EUROPESE COMMISSIE
Brussel, 12.6.2025
COM(2025) 294 final
2025/0155(NLE)
Voorstel voor een
BESLUIT VAN DE RAAD
betreffende de ondertekening, namens de Europese Unie, van de Overeenkomst tussen de Europese Unie en IJsland over de doorgifte van persoonsgegevens van passagiers (PNR-gegevens) met het oog op het voorkomen, opsporen, onderzoeken en vervolgen van terroristische misdrijven en ernstige criminaliteit
TOELICHTING
Het huidige voorstel betreft de ondertekening namens de Europese Unie van de overeenkomst met IJsland inzake de doorgifte van persoonsgegevens van passagiers (PNR-gegevens) met het oog op het voorkomen, opsporen, onderzoeken en vervolgen van terroristische misdrijven en ernstige criminaliteit (hierna “de overeenkomst” genoemd).
1.ACHTERGROND VAN HET VOORSTEL
•Motivering en doel van het voorstel
Het versterken van de internationale samenwerking op het gebied van rechtshandhaving, met inbegrip van informatie-uitwisseling, is essentieel om de dreigingen van terrorisme en ernstige transnationale criminaliteit aan te pakken. In het meest recente verslag van Europol over de dreigingsevaluatie van de ernstige en georganiseerde criminaliteit (Socta) 1 wordt de internationale dimensie geïllustreerd van de activiteiten van organisaties die zich schuldig maken aan de ernstigste vormen van criminaliteit. Daarnaast wordt in het meest recente verslag over de stand van zaken en de tendensen in verband met terrorisme (TE-SAT) 2 niet alleen gewezen op het rechtstreekse verband tussen transnationale reizen en de organisatie van terroristische activiteiten en ernstige criminaliteit, maar ook op het belang van het doeltreffend opsporen, onderzoeken en vervolgen van andere ernstige strafbare feiten voor het voorkomen en opsporen van terroristische misdrijven.
PNR-gegevens omvatten informatie die door passagiers wordt verstrekt en door de vervoerders voor hun eigen commerciële doeleinden wordt verzameld en bewaard in boekings- en vertrekcontrolesystemen. De inhoud van de PNR-gegevens varieert afhankelijk van de informatie die bij het boeken en inchecken wordt verstrekt en kan bijvoorbeeld de reisdata en de volledige reisroute van de passagier of groep samen reizende passagiers omvatten, alsook contactgegevens als adres en telefoonnummer, betalingsgegevens, stoelnummer en bagage-informatie.
Dankzij de verzameling en de analyse van PNR-gegevens kunnen de autoriteiten belangrijke aanknopingspunten vinden voor het opsporen van verdachte reispatronen en het identificeren van medeplichtigen van criminelen en terroristen, met name personen die nog niet bekend waren bij rechtshandhavingsinstanties. De verwerking van PNR-gegevens is dan ook een rechtshandhavingsinstrument dat zowel in de EU als daarbuiten inmiddels veel wordt gebruikt voor het opsporen en voorkomen van terrorisme en andere vormen van ernstige criminaliteit, zoals drugsgerelateerde misdrijven, mensenhandel en seksuele uitbuiting van kinderen. Het is ook een belangrijke bron van informatie gebleken ter ondersteuning van het onderzoek naar en de vervolging van dergelijke illegale activiteiten 3 .
Hoewel van cruciaal belang voor de bestrijding van terrorisme en ernstige criminaliteit, vormt de doorgifte van PNR-gegevens aan derde landen en de verwerking ervan door hun autoriteiten een schending van de bescherming van de rechten van personen met betrekking tot hun persoonsgegevens. Daarom is voor de doorgifte een rechtsgrondslag vereist uit hoofde van het EU-recht en moet zij noodzakelijk en evenredig zijn en onderworpen worden aan strikte beperkingen en doeltreffende waarborgen, zoals gewaarborgd door het Handvest van de grondrechten van de EU, met name in de artikelen 6, 7, 8, 21, 47 en 52. Voor de verwezenlijking van deze belangrijke doelstellingen moet een juist evenwicht worden gevonden tussen de legitieme doelstelling van handhaving van de openbare veiligheid en het recht van eenieder op bescherming van zijn persoonsgegevens en zijn privéleven.
In 2016 hebben het Europees Parlement en de Raad van de Europese Unie Richtlijn (EU) 2016/681 over het gebruik van persoonsgegevens van passagiers (PNR-gegevens) voor het voorkomen, opsporen, onderzoeken en vervolgen van terroristische misdrijven en ernstige criminaliteit vastgesteld (hierna “de PNR-richtlijn” genoemd) 4 . Deze richtlijn schrijft voor onder welke voorwaarden in de Europese Unie PNR-gegevens mogen worden doorgegeven en verwerkt, en bevat belangrijke waarborgen voor de bescherming van de grondrechten, in het bijzonder het recht op eerbiediging van het privéleven en het recht op bescherming van persoonsgegevens. In juni 2022 heeft het Hof van Justitie van de EU in zijn arrest in zaak C-817/19 5 de geldigheid en verenigbaarheid van deze richtlijn met het Handvest van de grondrechten van de EU en de Verdragen van de Unie bevestigd.
IJsland en de EU-lidstaten die partij zijn bij de Schengenovereenkomst 6 , hebben een gedeelde verantwoordelijkheid om de binnenlandse veiligheid te waarborgen in een gemeenschappelijke ruimte zonder controles aan de binnengrenzen, onder meer door relevante informatie uit te wisselen. De verwerking van PNR-gegevens heeft aangetoond dat het mogelijk is de veiligheid van het Schengengebied te bevorderen door de preventie en opsporing van ernstige criminaliteit en terrorisme aan de buitengrenzen te verbeteren en door te voorzien in een op risico’s gebaseerde gegevensgestuurde aanpak die de lidstaten in het Schengengebied kunnen gebruiken als compenserende maatregel voor de afwezigheid van controles aan de binnengrenzen 7 .
IJsland heeft nationale wetgeving inzake PNR-gegevens aangenomen en de IJslandse bevoegde autoriteit voor het ontvangen en verwerken van PNR-gegevens over vluchten die aankomen op of vertrekken vanaf de IJslandse luchthavens, is officieel opgericht in november 2021.
Krachtens het Unierecht mag de doorgifte van persoonsgegevens van de Unie naar een derde land alleen plaatsvinden indien dat land een niveau van bescherming van persoonsgegevens waarborgt dat in wezen gelijkwaardig is aan het niveau dat binnen de Unie wordt gewaarborgd. In dit verband moet worden opgemerkt dat IJsland geen derde land is in de zin van hoofdstuk V van Verordening (EU) 2016/679 8 , aangezien die verordening met aanpassingen is opgenomen in bijlage XI bij de Overeenkomst betreffende de Europese Economische Ruimte (EER). Het in die verordening vastgestelde regelgevingskader is echter niet van toepassing op de verwerking van persoonsgegevens, met inbegrip van PNR-gegevens, door IJslandse rechtshandhavingsinstanties met het oog op het voorkomen, opsporen, onderzoeken en vervolgen van strafbare feiten, of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid. Aangezien IJsland krachtens de Schengenassociatieovereenkomst tussen de EU en IJsland van 1999 gebonden is door de handelingen van de Unie die een ontwikkeling vormen van de bepalingen van het Schengenacquis, wordt IJsland geacht Richtlijn (EU) 2016/680 op soortgelijke wijze toe te passen als de EU-lidstaten. De PNR-richtlijn vormt echter geen ontwikkeling van het Schengenacquis en derhalve neemt IJsland niet deel aan de uitvoering van dit rechtsinstrument.
In deze omstandigheden, namelijk bij gebrek aan passende waarborgen met betrekking tot de specifieke verwerking van PNR-gegevens, die moeten worden vastgesteld door middel van een geldige rechtsgrondslag zoals vereist door de EU-wetgeving, mag IJsland PNR-gegevens over vluchten die door luchtvaartmaatschappijen tussen de Unie en IJsland worden uitgevoerd, niet rechtmatig ontvangen en verwerken.
In het licht hiervan heeft de Commissie op 6 september 2023 een aanbeveling aangenomen waarin de Raad wordt voorgesteld machtiging te verlenen tot het openen van onderhandelingen over een overeenkomst tussen de Europese Unie en IJsland inzake de doorgifte van persoonsgegevens van passagiers (PNR-gegevens) met het oog op het voorkomen, opsporen, onderzoeken en vervolgen van terroristische misdrijven en ernstige criminaliteit 9 . Tegelijkertijd heeft de Commissie aanbevolen onderhandelingen over dergelijke overeenkomsten met de Zwitserse Bondsstaat 10 en Noorwegen 11 te openen. Op 4 maart 2024 heeft de Raad machtiging verleend om onderhandelingen te openen en onderhandelingsrichtsnoeren 12 vastgesteld.
Deze overeenkomst heeft tot doel om deze veiligheidskloof in het Schengengebied te overbruggen en de doorgifte van PNR-gegevens van de Unie naar IJsland mogelijk te maken, in het besef dat PNR-gegevens moeten worden gebruikt als essentieel instrument in de strijd tegen terrorisme en andere vormen van ernstige criminaliteit.
De onderhandelingen met IJsland, Noorwegen en de Zwitserse Bondsstaat zijn op 21 maart 2024 van start gegaan. Op 9 april 2025 hebben de hoofdonderhandelaars de tekst van de overeenkomst geparafeerd en de onderhandelingen dus formeel afgerond.
De medewetgevers zijn gedurende het gehele onderhandelingsproces geïnformeerd en geraadpleegd in alle stadia van de onderhandelingen, met name door verslag uit te brengen aan de Groep informatie-uitwisseling en binnenlandse zaken (IXIM) van de Raad en de Commissie burgerlijke vrijheden, justitie en binnenlandse zaken (LIBE) van het Europees Parlement.
•Verenigbaarheid met bestaande bepalingen op het beleidsterrein
De Commissie heeft eerst de grote lijnen van het externe PNR-beleid van de EU uiteengezet in een mededeling uit 2003 13 over de EU-aanpak van de doorgifte van PNR-gegevens vanuit de EU aan derde landen; deze werden in een mededeling van 2010 14 herzien. Er zijn momenteel drie internationale overeenkomsten van kracht tussen de EU en derde landen, namelijk Australië 15 , de Verenigde Staten 16 (2012) en het Verenigd Koninkrijk 17 (2020), die betrekking hebben op de doorgifte en verwerking van PNR-gegevens vanuit de EU. Na onderhandelingen naar aanleiding van Advies 1/15 van het HvJ-EU van 26 juli 2017 18 is op 4 oktober 2024 een nieuwe PNR-overeenkomst met Canada 19 ondertekend.
Op internationaal niveau is een toenemend aantal derde landen begonnen capaciteit te ontwikkelen voor het verzamelen van PNR-gegevens van luchtvaartmaatschappijen. Deze trend wordt verder bevorderd door resoluties die door de Veiligheidsraad van de Verenigde Naties (in 2017 en 2019) zijn aangenomen, krachtens welke alle staten de capaciteit moeten ontwikkelen om PNR-gegevens te verzamelen en te gebruiken 20 , en op basis waarvan de Internationale Burgerluchtvaartorganisatie (ICAO) in 2020 normen en aanbevolen praktijken inzake PNR-gegevens (SARP’s) heeft vastgesteld, door middel van amendement 28 op bijlage 9 bij het Verdrag van Chicago, dat in februari 2021 21 van toepassing is geworden.
Het standpunt van de Unie, zoals vastgesteld bij Besluit (EU) 2021/121 van de Raad, verwelkomt de SARP’s van de ICAO inzake PNR-gegevens, die ambitieuze waarborgen inzake gegevensbescherming bevatten en daarmee aanzienlijke vooruitgang op internationaal niveau mogelijk maken. Tegelijkertijd werd in dit besluit van de Raad, door de lidstaten te verplichten kennis te geven van een verschil, geoordeeld dat de vereisten die voortvloeien uit het recht van de Unie (met inbegrip van de relevante jurisprudentie), strenger zijn dan bepaalde ICAO-normen, en dat doorgiften van de EU naar derde landen een rechtsgrondslag vereisen met duidelijke en nauwkeurige regels en waarborgen met betrekking tot het gebruik van PNR-gegevens door bevoegde autoriteiten van een derde land 22 .
De onderhandelingen over en de sluiting van deze overeenkomst maken deel uit van een bredere inspanning van de Commissie om een consistente en doeltreffende aanpak te volgen met betrekking tot de doorgifte van PNR-gegevens aan derde landen, zoals aangekondigd in de strategie voor de veiligheidsunie 2020-2025 23 , voortbouwend op de SARP’s van de ICAO inzake PNR-gegevens, en in overeenstemming met het recht en de jurisprudentie van de Unie. De Raad heeft in zijn conclusies van juni 2021 24 ook om een dergelijke aanpak verzocht.
Hierbij wil de Commissie ook reageren op verzoeken van luchtvaartmaatschappijen om te zorgen voor meer juridische duidelijkheid en voorspelbaarheid met betrekking tot de doorgifte van PNR-gegevens aan derde landen 25 .
2.RECHTSGRONDSLAG, SUBSIDIARITEIT EN EVENREDIGHEID
•Rechtsgrondslag
Artikel 218, lid 5, van het Verdrag betreffende de werking van de Europese Unie (VWEU) voorziet in besluiten “waarbij machtiging wordt verleend tot ondertekening van de overeenkomst en, in voorkomend geval, in afwachting van de inwerkingtreding, tot de voorlopige toepassing ervan.” Aangezien met het voorstel wordt beoogd machtiging te verkrijgen tot ondertekening van de overeenkomst, is de procedurele rechtsgrondslag artikel 218, lid 5, VWEU.
Het voorstel heeft twee hoofddoelstellingen en componenten, één met betrekking tot de noodzaak om de openbare veiligheid te waarborgen door de doorgifte van PNR-gegevens aan IJsland, en de andere met betrekking tot de bescherming van de persoonlijke levenssfeer en andere fundamentele rechten en vrijheden van personen. Het voorstel heeft derhalve een dubbele rechtsgrondslag, namelijk artikel 16, lid 2, en artikel 87, lid 2, punt a), van het Verdrag betreffende de werking van de Europese Unie.
•Evenredigheid
De hierboven uiteengezette doelstellingen van de Unie met betrekking tot dit voorstel kunnen alleen worden verwezenlijkt door op het niveau van de Unie een geldige rechtsgrondslag vast te stellen om ervoor te zorgen dat de grondrechten bij doorgiften van persoonsgegevens vanuit de Unie op passende wijze worden beschermd. De bepalingen van de overeenkomst blijven beperkt tot hetgeen nodig is voor de verwezenlijking van de belangrijkste doelstellingen en vormen een goede balans tussen de legitieme doelstelling van handhaving van de openbare veiligheid en het recht van eenieder op bescherming van zijn persoonsgegevens en zijn privéleven.
•Keuze van het instrument
De passende waarborgen die vereist zijn voor de specifieke verwerking van PNR-gegevens die IJsland ontvangt van luchtvaartmaatschappijen op vluchten van luchtvaartmaatschappijen tussen de Unie en IJsland, moeten worden vastgesteld op basis van een geldige rechtsgrondslag uit hoofde van het EU-recht. Deze overeenkomst vormt een dergelijke rechtsgrondslag voor de doorgifte van PNR-gegevens.
• Grondrechten
De uitwisseling van PNR-gegevens en de verwerking daarvan door de autoriteiten van een derde land vormt een inmenging in het grondrecht op bescherming van het privéleven en gegevensbescherming. Een dergelijke inmenging is echter ook gerechtvaardigd omdat de overeenkomst legitieme doelstellingen nastreeft, namelijk het voorkomen, opsporen, onderzoeken en vervolgen van ernstige criminaliteit en terrorisme. De overeenkomst voorziet in passende waarborgen inzake gegevensbescherming op de doorgegeven en verwerkte persoonsgegevens, conform het EU-recht, met name de artikelen 7, 8, 47 en 52 van het Handvest van de grondrechten van de EU.
3.GEVOLGEN VOOR DE BEGROTING
Het voorstel heeft geen gevolgen voor de begroting van de Unie.
4.OVERIGE ELEMENTEN
•Artikelsgewijze toelichting
De overeenkomst voorziet, in volledige overeenstemming met het Handvest van de grondrechten van de EU, de desbetreffende jurisprudentie van het Hof van Justitie van de EU en de onderhandelingsrichtsnoeren, in een rechtsgrondslag, voorwaarden en waarborgen voor de doorgifte aan en de verwerking door IJsland van PNR-gegevens die zijn ontvangen van luchtvaartmaatschappijen uit de Unie.
Artikel 1 bepaalt het toepassingsgebied en de doelstellingen van de overeenkomst.
Artikel 2 bevat belangrijke definities van de overeenkomst, onder meer van de “passagiersinformatie-eenheid” (PIE) van IJsland als aangewezen bevoegde autoriteit die verantwoordelijk is voor de verwerking van PNR-gegevens en van de termen “zware criminaliteit” en “terrorisme”, in overeenstemming met de wijze waarop deze begrippen in andere relevante EU-rechtsinstrumenten zijn gedefinieerd.
Artikel 3 regelt de methode en de frequentie van de doorgifte van PNR-gegevens door luchtvaartmaatschappijen aan de IJslandse PIE om ervoor te zorgen dat de doorgifte van PNR-gegevens tot het noodzakelijke minimum wordt beperkt en in verhouding staat tot het in de overeenkomst gespecificeerde doel.
Artikel 4 voorziet in een gemeenschappelijke technische oplossing door IJsland de mogelijkheid te bieden gebruik te maken van de API-PNR-router die is opgezet overeenkomstig Verordening (EU) 2025/13 26 en zoals bedoeld in artikel 10, punt c), van die verordening.
Artikel 5 stelt de doelbinding – namelijk het voorkomen, opsporen, onderzoeken en vervolgen van terroristische misdrijven en zware criminaliteit – uitputtend vast met betrekking tot alle PNR-verwerking die onder de overeenkomst valt.
Artikel 6 bevat de drie specifieke voorwaarden voor de verwerking van PNR-gegevens die in het kader van de overeenkomst door de IJslandse PIE worden ontvangen.
Artikel 7 voorziet in aanvullende waarborgen voor de “realtimebeoordeling” en beperkt de geautomatiseerde verwerking van PNR-gegevens.
Artikel 8 voorziet in een verbod op de verwerking van bijzondere categorieën PNR-gegevens in overeenstemming met de wijze waarop dit begrip is gedefinieerd in het EU-acquis inzake gegevensbescherming.
Artikel 9 voorziet in een hoog niveau van beveiliging van PNR-gegevens die in het kader van de overeenkomst worden ontvangen en zorgt ervoor dat inbreuken op de gegevensbeveiliging worden gemeld aan de aangewezen IJslandse toezichthoudende autoriteit voor gegevensbescherming.
Artikel 10 voorziet in het bijhouden van logbestanden en documentatie van alle PNR-gegevens.
Artikel 11 bevat regels voor de beperkte opslag van PNR-gegevens om ervoor te zorgen dat die gegevens niet langer worden opgeslagen dan nodig is voor en de opslag evenredig is aan het door deze overeenkomst nagestreefde doel. In overeenstemming met de desbetreffende jurisprudentie van het Hof van Justitie van de Europese Unie vereist deze bepaling een objectief verband tussen de te bewaren PNR-gegevens en de doelstellingen van de overeenkomst, en worden de opslagperioden onderworpen aan regelmatige evaluaties door de IJslandse PIE.
Op grond van artikel 12 moet de IJslandse PIE PNR-gegevens uiterlijk na 6 maanden depersonaliseren.
Artikel 13 bevat regels en voorwaarden voor de openbaarmaking van PNR-gegevens in IJsland, bijvoorbeeld door dergelijke bekendmakingen te beperken tot autoriteiten met taken die verband houden met de doelstellingen van de overeenkomst en door de voorafgaande goedkeuring van een rechterlijke instantie of een andere onafhankelijke instantie voor dergelijke openbaarmakingen te vereisen.
Artikel 14 bevat regels en voorwaarden voor de openbaarmaking van PNR-gegevens buiten IJsland en de EU, bijvoorbeeld door dergelijke bekendmakingen te beperken tot derde landen waarmee de EU een vergelijkbare overeenkomst heeft afgesloten of ten aanzien waarvan de EU een toepasselijk adequaatsheidsbesluit heeft aangenomen en door de voorafgaande goedkeuring van een rechterlijke instantie of een andere onafhankelijke instantie voor dergelijke openbaarmakingen te vereisen.
Artikel 15 bevordert de politiële en justitiële samenwerking door de uitwisseling van PNR-gegevens of van de resultaten van de verwerking van PNR-gegevens tussen de IJslandse PIE en de PIE’s van de lidstaten van de Unie, alsmede tussen de IJslandse PIE enerzijds en Europol of Eurojust binnen hun respectieve bevoegdheden anderzijds.
Artikel 16 bepaalt dat IJsland dezelfde rechten en plichten moet toepassen als Richtlijn (EU) 2016/680 op de verwerking van persoonsgegevens in het kader van deze overeenkomst en dat op die verwerking toezicht moet worden gehouden door een onafhankelijke autoriteit die is opgericht overeenkomstig de uitvoering van deze richtlijn door IJsland.
Artikel 17 bevat transparantie- en informatieverplichtingen, waaronder de verplichting om personen in kennis te stellen van de openbaarmaking van hun PNR-gegevens.
Artikel 18 voorziet in een verplichting voor IJsland om de identiteit van de IJslandse PIE en van de nationale toezichthoudende autoriteit mee te delen.
Artikel 19 regelt de inwerkingtreding van de overeenkomst.
Artikel 20 voorziet in mechanismen voor geschillenbeslechting en schorsing.
Artikel 21 voorziet in de mogelijkheid voor elke partij om de overeenkomst te allen tijde te beëindigen.
Artikel 22 voorziet in de bepalingen voor wijzigingen van de overeenkomst.
Artikel 23 betreft de gezamenlijke evaluatie van de uitvoering van de overeenkomst.
Artikel 24 bevat een clausule betreffende de territoriale toepassing van de overeenkomst.
2025/0155 (NLE)
Voorstel voor een
BESLUIT VAN DE RAAD
betreffende de ondertekening, namens de Europese Unie, van de Overeenkomst tussen de Europese Unie en IJsland over de doorgifte van persoonsgegevens van passagiers (PNR-gegevens) met het oog op het voorkomen, opsporen, onderzoeken en vervolgen van terroristische misdrijven en ernstige criminaliteit
DE RAAD VAN DE EUROPESE UNIE,
Gezien het Verdrag betreffende de werking van de Europese Unie, en met name artikel 16, lid 2, en artikel 87, lid 2, punt a), in samenhang met artikel 218, lid 5,
Gezien het voorstel van de Europese Commissie,
Overwegende hetgeen volgt:
(1)Op 4 maart 2024 heeft de Raad de Commissie machtiging verleend tot het openen van onderhandelingen over een overeenkomst tussen de Europese Unie en IJsland inzake de doorgifte van persoonsgegevens van passagiers (PNR-gegevens) met het oog op het voorkomen, opsporen, onderzoeken en vervolgen van terroristische misdrijven en zware criminaliteit (hierna “de overeenkomst” genoemd). De onderhandelingen werden succesvol afgerond met de parafering van de overeenkomst op 9 april 2025.
(2)De overeenkomst maakt de doorgifte van PNR-gegevens door luchtvaartmaatschappijen van de Unie aan IJsland mogelijk, met volledige inachtneming van de rechten waarin het Handvest van de grondrechten van de Unie voorziet, inzonderheid het recht op eerbiediging van het privéleven en van het familie- en gezinsleven, zoals erkend in artikel 7 van het Handvest, en het recht op de bescherming van persoonsgegevens, zoals erkend in artikel 8 van het Handvest. De overeenkomst bevat met name passende waarborgen voor de bescherming van persoonsgegevens die in het kader van de overeenkomst worden doorgegeven.
(3)De overeenkomst bevordert de politiële en justitiële samenwerking tussen de bevoegde autoriteiten van IJsland en die van de lidstaten van de Unie, alsmede Europol en Eurojust, met als doel hun capaciteit te versterken om de buitengrenzen van het Schengengebied te versterken en de interne veiligheid doeltreffend te waarborgen bij afwezigheid van controles aan de binnengrenzen in het Schengengebied.
(4)[Overeenkomstig de artikelen 1 en 2 van Protocol nr. 21 betreffende de positie van het Verenigd Koninkrijk en Ierland ten aanzien van de ruimte van vrijheid, veiligheid en recht, gehecht aan het Verdrag betreffende de Europese Unie en het Verdrag betreffende de werking van de Europese Unie, en onverminderd artikel 4 van dat protocol, neemt Ierland niet deel aan de vaststelling van dit besluit, dat derhalve niet bindend is voor, noch van toepassing is in deze lidstaat.] OF [Overeenkomstig artikel 3 van Protocol nr. 21 betreffende de positie van het Verenigd Koninkrijk en Ierland ten aanzien van de ruimte van vrijheid, veiligheid en recht, gehecht aan het Verdrag betreffende de Europese Unie en het Verdrag betreffende de werking van de Europese Unie, heeft Ierland [bij brief van...] te kennen gegeven dat het aan de vaststelling en toepassing van dit besluit wenst deel te nemen.].
(5)Overeenkomstig de artikelen 1 en 2 van Protocol nr. 22 betreffende de positie van Denemarken, gehecht aan het Verdrag betreffende de Europese Unie en het Verdrag betreffende de werking van de Europese Unie, neemt Denemarken niet deel aan de vaststelling van dit besluit en is dit niet bindend voor, noch van toepassing op Denemarken.
(6)Overeenkomstig artikel 42 van Verordening (EU) 2018/1725 is de Europese Toezichthouder voor gegevensbescherming geraadpleegd, en op [xx.xx.xxxx] heeft hij zijn advies [xxx] uitgebracht.
(7)De overeenkomst moet derhalve worden ondertekend,
HEEFT HET VOLGENDE BESLUIT VASTGESTELD:
Artikel 1
Er wordt machtiging verleend voor de ondertekening, namens de Unie, van de Overeenkomst tussen de Europese Unie en IJsland over de doorgifte van persoonsgegevens van passagiers (PNR-gegevens) met het oog op het voorkomen, opsporen, onderzoeken en vervolgen van terroristische misdrijven en ernstige criminaliteit, onder voorbehoud van de sluiting van die overeenkomst 27 .
Artikel 2
Dit besluit treedt in werking op de datum waarop het wordt vastgesteld.
Gedaan te Brussel,
Voor de Raad
De voorzitter
EUROPESE COMMISSIE
Brussel, 12.6.2025
COM(2025) 294 final
BIJLAGE
bij
Voorstel voor een besluit van de Raad
betreffende de ondertekening, namens de Europese Unie, van de Overeenkomst tussen de Europese Unie en IJsland over de doorgifte van persoonsgegevens van passagiers (PNR-gegevens) met het oog op het voorkomen, opsporen, onderzoeken en vervolgen van terroristische misdrijven en ernstige criminaliteit
BIJLAGE
OVEREENKOMST TUSSEN DE EUROPESE UNIE EN IJSLAND OVER DE DOORGIFTE VAN PERSOONSGEGEVENS VAN PASSAGIERS (PNR-GEGEVENS) MET HET OOG OP HET VOORKOMEN, OPSPOREN, ONDERZOEKEN EN VERVOLGEN VAN TERRORISTISCHE MISDRIJVEN EN ERNSTIGE CRIMINALITEIT
DE EUROPESE UNIE, hierna ook “de Unie” of “de EU” genoemd,
en
IJsland,
hierna gezamenlijk “de partijen” genoemd,
ERKENNENDE dat het van algemeen belang is om, bij het voorkomen, opsporen, onderzoeken en vervolgen van terroristische misdrijven en andere ernstige criminaliteit, de mensenrechten en fundamentele vrijheden, met name het recht op bescherming van het privéleven en gegevensbescherming, te eerbiedigen;
ERKENNENDE dat de uitwisseling van informatie een essentieel onderdeel is van de bestrijding van terroristische misdrijven en andere ernstige criminaliteit, en dat het gebruik van persoonsgegevens van passagiers (Passenger Name Record – PNR-gegevens) in dit verband een belangrijk instrument is;
ERKENNENDE dat het belangrijk is dat de PNR-gegevens en relevante en passende analytische informatie die overeenkomstig deze overeenkomst op PNR-gegevens is gebaseerd, worden gedeeld met de bevoegde politiële en justitiële autoriteiten van IJsland, de lidstaten van de Europese Unie en Europol, teneinde de internationale politiële en justitiële samenwerking te bevorderen;
IN EEN STREVEN NAAR versterking en aanmoediging van de samenwerking tussen de partijen op het gebied van PNR-gegevens door middel van informatie-uitwisseling en technische samenwerking tussen nationale deskundigen van de lidstaten en de passagiersinformatie-eenheden (PIE’s) van de met de Schengenruimte geassocieerde landen, met name wat betreft de ontwikkeling van vooraf vastgestelde criteria en andere aspecten van de verwerking van PNR-gegevens;
GEZIEN Resoluties 2396 (2017) en 2482 (2019) van de Veiligheidsraad van de Verenigde Naties, die alle staten oproepen de capaciteit voor het verzamelen en verwerken van PNR-gegevens te ontwikkelen, en de normen en aanbevolen praktijken van de Internationale Burgerluchtvaartorganisatie voor het verzamelen, gebruiken, verwerken en beschermen van PNR-gegevens, die zijn aangenomen als wijziging 28 van bijlage 9 bij het Verdrag inzake de internationale burgerluchtvaart (het Verdrag van Chicago);
ERAAN HERINNEREND dat de partijen een gedeelde verantwoordelijkheid hebben om de interne veiligheid in het Schengengebied te waarborgen, onder meer door relevante informatie uit te wisselen, en dat deze overeenkomst de bevoegde autoriteiten van de partijen een doeltreffend instrument biedt om dit doel te bereiken met binnengrenzen zonder toezicht;
ERKENNENDE dat deze overeenkomst niet van toepassing moet zijn op op voorhand af te geven passagiersgegevens die de luchtvaartmaatschappijen verzamelen en aan IJsland doorgeven voor grensbewakingsdoeleinden;
INDACHTIG de verbintenissen van de Europese Unie uit hoofde van artikel 6 van het Verdrag betreffende de Europese Unie, dat betrekking heeft op de grondrechten, het recht op bescherming ten aanzien van de verwerking van persoonsgegevens, zoals vastgelegd in artikel 16 van het Verdrag betreffende de werking van de Europese Unie, en de beginselen van evenredigheid en noodzakelijkheid met betrekking tot het recht op eerbiediging van het privéleven, en het familie- en gezinsleven, op eerbiediging van de persoonlijke levenssfeer en op bescherming van persoonsgegevens krachtens de artikelen 7 en 8 van het Handvest van de grondrechten van de Europese Unie overeenkomstig de desbetreffende jurisprudentie van het Hof van Justitie van de Europese Unie, artikel 8 van het Europees Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden en Verdrag nr. 108 van de Raad van Europa tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens en aanvullend Protocol nr. 181 daarbij;
ERKENNENDE dat de doorgifte van PNR-gegevens door luchtvaartmaatschappijen aan IJsland krachtens de IJslandse wetgeving verplicht is;
ERKENNENDE dat Richtlijn (EU) 2016/681 van het Europees Parlement en de Raad over het gebruik van persoonsgegevens van passagiers (PNR-gegevens) voor het voorkomen, opsporen, onderzoeken en vervolgen van terroristische misdrijven en ernstige criminaliteit de basis vormt voor de doorgifte van PNR-gegevens door luchtvaartmaatschappijen aan de bevoegde autoriteiten van de lidstaten. Samen met Verordening (EU) 2016/679 en Richtlijn (EU) 2016/680 biedt deze richtlijn een hoog niveau van bescherming van de grondrechten, met name het recht op privacy en de bescherming van persoonsgegevens;
ERKENNENDE dat IJsland, overeenkomstig de Overeenkomst van 1999 met de Raad van de Europese Unie 1 inzake de wijze waarop IJsland wordt betrokken bij de uitvoering, de toepassing en de ontwikkeling van het Schengenacquis, Richtlijn (EU) 2016/680 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van Kaderbesluit 2008/977/JBZ van de Raad, heeft aanvaard, uitgevoerd en toegepast, aangezien die richtlijn een ontwikkeling van het Schengenacquis vormt. Voorts, en gezien het feit dat de toepassing door IJsland van Richtlijn (EU) 2016/680 van toepassing is op de verwerking van persoonsgegevens in het kader van rechtsinstrumenten die deel uitmaken van het Schengenacquis, moet worden verduidelijkt dat de toepassing van de richtlijn door IJsland ook de verwerking van persoonsgegevens door bevoegde autoriteiten in het kader van deze overeenkomst omvat;
ERKENNENDE dat luchtvaartmaatschappijen die in de Europese Unie zijn gevestigd of hun diensten aanbieden, verplicht zijn persoonsgegevens te verwerken overeenkomstig Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG, en dat die verordening ook van toepassing is in de Europese Economische Ruimte (EER), zoals opgenomen in de EER-overeenkomst bij Besluit nr. 154/2018 van het Gemengd Comité van de EER van 6 juli 2018;
HERINNEREND aan het recht op vrij verkeer van personen in de Europese Economische Ruimte (EER), zoals bepaald in de artikel 1, lid 2, en de artikelen 28 en 31 van de EER-overeenkomst, en eraan herinnerend dat een nationaal systeem dat de doorgifte door luchtvaartmaatschappijen en de verwerking van PNR-gegevens door de bevoegde autoriteiten voorschrijft, de uitoefening van het vrije verkeer van personen kan belemmeren, en dat derhalve elke inmenging in de uitoefening van die vrijheid slechts gerechtvaardigd is indien zij gebaseerd is op objectieve overwegingen en evenredig is aan het nagestreefde legitieme doel,
ZIJN ALS VOLGT OVEREENGEKOMEN:
HOOFDSTUK I
ALGEMENE BEPALINGEN
ARTIKEL 1
Doelstelling en toepassingsgebied
(1)Deze overeenkomst heeft tot doel de doorgifte van persoonsgegevens van passagiers (PNR-gegevens) door luchtvaartmaatschappijen van de Unie aan IJsland mogelijk te maken en regels en voorwaarden vast te stellen voor de verwerking van die PNR-gegevens door IJsland.
(2)Het doel van deze overeenkomst is ook de politiële en justitiële samenwerking tussen de Unie en IJsland op het gebied van PNR-gegevens te versterken.
(3)Deze overeenkomst heeft betrekking op luchtvaartmaatschappijen die passagiersvluchten tussen de Unie en IJsland uitvoeren en op luchtvaartmaatschappijen die in de Unie zijn geregistreerd of daar gegevens opslaan en die passagiersvluchten naar of vanuit IJsland uitvoeren.
ARTIKEL 2
Definities
Voor de toepassing van deze overeenkomst wordt verstaan onder:
(1)“luchtvaartmaatschappij”: een luchtvervoersonderneming met een geldige exploitatievergunning of een equivalent daarvan voor het luchtvervoer van passagiers tussen de Europese Unie en IJsland;
(2)“bevoegde autoriteiten”: de overheidsinstanties die krachtens het nationale recht van IJsland verantwoordelijk zijn voor het voorkomen, opsporen, onderzoeken of vervolgen van terroristische misdrijven of ernstige criminaliteit;
(3)“passagier”: iedere persoon, met inbegrip van de transferpassagiers en transitpassagiers en met uitsluiting van de bemanningsleden, die met toestemming van de luchtvaartmaatschappij in een luchtvaartuig wordt vervoerd of zal worden vervoerd, en waarbij die toestemming blijkt uit de vermelding van die persoon op de passagierslijst;
(4)“Passagiersinformatie-eenheid van IJsland” of “IJslandse PIE”: de autoriteit die is opgericht of aangewezen als verantwoordelijke voor het ontvangen en verwerken van PNR-gegevens door IJsland overeenkomstig artikel 6 van deze overeenkomst;
(5)“Passenger Name Record” of “PNR”: een bestand met de reisgegevens van iedere passagier, dat informatie bevat die de boekende en de deelnemende luchtvaartmaatschappijen nodig hebben om reserveringen te kunnen verwerken en controleren bij elke reis die door of namens iemand wordt geboekt; dit bestand kan zich bevinden in een reserveringssysteem, een vertrekcontrolesysteem dat wordt gebruikt bij het inchecken van passagiers op vluchten, of een soortgelijk systeem dat dezelfde functies vervult; voor de toepassing van deze overeenkomst omvatten PNR-gegevens specifiek de elementen die in de bijlage I limitatief zijn opgesomd;
(6)“ernstige criminaliteit”: de feiten die volgens het nationale recht van IJsland strafbaar zijn gesteld met een maximale vrijheidsstraf of een tot vrijheidsbeneming strekkende maatregel van ten minste drie jaar en die minstens een indirect objectief verband met het luchtvervoer van passagiers hebben;
(7)“terroristische misdrijven”:
(a)een handelen of nalaten gepleegd met een politiek, religieus of ideologisch doel, oogmerk of motief, met de intentie de veiligheid van het publiek, ook wat economische zekerheid betreft, te ondermijnen, of met de intentie een persoon, regering of binnen- of buitenlandse organisatie te dwingen iets te doen of na te laten, en met dat handelen of nalaten opzettelijk: i) de dood of ernstig lichamelijk letsel toe te brengen; ii) het leven van een persoon in gevaar te brengen; iii) de gezondheid of de veiligheid van het publiek aan ernstig gevaar bloot te stellen; iv) aanzienlijke materiële schade toe te brengen die naar alle waarschijnlijkheid leidt tot het in punt i) tot en met iii) bedoelde letsel; of v) een ernstige verstoring of ontwrichting teweeg te brengen van een dienst, faciliteit of systeem van wezenlijk belang, anders dan door wettige of onwettige vormen van steunbetuiging, protest, dissidentie of werkonderbreking, zoals staking, die niet tot doel heeft het in punt i) tot en met iii) bedoelde letsel te veroorzaken; of
(b)activiteiten die een strafbaar feit uitmaken zoals bedoeld en gedefinieerd in de toepasselijke internationale verdragen en protocollen inzake terrorisme; of
(c)het welbewust deelnemen aan of bijdragen tot een activiteit, dan wel een persoon, groep of organisatie opdracht geven tot het uitvoeren van een activiteit, met als doel het vergroten van het vermogen van een terroristische entiteit om het in punt a) of b) bedoelde handelen of nalaten te faciliteren of te volvoeren; of
(d)het plegen van een strafbaar feit waarbij het handelen of nalaten waarin het strafbare feit bestaat, gepleegd is ten behoeve van, in opdracht van of in samenwerking met een terroristische entiteit; of
(e)het verzamelen van middelen of het uitnodigen van een persoon, groep of organisatie om middelen te verstrekken, het verstrekken of het beschikbaar stellen van middelen of financiële of aanverwante diensten met het oog op het plegen van een handelen of nalaten als bedoeld in punt a) of b), of het gebruiken of bezitten van middelen met het oog op het plegen van een handelen of nalaten als bedoeld in punt a) of b); of
(f)een poging tot handelen of nalaten als bedoeld in punt a) of b) of het dreigen met een dergelijk handelen of nalaten; het samenzweren, faciliteren, instrueren of advies verlenen in verband met een handelen of nalaten als bedoeld in punt a) of b), medeplichtigheid post factum of het onderdak bieden of verbergen, teneinde een terroristische entiteit in staat te stellen een handelen of nalaten als bedoeld in punt a) of b) te faciliteren of te volvoeren; of
(g)reizen naar of vanuit IJsland of een lidstaat van de Unie om een terroristisch misdrijf in de zin van de punten a) of b) te plegen of daaraan bij te dragen, of om deel te nemen aan de activiteiten van een terroristische entiteit in de zin van lid 8, in de wetenschap dat die deelname zal bijdragen tot de criminele activiteiten van de terroristische entiteit.
(8)“terroristische entiteit”: i) een persoon, groep of organisatie die zich onder meer ten doel stelt of als activiteit heeft het faciliteren of volvoeren van een handelen of nalaten als bedoeld in lid 7, punt a) of b); of ii) een persoon, groep of organisatie die welbewust handelt namens, in opdracht van of in samenwerking met een persoon, groep of organisatie als bedoeld in punt i).
HOOFDSTUK II
DOORGIFTE VAN PNR-GEGEVENS
ARTIKEL 3
Wijze en frequentie van de doorgifte
(1)IJsland ziet erop toe dat de luchtvaartmaatschappijen de PNR-gegevens aan de IJslandse PIE uitsluitend doorgeven op basis van een doorgifte van de vereiste PNR-gegevens in de database van de verzoekende autoriteit (“push”-methode), conform de volgende procedures die door de luchtvaartmaatschappijen moeten worden in acht genomen:
(a)langs elektronische weg, in overeenstemming met de technische vereisten van de IJslandse PIE, of, in geval van technische problemen, met een ander passend middel dat een voldoende niveau van gegevensbeveiliging waarborgt;
(b)door gebruik te maken van een wederzijds aanvaard berichtenuitwisselingsformaat en op veilige wijze met gebruikmaking van gemeenschappelijke protocollen zoals vereist door de IJslandse PIE;
(c)hetzij rechtstreeks, hetzij via gemachtigde agenten die namens en onder verantwoordelijkheid van een luchtvaartmaatschappij optreden met het oog op de doeleinden van en onder de voorwaarden vastgesteld bij deze overeenkomst.
(2)IJsland verlangt van luchtvaartmaatschappijen niet dat zij PNR-gegevenselementen verstrekken die niet reeds worden verzameld of bewaard voor reserveringsdoeleinden of in het kader van hun normale bedrijfsvoering.
(3)IJsland zorgt ervoor dat de IJslandse PIE elk gegevenselement dat een luchtvaartmaatschappij overeenkomstig deze overeenkomst aan IJsland heeft doorgegeven, na ontvangst van de PNR-gegevens verwijdert, indien dat gegevenselement niet in bijlage I is vermeld.
(4)IJsland ziet erop toe dat de IJslandse PIE eist dat de luchtvaartmaatschappijen de PNR-gegevens doorgeven:
(a)op regelmatige basis, ten vroegste maximaal 48 uur voor de geplande vertrektijd; en
(b)ten hoogste vijfmaal voor elke afzonderlijke vlucht.
(5)IJsland staat de luchtvaartmaatschappijen toe om de in lid 4, punt b), bedoelde doorgifte te beperken tot wijzigingen van de in dat lid, punt a), bedoelde PNR-gegevens.
(6)IJsland ziet erop toe dat de IJslandse PIE de luchtvaartmaatschappijen inlicht over de vastgestelde tijden waarop de doorgiften moeten plaatsvinden.
(7)In specifieke gevallen, waarin er aanwijzingen zijn dat aanvullende toegang noodzakelijk is om een specifieke dreiging in verband met de in artikel 5 genoemde doeleinden af te wenden, kan de IJslandse PIE verlangen dat een luchtvaartmaatschappij PNR-gegevens vóór de geplande doorgiften, tussen twee geplande doorgiften of na de laatste geplande doorgifte verstrekt. Bij de uitoefening van deze discretionaire bevoegdheid betracht IJsland behoedzaamheid en evenredigheid en schrijft IJsland het gebruik van de in lid 1 bedoelde wijze van doorgifte voor.
ARTIKEL 4
API-PNR-router
(1)De partijen kunnen besluiten dat IJsland luchtvaartmaatschappijen kan verplichten PNR-gegevens door te geven aan de IJslandse PIE via de API-PNR-router die is opgezet overeenkomstig Verordening (EU) 2025/13 2 . In dat geval
(a)mag IJsland luchtvaartmaatschappijen niet verplichten PNR-gegevens op andere wijze door te geven;
(b)is IJsland gebonden door de regels inzake de werking en de voorwaarden voor het gebruik van een dergelijke router zoals vastgesteld in die verordening, in afwijking van artikel 3, leden 1, 4 en 6.
(2)IJsland stelt de Unie in kennis van zijn verzoek om een dergelijke router te gebruiken. Een dergelijk verzoek wordt door de Unie schriftelijk via diplomatieke kanalen aanvaard.
(3)De Unie stelt IJsland langs diplomatieke weg schriftelijk in kennis van elke wijziging van Verordening (EU) 2025/13 die van invloed is op de regels inzake de werking van en de voorwaarden voor het gebruik van de API-PNR-router. Binnen 120 dagen na ontvangst van een dergelijke kennisgeving kan IJsland de Unie via diplomatieke kanalen schriftelijk in kennis stellen van zijn voornemen om het gebruik van de router stop te zetten. In dat geval treden de partijen in overleg als bedoeld in artikel 23, lid 1, en wordt artikel 3, leden 1, 4 en 6, opnieuw van toepassing.
HOOFDSTUK III
VERWERKING EN BESCHERMING VAN PNR-GEGEVENS
ARTIKEL 5
Doeleinden van de verwerking van PNR-gegevens
IJsland ziet erop toe dat de PNR-gegevens die op basis van deze overeenkomst zijn ontvangen, uitsluitend worden verwerkt met het oog op het voorkomen, opsporen, onderzoeken en vervolgen van terroristische misdrijven of ernstige criminaliteit.
ARTIKEL 6
Verwerkingswijze van PNR-gegevens
De IJslandse PIE mag PNR-gegevens uitsluitend verwerken door middel van de volgende specifieke verwerkingswijzen:
(a)het beoordelen van passagiers voorafgaand aan hun geplande aankomst in of vertrek uit IJsland om personen te identificeren die nader moeten worden onderzocht door de bevoegde autoriteiten, gezien het feit dat deze personen betrokken kunnen zijn bij een terroristisch misdrijf of ernstige criminaliteit overeenkomstig artikel 7 (realtimebeoordeling);
(b)het doorzoeken van de databank van bewaarde PNR-gegevens om per geval te kunnen reageren op een overeenkomstig de artikelen 13 en 14 ingediend met redenen omkleed verzoek, en in voorkomend geval alle relevante PNR-gegevens of de resultaten van de verwerking ervan vrij te geven;
(c)het analyseren van PNR-gegevens voor het bijstellen en testen van bestaande of het formuleren van nieuwe criteria die moeten worden gebruikt bij de beoordelingen die worden verricht op grond van artikel 7, lid 1, punt b), om te bepalen welke personen betrokken zouden kunnen zijn bij een terroristisch misdrijf of bij ernstige criminaliteit.
ARTIKEL 7
Realtimebeoordeling
(1)Bij de verrichting van de in artikel 6, punt a), bedoelde beoordeling kan de IJslandse PIE:
(a)PNR-gegevens uitsluitend vergelijken met databanken over gezochte of gesignaleerde personen of voorwerpen, in overeenstemming met de Unie-, internationale en nationale regels die op dergelijke databanken van toepassing zijn; en
(b)de PNR-gegevens verwerken overeenkomstig vooraf bepaalde criteria.
(2)IJsland zorgt ervoor dat de in lid 1, punt a), bedoelde databanken niet-discriminerend, betrouwbaar en actueel zijn en beperkt zijn tot de databanken die door de bevoegde autoriteiten van IJsland worden gebruikt met betrekking tot en relevant zijn voor de in artikel 5 genoemde doeleinden.
(3)IJsland zorgt ervoor dat elke beoordeling van PNR-gegevens als bedoeld in lid 1, punt b), gebaseerd is op niet-discriminerende, specifieke en betrouwbare vooraf vastgestelde modellen en criteria om de IJslandse PIE in staat te stellen tot resultaten te komen die gericht zijn op personen ten aanzien van wie een redelijk vermoeden van betrokkenheid bij of deelname aan terroristische misdrijven of ernstige criminaliteit bestaat. IJsland zorgt ervoor dat deze criteria onder geen beding gebaseerd zijn op ras of etnische afstamming, politieke opvattingen, godsdienstige of levensbeschouwelijke overtuiging, vakbondslidmaatschap, gezondheid, seksueel gedrag of seksuele gerichtheid van de betrokkene.
(4)IJsland zorgt ervoor dat elke positieve overeenkomst die voortvloeit uit de realtimeverwerking van PNR-gegevens door de IJslandse PIE afzonderlijk op niet-geautomatiseerde wijze wordt beoordeeld.
ARTIKEL 8
Bijzondere categorieën van gegevens
(1)Verwerking van PNR-gegevens waaruit ras of etnische afstamming, politieke opvattingen, godsdienstige of levensbeschouwelijke overtuiging, of vakbondslidmaatschap blijken, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid zijn in het kader van deze overeenkomst verboden.
(2)Voor zover de PNR-gegevens die de IJslandse PIE in het kader van deze overeenkomst ontvangt, dergelijke bijzondere categorieën persoonsgegevens omvatten, wist de IJslandse PIE deze gegevens onmiddellijk.
ARTIKEL 9
Gegevensbeveiliging en -integriteit
(1)IJsland zorgt ervoor dat de in het kader van deze overeenkomst ontvangen PNR-gegevens worden verwerkt op een wijze die een hoog niveau van gegevensbeveiliging waarborgt dat is afgestemd op de risico’s die de verwerking en de aard van de in het kader van deze overeenkomst ontvangen PNR-gegevens met zich meebrengen. Met name worden door de IJslandse PIE:
(a)passende technische en organisatorische maatregelen en procedures ten uitvoer gelegd om een dergelijk beveiligingsniveau te waarborgen;
(b)de PNR-gegevens onderworpen aan procedures voor versleuteling, autorisatie en documentatie;
(c)de toegangsrechten tot PNR-gegevens beperkt tot daartoe gemachtigde personeelsleden; en
(d)de PNR-gegevens bewaard in een beveiligde fysieke omgeving die met toegangscontroles wordt beschermd.
(2)2. IJsland ziet erop toe dat elke inbreuk op de gegevensbeveiliging, met name als die leidt tot accidentele of onwettige vernietiging, accidenteel verlies of accidentele wijziging, ongeoorloofde vrijgave of toegang, alsmede alle overige onwettige vormen van verwerking, strafbaar is met effectieve en ontradende corrigerende maatregelen.
(3)3. IJsland meldt elke inbreuk op de gegevensbeveiliging aan de overeenkomstig artikel 41 van Richtlijn (EU) 2016/680 ingestelde nationale toezichthoudende autoriteit.
ARTIKEL 10
Vastlegging en documentering van de verwerking van PNR-gegevens
(1)De IJslandse PIE legt elke verwerking van PNR-gegevens vast, en protocolleert deze. IJsland gebruikt deze vastlegging of protocollering uitsluitend:
(a)voor zelfevaluatie en controle van de wettigheid van de gegevensverwerking;
(b)om de gegevensintegriteit of systeemfunctionaliteit te waarborgen;
(c)om de veiligheid van de gegevensverwerking te waarborgen; en
(d)om de uitoefening van het toezicht op of de verantwoordingsplicht van de overheid te waarborgen.
(2)De uit hoofde van lid 1 bijgehouden logbestanden of documentatie worden op verzoek meegedeeld aan de nationale toezichthoudende autoriteit, die deze informatie uitsluitend gebruikt voor het toezicht op de gegevensbescherming en voor het waarborgen van een goede gegevensverwerking en de integriteit en beveiliging van de gegevens.
HOOFDSTUK IV
OPSLAG EN VRIJGAVE VAN PNR-GEGEVENS
ARTIKEL 11
Opslagperioden
(1)IJsland zorgt ervoor dat de in het kader van deze overeenkomst ontvangen PNR-gegevens worden opgeslagen:
(a)alleen zolang er een objectief, zelfs indirect, verband bestaat tussen de opgeslagen PNR-gegevens en ten minste één van de in artikel 5 genoemde doeleinden; en
(b)in ieder geval voor perioden van ten hoogste 5 jaar.
(2)Overeenkomstig lid 1 mag de IJslandse PIE PNR-gegevens van alle luchtreizigers alleen opslaan gedurende een initiële periode die in haar nationale wetgeving moet worden vastgesteld. De duur van deze initiële periode mag niet verder gaan dan wat strikt noodzakelijk is om de PIE in staat te stellen de in artikel 6, lid 1, punt b), bedoelde bevragingen uit te voeren met het oog op de identificatie van personen die nog niet zijn verdacht van betrokkenheid bij terroristische misdrijven of ernstige criminaliteit op basis van de realtimebeoordeling overeenkomstig artikel 6, lid 1, punt a).
(3)Na de in lid 2 bedoelde initiële periode mag IJsland alleen PNR-gegevens opslaan van passagiers ten aanzien van wie er objectieve aanwijzingen zijn waaruit een risico in verband met terroristische misdrijven of ernstige criminaliteit kan blijken.
(4)IJsland zorgt ervoor dat de IJslandse PIE regelmatig nagaat of er behoefte is aan verdere opslag van PNR-gegevens overeenkomstig de leden 2 en 3 van dit artikel.
(5)Bij het verstrijken van de passende opslagperiode zorgt IJsland ervoor dat PNR-gegevens op zodanige wijze onherroepelijk worden gewist of geanonimiseerd dat de betrokkenen niet langer identificeerbaar zijn.
(6)Onverminderd lid 1, punt b), kan IJsland toestaan dat PNR-gegevens die nodig zijn voor toetsing, onderzoek, handhavingsmaatregelen, gerechtelijke procedures, vervolging of tenuitvoerlegging van sancties, worden opgeslagen totdat het desbetreffende proces is afgerond.
ARTIKEL 12
Depersonalisering
(1)De IJslandse PIE depersonaliseert PNR-gegevens uiterlijk zes maanden na ontvangst ervan. Daartoe worden de volgende gegevenselementen afgeschermd aan de hand waarvan de passagier op wie de PNR-gegevens betrekking hebben, rechtstreeks kan worden geïdentificeerd:
(a)naam/namen, waaronder de namen van andere passagiers in de PNR-gegevens en het aantal reizigers in de PNR-gegevens dat samen reist;
(b)adres en contactgegevens;
(c)alle betalingsinformatie, met inbegrip van het factuuradres, voor zover daarin informatie is vervat waaruit de identiteit van de passagier op wie de PNR-gegevens betrekking hebben of van andere personen rechtstreeks zou kunnen worden afgeleid;
(d)informatie betreffende reizigers die gebruikmaken van een loyaliteitsprogramma voor frequent rreizen (“frequent flyer”);
(e)algemene opmerkingen, voor zover deze informatie bevatten waaruit rechtstreeks de identiteit zou kunnen worden afgeleid van de passagier op wie de PNR-gegevens betrekking hebben; en
(f)verzamelde API-gegevens.
(2)De IJslandse PIE mag de in lid 1 bedoelde gegevenselementen alleen vrijgeven voor de doeleinden van artikel 5 en onder de voorwaarden van de artikelen 13 of 14.
ARTIKEL 13
Vrijgave binnen IJsland
(1)Bij het beantwoorden van een met redenen omkleed verzoek van een bevoegde autoriteit overeenkomstig artikel 6, punt b), geeft de IJslandse PIE per geval PNR-gegevens of de resultaten van de verwerking ervan alleen vrij indien:
(a)een dergelijke vrijgave noodzakelijk is om een van de in artikel 5 genoemde doeleinden te verwezenlijken;
(b)het noodzakelijke minimum aan PNR-gegevens wordt vrijgegeven;
(c)de ontvangende bevoegde autoriteit waarborgen biedt die gelijkwaardig zijn aan de in deze overeenkomst vastgelegde waarborgen;
(d)de vrijgave wordt goedgekeurd door een rechterlijke instantie of een andere onafhankelijke instantie die krachtens het nationale recht bevoegd is om na te gaan of aan de voorwaarden voor vrijgave is voldaan.
(2)In afwijking van lid 1, punt d), kan de IJslandse PIE PNR-gegevens in naar behoren gemotiveerde urgentie zonder voorafgaande toetsing of goedkeuring vrijgeven. In dergelijke gevallen moet de in lid 1, punt b), bedoelde toetsing snel plaatsvinden.
(3)IJsland zorgt ervoor dat de ontvangende bevoegde autoriteit geen PNR-gegevens aan een andere autoriteit vrijgeeft, tenzij de IJslandse PIE uitdrukkelijk toestemming heeft gegeven voor de vrijgave.
ARTIKEL 14
Vrijgave buiten IJsland en de EU
(1)Bij het beantwoorden van een met redenen omkleed verzoek van een bevoegde autoriteit van andere landen dan de lidstaten van de Europese Unie overeenkomstig artikel 6, punt b), maakt de IJslandse PIE per geval PNR-gegevens of de resultaten van de verwerking ervan alleen vrij indien:
(a)een dergelijke vrijgave noodzakelijk is om een van de in artikel 5 genoemde doeleinden te verwezenlijken;
(b)het noodzakelijke minimum aan PNR-gegevens wordt vrijgegeven;
(c)het derde land waaraan de gegevens worden vrijgegeven, met de Europese Unie een overeenkomst heeft gesloten die voorziet in een bescherming van persoonsgegevens die vergelijkbaar is met deze overeenkomst, of bij een besluit van de Europese Commissie op grond van het recht van de Europese Unie is vastgesteld dat het betrokken land een passend niveau van gegevensbescherming in de zin van het recht van de Europese Unie waarborgt;
(d)de vrijgave wordt goedgekeurd door een rechterlijke instantie of een andere onafhankelijke instantie die krachtens het nationale recht bevoegd is om na te gaan of aan de voorwaarden voor vrijgave is voldaan.
(2)In afwijking van lid 1, punt c), kan de IJslandse PIE PNR-gegevens met een ander land delen indien zij van oordeel is dat vrijgave noodzakelijk is voor het voorkomen of onderzoeken van een ernstige en imminente dreiging voor de openbare veiligheid, en indien dat land, op grond van een regeling, overeenkomst of anderszins, schriftelijk garandeert dat de informatie zal worden beschermd op een wijze die in overeenstemming is met de waarborgen beschreven in deze overeenkomst.
(3)In afwijking van lid 1, punt d), kan de IJslandse PIE PNR-gegevens in naar behoren gemotiveerde urgentie zonder voorafgaande toetsing en goedkeuring vrijgeven. In dergelijke gevallen moet de in lid 1 bedoelde toetsing snel plaatsvinden.
ARTIKEL 15
Uitwisseling van PNR-gerelateerde informatie
(1)De IJslandse PIE verstrekt Europol of Eurojust, binnen de grenzen van hun respectieve mandaat, of de PIE's van de lidstaten zo spoedig mogelijk en wanneer dat in een specifieke zaak noodzakelijk is voor het voorkomen, opsporen, onderzoeken of vervolgen van terroristische misdrijven of ernstige criminaliteit, PNR-gegevens, de resultaten van de verwerking van die gegevens of op PNR-gegevens gebaseerde analytische informatie. De IJslandse PIE deelt deze informatie op eigen initiatief of op verzoek van Europol of Eurojust, binnen de grenzen van hun respectieve mandaten, of van de PIE’s van de lidstaten.
(2)De PIE’s van de lidstaten verstrekken de IJslandse PIE zo spoedig mogelijk en wanneer dat in een specifieke zaak noodzakelijk is voor het voorkomen, opsporen, onderzoeken of vervolgen van terroristische misdrijven of ernstige criminaliteit, PNR-gegevens, de resultaten van de verwerking van die gegevens of op PNR-gegevens gebaseerde analytische informatie. De PIE’s van de lidstaten delen deze informatie op eigen initiatief of op verzoek van de IJslandse PIE.
(3)De partijen zien erop toe dat de in de leden 1 tot en met 2 bedoelde informatie wordt gedeeld overeenkomstig de toepasselijke regels inzake samenwerking op het gebied van rechtshandhaving of informatie-uitwisseling tussen IJsland en Europol of Eurojust of de desbetreffende lidstaat. Met name vindt de uitwisseling van informatie met Europol uit hoofde van dit artikel plaats via een voor de uitwisseling van informatie gecreëerd beveiligd communicatiekanaal.
HOOFDSTUK V
GEGEVENSBESCHERMING
ARTIKEL 16
Rechten en verplichtingen uit hoofde van Richtlijn (EU) 2016/680
(1)IJsland zorgt ervoor dat het met betrekking tot de verwerking van persoonsgegevens door bevoegde autoriteiten voor de toepassing van deze overeenkomst dezelfde rechten en verplichtingen toepast als Richtlijn (EU) 2016/680, met inbegrip van alle wijzigingen daarvan die door IJsland zijn aanvaard en uitgevoerd overeenkomstig de Overeenkomst tussen de Raad van de Europese Unie en IJsland en Noorwegen inzake de wijze waarop IJsland en Noorwegen worden betrokken bij de uitvoering, de toepassing en de ontwikkeling van het Schengenacquis.
(2)Op de verwerking van persoonsgegevens door de IJslandse PIE wordt toezicht gehouden door een onafhankelijke toezichthoudende autoriteit die is opgericht overeenkomstig de uitvoering en toepassing door IJsland van Richtlijn (EU) 2016/680, met inbegrip van alle wijzigingen daarvan die door IJsland zijn aanvaard en uitgevoerd overeenkomstig de Overeenkomst tussen de Raad van de Europese Unie en IJsland en Noorwegen inzake de wijze waarop IJsland en Noorwegen worden betrokken bij de uitvoering, de toepassing en de ontwikkeling van het Schengenacquis.
(3)Dit artikel laat de toepassing van eventuele meer specifieke bepalingen in deze overeenkomst betreffende de verwerking van persoonsgegevens onverlet.
ARTIKEL 17
Transparantie en informatie
(1)IJsland ziet erop toe dat de IJslandse PIE op haar website de volgende informatie beschikbaar stelt:
(a)een lijst van de wetgeving op grond waarvan de doorgifte van PNR-gegevens door luchtvaartmaatschappijen is toegestaan;
(b)de reden voor het verzamelen en opslaan van PNR-gegevens;
(c)de wijze waarop PNR-gegevens worden verwerkt en beschermd;
(d)de wijze waarop en de mate waarin de gegevens mogen worden vrijgegeven aan andere bevoegde autoriteiten; en
(e)contactgegevens voor inlichtingen.
(2)IJsland werkt samen met belanghebbende derde partijen, zoals de luchtvaart- en luchtreissector, om bij boeking transparantie te bevorderen inzake het doel waarvoor PNR-gegevens worden verzameld en verwerkt, en inzake de mogelijkheden om toegang tot en rectificatie van die gegevens te vragen en beroep in te stellen.
(3)Indien PNR-gegevens die overeenkomstig artikel 11 worden bewaard, zijn vrijgegeven overeenkomstig artikel 13 of artikel 14, levert IJsland redelijke inspanningen om de betrokken passagiers door middel van de overeenkomstig artikel 13, lid 2, punt d), van Richtlijn 2016/680 vastgestelde werkwijzen in kennis te stellen binnen een redelijke termijn wanneer een dergelijke kennisgeving de onderzoeken door de betrokken overheidsinstanties niet meer in gevaar kan brengen en voor zover de desbetreffende contactgegevens van de passagiers beschikbaar zijn of met redelijke inspanning kunnen worden achterhaald.
HOOFDSTUK VI
SLOTBEPALINGEN
ARTIKEL 18
Kennisgevingen
(1)IJsland stelt de Unie langs diplomatieke weg in kennis van de identiteit van de volgende autoriteiten:
(a)de IJslandse PIE als bedoeld in artikel 2, lid 4;
(b)de in artikel 9, lid 3, genoemde nationale toezichthoudende autoriteit.
(2)IJsland meldt onverwijld alle wijzigingen van de identiteit van de in lid 1 bedoelde autoriteiten.
(3)De Unie maakt deze informatie toegankelijk voor het publiek.
ARTIKEL 19
Inwerkingtreding
(1)Deze overeenkomst wordt door de partijen goedgekeurd volgens hun eigen procedures.
(2)Deze overeenkomst treedt in werking op de eerste dag van de maand volgende op de datum van ontvangst van de schriftelijke kennisgeving waarmee IJsland kennis heeft gegeven van de identiteit van de in artikel 18, lid 1, bedoelde autoriteiten of van de schriftelijke kennisgevingen waarmee de partijen elkaar via diplomatieke kanalen ervan in kennis hebben gesteld dat de in lid 1 bedoelde procedures zijn voltooid, indien dat later is.
ARTIKEL 20
Beslechting van geschillen en opschorting van de toepassing
(1)De partijen beslechten alle geschillen betreffende de interpretatie, de toepassing of de uitvoering van deze overeenkomst via overleg om tot een wederzijds aanvaardbare oplossing te komen, waarbij onder meer aan beide partijen de mogelijkheid wordt geboden binnen een redelijke termijn aan hun verplichtingen te voldoen.
(2)Iedere partij kan de toepassing van deze overeenkomst geheel of gedeeltelijk opschorten na schriftelijke kennisgeving aan de andere partij via diplomatieke kanalen. Een dergelijke schriftelijke kennisgeving vindt pas plaats nadat de partijen binnen een redelijke termijn overleg hebben gepleegd. De opschorting wordt van kracht twee maanden na ontvangst van deze kennisgeving, tenzij de partijen anders overeenkomen.
(3)De partij die de toepassing van deze overeenkomst heeft opgeschort, stelt de andere partij onverwijld in kennis van de datum waarop deze overeenkomst opnieuw van toepassing wordt, zodra zij van oordeel is dat de redenen voor de opschorting zijn vervallen. De opschortende partij stelt de andere partij daarvan schriftelijk in kennis.
(4)IJsland blijft de voorwaarden van deze overeenkomst toepassen ten aanzien van alle PNR-gegevens die het vóór opschorting van de toepassing van de overeenkomst heeft ontvangen.
ARTIKEL 21
Opzegging
(1)Deze overeenkomst kan te allen tijde door een van de partijen worden opgezegd door middel van een schriftelijke kennisgeving langs diplomatieke weg. De opzegging wordt drie maanden na de datum van de kennisgeving van kracht.
(2)Indien een van de partijen overeenkomstig dit artikel kennisgeeft van de opzegging, beslissen de partijen welke maatregelen nodig zijn om ervoor te zorgen dat de in het kader van deze overeenkomst opgezette samenwerking op passende wijze wordt afgerond.
(3)IJsland blijft de voorwaarden van deze overeenkomst toepassen ten aanzien van alle PNR-gegevens die het vóór opzegging van de toepassing van de overeenkomst heeft ontvangen.
ARTIKEL 22
Wijzigingen
(1)Deze overeenkomst kan te allen tijde met wederzijdse instemming van de partijen worden gewijzigd. De wijziging van deze overeenkomst wordt van kracht overeenkomstig artikel 19.
(2)De bijlage bij deze overeenkomst kan met wederzijdse instemming van de partijen worden geactualiseerd door middel van een schriftelijke kennisgeving die langs diplomatieke weg wordt uitgewisseld. Deze actualiseringen treden in werking op de in artikel 19, lid 2, bedoelde datum.
ARTIKEL 23
Raadpleging en evaluatie
(1)De partijen plegen overleg over kwesties in verband met het toezicht op de uitvoering van deze overeenkomst. Zij stellen elkaar in kennis van elke maatregel die gevolgen heeft voor deze overeenkomst.
(2)De partijen voeren een gezamenlijke evaluatie uit van de uitvoering van deze overeenkomst indien een van beide partijen daarom verzoekt en daartoe gezamenlijk wordt besloten. Bij deze evaluatie besteden de partijen bijzondere aandacht aan de noodzakelijkheid en evenredigheid van de verwerking van PNR-gegevens voor elk van de in artikel 5 genoemde doeleinden. De partijen nemen vooraf een besluit over de wijze waarop dergelijke evaluaties worden uitgevoerd.
ARTIKEL 24
Territoriaal toepassingsgebied
(1)Deze overeenkomst is van toepassing op het grondgebied van de Europese Unie overeenkomstig het Verdrag betreffende de Europese Unie en het Verdrag betreffende de werking van de Europese Unie, en op het grondgebied van IJsland.
(2)Uiterlijk op de datum van inwerkingtreding van deze overeenkomst stelt de Europese Unie IJsland in kennis van de lidstaten op het grondgebied waarvan deze overeenkomst van toepassing is. Zij kan vervolgens te allen tijde kennisgeving doen van eventuele wijzigingen.
Deze overeenkomst is in tweevoud opgesteld in de Bulgaarse, de Deense, de Duitse, de Engelse, de Estse, de Finse, de Franse, de Griekse, de Hongaarse, de Ierse, de IJslandse, de Italiaanse, de Kroatische, de Letse, de Litouwse, de Maltese, de Nederlandse, de Poolse, de Portugese, de Roemeense, de Sloveense, de Slowaakse, de Spaanse, de Tsjechische en de Zweedse taal, waarbij alle teksten gelijkelijk authentiek zijn. In geval van verschillen tussen de teksten van deze overeenkomst heeft de Engelse tekst voorrang.
[ondertekeningen]
BIJLAGE
ELEMENTEN VAN HET PASSENGER NAME RECORD (PNR)
ZOALS BEDOELD IN ARTIKEL 2, LID 5
1. PNR-bestandslocatie
2. Datum van reservering/afgifte van het biljet
3. Geplande reisdatum (-data)
4. Naam/namen
5. Adres en contactgegevens, namelijk telefoonnummer en e-mailadres van de passagiers
6. Informatie over de wijze van betaling en de facturering van het vliegticket
7. Volledige reisroute voor dit specifieke PNR
8. “Frequent flyer”-gegevens met betrekking tot de passagier(s) (status en “frequent flyer”-nummer)
9. Reisbureau/reisagent
10. Reisstatus van de passagier, met inbegrip van bevestigingen, check-in-status en “no-show” of “go-show”-informatie
11. Opgesplitste/opgedeelde PNR-informatie
12. Informatie over niet-begeleide minderjarigen jonger dan 18 jaar: naam, geslacht, leeftijd, talen die de minderjarige spreekt, naam en contactgegevens van de persoon die de minderjarige begeleidt naar het vertrek en de aard van de relatie van deze persoon met de minderjarige, naam en contactgegevens van de persoon die de minderjarige afhaalt bij aankomst en de aard van de relatie van deze persoon met de minderjarige, naam van functionaris voor vertrek en aankomst.
13. Informatie uit de biljetuitgifte (“ticketing field”-informatie), waaronder het biljetnummer, de uitgiftedatum van het reisbiljet, biljetten voor enkele reizen en geautomatiseerde prijsnotering van reisbiljetten
14. Zitplaatsinformatie, waaronder het zitplaatsnummer
15. Informatie over gemeenschappelijke vluchtnummers
16. Alle bagage-informatie
17. Aantal en namen van de andere reizigers in het PNR
18. Alle API-gegevenselementen (advance passenger information), voor zover deze reeds door vervoerders zijn verzameld
19. Alle vroegere wijzigingen in de onder de punten 1 tot en met 18 genoemde PNR-gegevens.