10.2.2012   

NL

Publicatieblad van de Europese Unie

C 37/1

1.

Op 8 april 2011 heeft de Commissie Verordening (EU) nr. 404/2011 houdende bepalingen voor de uitvoering van Verordening (EG) nr. 1224/2009 van de Raad tot vaststelling van een communautaire controleregeling die de naleving van de regels van het gemeenschappelijk visserijbeleid moet garanderen (de „Uitvoeringsverordening”) (3) vastgesteld.

2.

De Europese Toezichthouder voor gegevensbescherming (EDPS) is niet geraadpleegd overeenkomstig artikel 28, lid 2, van Verordening (EG) nr. 45/2001, ofschoon het wetgevingsinitiatief op de prioriteitenlijst van de EDPS voor raadpleging over wetgevingsvoorstellen staat („EDPS Inventory of priorities for legislative consultation”) (4). Het onderhavige advies is daarom gebaseerd op artikel 41, lid 2, van dezelfde verordening.

3.

De doelstelling van Verordening (EG) nr. 1224/2009 van de Raad van 20 november 2009 tot vaststelling van een communautaire controleregeling die de naleving van de regels van het gemeenschappelijk visserijbeleid moet garanderen (de „Controleverordening”) (5) is om een „communautaire regeling voor controle, inspectie en handhaving vast te stellen (…) teneinde ervoor te zorgen dat (…) alle regels van het gemeenschappelijk visserijbeleid worden nageleefd”.

4.

De Controleverordening verplicht de Commissie om de voorschriften en maatregelen vast te stellen die noodzakelijk zijn voor de uitvoering van bepaalde bepalingen ervan. Bij de Uitvoeringsverordening worden bedoelde voorschriften, c.q. maatregelen, voor de volgende terreinen vastgesteld: algemene voorwaarden voor toegang tot wateren en hulpbronnen (titel II), visserijcontrole (titel III), controle op de afzet (titel IV), bewaking (titel V), inspecties (titel VI), handhaving (titel VII), maatregelen om naleving door de lidstaten te garanderen (titel VIII), gegevens en informatie (titel IX) en tenuitvoerlegging (titel X).

5.

In maart 2009 bracht de EDPS een advies uit over het voorstel voor de Controleverordening (6). In dit advies benadrukte de EDPS dat het voorstel de verwerking van diverse categorieën van gegevens met zich meebracht die in sommige gevallen als persoonsgegevens konden worden beschouwd. Wanneer de eigenaar van een vaartuig of de kapitein, matroos of een ander bemanningslid wordt geïdentificeerd of identificeerbaar is, is normaal gesproken steeds sprake van de verwerking van persoonsgegevens. Om die reden deed de EDPS ten aanzien van enkele bepalingen van het voorstel een paar aanbevelingen.

6.

De EDPS benadrukte verder dat in verscheidene artikelen van de voorgestelde verordening wordt verwezen naar een comitologieprocedure voor het vaststellen van uitvoeringsvoorschriften en dat enkele van die voorschriften ook betrekking hadden op aspecten van gegevensbescherming (7). Gelet op de mogelijke gevolgen van deze voorschriften voor gegevensbescherming deed de EDPS de Commissie de aanbeveling hem te raadplegen alvorens deze voorschriften vast te stellen. Ondanks deze aanbeveling werd de Uitvoeringsverordening op 8 april 2011 vastgesteld zonder voorafgaande raadpleging van de EDPS.

7.

De EDPS betreurt dat de Uitvoeringsverordening hem niet vooraf ter raadpleging is voorgelegd, zoals aanbevolen in het advies van 2009. Omdat de Toezichthouder toch de aandacht van de Commissie wil vestigen op enkele aspecten van de Uitvoeringsverordening die uit het oogpunt van gegevensbescherming zorgen baren, is besloten om dit korte advies uit te brengen. De opmerkingen van de EDPS hebben vooral betrekking op de volgende aspecten: 1. controle op de activiteiten van vissersvaartuigen en gegevensbescherming, 2. het satellietvolgsysteem voor vissersvaartuigen, 3. bewaren van persoonsgegevens door de Commissie en andere bevoegde autoriteiten, en 4. toepasselijkheid van Verordening (EG) nr. 45/2001.

8.

In overweging 31 schrijft de Commissie dat op de verwerking van persoonsgegevens op grond van de Uitvoeringsverordening Richtlijn 95/46/EG en Verordening (EG) nr. 45/2001 van toepassing zijn, „in het bijzonder ten aanzien van de vereisten inzake vertrouwelijkheid en beveiliging van de verwerking, de doorgifte van persoonsgegevens uit de nationale systemen van de lidstaten aan de Commissie, de rechtmatige verwerking en de rechten van de betrokkenen op het gebied van informatie en van toegang tot en rectificatie van hun persoonsgegevens”. De EDPS is blij met deze verwijzing naar de toepasselijke gegevensbeschermingswetgeving.

9.

De activiteiten van vissersvaartuigen worden onderworpen aan een systematische en uitvoerige controle via geavanceerde technologische middelen, waaronder satellietvolgapparatuur en geautomatiseerde databanken (8). Via het satellietvolgsysteem voor vissersvaartuigen (9) en, waar nodig, het automatisch identificatiesysteem (AIS) (10) of vaartuigdetectiesysteem (VDS) (11), wordt regelmatig de geografische positie, koers en snelheid van vissersvaartuigen bepaald. Al deze gegevens worden systematisch aan een kruiscontrole onderworpen, geanalyseerd en geverifieerd door middel van geautomatiseerde algoritmen en mechanismen voor het opsporen van inconsistenties of vermoedelijke inbreuken. Uit artikel 145, lid 3 van de Uitvoeringsverordening blijkt dat bij deze verwerking ook datamining en profileringsactiviteiten kunnen plaatsvinden (12).

10.

Zolang deze gegevens kunnen worden gekoppeld aan geïdentificeerde of identificeerbare personen (bijv. de kapitein, eigenaar of bemanningsleden van een vaartuig), omvat een dergelijke controle de verwerking van persoonsgegevens. Daarom is het belangrijk dat het controlesysteem evenwichtig is en voldoende waarborgen bevat tegen een onterechte beperking van de rechten van betrokkenen. Dat betekent bijvoorbeeld dat duidelijk is omschreven voor welk doel de betreffende gegevens kunnen worden verwerkt, dat zo min mogelijk (persoons)gegevens worden verwerkt en dat voor die gegevens een maximale bewaartermijn geldt. Dat is met name in het onderhavige geval van belang, waarin in potentie gegevens worden verwerkt die betrekking hebben op overtredingen en die waarschijnlijk aan de persoonsgegevens van de eigenaar en/of kapitein van het vaartuig worden gekoppeld.

11.

Gezien de reikwijdte en omvang van de controleactiviteiten lijkt in de Uitvoeringsverordening niet altijd sprake te zijn van een juist evenwicht tussen enerzijds het garanderen van naleving en anderzijds het eerbiedigen van het recht op persoonlijke levenssfeer en gegevensbescherming van de betrokkenen. Aangezien de Uitvoeringsverordening al is vastgesteld, acht de EDPS het van belang dat de Commissie, waar mogelijk, ex post duidelijkheid verschaft over de reikwijdte en grenzen van de verwerkingen en waar nodig voor specifieke waarborgen zorgt. Dat zou bereikt kunnen worden met algemene of specifieke richtsnoeren of interne voorschriften gericht op het verduidelijken van bepaalde aspecten van de gegevensverwerking die betrekking hebben op de bescherming van persoonsgegevens. Die duidelijkheid en waarborgen kunnen ook worden verschaft door voorafgaande controles door de EDPS, op grond van artikel 27 van Verordening (EG) nr. 45/2001.

12.

De aspecten van de gegevensverwerking die naar de mening van de EDPS nader moeten worden omschreven, worden hieronder behandeld.

13.

Een van de basisbeginselen van het grondrecht op gegevensbescherming is dat persoonsgegevens uitsluitend voor „welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden” mogen worden verwerkt (13). Dit doelbindingsbeginsel creëert een bijzondere verantwoordelijkheid voor de houder van persoonsgegevens en vereist van de wetgever dat wetgevingsbepalingen niet zo algemeen worden geformuleerd dat zij ruimte laten voor het gebruik van persoonsgegevens voor doeleinden die onvoldoende precies zijn omschreven. Afwijking van het doelbindingsbeginsel is alleen mogelijk als die afwijking noodzakelijk en proportioneel is en ook aan de andere vereisten van artikel 52 van het Handvest van de grondrechten van de Europese Unie is voldaan.

14.

Zoals hierboven al is opgemerkt, voorzien de Controle- en Uitvoeringsverordening in de systematische en uitvoerige controle van visserijactiviteiten door middel van het satellietvolgsysteem, automatisch identificatiesysteem en vaartuigdetectiesysteem. Ingevolge artikel 12 Controleverordening kunnen gegevens afkomstig van deze systemen worden verzonden naar EU-agentschappen en bevoegde autoriteiten van de lidstaten die zich bezighouden met bewakingsactiviteiten met het oog op „de veiligheid en beveiliging op zee, de grenscontrole, de bescherming van het mariene milieu en de algemene rechtshandhaving”. In artikel 27 van de Uitvoeringsverordening is dit nader gepreciseerd door aan te geven dat de lidstaten de gegevens afkomstig van het satellietvolgsysteem gebruiken „om doeltreffend toezicht uit te oefenen op de activiteiten van de vissersvaartuigen” en „de nodige maatregelen [nemen] om ervoor te zorgen dat dergelijke gegevens uitsluitend voor officiële doeleinden worden gebruikt”.

15.

Gezien het doelbindingsbeginsel is de EDPS van mening dat artikel 12 van de Controleverordening en artikel 27 van de Uitvoeringsverordening te ruim zijn geformuleerd. Wanneer deze artikelen niet restrictief worden uitgelegd, bestrijken de woorden „algemene rechtshandhaving” en „officiële doeleinden” en de zinsnede „toezicht uit te oefenen op de activiteiten van de vissersvaartuigen” een veel te groot scala aan verwerkingen, die voor een deel absoluut geen verband houden met de doeleinden van de verordening. Deze open benadering doet twijfels rijzen over de naleving van het doelbindingsbeginsel.

16.

Op grond van bovenstaande overwegingen doet de EDPS de Commissie de aanbeveling om te komen met concrete richtsnoeren voor de interpretatie van artikel 27 van de Uitvoeringsverordening. De Commissie zou met name duidelijkheid moeten verschaffen over de betekenis en reikwijdte van „algemene rechtshandhaving” als doeleinde van de verwerking van gegevens afkomstig van het satellietvolgsysteem, automatisch identificatiesysteem en vaartuigdetectiesysteem, alsook van andere doeleinden die geen verband houden met het gemeenschappelijk visserijbeleid.

17.

Een ander grondbeginsel van de gegevensbeschermingswetgeving is, dat persoonsgegevens slechts in een vorm mogen worden bewaard die de identificatie van de betrokkenen mogelijk maakt zolang dat voor de verwezenlijking van de doeleinden waarvoor zij zijn verzameld noodzakelijk is (14). Dit beginsel houdt rechtstreeks verband met het doelbindingsbeginsel. Als persoonsgegevens niet langer noodzakelijk zijn voor het doeleinde waarvoor zij oorspronkelijk zijn verzameld, is het niet langer geoorloofd deze gegevens te bewaren, omdat dit een verwerking zou vormen die met het oorspronkelijke doeleinde onverenigbaar is.

18.

De Uitvoeringsverordening schrijft voor bepaalde gegevens een minimumbewaartermijn van drie jaar voor. Met betrekking tot gegevens afkomstig van het satellietvolgsysteem, bijvoorbeeld, bepaalt artikel 27, lid 2, onder a), dat de lidstaten ervoor zorgen dat de betreffende gegevens „in een computerleesbare vorm worden geregistreerd en gedurende ten minste drie jaar veilig in een elektronisch gegevensbestand worden opgeslagen”. Evenzo bepaalt artikel 92, lid 3, dat de gegevens van de bewakingsverslagen „ten minste drie jaar beschikbaar [moeten] blijven in het gegevensbestand” en bepaalt artikel 118 dat „de gegevens van de inspectieverslagen (…) ten minste drie jaar beschikbaar [moeten] zijn in het gegevensbestand”.

19.

De EDPS is in het algemeen van mening dat de bewaartermijn preciezer had moeten worden aangegeven door niet alleen een minimum- maar ook een maximumbewaartermijn voor te schrijven. De EDPS stelt zich in ieder geval op het standpunt dat bovengenoemde bepalingen moeten worden uitgelegd in overeenstemming met artikel 6, lid 1, onder e), van Richtlijn 95/46/EG en artikel 4, lid 1, onder e), van Verordening (EG) nr. 45/2001. Dat betekent dat de bewaartermijn van drie jaar in beginsel als een maximumtermijn moet worden beschouwd, tenzij overtuigend kan worden aangetoond dat het noodzakelijk is om gegevens langer te bewaren.

20.

Artikel 164 van de Uitvoeringsverordening regelt de informatie-uitwisseling met derde landen. Artikel 164, lid 2, regelt in het bijzonder de doorgifte van gegevens door een lidstaat aan een derde land of regionale organisatie voor visserijbeheer in het kader van een bilaterale overeenkomst met dat derde land of overeenkomstig de voorschriften van die organisatie. Artikel 164, lid 3, regelt de doorgifte van gegevens betreffende gevallen van niet-naleving van regels van het gemeenschappelijk visserijbeleid door de Commissie, of een door de Commissie aangewezen instantie, in het kader van tussen de Unie en derde landen gesloten visserijovereenkomsten of in het kader van regionale organisaties voor visserijbeheer of soortgelijke regelingen.

21.

Artikel 164, lid 2, specificeert dat de doorgifte van gegevens door een lidstaat aan een derde land plaatsvindt „overeenkomstig de nationale en de EU-wetgeving inzake de bescherming van personen met betrekking tot de verwerking van persoonsgegevens”. In lid 3 ontbreekt een dergelijke verwijzing echter. Ingevolge dit lid is de doorgifte van gegevens door de Commissie uitsluitend onderworpen aan toestemming van de lidstaat die de gegevens heeft verstrekt.

22.

De EDPS benadrukt in dit verband dat het meedelen van persoonsgegevens door de Commissie of andere Europese instellingen of organen aan derde landen op grond van artikel 164, alleen is toegestaan als aan de vereisten van Verordening (EG) nr. 45/2001, in het bijzonder artikel 9, is voldaan.

23.

Uitvoering van de Controle- en Uitvoeringsverordening kan met zich meebrengen dat de Commissie of andere EU-instellingen of -organen persoonsgegevens verwerken, in welk geval Verordening (EG) nr. 45/2001 van toepassing wordt. Wanneer zulke verwerkingen waarschijnlijk specifieke risico's voor de rechten en vrijheden van de betrokkenen inhouden, schrijft artikel 27 van Verordening (EG) nr. 45/2001 voor dat die verwerkingen vooraf door de EDPS moeten worden gecontroleerd.

24.

Meer in het bijzonder is duidelijk dat de verwerkingen die op grond van de Controle- en Uitvoeringsverordening worden uitgevoerd, de verwerking van gegevens kan meebrengen die betrekking hebben op (vermoedelijke) overtredingen door een vaartuig. Deze gegevens worden waarschijnlijk gekoppeld aan de persoonsgegevens van de kapitein of eigenaar (of een lid van de bemanning) van dat vaartuig, waarbij een verband wordt gelegd met de (vermoedelijke) inbreuken.

25.

De EDPS verzoekt de Commissie (en de andere betrokken instellingen en organen) daarom de noodzaak te overwegen van een voorafgaande controle van de verwerkingen die op grond van de Controle- en Uitvoeringsverordening worden verricht en vervolgens de nodige kennisgevingen te doen (15).

26.

De EDPS betreurt dat de tekst van de Uitvoeringsverordening hem niet vooraf ter raadpleging is voorgelegd, overeenkomstig artikel 28, lid 2, van Verordening (EG) nr. 45/2001, zoals aanbevolen in het advies van 2009. Hoewel de EDPS blij is met de verwijzing naar de toepasselijke gegevensbeschermingswetgeving (overweging 31), meent hij dat bepaalde bepalingen van de Uitvoeringsverordening uit het oogpunt van gegevensbescherming zorgen baren.

27.

Aangezien de Uitvoeringsverordening al is vastgesteld, adviseert de EDPS de Commissie om, waar mogelijk, ex post duidelijkheid te verschaffen over de reikwijdte en grenzen van de verwerkingen en waar nodig voor specifieke waarborgen te zorgen. Die duidelijkheid en waarborgen kunnen worden verschaft door algemene of specifieke richtsnoeren of interne voorschriften vast te stellen. Een andere mogelijkheid voor het verschaffen van die duidelijkheid en waarborgen bieden voorafgaande controles door de EDPS, op grond van artikel 27 van Verordening (EG) nr. 45/2001.

28.

Meer in het bijzonder adviseert de EDPS de Commissie en andere betrokken instellingen en organen