26.7.2014

Publicatieblad van de Europese Unie

C 244/15

Samenvatting van het advies van de Europese Toezichthouder voor gegevensbescherming over het pakket wetgevingsmaatregelen strekkend tot hervorming van Eurojust en instelling van het Europees Openbaar Ministerie (EPPO)

(De volledige tekst van dit advies is beschikbaar in de Engelse, Franse en Duitse taal op de website van de Europese Toezichthouder voor gegevensbescherming: www.edps.europa.eu)

2014/C 244/08

A. INLEIDING

A.1. Achtergrond van het advies

Op 17 juli 2013 stelde de Commissie een pakket wetgevingsmaatregelen vast over de instelling van het Europees Openbaar Ministerie (European Public Prosecutor’s Office — „EPPO”) en de hervorming van Eurojust. Het pakket bestaat uit:

—

de mededeling van de Commissie aan het Europees Parlement, de Raad, het Europees Economisch en Sociaal Comité en het Comité van de Regio’s „De financiële belangen van de Unie beter beschermen: instelling van een Europees Openbaar Ministerie en hervorming van Eurojust” (1) (hierna de „mededeling inzake het EPPO en Eurojust” genoemd),

—	het voorstel voor een verordening van het Europees Parlement en de Raad betreffende het EU-agentschap voor justitiële samenwerking in strafzaken (hierna het „Eurojust-voorstel” genoemd) (2),

—	het voorstel voor een verordening van de Raad tot instelling van een Europees Openbaar Ministerie (3) (hierna het „EPPO-voorstel” genoemd), en

—

de mededeling van de Commissie aan de Raad, het Europees Parlement, het Europees Economisch en Sociaal Comité en het Comité van de Regio’s „De governance van OLAF verbeteren en de procedurele waarborgen in het kader van onderzoeken versterken: stapsgewijze benadering ter flankering van de instelling van een Europees Openbaar Ministerie” (4) (hierna „de OLAF-mededeling” genoemd).

2.	Voordat het pakket werd vastgesteld, werd de EDPS in de gelegenheid gesteld een informele reactie te geven. De EDPS is verheugd over het feit dat de Commissie met enkele van zijn opmerkingen rekening heeft gehouden.

3.	Ook is de EDPS verheugd over het feit dat de Commissie de EDPS heeft geraadpleegd en dat een verwijzing naar die raadpleging is opgenomen in de preambule van beide voorstellen.

A.2. Doelen van het pakket

4.	De hervorming van Eurojust en de instelling van een Europees Openbaar Ministerie zijn bedoeld om fraude te bestrijden, de verantwoording bij vervolging op EU-niveau uit te breiden en in onderzoeken betrokken personen beter te beschermen (5).

Het Eurojust-voorstel is gebaseerd op artikel 85 VWEU en heeft de volgende doelstellingen:

—	Eurojust doeltreffender maken door het een nieuwe beheersstructuur te geven;

—	de operationele doeltreffendheid van Eurojust vergroten door de status en de bevoegdheden van de nationale leden homogeen vast te stellen;

—	voorzien in een rol voor het Europees Parlement en de nationale parlementen bij de evaluatie van de activiteiten van Eurojust, overeenkomstig het Verdrag van Lissabon;

—	het rechtskader van Eurojust in overeenstemming brengen met de Gemeenschappelijke Aanpak, met volledige inachtneming van zijn bijzondere rol op het gebied van de coördinatie van lopende strafrechtelijke onderzoeken;

—	ervoor zorgen dat Eurojust nauw kan samenwerken met het Europees Openbaar Ministerie, zodra dat is opgericht.

Het EPPO-voorstel is gebaseerd op artikel 86 VWEU en heeft meer in het bijzonder de volgende doelstellingen:

—

bijdragen tot de versterking van de bescherming van de financiële belangen van de Unie en tot de verdere ontwikkeling van een gebied van recht, alsook het vertrouwen bevorderen dat de bedrijven en burgers in de Unie in de EU-instellingen stellen, zulks met inachtneming van het Handvest van de grondrechten van de Europese Unie (het „EU-Handvest”);

—	een coherent Europees systeem in het leven roepen voor het opsporen en vervolgen van strafbare feiten die de financiële belangen van de Unie schaden;

—	de opsporing en vervolging van strafbare feiten die de financiële belangen van de Unie schade, efficiënter en effectiever doen verlopen;

—	vaker vervolging instellen, zodat het vaker tot een veroordeling komt en tot de terugvordering van frauduleus verkregen Uniegelden;

—	zorgen voor nauwe samenwerking en effectieve informatie-uitwisseling tussen de Europese en de nationale bevoegde autoriteiten;

—	een sterkere afschrikking oproepen met betrekking tot het plegen van strafbare feiten die de financiële belangen van de Unie schaden.

7.	Beide voorstellen zijn van groot belang vanuit een oogpunt van bescherming van gegevens omdat de verwerking van persoonsgegevens deel uitmaakt van de kernactiviteiten van Eurojust en onderdeel zal zijn van de kernactiviteiten van het EPPO.

A.3. Doel van het advies

Dit advies richt zich met name op de wijzigingen in het rechtskader van Eurojust die het meest relevant zijn voor de bescherming van gegevens. Ook worden er aanbevelingen gedaan over bepalingen die vergelijkbaar zijn met de bestaande bepalingen, om de regelingen voor gegevensbescherming die voor Eurojust gelden verder aan te scherpen.

Met betrekking tot het EPPO-voorstel zou de EDPS willen opmerken dat, waar het gaat om de bescherming van gegevens, het voorstel grotendeels is gebaseerd op het Eurojust-voorstel. In dit advies wordt het voorstel daarom gecombineerd besproken met het Eurojust-voorstel, maar wordt indien relevant ook gewezen op enkele specifieke punten. De EDPS benadrukt dat deze bespreking zich beperkt tot de aspecten van gegevensbescherming. Hij onderzoekt niet of de bepalingen uit het EPPO-voorstel in overeenstemming zijn met andere grondrechten (6).

D. CONCLUSIES

122.

In algemene zin is de EDPS verheugd over de bepalingen voor gegevensbescherming uit het Eurojust- en EPPO-voorstel, omdat de verwerking van persoonsgegevens onderdeel is van de kernactiviteiten van Eurojust en deel zal uitmaken van de kernactiviteiten van het EPPO. Verordening (EG) nr. 45/2001 is terecht de hoeksteen onder de voorstellen, die voorzien in een samenhangende en homogene toepassing van de voorschriften voor gegevensbescherming door alle organen van de EU, en tegelijkertijd rekening houden met de specifieke aard van politiële en justitiële samenwerking in strafzaken.

123.

Aangezien de activiteiten van Eurojust en het EPPO niet kunnen worden gelijkgesteld met echte justitiële activiteiten, moet op de verwerking van persoonsgegevens door deze organen toezicht worden uitgeoefend door een onafhankelijke toezichthoudende autoriteit. Gelet op het beginsel dat toezicht de verantwoordelijke voor de verwerking behoort te volgen, moet een instantie van de EU waarborgen dat toezicht wordt uitgeoefend op Eurojust en het EPPO, die de voor de verwerking verantwoordelijke organen van de EU zijn. In dit opzicht is het logisch en samenhangend dat deze functie wordt vervuld door de EDPS, de onafhankelijke EU-autoriteit die werd opgericht om toezicht uit te oefenen op alle instellingen en organen van de EU.

124.

Aangezien veel gegevens die door Eurojust en het EPPO worden verwerkt van lidstaten afkomstig zullen zijn, moet in de actieve betrokkenheid van nationale gegevensbeschermingsinstanties worden voorzien door middel van een nauwe samenwerking met de EDPS, om integraal toezicht op zowel EU- als nationaal niveau te waarborgen. Op EU-niveau is onafhankelijk en effectief toezicht echter de volledige en exclusieve verantwoordelijkheid van de EDPS, met toetsing door het Hof van Justitie van de EU.

125.

Er is echter een aantal algemene en specifieke bepalingen die moeten worden gecorrigeerd of verbeterd. Gelet op het belang van de voorstellen voor de bescherming van gegevens doet de EDPS daarom een aantal aanbevelingen om te waarborgen dat met de voorstellen de noodzakelijke standaard van integrale en effectieve bescherming van persoonsgegevens door Eurojust en het EPPO kan worden bereikt.

126.

De EDPS beveelt aan om:

—	in het Eurojust-voorstel een duidelijk conceptueel onderscheid aan te brengen tussen operationele (aan een zaak gerelateerde) en administratieve (niet aan een zaak gerelateerde) gegevens en artikel 27, lid 5, van het Eurojust-voorstel te herschrijven in overeenstemming met deze definities;

—	in het Eurojust- en EPPO-voorstel de volgende termen te omschrijven: bevoegde instanties, organen van de Unie, derde landen, internationale organisaties, private partijen en particulieren;

—	het gebied waarop het EPPO bevoegd is duidelijk en nauwkeurig te omschrijven;

—	te verduidelijken of persoonsgegevens mogen worden verwerkt in bestanden buiten het casemanagementsysteem;

—	in artikel 22, lid 6, van het EPPO-voorstel de formulering „aan een zaak gerelateerde persoonsgegevens” door „operationele persoonsgegevens” te vervangen om de samenhang te waarborgen met de definities uit artikel 2, onder e), van het EPPO-voorstel;

—	in het Eurojust- en EPPO-voorstel de doelen van de verwerking van persoonsgegevens te verduidelijken wat betreft de index, de tijdelijke werkbestanden en, indien van toepassing, andere bestanden waarin operationele gegevens zijn opgenomen, waaronder persoonsgegevens;

—

niet in artikel 24, lid 2, onder c), van het Eurojust-voorstel en artikel 22, lid 2, onder c), van het EPPO-voorstel aan te geven dat het casemanagementsysteem het toezicht op de rechtmatigheid van de gegevensverwerking en op de naleving van de bepalingen inzake gegevensbescherming moet vergemakkelijken, maar dit in een afzonderlijk lid onder te brengen;

—	de redenen voor de gegevenscategorie „douanenummer en fiscaal identificatienummer” toe te lichten of deze uit bijlage 2 te verwijderen;

—

aan artikel 37, lid 3, van het EPPO-voorstel toe te voegen dat de functionaris voor gegevensbescherming in kennis wordt gesteld van de specifieke omstandigheden die de noodzaak van de verwerking van dergelijke persoonsgegevens rechtvaardigen en in artikel 27, lid 3, van het Eurojust-voorstel en artikel 37, lid 3, van het EPPO-voorstel te bepalen dat die rechtvaardiging deugdelijk wordt gedocumenteerd;

—	ook personen jonger dan 18 jaar op te nemen in de laatste zin van artikel 27, lid 3, en artikel 27, lid 4, van het Eurojust-voorstel en in de laatste zin van artikel 37, lid 4, van het EPPO-voorstel;

—

artikel 28, lid 4, van het Eurojust-voorstel en artikel 38, lid 4, van het EPPO-voorstel te schrappen aangezien de verplichting om de gegevens te evalueren reeds is genoemd in een ander lid en de evaluatie dient te worden verricht door de voor de verwerking verantwoordelijke (nl. Eurojust of EPPO) en niet door de EDPS;

—

in artikel 28 van het Eurojust-voorstel en artikel 38 van het EPPO-voorstel een lid op te nemen dat voorziet in voortzetting van de opslag van gegevens in de volgende situaties:

—	indien nodig om de belangen te beschermen van een betrokkene die om bescherming vraagt;

—	wanneer de nauwkeurigheid ervan door de betrokkene wordt betwist, gedurende een periode die de verantwoordelijke voor de verwerking in staat stelt de nauwkeurigheid van de gegevens te verifiëren;

—	wanneer de persoonsgegevens nog moeten worden bewaard voor bewijsvoering;

—	wanneer de betrokkene zich tegen het wissen ervan verzet en in de plaats daarvan afscherming ervan verzoekt;

—	aan het Eurojust-voorstel een specifieke bepaling toe te voegen met alle bronnen van informatie die door Eurojust wordt verwerkt;

—	artikel 31 van het Eurojust-voorstel te wijzigen om te waarborgen dat de functionaris voor gegevensbescherming door het college wordt aangesteld;

—	in artikel 31, lid 2, van het Eurojust-voorstel en artikel 41, lid 2, van het EPPO-voorstel de formulering „Bij het nakomen van de verplichtingen van artikel 24 van Verordening (EG) nr. 45/2001” te vervangen door „Naast de verplichtingen van artikel 24 van Verordening (EG) nr. 45/2001”;

—

in artikel 31, lid 3, van het Eurojust-voorstel en in artikel 41, lid 3, van het EPPO-voorstel te bepalen dat de personeelsleden van de functionaris voor gegevensbescherming bij het verrichten van hun taken te allen tijde en zonder voorafgaand verzoek toegang hebben tot alle door Eurojust verwerkte gegevens en tot alle dienstruimten van Eurojust;

—	aan artikel 31 van het Eurojust-voorstel en artikel 41 van het EPPO-voorstel de verplichting op te nemen een register bij te houden van dergelijke incidenten die van invloed zijn op zowel operationele als administratieve persoonsgegevens die door Eurojust worden verwerkt;

—	artikel 32, lid 4, van het Eurojust-voorstel en artikel 42, lid 4, van het EPPO-voorstel te schrappen aangezien artikel 20 van Verordening (EG) nr. 45/2001 — welke verordening van toepassing is op Eurojust en het EPPO — hierin reeds voorziet;

—	de tweede zin te schrappen van artikel 32, lid 6, van het Eurojust-voorstel, waarin de termijn wordt genoemd, omdat deze overlapt met artikel 32, lid 2, van het Eurojust-voorstel;

—	artikel 32, lid 7, van het Eurojust-voorstel en artikel 42, lid 4, van het EPPO-voorstel te schrappen omdat ze overbodig zijn gezien Verordening (EG) nr. 45/2001;

—	in de titel van artikel 33 van het Eurojust-voorstel en artikel 43 van het EPPO-voorstel de woorden „Bepalingen betreffende het” toe te voegen;

—	te voorzien in regels voor correctie, uitwissing of beperking van door EU-organen verstrekte gegevens in artikel 33 van het Eurojust-voorstel;

—	de huidige formulering van artikel 34, lid 1, van het Eurojust-voorstel en van artikel 44, lid 1, van het EPPO-voorstel te vervangen door: „Eurojust verwerkt persoonsgegevens zodanig dat hun bron altijd kan worden vastgesteld”;

—	in artikel 34, lid 3, van het Eurojust-voorstel en artikel 44, lid 2, van het EPPO-voorstel de twee zinnen in aparte leden te splitsen omdat ze op verschillende onderwerpen betrekking hebben;

—	de eerste zin van artikel 34, lid 3, van het Eurojust-voorstel en van artikel 44, lid 3, van het EPPO-voorstel te wijzigen om de verantwoordelijkheden te verduidelijken;

—	de laatste zin van artikel 36, lid 1, van het Eurojust-voorstel en van artikel 46, lid 1, van het EPPO-voorstel te herschrijven om te waarborgen dat de EDPS zoveel mogelijk rekening houdt met het advies van bevoegde nationale toezichthoudende instanties;

—

aan het eind van artikel 38, lid 1, van het Eurojust-voorstel het woord „waaronder” in te voegen tussen „internationale organisaties” en „de Internationale Politieorganisatie (Interpol)” en in artikel 40, lid 1, en artikel 45, lid 2, van het Eurojust-voorstel „internationale organisaties of Interpol” te vervangen door „internationale organisaties, waaronder Interpol”;

—

de mogelijkheid voor Eurojust om de toestemming van lidstaten te veronderstellen te verwijderen door artikel 38, lid 4, onder a), van het Eurojust-voorstel te schrappen en in de tweede zin van artikel 38, lid 4, van het Eurojust-voorstel toe te voegen dat de toestemming „voorafgaand aan de overdracht” moet worden gegeven;

—	aan artikel 38 van het Eurojust-voorstel een lid toe te voegen waarin wordt voorgeschreven dat gegevens alleen worden overgedragen indien de ontvanger verklaart dat de gegevens uitsluitend zullen worden gebruikt voor het doel waarvoor ze werden doorgegeven;

—

aan artikel 38 van het Eurojust-voorstel een lid toe te voegen waarin wordt voorgeschreven dat Eurojust een uitgebreide administratie bijhoudt van de doorgifte van persoonsgegevens en van de redenen voor die doorgifte, aansluitend bij artikel 31, lid 2, onder a), van het Eurojust-voorstel. Dezelfde aanbevelingen gelden voor artikel 56 van het EPPO-voorstel;

—	de titel van afdeling II (Betrekkingen met partners) van hoofdstuk V van het Eurojust-voorstel en van afdeling II van hoofdstuk VIII van het EPPO-voorstel te verduidelijken;

—	in artikel 40, lid 5, van het Eurojust-voorstel op te nemen dat Eurojust de informatie dient te delen in overeenstemming met het besluit van de lidstaat, het orgaan van de Unie, het derde land of de internationale organisatie die deze informatie aan Eurojust heeft verstrekt;

—	in een overweging bij de voorstellen de noodzaak toe te lichten van een automatische en stelselmatige uitwisseling van informatie tussen Eurojust en het EPPO;

—	artikel 42, lid 1, onder te brengen bij artikel 39, dat de samenwerking regelt met het Europees Justitieel Netwerk en andere netwerken van de EU die betrokken zijn bij de samenwerking in strafzaken;

—	in artikel 43 van het Eurojust-voorstel de verwijzing naar artikel 38, lid 1, te schrappen en in plaats daarvan de entiteiten te noemen waarmee Eurojust werkafspraken kan maken (derde landen en internationale organisaties);

—	in artikel 43 van het Eurojust-voorstel op te nemen dat dit artikel de voorwaarden uit afdeling IV van het Eurojust-voorstel voor de overdracht van persoonsgegevens aan derde landen en internationale organisaties onverlet laat;

—	aan artikel 44 van het Eurojust-voorstel toe te voegen dat het laatste van toepassing is onverminderd de artikelen 40-42;

—	in artikel 44 van het Eurojust-voorstel en artikel 61 van het EPPO-voorstel te bepalen dat Eurojust en het EPPO verplicht zijn om op hun website een geregeld geactualiseerde lijst op te nemen van de EU-instellingen en -organen waarmee zij informatie uitwisselen;

—	in artikel 45 van het Eurojust-voorstel en in artikel 61 van het EPPO-voorstel de verwijzing naar Richtlijn (EG) 95/46 op te nemen en in het voorstel de criteria en de procedure te vermelden die de Commissie moet volgen bij de vaststelling van een adequaatheidsbesluit;

—

aan het eind van artikel 45, lid 1, van het Eurojust-voorstel en aan het eind van artikel 61, lid 1, van het EPPO-voorstel toe te voegen dat de EDPS bij onderhandelingen over internationale overeenkomsten tussen de EU en een derde land of een internationale organisatie tijdig dient te worden geraadpleegd, en met name vóór de vaststelling van een onderhandelingsmandaat en vóór het sluiten van de overeenkomst;

—

in artikel 45, lid 1, van het Eurojust-voorstel en aan artikel 61, lid 1, van het EPPO-voorstel een overgangsbepaling op te nemen over bestaande samenwerkingsafspraken inzake de regulering van de doorgifte van persoonsgegevens door Eurojust, die voorziet in een herbeoordeling van deze afspraken om te waarborgen dat ze voldoen aan de eisen van het Eurojust-voorstel, en wel binnen twee jaar na de inwerkingtreding van het Eurojust-voorstel;

—	in artikel 45, lid 1, van het Eurojust-voorstel en in artikel 61, lid 1, van het EPPO-voorstel Eurojust en het EPPO te verplichten om op hun website een geregeld geactualiseerde lijst op te nemen van hun internationale en samenwerkingsovereenkomsten met derde landen en internationale organisaties;

—	in artikel 45, lid 2, van het Eurojust-voorstel en in artikel 61, lid 2, van het EPPO-voorstel uitdrukkelijk op te nemen dat uitzonderingen gelden voor incidentele doorgifte en niet voor frequente, grootschalige of structurele doorgifte (doorgiftesets);

—	artikel 45, lid 2, onder a), van het Eurojust-voorstel/artikel 61, lid 2, onder a), van het EPPO-voorstel te schrappen en te vervangen door artikel 45, lid 2, onder c), van het Eurojust-voorstel/artikel 61, lid 2, onder c), van het EPPO-voorstel als eerste uitzondering;

—	artikel 45, lid 3, van het Eurojust-voorstel en artikel 61, lid 3, van het EPPO-voorstel te wijzigen;

—	in artikel 45 van het Eurojust-voorstel en in artikel 61 van het EPPO-voorstel te bepalen dat doorgifte op grond van uitzonderingsbepalingen in alle gevallen specifiek dient te worden gedocumenteerd.

Gedaan te Brussel, 5 maart 2014.

Giovanni BUTTARELLI

Adjunct-Europees Toezichthouder voor gegevensbescherming

(1) COM(2013) 532 final.

(2) COM(2013) 535 final.

(3) COM(2013) 534 final.

(4) COM(2013) 533 final.

(5) Mededeling inzake EPPO en Eurojust, punt 1.

(6) Voor een bespreking van andere grondrechten wordt met name verwezen naar het advies van het Bureau van de Europese Unie voor de grondrechten („FRA”) over het voorstel tot instelling van een Europees Openbaar Ministerie, Wenen, 4 februari 2014 (beschikbaar op de website van het FRA): http://fra.europa.eu/en