bűncselekmény esetében, ahogyan azt a javaslat előírja. Összhangban a LED 6. cikke szerinti, az érintettek különböző kategóriái közötti különbségtételre vonatkozó kötelezettséggel, a javaslatnak továbbá rendelkeznie kell azon érintettek kategóriáinak korlátozásáról, akiknek a nemzeti adatbázisokban tárolt DNS-profiljait és arcképmásait automatizált keresés céljából hozzáférhetővé kell tenni, figyelembe véve különösen az elítélt bűnözőktől vagy gyanúsítottaktól eltérő kategóriákból származó adatokra vonatkozó, eleve korlátozott célt.

76.

Az európai adatvédelmi biztos úgy véli, hogy a rendőrségi nyilvántartásokban javasolt automatizált keresés és adatcsere szükségességét nem bizonyították kellőképpen. Ha mégis elfogadnak egy ilyen intézkedést, még ha önkéntes alapon is, akkor is további szigorú biztosítékokra lenne szükség az arányosság elvének való megfeleléshez. Különösen az adatminőséggel kapcsolatos problémákra tekintettel, amelyek nem oldhatók meg pusztán olyan technikai intézkedésekkel, mint az álnevesítés, a jövőbeni rendeletben legalább azokat a bűncselekménytípusokat és/vagy a bűncselekmények súlyosságát meg kell határozni, amelyek indokolhatják a nemzeti rendőrségi nyilvántartásokban történő automatizált keresést.

77.

Az Europolnak a prümi keretbe történő bevonásával kapcsolatban az európai adatvédelmi biztos úgy véli, hogy az Europol-rendelet módosítására irányuló javaslatról szóló 4/2021. sz. véleményében foglalt észrevételei és ajánlásai teljes mértékben érvényesek maradnak a prümi együttműködéssel összefüggésben, különösen a nagy adatkészleteknek a szervezet általi kezelése vonatkozásában. Ezen túlmenően az európai adatvédelmi biztos javasolja a személyi hatály pontosítását, azaz a 49. és 50. cikk szerinti lekérdezés tárgyát képező érintettek kategóriáinak meghatározását, valamint a naplók megőrzési időszakainak összehangolását az Europol-rendelettel való összeegyeztethetőség biztosítása érdekében.

78.

A javaslat a prümi keretben az adatok automatizált keresésére és cseréjére összetett mechanizmust ír elő, három különálló technikai megoldással, amelyeket három különböző szervezet fejlesztett ki és tart fenn. Ráadásul az egyik – az EUCARIS – nem uniós jogi aktuson alapul, hanem kormányközi jellegű. Ezért az európai adatvédelmi biztos úgy véli, hogy a javaslatnak kifejezetten foglalkoznia kell a személyes adatok EUCARIS-ban történő kezeléséért való felelősséggel. Ezen túlmenően az európai adatvédelmi biztos úgy véli, hogy a személyes adatok kezelésének nagyságrendjére és érzékenységére tekintettel a prümi keret jelenlegi horizontális irányítási modellje nem megfelelő, és azt tovább kell fejleszteni, például egy uniós szerv, mint például a Bizottság központi koordinációs szerepének kijelölésével.

79.

A javaslat másik fontos eleme, amely alapos elemzést igényel az alapvető jogokra gyakorolt hatásainak tekintetében, a prümi keret összehangolása az uniós információs rendszerek interoperabilitási keretrendszerével a bel- és igazságügy területén. Az európai adatvédelmi biztos felkéri a társjogalkotót, hogy fontolja meg, hogy e tekintetben szükség van-e további szabályokra, például egy végrehajtási vagy felhatalmazáson alapuló jogi aktusra, amely olyan konkrét problémákkal foglalkozik, mint az arcképmások megfeleltetési algoritmusainak minősége és hatékonysága.

80.

Tekintettel arra, hogy a javaslat jogalapja többek között az Európai Unió működéséről szóló szerződés (EUMSZ) 16. cikke, az európai adatvédelmi biztos az egyértelműség és a biztonság érdekében azt javasolja, hogy a javaslatban határozzák meg, hogy a 6. fejezet adatvédelmi rendelkezései nem sértik a LED és az EUDPR alkalmazását a személyes adatoknak a prümi keret szerinti bűnüldözési együttműködés keretében történő kezelése tekintetében.

81.

Az európai adatvédelmi biztos továbbá úgy véli, hogy a személyesadat-kezelési műveletek rendszeres ellenőrzésére vonatkozó követelményt a „Prüm II” rendelet alkalmazásában ki kell terjeszteni, és annak ki kell terjednie a nemzeti szintű személyesadat-kezelési műveletekre is. Ebben az összefüggésben az európai adatvédelmi biztos azt ajánlja, hogy a javaslat 60. cikkének (2) bekezdése általánosságban utaljon az európai adatvédelmi biztosnak az EUDPR 58. cikke szerinti hatásköreire, és ne csak azok egy részére.

---

(1)  COM(2021) 784 final.

(2)  COM(2021) 782 final.

(3)  COM(2021) 780 final.

(4)  https://ec.europa.eu/home-affairs/news/boosting-police-cooperation-across-borders-enhanced-security-2021-12-08_en

(5)  A Bizottság közleménye a biztonsági unióra vonatkozó uniós stratégiáról, COM/2020/605 final.

(6)  A Bizottság közleménye a szervezett bűnözés elleni küzdelemre irányuló uniós stratégiáról (2021–2025), COM/2021/170 final

(7)  A Bizottság közleménye: „A teljeskörűen működő és reziliens schengeni térség kialakítására vonatkozó stratégia”, COM/2021/277 final.

(8)  További információért lásd az európai adatvédelmi biztos 4/2021. sz. véleményét, https://edps.europa.eu/system/files/2021-03/21-03-08_opinion_europol_reform_en.pdf