23.7.2005

Europos Sąjungos oficialusis leidinys

C 181/13

Europos duomenų apsaugos priežiūros pareigūno nuomonė dėl pasiūlymo dėl Europos Parlamento ir Tarybos reglamento dėl Vizų informacinės sistemos (VIS) ir apsikeitimo duomenimis apie trumpalaikes vizas tarp valstybių narių (KOM (2004) 835 galutinis)

(2005/C 181/06)

EUROPOS DUOMENŲ APSAUGOS PRIEŽIŪROS PAREIGŪNAS,

atsižvelgdamas į Europos bendrijos steigimo sutartį, ypač į jos 286 straipsnį,

atsižvelgdamas į Europos Sąjungos pagrindinių teisių chartiją, ypač į jos 8 straipsnį,

atsižvelgdamas į 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyvą 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo,

atsižvelgdamas į 2000 m. gruodžio 18 d. Europos Parlamento ir Tarybos reglamentą (EB) Nr. 45/2001 dėl asmenų apsaugos Bendrijos institucijoms ir įstaigoms tvarkant asmens duomenis ir laisvo tokių duomenų judėjimo, ypač į jo 41 straipsnį,

atsižvelgdamas į 2005 m. sausio 25 d. gautą Komisijos prašymą pateikti nuomonę laikantis Reglamento (EB) Nr. 45/2001 28 straipsnio 2 dalies,

PATVIRTINO ŠIĄ NUOMONĘ:

1. ĮVADAS

1.1. Įvadinės pastabos

Vizų informacinės sistemos (VIS) sukūrimas remiantis keliais tarpusavyje susijusiais dokumentais yra svarbi ES bendros vizų politikos dalis.

—	2003 m. balandžio mėnesį buvo atlikta Komisijos užsakyta galimybių studija (1) dėl VIS.

—

2003 m. rugsėjo mėnesį Komisija pateikė pasiūlymą dėl ankstesnio vienodą vizų formą nustatančio reglamento pakeitimų (2). Pagrindinis tikslas buvo į šią naują vizų formą įtraukti biometrinius duomenis (veido nuotrauką ir dviejų pirštų atspaudus). Šie biometriniai duomenys būtų saugomi mikroschemoje.

—

2004 m. birželio mėnesį buvo pradėtas Vizų informacinės sistemos kūrimo procesas, Tarybos sprendimu (3) suteikus teisinį pagrindą jį įtraukti į ES biudžetą. Šiame sprendime buvo pasiūlyta sukurti centrinę duomenų bazę, kurioje būtų laikoma su prašymais gauti vizą susijusi informacija, ir numatytas „komitologijos“ procesas siekiant valdyti VIS techninį vystymą.

2004 m. gruodžio mėnesį Komisija patvirtino pasiūlymą dėl Reglamento dėl Vizų informacinės sistemos (VIS) ir apsikeitimo duomenimis apie trumpalaikes vizas tarp valstybių narių (4) (toliau — pasiūlymas), dėl kurio pateikiama ši nuomonė. Prie pasiūlymo yra pridėta Išplėstinio poveikio įvertinimo studija (5) (toliau — IPI).

Tačiau, kaip teigiama jos aiškinamajame memorandume, bus reikalingi kiti teisiniai dokumentai, papildantys šį reglamentą, visų pirma dėl:

—	Bendrųjų konsulinių instrukcijų dėl vizų Šengeno konvencijos Susitariančiųjų Šalių diplomatinėms atstovybėms ir konsulinėms įstaigoms (toliau — Bendrosios konsulinės instrukcijos) pakeitimų, susijusių su biometrinių duomenų įtraukimu į vizų išdavimo tvarką;

—	duomenų pasikeitimo su Airija ir Jungtine Karalyste naujo mechanizmo vystymas;

—	pasikeitimas duomenimis, susijusiais su ilgalaikėmis vizomis.

Kaip nuspręsta 2003 m. birželio 5–6 d. Teisingumo ir vidaus reikalų tarybos metu ir apibrėžta pirmiau minėto 2004 m. birželio mėn. 8 d. Tarybos sprendimo 1 straipsnio 2 dalyje, VIS pagrindas bus centralizuota struktūra, apimanti duomenų bazę, kurioje bus saugomos prašymų išduoti vizas bylos: Centrinę vizų informacinę sistemą (CIS–VIS) ir Nacionalines sąsajas (NI–VIS) valstybėse narėse. Valstybės narės paskirs (6) su Nacionaline sąsaja susietą centrinės nacionalinės valdžios instituciją, per kurią jų atitinkamos kompetentingos institucijos turės galimybę naudotis CS–VIS.

1.2. Pagrindiniai pasiūlymo elementai atsižvelgiant į duomenų apsaugą

Pasiūlymo tikslas — pagerinti bendros vizų politikos administravimą sukuriant centrinę duomenų bazę ir taip palengvinant pasikeitimą duomenimis tarp valstybių narių. Reglamente numatoma pateikiant prašymą išduoti vizą paimti biometrinius duomenis (nuotrauką ir pirštų atspaudą) ir saugoti juos centinėje duomenų bazėje.

Biometriniai duomenys taip pat galėtų būti naudojami vizos įklijoje, kaip numatyta Komisijos pasiūlyme dėl reglamento, iš dalies keičiančio reglamentą, nustatantį vienodą vizų formą, kartu įtraukiant mikroschemoje saugomus nuotrauką ir pirštų atspaudą (dar laukiama Tarybos sprendimo, kuris bus pagrįstas dabar atliekamos analizės rezultatais).

Pasiūlyme išsamiai aprašomos įvairios duomenų tvarkymo operacijos (įvedimas, pakeitimas, panaikinimas, tikrinimas) ir įvairūs duomenys, įtrauktini į VIS priklausomai nuo prašymo išduoti vizą padėties (patenkinimas, atsisakymas patenkinti ir t.t.).

Pasiūlyme numatomas su kiekvienu prašymu susijusių duomenų saugojimo laikotarpis — penkeri metai.

Pasiūlyme pateikiamas kompetentingų su vizų išdavimu nesusijusių institucijų, kurios galės naudotis VIS, ribotas sąrašas ir apibrėžiamos joms suteiktinos galimybės ja naudotis teisės:

—	kompetentingos institucijos, atsakingos už vizų patikrinimus prie išorės sienų ir valstybės narės teritorijos viduje

—	kompetentingos imigracijos institucijos

—	kompetentingos prieglobsčio suteikimo institucijos

Apibrėžiant VIS veikimą ir su tuo susijusius įsipareigojimus, pasiūlyme pabrėžiama, kad Komisija valstybių narių vardu tvarko VIS duomenis. Pasiūlyme apibrėžiamas poreikis registruoti duomenų tvarkymo operacijas, kad būtų užtikrinta duomenų apsauga, taip pat atitinkami įsipareigojimai šiam apsaugos lygiui užtikrinti.

Pasiūlyme yra duomenų apsaugai skirtas skyrius, kuriame išsamiai apibrėžtas nacionalinės valdžios institucijų ir Europos duomenų apsaugos priežiūros pareigūno (toliau — EDAPP) vaidmuo.

Pasiūlyme techninis VIS įgyvendinimas ir reikalingų technologijų pasirinkimas patikėtas komitetui, įkurtam pagal Reglamento (EB) Nr. 2424/2001 dėl antros kartos Šengeno informacinės sistemos (SIS II) sukūrimo 5 straipsnio 1 dalį.

Prie pasiūlymo pridedamas Komisijos užsakytas ir EPEC atliktas VIS išplėstinio poveikio įvertinimas. Jame prieita išvada, kad VIS kartu su biometrinių duomenų naudojimu yra geriausias pasirinkimas siekiant pagerinti bendrą vizų politiką.

2. ANALIZĖS PAGRINDAS

Pasiūlymas darys didžiulį poveikį asmenų privatumui ir kitoms pagrindinėms jų teisėms; todėl reikia patikrinti, ar jis atitinka duomenų apsaugos principus. Pagrindiniai mūsų nagrinėjimo kriterijai yra šie:

—

Pagarba privačiam gyvenimui Europoje buvo užtikrinta 1950 m. Europos Tarybai priėmus Žmogaus teisių ir pagrindinių laisvių konvenciją (toliau — ŽTPLK). ŽTPLK 8 straipsnis nustato kiekvieno „teisę į tai, kad būtų gerbiamas jo privatus ir šeimos gyvenimas“.

Pagal 8 straipsnio 2 dalį valdžios institucijos neturi teisės apriboti naudojimosi šia teise, išskyrus „įstatymų numatytus atvejus“ ir „kai būtina demokratinėje visuomenėje“ apsaugoti svarbius interesus. Europos žmogaus teisių teismo teisminėje praktikoje šios sąlygos suformavo papildomus reikalavimus: šios teisės apribojimo teisinio pagrindo kokybė, bet kokios priemonės proporcingumas ir atitinkamų apsaugos nuo piktnaudžiavimų priemonių poreikis.

Pagrindiniai asmens apsaugos, susijusios su asmens duomenų tvarkymu, principai yra nustatyti Europos Tarybos parengtoje ir 1981 m. priimtoje Konvencijose dėl duomenų apsaugos.

—

Jau vėliau teisė į tai, kad būtų gerbiamas privatus gyvenimas, ir į asmens duomenų apsaugą buvo nustatyta Europos Sąjungos pagrindinių teisių chartijos, kuri buvo įtraukta į naujos ES Konstitucijos II dalį, 7 ir 8 straipsniuose.

Pagal Chartijos 52 straipsnį pripažįstama, kad šios teisės gali būti apribotos, jei patenkinamos sąlygos, panašios į pagal ŽTPLK 8 straipsnį taikomas sąlygas. Įvertinant pasiūlymą, susijusį su galimu apribojimu, turi būti svarstomos šios sąlygos.

Šiuo metu pagrindinės taisyklės dėl duomenų apsaugos nustatytos šiuose ES teisės aktuose:

—

1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyva 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (OL L 281, p. 31). Ši direktyva bus vadinama „Direktyva 95/46/EB“. Direktyvoje numatomi išsamūs principai, pagal kuriuos bus patikrinta, kokiu mastu pasiūlymas turi būti taikomas valstybėse narėse. Tai labai aktualu, kadangi pasiūlymas bus taikomas kartu su nacionalinės teisės aktais, kuriais vykdoma direktyva. Taigi pasiūlytų nuostatų ir apsaugos priemonių veiksmingumas priklausys nuo šio derinio veiksmingumo kiekvienu individualiu atveju.

—

2000 m. gruodžio 18 d. Europos Parlamento ir Tarybos reglamentas (EB) Nr. 45/2001 dėl asmenų apsaugos Bendrijos institucijoms ir įstaigoms tvarkant asmens duomenis ir laisvo tokių duomenų judėjimo (OL L 8, p. 1). Šis reglamentas bus vadinama „Reglamentu 45/2001“. Jame numatomi panašūs principai kaip Direktyvoje 95/46/EB ir jis yra aktualus atsižvelgiant į šį kontekstą tiek, kiek pasiūlymas yra taikytinas Komisijos veiklai kartu su šio reglamento nuostatomis. Todėl šis derinys taip pat nusipelno tam tikro dėmesio.

Direktyva 95/46/EB ir Reglamentas 45/2001 turi būti siejami su kitais dokumentais. Kitaip tariant, reglamento ir direktyvos nuostatos, susijusios su asmens duomenų tvarkymu, kuris gali pažeisti pagrindines teises, visų pirma teisę į privatumą, turi būti interpretuojamos atsižvelgiant į pagrindines teises. Tą taip pat rodo ir Europos Teisingumo Teismo teisminė praktika (7).

—

Galiausiai EDAAP į savo analizę taip pat įtrauks 2004 m. rugpjūčio 11 d. 29 straipsnio duomenų apsaugos darbo grupės (8) nuomonę Nr. 7/2004 „dėl biometrinių duomenų įtraukimo į leidimus gyventi ir vizas atsižvelgiant į Europos vizų informacinės sistemos (VIS) sukūrimą“. Darbo grupė pareiškė susirūpinimą dėl kelių pasiūlymo elementų. EDAAP ketina patikrinti, ar ir kaip pasiūlyme atsižvelgiama į šį susirūpinimą.

3. PASIŪLYMO ANALIZĖ

3.1. Bendroji dalis

EDAAP pripažįsta, kad toliau vystant bendrą vizų politiką reikalinga veiksmingai keistis aktualiais duomenimis. VIS — tai vienas mechanizmų, galinčių užtikrinti sklandų informacijos srautą. Tačiau tokia nauja priemonė turėtų apsiriboti duomenų rinkimu ir pasikeitimu jais, kadangi toks rinkimas ir pasikeitimas yra būtini vystant bendrą vizų politiką ir proporcingai atitinka šį tikslą.

VIS sukūrimas gali teigiamai paveikti kitus teisėtus viešuosius interesus, tačiau tai nekeičia VIS paskirties. Ribota sistemos paskirtis vaidina svarbiausią vaidmenį nustatant teisėtą sistemos turinį ir panaudojimą, o todėl ir suteikiant teisę naudotis VIS (ar jos duomenų dalimis) valstybių narių institucijoms teisėtų viešųjų interesų tikslais.

Be to, pasiūlymu į VIS įtraukiami biometriniai duomenys. EDAPP pripažįsta biometrinių duomenų naudojimo privalumus, tačiau pabrėžia, kad tokių duomenų naudojimas turės didžiulį poveikį, ir siūlo įtraukti griežtas apsaugos priemones naudojantis biometriniais duomenimis.

Ši nuomonė turi būti suprantama atsižvelgiant į šiuos esminius motyvus. Pabrėžiama, kad ši nuomonė turėtų būti paminėta reglamento preambulėje prieš konstatuojamąsias dalis („atsižvelgdami į ... nuomonę“).

3.2. Paskirtis

VIS paskirtis yra neparastai svarbi atsižvelgiant ir į ŽTPLK 8 straipsnį, ir į bendrą duomenų apsaugos sistemą. Laikantis Direktyvos 95/46/EB 6 straipsnio asmens duomenys turi būti „surinkti įvardintais, aiškiai apibrėžtais ir teisėtais tikslais, o po to tvarkomi su šiais tikslais suderintais būdais“. Tik aiškiai apibrėžus tikslus galima teisingai įvertinti asmens duomenų tvarkymo proporcingumą ir adekvatumą, o tai nepaprastai svarbu atsižvelgiant į duomenų (įskaitant biometrinius duomenis) pobūdį ir numatomos duomenų tvarkymo operacijos mastą.

VIS paskirtis aiškiai apibrėžta pasiūlymo 1 straipsnio 2 dalyje:

„VIS gerina bendrosios vizų politikos administravimą, konsulinį bendradarbiavimą ir centrinių konsulinių įstaigų konsultavimąsi, palengvindama apsikeitimą duomenimis tarp valstybių narių apie prašymus ir dėl jų priimtus sprendimus.“

Todėl visi VIS elementai turi būti būtinos ir proporcingos priemonės, kad būtų pasiektas šis politikos tikslas bendros vizų politikos labui.

Pasiūlymo 1 straipsnio 2 dalyje taip pat nurodoma vizų politikos papildoma nauda, pavyzdžiui:

a)	išvengiama grėsmių vidaus saugumui;

c)	palengvinama kova su sukčiavimu;

d)	palengvinami patikrinimai išorės sienos kontrolės punktuose.

EDAAP mano, kad šie elementai yra VIS sukūrimo teigiamo poveikio ir bendros vizų politikos gerinimo pavyzdžiai, bet ne autonomiški tikslai.

Tai šiuo metu iškelia du neigiamus dalykus:

—

EDAAP supranta, kad teisėsaugos institucijos yra suinteresuotos, kad joms būtų suteikta teisė naudotis VIS; 2005 m. kovo 7 d. buvo patvirtintos Tarybos išvados šiuo klausimu. Nors VIS paskirtis yra bendros vizų politikos gerinimas, tačiau turėtų būti pabrėžta, kad teisėsaugos institucijų galimybė įprasta tvarka naudotis VIS neatitiktų šios paskirties. Nors pagal Direktyvos 95/46/EB 13 straipsnį tokia teisė galėtų būti suteikta ad hoc pagrindu konkrečiomis aplinkybėmis ir taikant atitinkamas apsaugos priemones, tačiau galimybė nuolat naudotis VIS negali būti suteikta.

Apskritai, ateityje priimant sprendimus dėl leidimo naudotis VIS suteikimo kitoms institucijoms, nepaprastai svarbu įvertinti proporcingumą ir būtinumą. Uždaviniai, kuriems įvykdyti suteikiama teisė naudotis VIS, turi atitikti VIS paskirtį.

—

Aiškus a punkte pateiktas apibrėžimas „išvengti grėsmių bet kurios valstybės narės vidaus saugumui“ yra netinkamas. Pagrindinė VIS nauda bus sukčiavimo ir prekybos vizomis prevencija (kova su sukčiavimu yra taip pat pagrindinė priežastis, dėl kurios į sistemą įtraukiami biometriniai duomenys) (9). Todėl grėsmių saugumui prevencija turėtų būti suprantama kaip „antrinė“, nors ir labai pageidautina, nauda.

EDAAP rekomenduoja, kad skirtumas tarp „paskirties“ ir „naudos“ būtų aiškiau apibrėžtas 1 straipsnio 2 dalies tekste, pavyzdžiui:

Šiuo atveju verta pažymėti, kad „Pasikeitimo duomenimis dėl vizų bendros sistemos sukūrimo gairėse“, kurias TVR taryba priėmė 2002 m. birželio 13 d. (10), grėsmių vidaus saugumui prevencija nurodyta sąrašo pabaigoje. Ji taip pat yra galima ir daug labiau atitinka VIS paskirtį.

3.3. Duomenų kokybė

Pagal Direktyvos 95/46/EB 6 straipsnį asmens duomenys turi taip pat būti „adekvatūs, susiję ir savo apimtimi neviršijantys tikslų, kuriems jie renkami ir (arba) vėliau tvarkomi“. Tai susiję su pačios VIS proporcingumu, bet taip pat ir su rinktinais ir VIS saugotinais duomenimis bei tolesniu jų panaudojimu ir su tokiu atveju taikomomis papildomomis apsaugos priemonėmis. Šie elementai yra tiek pat svarbūs pasiūlymo įvertinimui atsižvelgiant į ŽTPLK 8 straipsnį.

Vien tik asmens duomenų tvarkymo mastas ir tvarkomų duomenų kategorijos rodo, kad VIS sukūrimas neabejotinai yra rimtas teisės į privatumą apribojimas. Todėl savo Nuomonėje Nr. 7/2004 29 straipsnio darbo grupė pageidavo sužinoti, „kokiose šių reiškinių masto ir rimtumo studijose buvo atskleistos su visuomenės apsauga ar viešąja tvarka susijusios įtikinamos priežastys, kurios pateisintų tokį požiūrį“.

EDAAP rūpestingai atsižvelgė į IPI pateiktus įrodymus. Nors tie įrodymai nėra visiškai išsamūs, atrodo, kad yra pakankamų priežasčių, pateisinančių VIS, kurios paskirtis yra bendros vizos politikos gerinimas, sukūrimą.

Atsižvelgiant į šį kontekstą atrodytų, kad teisėkūros organai galėtų sutikti nuspręsti sukurti VIS kaip priemonę pagerinti valstybių narių vizų išdavimo sąlygas. Tokia sistema galėtų prisidėti laipsniškai kuriant EB sutartyje numatytą laisvės, saugumo ir teisingumo erdvę bei gerai joje derėti.

Tačiau dėl VIS sukūrimo ir naudojimo niekada neturėtų atsitikti taip, kad šioje srityje nebebūtų užtikrintas aukštas asmens duomenų apsaugos lygis. Viena iš EDAAP patariamųjų užduočių yra ištirti, kiek VIS paveiks esamą susijusių subjektų duomenų apsaugos lygį.

Atsižvelgdamas į tai, EDAPP savo nuomonėje daugiausia dėmesio skirs šiems klausimams:

—	duomenų ir jų panaudojimo proporcingumas bei adekvatumas (pvz. duomenų kategorijos, kiekvienai atitinkamai institucijai suteikiama teisė jais naudotis ir saugojimo laikotarpis);

—	sistemos veikimas (pvz. įsipareigojimai ir saugumas);

—	duomenų subjektų teisės (pvz. į informaciją, į galimybę pataisyti ar panaikinti neteisingą ar nesusijusią informaciją);

—	sistemos stebėsena ir priežiūra.

Be tolesnių pastraipų, pasiūlymo nuostatos dėl į VIS įtrauktinų duomenų kategorijų ir jų panaudojimo nesukėlė rimtų pastabų. Susijusios nuostatos yra pakankamai rūpestingai parengtos ir atrodo sudarančios nuoseklią ir adekvačią visumą.

3.4. Biometriniai duomenys

3.4.1. Biometrinių duomenų panaudojimo poveikis

Biometrinių duomenų panaudojimas informacinėse sistemose visada yra svarbus pasirinkimas, ypač kai kalbama sistema susijusi su milžinišku asmenų skaičiumi. Biometrija nėra tiesiog dar viena informacinė technologija. Ja naudojantis negrįžtamai pasikeičia kūno ir tapatybės santykis, žmogaus kūno ypatybės tampa „automatizuotai nuskaitomos“ ir jomis toliau naudojamasi. Nors biometrinės ypatybės ir neįžvelgiamos plika akimi, tačiau atitinkami prietaisai gali jas nuskaityti visada, kad ir kur asmuo būtų.

Biometriniai duomenys tam tikrais tikslais gali būti labai naudingi, tačiau platus jų panaudojimas darys rimtą poveikį visuomenei ir todėl apie jas turėtų būti plačiai ir atvirai diskutuojama. EDAAP turi pareikšti, kad prieš rengiant pasiūlymą tokia diskusija nevyko. Tai dar labiau sustiprina poreikį taikyti griežtas apsaugos priemones naudojant biometrinius duomenis, o teisėkūros metu rūpestingai apgalvoti ir apsvarstyti.

3.4.2. Ypatingas biometrinių duomenų pobūdis

Kaip pabrėžta keliose 29 straipsnio darbo grupės nuomonėse (11), biometrinių duomenų įtraukimas ir jų panaudojimas su tapatybe susijusiuose dokumentuose turi būti sustiprintas ypač nuosekliomis ir rimtomis apsaugos priemonėmis. Iš tikrųjų dėl tam tikrų savo ypatybių biometriniai duomenys yra ypač opus dalykas.

Tiesa, atitinkamam asmeniui neįmanoma pamesti savo biometrinius duomenis, kaip pametamas raktas ar pamirštamas slaptažodis. Jie tarsi suteikia absoliutų aiškumą, t. y. kiekvienas asmuo turi unikalius biometrinius duomenis. Jie beveik nesikeičia visą žmogaus gyvenimą ir todėl jų ypatybės yra nekintamos. Visi turi tuos pačius fizinius „elementus“, o tai biometriniams duomenims suteikia dar ir universalumo dimensiją.

Tačiau pakeisti biometrinius duomenis praktiškai neįmanoma: sunku pakeisti veidą ar pirštą. Ši daugeliu aspektų teigiama ypatybė tampa dideliu trūkumu tapatybės vagystės atveju: duomenų bazėje saugomi su pavogtu tapatybės dokumentu susiję pirštų atspaudai ir fotografija gali sukelti didžiulių ir nuolatinių problemų tikrajam tos tapatybės savininkui. Be to, biometrinių duomenų pobūdis toks, kad jie nėra slapti ir gali netgi palikti pėdsakų (pirštų atspaudai, DNR), o tai leidžia rinkti šiuos duomenis jų savininkui apie tai nė nežinant.

Dėl šių, biometrinių duomenų pobūdžio nulemtų, pavojų reikalinga įgyvendinti rimtas apsaugos priemones (ypač susijusias su paskirties apribojimo principu, galimybės naudotis duomenimis ribojimu ir saugumo priemonėmis).

3.4.3. Pirštų atspaudų techniniai netikslumai

Pirmiau apibūdinti pagrindiniai biometrinių duomenų pranašumai (duomenų universalumas, aiškumas, nekintamumas, patogumas naudotis ir t.t.) ne visada absoliutūs. Tai tiesiogiai veikia biometrinių duomenų pateikimo ir sutikrinimo procedūrų, kurios numatomos reglamente, veiksmingumą.

Apskaičiuota, kad maždaug 5 % žmonių (12) negali pateikti tokių duomenų (nes jie neturi nuskaitomų pirštų atspaudų ar apskritai jų neturi). Prie pasiūlymo pridedamame IPI numatoma, kad 2007 m. maždaug 20 milijonų žmonių pateiks prašymus išduoti vizą, o tai reiškia, kad maždaug 1 milijonas asmenų negalės atlikti „normalaus“ duomenų pateikimo proceso taip, kad nesusilauktų tam tikrų padarinių pateikus prašymą išduoti vizą ar patikrinimo prie sienos metu.

Biometrinis nustatymas pagal savo apibrėžimą yra taip pat ir statistinis procesas. Įprastas paklaidos koeficientas yra 0,5–1 % (13), o tai reiškia, kad patikrinimo sistemos prie išorės sienų klaidingo neatitikimo koeficientas (KNK) bus 0,5–1 %. Šis koeficientas nustatomas pagal kompetentingų institucijų rizikos politika paremtą lygį (jis atitinka nustatytą santykį tarp asmenų, kuriuos klaidingai buvo atsisakyta įsileisti, ir asmenų, kurie klaidingai buvo įsileisti). Todėl pernelyg drąsu būtų laikyti, kad šios technologijos pasiūlys duomenų subjekto tapatybės „tikslų nustatymą“, kaip teigiama siūlomo reglamento 9 konstatuojamojoje dalyje.

Neseniai Europos Parlamento Piliečių laisvių, teisingumo ir vidaus reikalų (LIBE) komiteto užsakymu atliktoje perspektyvinėje studijoje (14) teigiama, kad turėtų egzistuoti atsarginės procedūros kaip esminės apsaugos priemonės įtraukiant biometrinius duomenis, kadangi jie nėra prieinami visiems ir nėra visiškai tikslūs. Tokios procedūros turėtų būti įgyvendintos ir naudojamos siekiant gerbti žmonių, kurie negali sėkmingai atlikti duomenų pateikimo proceso, orumą ir vengti sistemos netobulumo naštą perkelti ant jų pečių (15).

Todėl EDAAP rekomenduoja parengti atsargines procedūras ir įtraukti jas į pasiūlymą. Šios procedūros neturėtų nei sumažinti vizų politikos saugumo lygio, nei niekinti asmens su nenuskaitomais pirštų atspaudais.

3.5. Specialios duomenų kategorijos

Tam tikros duomenų kategorijos (be biometrinių duomenų) reikalauja ypatingo svarstymo: duomenys, susiję su atsisakymo išduoti vizą pagrindu (3.4.1), ir duomenys, susiję su kitais grupės nariais (3.4.2).

3.5.1. Atsisakymo išduoti vizą pagrindai

Pasiūlymo 10 straipsnio 2 dalyje numatomas duomenų, susijusių su atsisakymo išduoti vizą pagrindais, tvarkymu, kai priimamas toks sprendimas. Šie pagrindai yra visiškai standartizuoti.

—	Pirmieji du pagrindai, nurodyti a ir b punktuose, yra daugiau administracinio pobūdžio: nebuvo pateikti galiojantys kelionės dokumentai arba galiojantys dokumentai, patvirtinantys numatomo buvimo tikslą ir sąlygas.

—	„Įspėjimas dėl prašytojo, kad jam nebūtų leista atvykti“ nurodomas c punkte, o tai reikalauja pasitikrinti SIS duomenų bazėje.

—	Galiausiai d punkte kaip atsisakymo išduoti vizą pagrindas nurodoma tai, kad prašytojas „kelia grėsmę kurios nors valstybės narės viešajai tvarkai, vidaus saugumui, visuomenės sveikatai ar tarptautiniams santykiams“.

Visi atsisakymo išduoti vizą pagrindai turi būti taikomi labai atsargiai dėl pasekmių, kurias jie sukelia. Be to, kai kurie nurodyti c ir d punktuose, pareikalaus ypatingų duomenų, kaip apibrėžta Direktyvos 95/46/EB 8 straipsnyje, tvarkymo.

EDAPP norėtų labiau atkreipti dėmesį į susijusią su visuomenės sveikata sąlygą, kuri atrodo neapibrėžta ir reikalauja ypač jautrių duomenų tvarkymo. Atsižvelgiant į pridedamas prie pasiūlymo pastabas dėl straipsnių, nuoroda į grėsmę visuomenės sveikatai grindžiama „pasiūlymu dėl Tarybos reglamento, nustatančio Bendrijos kodeksą, nustatantį asmenų judėjimą per sienas reglamentuojančias taisykles“ (KOM (2004)391 galutinis).

EDAPP žino, kad „visuomenės sveikatos“ kriterijus plačiai naudojamas Bendrijos teisės aktuose dėl laisvo asmenų judėjimo ir taikomas labai griežtai, kaip nurodyta 2004 m. balandžio 29 d. Europos Parlamento ir Tarybos direktyvoje 2004/38/EB dėl Sąjungos piliečių ir jų šeimos narių teisės laisvai judėti ir gyventi valstybių narių teritorijoje. Šios direktyvos 29 straipsniu nustatytos sąlygos, kada reikia atsižvelgti į visuomenės sveikatai kylančią grėsmę: „Pateisinti judėjimo laisvės apribojimo priemones gali tik epideminį potencialą turinčios ligos, apibrėžtos atitinkamuose Pasaulio sveikatos organizacijos dokumentuose, ir kitos infekcinės ligos ar užkrečiamosios parazitinės ligos, jei joms taikomos apsaugos nuostatos, galiojančios priimančiosios valstybės narės piliečiams.“

—	Vis dėlto reikėtų atkreipti dėmesį į tai, kad minėtas pasiūlymas kol kas tėra tik pasiūlymas ir tai, kad nuo Bendrijos kodekso priėmimo priklausys, ar bus įtraukta grėsmės visuomenės sveikatai nekėlimo sąlyga į VIS reglamentą..

—	Tačiau, jei jis bus priimtas, šis pagrindas neleisti atvykti turėtų būti aiškinamas ribotai. Iš esmės apie pasiūlymą dėl 2004/38/EB direktyva grindžiamo Bendrijos kodekso tėra tik užsiminta.

Todėl EDAPP rekomenduoja į pasiūlymo tekstą įtraukti nuorodą į Direktyvos 2004/38/EB 29 straipsnį, siekiant užtikrinti, kad „grėsmė visuomenės sveikatai“ būtų suprantama atsižvelgiant į šią nuostatą. Visais atvejais, atsižvelgiant į duomenų jautrumą jie turėtų būti tvarkomi tik tuo atveju, jei visuomenės sveikatai iškyla tikra, reali ir pakankamai rimta grėsmė.

3.5.2. Duomenys apie kitus grupės narius

2 straipsnio 7 dalyje apibrėžiami „grupės nariai“ — tai „kiti prašytojai, keliaujantys kartu su prašytoju, įskaitant sutuoktinį ir vaikus, kurie vyksta kartu su prašytoju“. Pastabose dėl straipsnių pažymima, kad 2 straipsnyje apibrėžiant sąvokas, daromos nuorodos į Sutartį arba į Šengeno acquis dėl vizų politikos, išskyrus kai kuriuos terminus, įskaitant „grupės narių“, kurie skirti konkretiems šio reglamento tikslams. Dėl to galima manyti, kad šis sąvokos apibrėžimas nesusijęs su Bendrųjų konsulinių instrukcijų 2.1.4 straipsnyje pateiktu „grupinės vizos“ sąvokos apibrėžimu. Pastabose dėl straipsnių minimi „prašytojai, keliaujantys grupėje su kitais prašytojais, t.y. pagal Susitarimą dėl patvirtino paskirties statuso (ADS), arba kartu su šeimos nariais“.

EDAPP pabrėžia, kad reglamente turėtų būti pateiktas tikslus ir išsamus „grupės narių“ sąvokos apibrėžimas. EDAPP privalo pastebėti, kad šiame pasiūlyme sąvokos apibrėžimas yra pernelyg neaiškus dėl to, kad nėra konkrečios nuorodos į Sutartį arba į Šengeno acquis. Pagal šią formuluotę „grupės nariai“ galėtų apimti kolegas, kitus tos pačios kelionių agentūros klientus, dalyvaujančius organizuotoje kelionėje ir t.t. Padariniai yra iš tiesų labai svarbūs:

pagal reglamento projekto 5 straipsnį prašymo byla apie prašytoją bus sujungta su prašymo bylomis apie kitus grupės narius.

3.6. Duomenų saugojimas

Reglamento projekto 20 straipsnyje numatomas kiekvienos prašymo bylos penkerių metų saugojimo laikotarpis. Tinkamo laikotarpio nustatymas priklauso nuo Bendrijos teisėkūros pasirenkamos politikos.

Nėra jokių įrodymų, pirmiausia atsižvelgiant į pastabose dėl straipsnių minimas priežastis, teigti, kad šiame pasiūlyme pasirinkta politika būtų nepagrįsta arba sukeltų nepageidaujamus padarinius, jeigu įgyvendinami visi atitinkami koregavimo mechanizmai. Tai reiškia, kad būtina užtikrinti duomenų taisymą ar panaikinimą tada, kai jie nebėra tikslūs, ir pirmiausia tada, kai asmeniui suteikta valstybės narės pilietybė arba jis įgijo statusą, nereikalaujantį į sistemą įvesti duomenis.

Be to, kai duomenys vis dar tebėra sistemoje, jie jokiu būdu negali daryti įtakos naujam sprendimui. Kai kurie atsisakymo išduoti vizą pagrindai (įspėjimas dėl prašytojo, kad jam nebūtų leista atvykti; grėsmė visuomenės sveikatai) galioja ribotą laikotarpį. Tai, kad jie tam tikru metu buvo tinkami pagrindai neleisti atvykti, neturėtų daryti įtakos naujam sprendimui. Kiekvienu prašymo išduoti vizą atveju turi būti visiškai iš naujo įvertinta padėtis ir prireikus tai turėtų būti atlikta tiksliai vadovaujantis reglamentu.

3.7. Galimybė naudotis duomenimis ir jų panaudojimas

3.7.1. Preliminarios pastabos

Preliminariai EDAPP pripažįsta, kad akivaizdų dėmesį kuris buvo sutelktas kontrolės sistemai, skirtai gauti VIS duomenis ir jais naudotis. Kiekviena institucija skirtingiems tikslams turi galimybę gauti skirtingus duomenis. Tai yra tinkamas požiūris, kurį EDAPP gali tik skatinti. Šių pastabų tikslas — siekti, kad šis požiūris būtų kuo plačiau taikomas.

3.7.2. Vizų tikrinimai išorės sienų kontrolės punktuose bei teritorijoje

Tuo atveju, kai vizos tikrinamos prie išorės sienų, siūlomo reglamento 16 straipsnyje aiškiai nurodyti du konkretūs tikslai:

—	„asmens tapatybės patikrinimas“, kuris pagal pateiktą sąvokos apibrėžimą reiškia „vieno su vienu“ lyginimą;

—	„vizos autentiškumo patikrinimas“. Siekiant kontroliuoti šį autentikavimo procesą, vizos mikroschemoje galėtų būti panaudojama viešojo/privataus rakto sistema (PKI), kaip siūloma ICAO standartuose.

Šiuos du tikslus galima tinkamai pasiekti, jei atsakingos už vizų patikrinimą kompetentingos valdžios institucijos turi išskirtinę galimybę naudotis apsaugota mikroschema. Todėl šiuo konkrečiu atveju galimybė naudotis VIS centrine duomenų baze būtų neproporcinga. Ši galimybė apimtų daugiau susietų su VIS institucijų, o tai gali padidinti netinkamo panaudojimo riziką. Ji taip pat būtų brangesnė, nes saugių ir kontroliuojamų prieigų prie VIS skaičius bei su šia prieiga susijusio konkretaus mokymo poreikis taip pat žymiai padidėtų.

Be to, esama abejonių dėl galimybės naudotis duomenimis, kaip numatyta 16 straipsnio 2 dalyje, adekvatumo. Iš tiesų, 2 dalies a punkte nurodoma, kad jei po pirmos užklausos paaiškėja, kad duomenys apie pareiškėją įregistruoti VIS (taip iš esmės ir turėtų būti), kompetentinga institucija tuo pačiu tikslu — tikrindama asmens tapatybę, — gali patikrinti kitus duomenis. Šie duomenys susiję su visa informacija apie prašymą, nuotraukas, pirštų atspaudus, taip pat informacija apie bet kurią anksčiau išduotą, panaikintą atšauktą arba pratęstą vizą;

Jeigu pavyko nustatyti asmenybę, neaišku, kodėl vis dar reikalingi kiti duomenys. Faktiškai galimybė jais naudotis ribotomis sąlygomis turėtų būti suteikta tik tuo atveju, jei patikrinimo procedūra nepavyko. Šiuo atveju, 16 straipsnio 2 dalyje minimi duomenys tinkamai prisidėtų prie atsargos procedūros, padedančios patvirtinti asmens tapatybę. Tuo atveju jais negalėtų naudotis kiekvieno pasienio kontrolės punkto personalas, o tik ribotesnis už sudėtingas bylas atsakingų pareigūnų skaičius.

Galiausiai, turėtų būti tikslesnis galinčių naudotis duomenimis institucijų sąvokos apibrėžimas. Pirmiausia nėra aišku, kas yra „kompetentingos institucijos, atsakingos už patikrinimus valstybės narės teritorijoje“. EDAPP nuomone čia kalbama apie kompetentingas institucijas, atsakingas už vizų patikrinimus ir todėl 16 straipsnis turėtų būti atitinkamai iš dalies keičiamas.

3.7.3. Duomenų naudojimas nustatant ir grąžinant nelegalius imigrantus bei atliekant prieglobsčio suteikimo procedūras

17, 18 ir 19 straipsniuose apibrėžtais atvejais (nelegalių emigrantų grąžinimas ir prieglobsčio suteikimo procedūra) VIS paskirtis — nustatymas. Vienas iš nustatymui skirtų duomenų gali būti nuotraukos. Tačiau šiuolaikinėje technologijoje, susijusioje su automatizuotu (kompiuterizuotu) veido atpažinimu tokiose didelės apimties IT sistemose, nuotraukos negali būti naudojamos nustatymui (vienas iš daugelio); jos negali duoti patikimo rezultato. Todėl jos negali būti laikomos tinkamais duomenimis siekiant nustatyti.

Todėl EDAPP primygtinai siūlo, kad iš šių straipsnių pirmos dalies sąvoka „nuotraukos“ būtų perkelta į antrą dalį (nuotraukos gali būti naudojamos kaip kieno nors tapatybės patikrinimo priemonė, bet ne kaip priemonė, skirta nustatyti tapatybę didelės apimties duomenų bazėje).

Kita galimybė būtų — iš dalies pakeisti 36 straipsnį taip, kad nuotraukų tvarkymo funkcijos siekiant nustatyti būtų vykdomos tik tuo atveju, jei ši technologija laikoma patikima (galbūt pasikonsultavus su Technikos komitetu).

3.7.4. Paskelbimas apie institucijas, turinčias galimybę naudotis VIS

Reglamento projekto 4 straipsniu numatyta skelbti Europos Sąjungos oficialiajame leidinyje kiekvienos valstybės narės paskirtas kompetentingas institucijas, galinčias naudotis VIS. Skelbiama turėtų būti reguliariai (kasmet), siekiant informuoti apie pasikeitimus valstybėse narėse. EDAPP pabrėžia, kad šis paskelbimas — svarbi būtinos kontrolės priemonė Europos, taip pat nacionaliniu arba vietos lygiu.

3.8. Įsipareigojimai

Primenama, kad VIS bus grindžiama centralizuota struktūra, turinčia centrinę duomenų bazę, kurioje bus saugoma informacija apie vizas, ir valstybėse narėse įkurtas nacionalines sąsajas, suteikiančias jų kompetentingoms institucijoms galimybę naudotis centrine sistema. Pagal reglamento projekto 14 ir 15 konstatuojamąsias dalis taikant reglamentą asmens duomenų tvarkymui valstybėse narėse bus taikoma Direktyva 95/46/EB, o Komisijos veiklai, susijusiai su asmens duomenų apsauga, bus taikomas Reglamentas 45/2001. Kaip dėl to minima šiose konstatuojamosiose dalyse, šio pasiūlymo tikslas — patikslinti tam tikrus aspektus, inter alia susijusius su atsakomybe už duomenų naudojimą ir su duomenų apsaugos priežiūra.

Iš esmės, šie aspektai būtų susiję su kai kuriomis svarbiomis detalėmis, be kurių Direktyvoje 95/46/EB ir Reglamente 45/2001 numatytų apsaugos priemonių sistema nebūtų taikoma arba nevisiškai atitiktų pasiūlymą. Galimybė taikyti pagal direktyvą priimtą nacionalinę teisę paprastai yra tuo atveju, jei toje valstybėje narėje įsteigtas duomenų valdytojas (4 straipsnis), o galimybė taikyti reglamentą priklauso nuo asmens duomenų tvarkymo, kurį atlieka Bendrijos institucija ar organas vykdant visas Bendrijos teisėje numatytas veiklos rūšis ar jų dalį (3 straipsnis).

Pagal reglamento projekto 23 straipsnio 2 dalį duomenys „Vizų informacinėje sistemoje tvarkomi valstybių narių vardu“. Pagal 23 straipsnio 3 dalį valstybės narės paskiria instituciją, kuri pagal Direktyvos 95/46/EB 2 straipsnio d punktą laikoma duomenų valdytoja. Todėl pagal direktyvos sistemą atrodytų, kad siūloma Komisiją laikyti tvarkytoja. Tai patvirtinama straipsnių paaiškinime (16).

Taip tarsi sumenkinamas labai svarbus ir iš tiesų lemiamas Komisijos vaidmuo ir kuriant sistemą ir jai veikiant. Yra sudėtinga tiksliai susieti Komisijos vaidmenį su valdytojo arba tvarkytojo koncepcija; tai būtų arba neįprastus įgaliojimus (be kitų, kuriančių sistemą) turintis tvarkytojas, arba valdytojas, kuriam numatyti apribojimai (kadangi duomenis įveda ir naudoja valstybės narės). Iš tiesų Komisijos vaidmuo VIS turi būti pripažįstamas kaip sui generis (17) vaidmuo.

Šis svarbus vaidmuo turėtų būti pripažįstamas išsamiai apibūdinant Komisijos užduotis, o ne pasitelkiant nevisiškai atitinkančią realybę formuluotę, nes ji yra pernelyg ribojanti, ne kiek nekeičianti VIS veikimo, o tik klaidinanti. Tai taip pat svarbu atsižvelgiant į nuoseklią ir veiksmingą VIS priežiūrą (žr. taip pat 3.11 pastraipą). Todėl EDAPP rekomenduoja išbraukti 23 straipsnio 2 dalį.

EDAPP norėtų pabrėžti, kad visų svarbiausia — visapusiškai apibrėžti Komisijos užduotis VIS atžvilgiu, jei Komisija numato valdymo užduotis patikėti kitai institucijai. Prie pasiūlymo pridėtame „Fiche Financière“ minima galimybė šias užduotis perduoti išorės sienų valdymo agentūrai. Todėl labai svarbu tai, kad Komisija nepalieka jokių neaiškumų savo kompetencijų taikymo srityje tam, kad jos teisių perėmėjas žinotų savo veikimo ribas.

3.9. Saugumas

VIS valdymas ir optimalaus saugumo lygio pripažinimas — tai išankstinės sąlygos užtikrinant jos duomenų bazėje saugomų asmens duomenų reikiamą apsaugą. Siekiant suteikti šį patenkinamą apsaugos lygį, turi būti įgyvendintos tinkamos apsaugos priemonės, skirtos susidoroti su galimais pavojais, susijusiais su sistemos infrastruktūra ir su sistemoje dalyvaujančiais asmenimis. Šiuo metu įvairiose pasiūlymo dalyse šis klausimas yra aptariamas ir turėtų būti šiek tiek patobulintas.

25 ir 26 pasiūlymo straipsniuose numatytos įvairios duomenų saugumo priemonės bei netinkamo naudojimo būdai, kuriems turi būti užkirstas kelias. Tačiau šios nuostatos galėtų būti naudingai papildytos jau paminėtomis priemonėmis, skirtomis saugumo priemonių nuolatinei stebėsenai ir ataskaitai apie jų veiksmingumą. EDAPP konkrečiau rekomenduoja, kad į šiuos straipsnius būtų įtrauktos nuostatos dėl saugumo priemonių sistemingos (savi-) kontrolės.

Tai susiję su pasiūlymo 40 straipsniu, kuriame numatyta stebėsena ir vertinimas. Tai turėtų būti ne tik susiję su rezultatu, veiksmingumu ir funkcionavimo kokybe, bet ir su teisinių reikalavimų, ypač duomenų pasaugos srityje, laikymusi. Todėl EDAPP rekomenduoja, kad 40 straipsnio taikymo sritis būtų išplėsta ir apimtų priežiūrą bei pranešimus apie tvarkymo teisėtumą.

Be to, 24 straipsnio 4 dalies e punkte arba 26 straipsnio 2 dalies c punkte dėl tinkamai įgalioto personalo turėtų būti įterpta tai, kad valstybės narės turėtų užtikrinti, kad būtų prieinamos tikslios vartotojų kategorijos (kurios būtų tikrinimą vykdančių nacionalinių priežiūros institucijų žinioje). Be šių vartotojų kategorijų, valstybės narės turėtų sudaryti ir nuolat atnaujinti išsamų vartotojų tapatybių sąrašą. Tas pats taikoma Komisijai: todėl pagal tai turėtų būti papildytas 25 straipsnio 2 dalies b punktas.

Šios saugumo priemonės papildomos stebėsenos ir organizacinėmis apsaugos priemonėmis. Pasiūlymo 28 straipsnyje apibūdintos sąlygos ir tikslai, kurių laikantis registruojamos visos duomenų tvarkymo operacijos. Tokie įrašai saugomi ne tik siekiant kontroliuoti duomenų apsaugą bei užtikrinti duomenų saugumą, bet taip pat ir vadovauti reguliariai VIS savikontrolei. Šios savikontrolės ataskaitos padės veiksmingiau atlikti užduotis priežiūros institucijoms, kurios galės nustatyti silpniausias vietas bei atkreipti į jas dėmesį atliekant savo kontrolės procedūrą.

3.10. Duomenų subjekto teisės

3.10.1. Informacija apie duomenų subjektą

Labai svarbu suteikti informaciją duomenų subjektui siekiant užtikrinti tinkamą tvarkymą. Tai — būtina asmens teisių apsaugos priemonė. Pasiūlymo 30 straipsnyje dabar iš esmės laikomasi tam tikslui skirto Direktyvos 95/46/EB 10 straipsnio.

Tačiau būtų naudinga šią nuostatą šiek tiek pakeisti, siekiant, kad ji geriau atitiktų VIS struktūrą. Direktyvoje iš tikrųjų numatoma suteikti tam tikrą informaciją, tačiau leidžia prireikus suteikti daugiau informacijos (18). Todėl 30 straipsnis turėtų būti iš dalies keičiamas, siekiant įtraukti šiuos punktus:

—	Duomenų subjektai taip pat turėtų būti informuojami apie jų duomenims taikomą saugojimo laikotarpį.

—

30 straipsnio 1 dalies e punktas susijęs su „teise naudotis duomenimis ir teise taisyti tuos duomeni“s. Būtų tiksliau paminėti „teisę naudotis duomenimis ir teisę prašyti taisyti arba naikinti duomenis“. Todėl duomenų subjektams turėtų būti pranešta apie galimybę kreiptis dėl patarimo arba pagalbos į atitinkamas priežiūros institucijas.

—	Galiausiai 30 straipsnio 1 dalies a punkte minima informacija apie valdytojo ir jo atstovo, jeigu tokio esama, tapatybę. Europos Sąjungos teritorijoje visada įsteigiamas valdytojas, tad nebūtina numatyti šią galimybę.

3.10.2. Teisė prieiti prie duomenų, juos taisyti ir naikinti

31 straipsnio 1 dalyje konstatuojama, kad „tokį priėjimą prie duomenų gali suteikti tik kuri nors valstybė narė“. Gali būti suprantama, kad šios teisės naudotis (arba perduoti) duomenis negali suteikti centrinis padalinys, o tik bet kuri valstybė narė. EDAPP rekomenduoja aiškiai nurodyti, kad tokio perdavimo gali būti prašoma bet kurioje valstybėje narėje.

Be to, šios nuostatos redagavimas taip pat reikštų, kad negali būti draudžiama susipažinti su duomenimis ir tai, kad galimybė susipažinti su duomenimis bus suteikiama negavus atsakingos valstybės narės leidimo. Tai paaiškintų, kodėl nacionalinės institucijos turi bendradarbiauti, įgyvendindamos 31 straipsnio 2, 3 ir 4 dalyse nustatytas teises, bet ne 31 straipsnio 1 dalyje nustatytas teises (19).

3.10.3. Priežiūros institucijų pagalba

33 straipsnio 2 dalyje numatyti nacionalinių priežiūros institucijų įsipareigojimai padėti atitinkamam asmeniui ir jį konsultuoti išlieka per visą ieškinio ar skundo nagrinėjimo procedūrą (teisme). Šios dalies prasmė nėra aiški. Nacionalinių priežiūros institucijų požiūris į jų vaidmenį ieškinį ar skundą nagrinėjant teisme skiriasi. Tai reikštų, kad jų vaidmuo būtų patarti teisme skundo pateikėjui, o tai daugelyje šalių yra neįmanoma.

3.11. Priežiūra

Pasiūlyme numatomas priežiūros pareigų pasidalijimas tarp nacionalinių priežiūros institucijų ir EDAPP. Tai atitinka pasiūlyme išreikštą požiūrį į taikytiną teisę ir su VIS susijusius įsipareigojimus bei jos naudojimą ir į veiksmingos priežiūros būtinybę. Todėl EDAPP palankiai vertina šį požiūrį, išdėstytą 34 ir 35 straipsniuose.

Nacionalinės priežiūros institucijos kontroliuoja asmens duomenų tvarkymo valstybėse narėse teisėtumą, įskaitant jų perdavimą iš ir į VIS. EDAPP kontroliuoja Komisijos veiklą (…) įskaitant teisėtą asmens duomenų tarp nacionalinių sąsajų ir Centrinės vizų informacinės sistemos perdavimą. Dėl to gali iš dalies sutapti, kai tuo pat metu ir nacionalinė priežiūros institucija ir EDAPP atsako už asmens duomenų tarp nacionalinių sąsajų ir Centrinės vizų informacinės sistemos perdavimo teisėtumą.

Todėl EDAPP siūlo iš dalies keisti 34 straipsnį siekiant aiškiai apibrėžti, tai, kad nacionalinės priežiūros institucijos kontroliuoja, ar valstybė narė teisėtai tvarko asmens duomenis, įskaitant jų perdavimą į ir iš VIS nacionalinių sąsajų.

Dėl VIS priežiūros taip pat yra svarbu pabrėžti, kad tam tikru mastu turėtų būti koordinuojama nacionalinių priežiūros institucijų ir EDAPP priežiūra, siekiant užtikrinti pakankamą darnumo lygį bei visapusišką veiksmingumą. Iš tiesų būtina suderintai įgyvendinti šį reglamentą ir toliau spręsti bendras problemas. Be to, saugumo požiūriu galima pridurti, kad galiausiai VIS saugumo lygis bus apibrėžiamas pagal VIS silpniausios grandies saugumo lygį. Todėl EDAPP ir nacionalinių institucijų bendradarbiavimas turi būti struktūrizuojamas ir stiprinamas. Tad šiuo tikslu 35 straipsnyje turėtų būti numatyta nuostata, kad bent kartą per metus EDAPP sušaukia susitikimą su nacionalinėmis priežiūros institucijomis.

3.12. Įgyvendinimas

Pasiūlymo 36 straipsnio 2 dalyje numatyta: „Priemonės, būtinos 1 dalyje nurodytų funkcijų techniniam įdiegimui, priimamos, laikantis 39 straipsnio 2 dalyje nustatytos tvarkos.“ 39 straipsnyje nurodomas Komisijai padedantis komitetas, įsteigtas 2001 m. gruodžio mėn. (20), kuris buvo pritaikomas keliuose teisės aktuose.

Dėl VIS funkcijų techninio įgyvendinimo (sąveikos su kompetentingomis institucijomis ir vienoda vizų forma) duomenų apsaugai iškyla didelė neigiamo poveikio galimybė. Pavyzdžiui, pasirinkimo galimybė — įmontuoti mikroschemą į vizą arba neįmontuoti, darys įtaką centrinės duomenų bazės naudojimui, taip pat ir standartinis formatas, naudojamas keistis biometriniais duomenimis, sudarys sąlygas arba kurs atitinkamą duomenų apsaugos politiką (21).

Šis technologijų pasirinkimas turės lemiamą įtaką tinkamai įgyvendinant paskirties ir proporcingumo principus, todėl jis turėtų būti prižiūrimas. Todėl pageidautina, kad pasirenkant duomenų apsaugą iš esmės veikiančias technologijas būtų taikomas reglamentas, laikantis bendro sprendimo procedūros. Tik tuomet gali būti vykdoma būtina politinė kontrolė. Visais kitais duomenų apsaugai įtaką turinčiais atvejais EDAPP turėtų būti suteikiama galimybė patarti dėl šio komiteto pasirinkimų.

3.13. Tarpusavio sąveika

Tarpusavio sąveika — tai lemiama ir esminė išankstinė sąlyga tokių didelės apimties IT sistemų kaip VIS veiksmingumui. Ji leidžia nuolat mažinti bendras išlaidas ir išvengti įprasto nevienalyčių elementų perteklumo. Tarpusavio sąveika taip pat gali prisidėti prie bendros vizų politikos tikslo, visose šios politikos sudedamosiose dalyse įgyvendinant bendrus procedūrinius standartus. Tačiau svarbu išskirti du tarpusavio sąveikos lygius:

—	ES valstybių narių tarpusavio sąveika yra labai pageidautina; iš tiesų vienos valstybės narės siunčiami prašymai išduoti vizą turi būti sąveikūs su kitos valstybės narės siunčiamais prašymais išduoti vizą.

—	Skirtingiems tikslams sukurtų sistemų tarpusavio sąveika arba tarpusavio sąveika su trečiosios šalies sistemomis kelia daugiau abejonių.

Be kitų galimų apsaugos priemonių, naudojamų apriboti sistemos paskirtį ir išvengti veiklos sutrikimų, prisidėti prie šio apribojimo galima panaudojant skirtingus technologinius standartus. Tačiau kiekviena dviejų skirtingų sistemų tarpusavio sąveikos forma turėtų būti išsamiai pagrindžiama dokumentais. Tarpusavio sąveika niekada neturėtų sukurti sąlygų, kai institucija, kuriai nesuteikta galimybė naudotis arba panaudoti tam tikrus duomenis, gali įgyti šią galimybę per kitą informacinę sistemą.

Atsižvelgdamas į tai, EDAPP norėtų paminėti 2004 m. kovo 25 d. Tarybos deklaraciją dėl kovos su terorizmu, kurioje Komisija prašoma pateikti pasiūlymus siekiant sustiprinti informacinių sistemų (SIS, VIS ir Eurodac) tarpusavio sąveiką ir sinergiją.

Jis taip pat norėtų paminėti vykstančią diskusiją dėl to, kuriai institucijai ateityje galėtų būti patikėtas skirtingų didelės apimties sistemų valdymas (žr. taip pat šios nuomonės 3.8 dalį).

EDAPP dar kartą nori pabrėžti, kad pažeidžiant tikslo apribojimo principą negali būti įgyvendinama sistemų tarpusavio sąveika ir tai, kad jam turėtų būti pateikiami visi pasiūlymai šiuo klausimu.

4. IŠVADOS

4.1. Bendri klausimai

EDAAP pripažįsta, kad toliau vystant bendrą vizų politiką reikalinga veiksmingai keistis aktualiais duomenimis. VIS — tai vienas mechanizmų, galinčių užtikrinti sklandų informacijos srautą. EDAPP įdėmiai atsižvelgė į IPI pateiktus įrodymus. Nors tie įrodymai nėra visiškai išsamūs, atrodo, kad yra pakankamų priežasčių, pateisinančių VIS, kurios paskirtis — gerinti bendrą vizų politiką, sukūrimą.

Tačiau tokia nauja priemonė turėtų apsiriboti duomenų rinkimu ir pasikeitimu jais, kadangi toks rinkimas ir pasikeitimas yra būtini vystant bendrą vizų politiką ir proporcingai atitinka šį tikslą.

VIS sukūrimas gali teigiamai veikti kitus teisėtus viešuosius interesus, tačiau tai nekeičia VIS paskirties. Todėl visi VIS elementai yra privalomi ir turi atitikti pirmiau minėtam politikos tikslui pasiekti reikiamas priemones. Be to:

—	Teisėsaugos institucijų galimybė įprasta tvarka naudotis duomenimis būtų nesuderinama su šiuo tikslu.

—	EDAAP rekomenduoja, kad skirtumas tarp „paskirties“ ir „naudos“ būtų aiškiau apibrėžtas 1 straipsnio 2 dalies tekste.

—	Pažeidžiant tikslo apribojimo principą negali būti įgyvendinama tarpusavio sąveika su kitomis sistemomis.

EDAPP pripažįsta biometrinių duomenų naudojimo privalumus, tačiau pabrėžia, kad tokių duomenų naudojimas turės didžiulį poveikį, ir siūlo įtraukti griežtas apsaugos priemones, skirtas biometrinių duomenų naudojimui. Be to, dėl pirštų atspaudų techninių netikslumų reikia sukurti ir įtraukti į pasiūlymą atsargos procedūras.

4.	Ši nuomonė turėtų būti paminėta reglamento preambulėje prieš konstatuojamąsias dalis („atsižvelgdami į ... nuomonę“).

4.2. Kiti klausimai

5.	Dėl atsisakymo išduoti vizą pagrindų: į pasiūlymo tekstą turėtų būti įtraukta nuoroda į Direktyvos 2004/38/EB 29 straipsnį, siekiant užtikrinti, kad „grėsmė visuomenės sveikatai“ būtų suprantama atsižvelgiant į šią nuostatą.

6.	Duomenys apie grupės narius pasiūlyme turi konkrečią prasmę: todėl reikėtų tiksliau ir išsamiau pateikti „grupės narių“ sąvokos apibrėžimą.

Nėra jokių įrodymų, kad šiame pasiūlyme pasirinkta politika dėl pavėluoto duomenų pateikimo arba duomenų saugojimo būtų nepagrįsta arba sukeltų nepageidaujamus padarinius, jeigu įgyvendinami visi atitinkami koregavimo mechanizmai.

Be to pasiūlyme turėtų būti aiškiai nurodyta, kad nagrinėjant kiekvieną naują prašymą išduoti vizą asmens duomenys turi būti iš naujo įvertinami.

Dėl vizų tikrinimo prie išorės sienų: pasiūlymo 16 straipsnis turėtų būti iš dalies keičiamas, nes šie atvejai neatitiktų galimybės naudotis VIS centrine duomenų baze. Pakanka, jei atsakingos už vizų patikrinimus kompetentingos institucijos turi išskirtinę galimybę naudotis apsaugota mikroschema.

Be to, jeigu pavyko patikrinti tapatybę, neaišku, kodėl vis dar reikalingi kiti duomenys.

9.	Dėl duomenų panaudojimo nustatant ir grąžinant nelegalius imigrantus bei atliekant prieglobsčio suteikimo procedūras: iš 17, 18 ir 19 straipsnių pirmos dalies sąvoka „nuotraukos“ turėtų būti perkelta į antrą dalį.

10.	Dėl Komisijos ir valstybių narių įsipareigojimų: 23 straipsnio 2 dalis turėtų būti išbraukiama.

11.

Į pasiūlymą turėtų būti įtrauktos nuostatos dėl saugumo priemonių sistemingos (savi-) kontrolės. 40 straipsnio taikymo sritis turi būti išplėsta, kad apimtų stebėseną bei pranešimus apie tvarkymo teisėtumą. Be to:

—	valstybės narės turėtų sudaryti ir nuolat atnaujinti išsamų vartotojų tapatybių sąrašą. Tas pats taikoma Komisijai: Pagal tai turėtų būti papildytas 25 straipsnio 2 dalies b punktas.

—	Pasiūlymo 28 straipsnyje apibūdintos sąlygos ir tikslai, kurių laikantis registruojamos visos duomenų tvarkymo operacijos. Tokie įrašai saugomi ne tik siekiant kontroliuoti duomenų apsaugą bei užtikrinti duomenų saugumą, bet taip pat ir vadovauti reguliariai VIS savikontrolei.

12.

Dėl duomenų subjekto teisių:

—	30 straipsnis turėtų būti iš dalies keičiamas, siekiant užtikrinti, kad duomenų subjektai taip pat turėtų būti informuojami apie jų duomenims taikomą saugojimo laikotarpį.

—	30 straipsnio 1 dalies e punkte turėtų būti paminėta „teisė naudotis duomenimis ir teisė prašyti taisyti arba naikinti duomenis“.

—	31 straipsnio 1 dalyje turi būti aiškiai nustatyta, kad tam tikro pranešimo galima prašyti bet kurioje valstybėje narėje.

13.

Dėl priežiūros:

—	34 straipsnis turėtų būti iš dalies keičiamas siekiant patikslinti, kad nacionalinės priežiūros institucijos kontroliuoja, ar valstybė narė teisėtai tvarko asmens duomenis, įskaitant jų perdavimą į ir iš VIS nacionalinių sąsajų.

—	Tad 35 straipsnyje turėtų būti nuostata, kad bent kartą per metus EDAPP sušaukia susitikimą su nacionalinėmis priežiūros institucijomis.

14.

Dėl įgyvendinimo:

—	pageidautina, kad pasirenkant duomenų apsaugą iš esmės veikiančias technologijas būtų taikomas reglamentas, laikantis bendro sprendimo procedūros.

—	Visais kitais atvejais EDAPP turėtų būti suteikiama galimybė patarti dėl pasiūlyme nurodyto komiteto pasirinkimų.

Priimta Briuselyje, 2005 m. kovo 23 d.

Peter HUSTINX

Europos duomenų apsaugos prižiūros pareigūnas

(1) Vizų informacinė sistema, galutinė ataskaita, užsakyta EK, atlikta Trasys, 2003 balandžio mėn.

(2) KOM (2003) 558 galutinis su 2003/0217 (CNS) ir 2003/0218 (CNS).

(3) 2004/512/EB, OL L 213, 2004 6 15, p. 5.

(4) KOM(2004) 835 galutinis kartu su 2004/0237 (COD)

(5) Išplėstinio Vizų informacinės sistemos poveikio įvertinimo studija, EPEC galutinis pranešimas, 2004 m. gruodžio mėn.

(6) Pasiūlymo 24 straipsnio 2 dalis.

(7) Šiuo atveju naudinga nurodyti Teisingumo Teismo sprendimą Österreichischer Rundfunk and Others byloje (jungtinės bylos C-465/00, C-138/01 ir C-139/01, 2003 m. gegužės 20 d. sprendimas, visos sudėties Teismas, (2003), Rink. I-4989). Teismas nagrinėjo Austrijos įstatymą, pagal kurį numatoma perduoti su valdžios sektoriaus darbuotojų darbo užmokesčiu susijusią informaciją Austrijos audito rūmams ir vėliau ją paskelbti. Savo sprendime Teismas išdėsto daugelį Europos žmogaus teisių konvencijos 8 straipsniu pagrįstų kriterijų, kuriais turi būti naudojamasi taikant Direktyvą 95/46/EB, kadangi ši direktyva leidžia tam tikrus teisės į privatumą apribojimus.

(8) Tai Direktyva 95/46/EB įkurta nepriklausoma patariamoji grupė, sudaryta iš valstybių narių duomenų apsaugos institucijų, EDAAP ir Komisijos atstovų.

(9) IPI tai aiškiai teigia (p.6, §2.7): „dėl neveiksmingos kovos su prekyba vizomis ir sukčiavimu bei dėl neveiksmingai atliekamų patikrinimų taip pat atsiranda neveiksmingumas, susijęs su valstybių narių vidaus saugumu“. Tai rodo, kad grėsmės saugumui iš dalies kyla dėl neveiksmingos vizų politikos. Pirmiausia dėl to reikėtų pagerinti vizų politiką, pirmiausia kovojant su sukčiavimu ir geriau atliekant patikrinimus. Saugumas pagerės, jeigu pagerės vizų politika.

(10) 2002 m. birželio 13 d. Tarybos pamatinis sprendimas dėl kovos su terorizmu (2002/457/JHA, OL, 2002 6 22, L, 164, p. 3).

(11) Nuomonė 7/2004 dėl biometrinių duomenų įtraukimo į leidimus gyventi ir vizas atsižvelgiant į Europos vizų informacinės sistemos (VIS) sukūrimą (Markt/11487/04/EN – WP 96) ir Darbinis dokumentas dėl biometrinių duomenų (MARKT/10595/03/EN – WP 80).

(12) A. Sasse, Cybertrust and CrimePrevention:Usability and Trust in Information Systems, in„Foresight cybertrust and crime prevention project“. 04/1151, 10 June 2004, p.7, and Technology Assessment, „Using Biometrics for Border Security“, United States General Accounting Office, GAO-03-174, November 2002.

(13) A. K. Jain et al., Biometrics: A grand Challenge, Proceedings of International Conference on Pattern Recognition, Cambridge, UK., August 2004

Biometrija	Veidas	Pirštai	Rainelė
NPD % Nesugebėjimas pateikti duomenų	Netaikoma	4	7
KDNK % klaidingo duomenų neatpažinimo koeficientas	4	2.5	6
KDAK(klaidingo duomenų atpažinimo koeficientas)1 % patikrinimo 1 su 1 paklaidos koeficientas	10	< 0.01	< 0.001
KDAK2 % nustatymo 1 iš daugelio paklaidos koeficientas, dB > 1 m	40	0.1	Netaikoma
KDAK3 % patikrinimo pagal sąrašą atpažinimo paklaidos koeficientas, dB = 500	12	< 1	Netaikoma

Biometrics: A grand Challenge

(14) Biometrics at the frontiers: assessing the impact on Society, February 2005, Institute for Prospective Technological Studies, DG Joint Research Centre, EC.

(15) Progress report on the application of the principles of Convention 108 to the collection and processing of biometric data, Council of Europe, 2005., p. 11.

(16) Žr. pasiūlymo 37 p.

(17) Nors direktyvoje 95/46/EB ir Reglamente 45/2001 nustatytame valdytojo sąvokos apibrėžime numatyta galimybė turėti daugiau skirtingus įsipareigojimus turinčių valdytojų.

(18) Joje minima: „papildoma informacija (...) kiek tokios papildomos informacijos reikia atsižvelgus į konkrečias duomenų rinkimo aplinkybes, kad duomenų subjekto atžvilgiu būtų užtikrintas tinkamas asmens duomenų tvarkymas“.

(19) Todėl siekiant aiškumo 31 straipsnio 3 dalis dėl nacionalinių institucijų bendradarbiavimo naudojantis teise taisyti arba naikinti duomenis turėtų būti iš dalies keičiama: „jei 31 straipsnio 2 dalyje nurodytas prašymas“. 31 straipsnio 1 dalyje nurodyti prašymai (dėl galimybės naudotis) neapima institucijų bendradarbiavimo.

(20) 2001 m. gruodžio 6 d. Tarybos reglamentas (EB) Nr. 2424/2001 dėl antros kartos Šengeno informacinės sistemos (SIS II) sukūrimo.

(21) 2003 m. rugsėjo mėn. pateiktame pasiūlyme dėl Tarybos reglamento, iš dalies keičiančio Reglamentą (EB) Nr. 1683/95 (nustatantį vienodą vizų formą) taip pat įtrauktas panašus straipsnis.