1.5.2008   

NL

Publicatieblad van de Europese Unie

C 110/1

1.

Het voorstel voor een kaderbesluit van de Raad over het gebruik van persoonsgegevens van passagiers (PNR-gegevens) voor wetshandhavingsdoeleinden (hierna „het voorstel”) is door de Commissie op grond van artikel 28, lid 2, van Verordening (EG) nr. 45/2001 voor advies aan de EDPS toegezonden.

2.

Het voorstel betreft de verwerking van PNR-gegevens binnen de EU en houdt nauw verband met andere regelingen voor het verzamelen en gebruiken van passagiersgegevens, met name de Overeenkomst tussen de EU en de Verenigde Staten van juli 2007. Deze regelingen zijn van groot belang voor de EDPS, die ook reeds de gelegenheid heeft gehad een aantal eerste opmerkingen te maken over de vragenlijst van de Commissie betreffende het geplande PNR-systeem van de EU, die in december 2006 aan de belanghebbenden is gezonden (3). De EDPS is ermee ingenomen dat hij door de Commissie wordt geraadpleegd. Hij vindt dat dit advies in de preambule van het Raadsbesluit moet worden vermeld.

3.

Doel van het voorstel is de harmonisatie van de bepalingen van de lidstaten inzake de verplichtingen van luchtvervoerders die vluchten uitvoeren naar of vanaf het grondgebied van ten minste één lidstaat, om PNR-gegevens door te geven aan de bevoegde autoriteiten met het oog op de voorkoming en bestrijding van terroristische misdrijven en georganiseerde criminaliteit.

4.

De Europese Unie heeft met de Verenigde Staten en ook met Canada overeenkomsten gesloten met het oog op de doorgifte van PNR-gegevens voor vergelijkbare doeleinden. Een eerste, in mei 2004 met de Verenigde Staten gesloten, overeenkomst is in juli 2007 vervangen door een nieuwe overeenkomst (4). Een soortgelijke overeenkomst is in juli 2005 met Canada gesloten (5). Voorts gaan weldra onderhandelingen tussen de EU en Australië van start met het oog op een overeenkomst over de uitwisseling van PNR-gegevens; Zuid-Korea verzoekt ook om PNR-gegevens van vluchten naar zijn grondgebied, maar in dit stadium zijn er nog geen plannen voor onderhandelingen op Europees niveau.

5.

Binnen de EU vormt het voorstel een aanvulling op Richtlijn 2004/82/EG van de Raad (6) betreffende de verplichting voor vervoerders om passagiersgegevens, bekend als API-gegevens, door te geven met het oog op bestrijding van illegale immigratie en verbetering van de grenscontrole. Deze richtlijn had uiterlijk op 5 september 2006 in het nationale recht van de lidstaten omgezet moeten zijn. Ze wordt evenwel nog niet in alle lidstaten toegepast.

6.

In tegenstelling tot de op voorhand af te geven passagiersgegevens (API-gegevens), die moeten helpen bij het identificeren van individuele personen, dragen de in het voorstel vermelde PNR-gegevens bij tot het uitvoeren van risicobeoordelingen van personen, het verkrijgen van inlichtingen en het leggen van verbanden tussen bekende en onbekende personen.

7.

Het voorstel bevat de volgende hoofdelementen:

8.

Het voorstel waarover de EDPS wordt geraadpleegd, is een verdere stap op weg naar een routinematige verzameling van gegevens van personen die in principe niet van een misdrijf worden verdacht. Zoals hierboven vermeld, speelt deze ontwikkeling zich op internationaal en Europees niveau af.

9.

De EDPS neemt er nota van dat ook de Groep van artikel 29 en de Groep politie en justitie een gezamenlijk advies over het voorstel hebben ingediend (8). De EDPS steunt dat advies. In het onderhavige advies wordt een aantal aanvullende punten benadrukt en ontwikkeld.

10.

Alle relevante aspecten van het voorstel zullen in het advies van de EDPS worden onderzocht, maar de aandacht zal vooral uitgaan naar vier hoofdpunten:

11.

In een laatste deel zullen nog andere belangrijke punten aan bod komen, waaronder positieve maatregelen op het gebied van gegevensbescherming, maar ook bijkomende redenen tot bezorgdheid over het voorstel.

12.

Om de rechtmatigheid van de voorgestelde maatregelen conform de fundamentele beginselen inzake gegevensbescherming, met name artikel 8 van het Europees Handvest van de Grondrechten en de artikelen 5 tot en met 8 van Verdrag nr. 108 van de Raad van Europa (9) na te gaan, moet het doel van de beoogde verwerking van persoonsgegevens duidelijk worden vastgesteld, zodat de noodzakelijkheid en de evenredigheid ervan kunnen worden beoordeeld Er moet worden gegarandeerd dat er geen andere, minder indringende, middelen beschikbaar zijn om het beoogde doel te bereiken.

13.

Uit de formulering van het voorstel en de effectbeoordeling daarvan blijkt dat niet wordt beoogd personen die bekend staan als terrorist of bij de georganiseerde misdaad betrokken crimineel te identificeren door hun namen te vergelijken met de namen die op door de wetshandhavingsinstanties beheerde lijsten staan. Het doel is het verzamelen van inlichtingen met betrekking tot terrorisme of georganiseerde criminaliteit, en meer specifiek „het uitvoeren van risicobeoordelingen van personen, het verkrijgen van inlichtingen en het leggen van verbanden tussen bekende en onbekende personen” (10). Het in artikel 3, lid 5, van het voorstel genoemde doel is, in dezelfde lijn en in de eerste plaats, „het identificeren van personen die betrokken zijn of kunnen zijn bij een terroristisch misdrijf of een misdrijf dat verband houdt met georganiseerde criminaliteit en van met deze personen geassocieerde personen”.

14.

Dit is de reden die wordt aangehaald om te stellen dat API-gegevens niet volstaan voor het genoemde doel. Zoals reeds is vermeld, kunnen API-gegevens helpen bij het identificeren van personen, terwijl PNR-gegevens geen identificatiedoel hebben maar de details ervan bijdragen tot het uitvoeren van risicobeoordelingen van personen, het verkrijgen van inlichtingen en het leggen van verbanden tussen bekende en onbekende personen.

15.

Het doel van de beoogde maatregelen bestrijkt niet alleen het arresteren van bekende personen, maar ook het lokaliseren van personen die onder de criteria van het voorstel kunnen vallen.

Om die personen te identificeren, staan risicoanalyse en de vaststelling van patronen centraal in het project. In overweging 9 van het voorstel staat uitdrukkelijk dat de gegevens „voldoende lang” moeten „worden bewaard om risico-indicatoren te ontwikkelen en reis- en gedragspatronen te kunnen afleiden”.

16.

Het doel wordt aldus op twee niveaus beschreven: het eerste niveau is de algemene doelstelling om terrorisme en georganiseerde criminaliteit te bestrijden, terwijl het tweede niveau de middelen en maatregelen omvat die inherent zijn aan de verwezenlijking van deze doelstelling. Hoewel bestrijding van terrorisme en georganiseerde criminaliteit als doel duidelijk genoeg en rechtmatig lijkt te zijn, zijn de middelen om dit doel te bereiken voor discussie vatbaar.

17.

Het voorstel geeft geen indicatie over de manier waarop patronen zullen worden afgeleid en de risicobeoordeling zal worden verricht. De effectbeoordeling bevat de volgende verduidelijking met betrekking tot de manier waarop PNR-gegevens zullen worden gebruikt: vergelijking van PNR-gegevens „met een combinatie van kenmerken en gedragspatronen, teneinde een risicobeoordeling te maken. Wanneer een passagier binnen een bepaalde risicobeoordeling past, kan hij worden geïdentificeerd als een passagier met een hoog risico” (11).

18.

Verdachte personen zouden kunnen worden geselecteerd op basis van concrete elementen van verdenking in hun PNR-gegevens (bv. contact met een verdacht reisagentschap, referentie van een gestolen creditcard) alsook van „patronen” of een abstract profiel. Op basis van reispatronen kunnen namelijk verschillende standaardprofielen worden opgesteld voor „normale passagiers” en voor „verdachte passagiers”. Met deze profielen zouden de passagiers die niet onder de categorie „normale passagiers” vallen verder kunnen worden onderzocht, vooral indien hun profiel wordt geassocieerd met andere elementen van verdenking, zoals een gestolen creditcard.

19.

Hoewel niet kan worden aangenomen dat passagiers in het vizier komen op grond van hun godsdienst of andere gevoelige gegevens, blijkt niettemin dat zij voor onderzoek in aanmerking zouden komen op basis van een mix van concrete en abstracte informatie, waaronder standaardpatronen en abstracte profielen.

20.

Er valt over te discussiëren of dit soort onderzoek profilering kan worden genoemd. Profilering zou bestaan in een computermethode die, door datamining toe te passen op een datawarehouse, de indeling, met een bepaalde waarschijnlijkheid — en dus met een bepaalde foutenmarge — van een persoon in een specifieke categorie mogelijk maakt of moet maken, zodat ten aanzien van die persoon individuele beslissingen kunnen worden genomen (12).

21.

De EDPS weet dat er discussies over de definitie van profilering aan de gang zijn. Of nu al dan niet officieel wordt erkend dat het voorstel strekt tot het profileren van passagiers, het belangrijkste punt waar het hier om gaat heeft geen betrekking op definities, maar op het effect op personen.

22.

De bezorgdheid van de EDPS is vooral dat beslissingen over individuen zullen worden genomen op basis van patronen en criteria die zijn vastgesteld met gebruikmaking van de gegevens van passagiers in het algemeen. Aldus kunnen over één bepaalde persoon beslissingen worden genomen op basis (tenminste gedeeltelijk) van patronen die uit de gegevens van andere personen zijn afgeleid. Dus zullen in verhouding tot een abstracte context beslissingen worden genomen die zeer ingrijpend kunnen zijn voor de betrokkenen. Het is voor individuele personen uiterst moeilijk zich tegen dergelijke beslissingen te verdedigen.

23.

Voorts moet de risicobeoordeling worden verricht zonder dat er eenvormige normen voor de identificatie van verdachte personen zijn. De EDPS heeft ernstige vragen bij de rechtszekerheid van het volledige filterproces, aangezien de criteria op basis waarvan iedere passagier zal worden doorgelicht zo slecht gedefinieerd zijn.

24.

De EDPS herinnert aan de jurisprudentie van het Europees Hof voor de Rechten van de Mens, volgens dewelke het nationale recht voldoende precies moet zijn om de burgers aan te geven in welke omstandigheden en op welke voorwaarden de overheid gemachtigd is om informatie over hun privé-leven op te slaan en te gebruiken. De informatie „moet toegankelijk zijn voor de betrokkene en qua gevolgen voorzienbaar zijn”. Een voorschrift is „voorzienbaar” indien het „voldoende nauwkeurig” is om iedere persoon — zonodig met deskundig advies — in staat te stellen „zijn gedrag daarop af te stemmen” (13).

25.

Ten slotte moet het onderhavige voorstel omwille van dit soort risico's aandachtig worden bestudeerd. Hoewel het algemene doel van bestrijding van terrorisme en georganiseerde misdaad op zich duidelijk en rechtmatig is, blijkt de essentie van de te verrichten verwerking niet voldoende omschreven en verantwoord te zijn. De EDPS dringt er derhalve bij de EU-wetgever op aan dit helder te krijgen voordat het kaderbesluit wordt aangenomen.

26.

Het inbreuk makende karakter van de maatregelen is duidelijk, zoals hierboven is aangetoond. Anderzijds is het nut verre van aangetoond.

27.

De effectbeoordeling betreffende het voorstel is eerder toegespitst op de beste manier om EU-PNR vast te stellen, dan op de noodzaak van die PNR. In de effectbeoordeling (14) wordt verwezen naar PNR-systemen in andere landen, namelijk in de Verenigde Staten en het Verenigd Koninkrijk. Het gebrek aan precieze gegevens en cijfers over deze systemen valt evenwel te betreuren. In het Britse seinsysteem wordt melding gemaakt van „talrijke arrestaties” met betrekking tot „verscheidene misdrijven”, zonder dat enige precisering over het verband met terrorisme of georganiseerde criminaliteit wordt gegeven. Er worden geen details verstrekt over het programma van de Verenigde Staten, behalve dat „de EU de waarde van PNR-gegevens heeft kunnen vaststellen en zich bewust geworden is van het potentieel hiervan voor wetshandhavingsdoeleinden”.

28.

Niet alleen is er in het voorstel een gebrek aan precieze informatie over de concrete resultaten van die PNR-systemen, maar evenmin wordt de doeltreffendheid van de maatregelen in dit stadium bevestigd door verslagen die door andere instanties, zoals de GAO in de Verenigde Staten, zijn gepubliceerd (15).

29.

De EDPS is van oordeel dat technieken die erin bestaan het door bepaalde personen gevormde risico te beoordelen door middel van datamininginstrumenten en gedragspatronen, verder moeten worden geëvalueerd, en dat het nut ervan duidelijk moet worden vastgesteld in het kader van de terrorismebestrijding, alvorens zij op zo'n grote schaal worden gebruikt.

30.

Om de balans tussen de inbreuk op de privacy van de persoon en de noodzakelijkheid van de maatregel te beoordelen (16), wordt rekening gehouden met de volgende elementen:

31.

Het evenredigheidsbeginsel respecteren houdt niet alleen in dat de voorgestelde maatregel doeltreffend is, maar ook dat het met het voorstel beoogde doel niet kan worden bereikt met instrumenten die minder inbreuk maken op de privacy. De doeltreffendheid van de beoogde maatregelen is niet aangetoond. Het bestaan van alternatieven moet zorgvuldig worden geëvalueerd alvorens aanvullende/nieuwe maatregelen worden vastgesteld voor het verwerken van persoonsgegevens. Volgens de EDPS heeft deze alomvattende evaluatie niet plaatsgevonden.

32.

De EDPS wenst te herinneren aan de andere grootschalige systemen voor toezicht op de bewegingen van personen binnen of aan de grenzen van de EU, die in werking zijn of weldra in werking zullen worden gesteld, waaronder met name het Visuminformatiesysteem (17) en het Schengeninformatiesysteem (18). Hoewel deze instrumenten de bestrijding van terrorisme of georganiseerde criminaliteit niet als voornaamste doel hebben, zijn zij in zekere mate toegankelijk voor wetshandhavingsinstanties — of zullen zij dat worden — voor het ruimere toepassingsgebied van de criminaliteitsbestrijding (19).

33.

Een ander voorbeeld heeft betrekking op de beschikbaarheid van persoonsgegevens die in nationale politiedatabanken zijn opgeslagen — voornamelijk in verband met biometrische gegevens — in het kader van het in mei 2005 ondertekende Verdrag van Prüm, dat tot alle lidstaten van de Europese Unie wordt uitgebreid (20).

34.

Deze verschillende instrumenten hebben met elkaar gemeen dat zij een algemeen toezicht op de bewegingen van personen mogelijk maken, zij het vanuit verschillende perspectieven. De manier waarop zij reeds kunnen bijdragen tot de bestrijding van specifieke criminaliteitsvormen, met inbegrip van terrorisme, moet grondig en uitvoerig worden onderzocht vooraleer wordt besloten een nieuwe vorm van systematische doorlichting van alle personen die de EU per vliegtuig verlaten of binnenkomen, vast te stellen. De EDPS beveelt aan dat de Commissie een dergelijk onderzoek zou voeren, als een noodzakelijke stap in de wetgevingsprocedure.

35.

In het licht van het bovenstaande concludeert de EDPS het volgende met betrekking tot de rechtmatigheid van de voorgestelde maatregelen. Voortbouwen op verschillende databanken zonder algemeen zicht op de concrete resultaten en tekortkomingen:

36.

Terrorismebestrijding kan zeker een legitieme grond zijn om uitzonderingen op de fundamentele rechten op privacy en gegevensbescherming te hanteren. Om geldig te zijn echter moet de noodzakelijkheid van de inbreuk met duidelijke en onweerlegbare elementen worden ondersteund, en moet de evenredigheid van de verwerking worden aangetoond. Dit geldt des te meer bij een grote inbreuk op de persoonlijke levenssfeer zoals dit voorstel beoogt.

37.

Er kan alleen worden opgemerkt dat dergelijke verantwoordingselementen in het voorstel ontbreken en dat het de noodzakelijkheids- en de evenredigheidstoets niet kan doorstaan.

38.

De EDPS benadrukt het essentiële karakter van de bovengenoemde noodzakelijkheids- en evenredigheidstoets. Deze vormt een conditio sine qua non voor de inwerkingtreding van het onderhavige voorstel. Verdere opmerkingen van de EDPS in dit advies moeten in het licht van deze voorafgaande voorwaarde worden gezien.

39.

De onderstaande analyse is toegespitst op drie punten:

40.

In artikel 11 van het voorstel staat: „De lidstaten zorgen ervoor dat het Kaderbesluit (…) van de Raad inzake de bescherming van persoonsgegevens die worden verwerkt in het kader van de politiële en justitiële samenwerking in strafzaken van toepassing is op de verwerking van persoonsgegevens krachtens dit kaderbesluit.”.

41.

Ondanks deze bepaling is het evenwel niet duidelijk in welke mate het kaderbesluit gegevensbescherming — een instrument van de derde pijler van het EU-Verdrag — van toepassing zal zijn op door luchtvaartmaatschappijen verwerkte, door PIU's verzamelde en door andere bevoegde autoriteiten verder gebruikte gegevens.

42.

De eerste fase in de verwerking van persoonsgegevens waarin het voorstel voorziet, is de verwerking door luchtvaartmaatschappijen, die verplicht zijn PNR-gegevens — in principe via de „pushmethode” — beschikbaar te stellen aan nationale PIU's. Uit de formulering van het voorstel en de effectbeoordeling (22) zou men kunnen opmaken dat de luchtvaartmaatschappijen de gegevens ook als bulkdata aan intermediairs kunnen overdragen. Luchtvaartmaatschappijen zijn voornamelijk actief in een commerciële omgeving, waarvoor de nationale wetgeving inzake gegevensbescherming tot uitvoering van Richtlijn 95/46/EG geldt (23). Wanneer de verzamelde gegevens voor wetshandhavingsdoeleinden worden gebruikt, zullen er vragen over het toepasselijke recht rijzen (24).

43.

De gegevens zouden vervolgens door een intermediair worden gefilterd (om te worden geformatteerd en om PNR-gegevens uit te sluiten die niet op de lijst van de in het voorstel vereiste gegevens staan) of rechtstreeks aan de PIU's worden toegezonden. Intermediairs kunnen ook actoren uit de particuliere sector zijn, zoals SITA, een bedrijf dat in die zin actief is in het kader van de PNR-Overeenkomst met Canada.

44.

Wat de PIU's betreft, die verantwoordelijk zijn voor de risicobeoordeling van alle gegevens, is het niet duidelijk wie verantwoordelijk zal zijn voor de verwerking. Het is mogelijk dat de douane- en grensautoriteiten erbij worden betrokken, en niet noodzakelijkerwijs de wetshandhavingsautoriteiten.

45.

De daaropvolgende doorgifte van gefilterde gegevens aan de „bevoegde” autoriteiten zou waarschijnlijk in een wetshandhavingscontext geschieden. In het voorstel is bepaald dat „bevoegde autoriteiten uitsluitend autoriteiten kunnen zijn die verantwoordelijk zijn voor de voorkoming en bestrijding van terroristische misdrijven en georganiseerde criminaliteit”.

46.

Naarmate de verwerking vordert, houden de betrokken actoren en het nagestreefde doel meer verband met de politiële en justitiële samenwerking in strafzaken. In het voorstel wordt evenwel niet uitdrukkelijk vermeld op welk moment precies het kaderbesluit gegevensbescherming van toepassing wordt. Afgaand op de formulering zou zelfs kunnen worden gedacht dat het op de volledige verwerking van toepassing is, en zelfs op de luchtvaartmaatschappijen (25). Het kaderbesluit gegevensbescherming houdt echter op zich een aantal beperkingen in.

47.

In dit verband betwijfelt de EDPS fundamenteel of titel VI van het EU-Verdrag als rechtsgrondslag kan dienen om wettelijke verplichtingen op routinematige basis voor wetshandhavingsdoeleinden op te leggen aan actoren uit de particuliere sector. Voorts is de vraag relevant of titel VI van het EU-Verdrag als rechtsgrondslag kan dienen om wettelijke verplichtingen op te leggen aan overheidsinstellingen die in principe buiten het kader van de samenwerking op het gebied van wetshandhaving staan. Deze vragen zullen verder op in dit advies worden behandeld.

48.

De tekst van het voorstel voor een kaderbesluit van de Raad over de bescherming van persoonsgegevens die worden verwerkt in het kader van de politiële en justitiële samenwerking in strafzaken bevat ten minste twee beperkingen die van belang zijn wat het toepassingsgebied betreft.

49.

In de eerste plaats wordt het toepassingsgebied van het kaderbesluit gegevensbescherming duidelijk omschreven in het kaderbesluit zelf: het „is alleen van toepassing op gegevens die door de bevoegde autoriteiten worden verzameld of verwerkt met het oog op preventie, onderzoek, opsporing en vervolging ter zake van strafbare feiten en tenuitvoerlegging van straffen” (26).

50.

In de tweede plaats wordt het kaderbesluit gegevensbescherming niet geacht van toepassing te zijn op gegevens die louter op nationaal niveau worden verwerkt, maar is het beperkt tot gegevens die tussen de lidstaten worden uitgewisseld en de verdere doorgifte aan derde landen (27).

51.

Het kaderbesluit gegevensbescherming bevat ook een aantal nadelen in vergelijking met Richtlijn 95/46/EG, met name een ruime uitzondering op het doelbeperkingsbeginsel. Met betrekking tot dit beginsel beperkt het voorstel het doel van de verwerking duidelijk tot de bestrijding van terrorisme en georganiseerde criminaliteit. Het kaderbesluit gegevensbescherming laat evenwel verwerking voor ruimere doeleinden toe. In een dergelijk geval moet de lex specialis (het voorstel) prevaleren boven de lex generalis (het kaderbesluit gegevensbescherming) (28). Dit moet uitdrukkelijk worden gesteld in de tekst van het voorstel.

52.

Daarom beveelt de EDPS aan de volgende bepaling aan het voorstel toe te voegen: „Persoonsgegevens die overeenkomstig dit kaderbesluit door luchtvaartmaatschappijen worden overgedragen, mogen niet voor andere doeleinden dan de bestrijding van terrorisme en georganiseerde criminaliteit worden verwerkt. De uitzonderingen op het doelbeginsel waarin is voorzien in het kaderbesluit van de Raad over de bescherming van persoonsgegevens die worden verwerkt in het kader van de politiële en justitiële samenwerking in strafzaken, gelden niet.”.

53.

Concluderend neemt de EDPS nota van een ernstig gebrek aan rechtszekerheid met betrekking tot de gegevensbeschermingsregeling die van toepassing is op de verschillende bij het project betrokken actoren, met name luchtvaartmaatschappijen en andere actoren uit de eerste pijler: of dit nu de regels van het voorstel, de regels van het kaderbesluit gegevensbescherming of de nationale wetgeving ter uitvoering van Richtlijn 95/46/EG zijn. De wetgever moet duidelijk maken op welk ogenblik van de verwerking deze verschillende regels precies zullen gelden.

54.

De EDPS heeft fundamentele vragen bij het feit dat een instrument van de derde pijler routinematige wettelijke verplichtingen voor wetshandhavingsdoeleinden schept voor actoren uit de particuliere of de publieke sector die in principe buiten het kader van de samenwerking op wetshandhavingsgebied staan.

55.

Hier kan een vergelijking worden gemaakt met twee andere gevallen waarin de particuliere sector werd betrokken bij de bewaring of doorgifte van gegevens met het oog op wetshandhaving:

56.

In het onderhavige voorstel betreffende EU-PNR moeten de luchtvaartmaatschappijen de PNR-gegevens van alle passagiers systematisch beschikbaar stellen. Deze gegevens worden evenwel niet rechtstreeks als bulkdata doorgegeven aan wetshandhavingsinstanties: ze kunnen aan een intermediair worden gezonden en ze worden geëvalueerd door een derde partij waarvan het statuut onduidelijk blijft, alvorens de geselecteerde informatie aan de bevoegde autoriteiten wordt gezonden.

57.

Het grootste deel van de verwerking gebeurt in een grijze zone die zowel met de eerste als met de derde pijler materieel verband houdt. Zoals in deel IV zal worden besproken, is de hoedanigheid van de actoren die de gegevens verwerken niet duidelijk. Luchtvaartmaatschappijen zijn duidelijk geen handhavingsautoriteiten, en intermediairs kunnen actoren uit de particuliere sector zijn. Zelfs met betrekking tot PIU's die publieke overheden zouden zijn, moet worden benadrukt dat niet iedere overheidsinstelling over de hoedanigheid en de bevoegdheden beschikt om op routinebasis wetshandhavingstaken te vervullen.

58.

Van oudsher is er een duidelijke scheiding tussen wetshandhaving en activiteiten van de particuliere sector, waarbij wetshandhavingstaken door speciaal daarvoor bevoegde autoriteiten, met name de politiediensten, worden vervuld en particuliere actoren per geval wordt verzocht om persoonsgegevens te verstrekken aan deze handhavingsautoriteiten. Er is nu een tendens om systematisch samenwerking voor wetshandhavingsdoeleinden op te leggen aan particuliere actoren, hetgeen de vraag doet rijzen welk gegevensbeschermingskader (eerste of derde pijler) van toepassing is op de voorwaarden van deze samenwerking: moeten de regels op de hoedanigheid van de verantwoordelijke voor de verwerking (particuliere sector) of op het beoogde doel (wetshandhaving) worden gebaseerd?

59.

De EDPS heeft reeds gewezen op het risico van een juridisch vacuüm tussen activiteiten in de eerste en de derde pijler (31). Het is inderdaad verre van duidelijk of activiteiten van particuliere bedrijven die in zekere zin verband houden met de wetshandhaving op strafrechtelijk gebied tot het werkterrein van de wetgever van de Europese Unie op grond van de artikelen 30, 31 en 34 EU-Verdrag behoren.

60.

Indien het algemene (eerste pijler-) kader niet van toepassing is, zouden dienstaanbieders moeilijke onderscheiden moeten maken in hun gegevensbanken. Onder de huidige regeling is het duidelijk dat de verantwoordelijke voor de verwerking ten aanzien van de betrokkenen dezelfde mate van gegevensbescherming in acht moet nemen, ongeacht de doeleinden die de bewaring van de gegevens rechtvaardigen. Daarom moet vermeden worden dat verwerking door dienstaanbieders voor verschillende doeleinden aan verschillende kaders voor gegevensbescherming zou worden onderworpen.

61.

Indien verschillende wettelijke regelingen op nationaal niveau van toepassing zijn, zou dit voornamelijk een groot effect hebben op de uitoefening door de betrokkene van zijn rechten.

62.

In de preambule van het voorstel staat dat „het recht in kennis te worden gesteld, het recht op toegang en het recht om gegevens te laten corrigeren, wissen of afschermen, evenals het recht op schadeloosstelling en het aanwenden van rechtsmiddelen zijn zoals vastgelegd” in het kaderbesluit gegevensbescherming. Met deze verklaring wordt echter geen antwoord gegeven op de vraag wie de verantwoordelijke voor de verwerking is die verzoeken van betrokkenen moet beantwoorden.

63.

De informatie over de verwerking zou door luchtvaartmaatschappijen kunnen worden verstrekt, maar de kwestie is complexer wanneer het over toegang tot of correctie van gegevens gaat. Deze rechten zijn immers beperkt op grond van het kaderbesluit gegevensbescherming. Zoals hierboven is gezegd, valt te betwijfelen of een dienstaanbieder zoals een luchtvaartmaatschappij kan worden verplicht om, afhankelijk van het beoogde doel (commercieel of wetshandhaving), gedifferentieerde rechten op toegang tot en correctie van de door hem bijgehouden gegevens te verlenen. Er kan worden aangevoerd dat deze rechten voor de PIU of de anderszins aangewezen bevoegde autoriteiten moeten worden uitgeoefend. Het voorstel geeft evenwel geen verdere indicatie in dit verband, en zoals reeds is vermeld, is het ook niet duidelijk of deze autoriteiten (tenminste de PIU's) wetshandhavingsinstanties zullen zijn die normaliter met beperkte (evt. indirecte) toegangsprocedures worden belast.

64.

Wat de PIU's betreft, dreigt de betrokkene ook met verschillende ontvangers van de gegevens te worden geconfronteerd; de gegevens worden nl. overgedragen aan de PIU van het land van vertrek/aankomst van de vluchten, maar per geval mogelijkerwijs ook aan PIU's van andere lidstaten. Bovendien is het mogelijk dat verscheidene lidstaten één gemeenschappelijke PIU willen oprichten of aanwijzen. In dat geval moet de betrokkene zijn verhaalrecht misschien voor een autoriteit van een andere lidstaat uitoefenen. Ook hier is het niet duidelijk of de nationale regels inzake gegevensbescherming van toepassing zullen zijn (deze worden geacht geharmoniseerd te zijn binnen de EU), dan wel of rekening moet worden gehouden met specifieke wetgeving inzake wetshandhaving (gezien het gebrek aan algemene harmonisatie in de derde pijler op nationaal niveau).

65.

Dezelfde vraag rijst in verband met de toegang tot gegevens die worden verwerkt door intermediairs, waarvan de status onduidelijk is, en die ook dezelfde zouden kunnen zijn voor luchtvaartmaatschappijen in verschillende landen van de EU.

66.

De EDPS betreurt de onzekerheid die blijft bestaan met betrekking tot de uitoefening van deze fundamentele rechten van de betrokkene. Hij benadrukt dat deze situatie grotendeels te wijten is aan het feit dat actoren die wetshandhaving niet als hoofdopdracht hebben, met dergelijke taken worden belast.

67.

De EDPS is van oordeel dat in het voorstel duidelijk moet worden gemaakt welke wettelijke regeling van toepassing is in welk stadium van de verwerking, en dat moet worden gespecificeerd jegens welke actor of autoriteit het recht op toegang en verhaal moet worden uitgeoefend. De EDPS herinnert eraan dat bepalingen betreffende gegevensbescherming overeenkomstig artikel 30, lid 1, onder b), van het EU-Verdrag passend moeten zijn en het volledige scala van in het voorstel vastgestelde verwerkingen moeten bestrijken. Een eenvoudige verwijzing naar het kaderbesluit gegevensbescherming volstaat niet, gezien het beperkte toepassingsgebied van dat kaderbesluit en de erin vervatte beperking van rechten. Voor zover het om wetshandhavingsautoriteiten gaat, moeten de regels van het kaderbesluit gegevensbescherming ten minste van toepassing zijn op de volledige verwerking waarin het voorstel voorziet, teneinde de coherentie van de toepassing van de gegevensbeschermingsbeginselen te garanderen.

68.

De EDPS neemt er nota van dat het voorstel niet in specificaties voorziet met betrekking tot de hoedanigheid van de ontvangers van door luchtvaartmaatschappijen verzamelde persoonsgegevens, hetzij intermediairs, passagiersinformatie-eenheden of bevoegde autoriteiten. Er moet worden benadrukt dat de hoedanigheid van de ontvanger rechtstreeks verband houdt met het soort garanties inzake gegevensbescherming die voor die ontvanger gelden. Het verschil tussen de garanties waarin met name door de regels van de eerste en de derde pijler is voorzien, is reeds vermeld. Het is van essentieel belang dat de toepasselijke regeling duidelijk is voor alle betrokken actoren, waaronder de nationale regeringen, de wetshandhavingsinstanties, de gegevensbeschermingsautoriteiten, alsook de verantwoordelijken voor de verwerking en de betrokkenen.

69.

In het voorstel wordt geen indicatie gegeven met betrekking tot de hoedanigheid van intermediairs (32). De rol van intermediairs als verantwoordelijken voor de verwerking of als verwerkers is evenmin gespecificeerd. De ervaring leert dat een entiteit uit de particuliere sector — een computerboekingssysteem of een andere entiteit — perfect kan worden belast met de taak om rechtstreeks PNR-gegevens te verzamelen bij luchtvaartmaatschappijen om ze vervolgens door te geven aan PIU's. Dat is namelijk de manier waarop gegevens worden verwerkt in het kader van de PNR-Overeenkomst met Canada. SITA (33) is het bedrijf dat verantwoordelijk is voor de verwerking van de informatie. De rol van de intermediair is van doorslaggevend belang, aangezien hij verantwoordelijk kan zijn voor het uitfilteren/herformatteren van door luchtvaartmaatschappijen in onverwerkte vorm overgedragen gegevens (34). Ook al zijn de intermediairs verplicht om de verwerkte informatie te wissen zodra deze aan de PIU's is doorgegeven, de verwerking op zich is hoogst gevoelig: een gevolg van het optreden van intermediairs is dat een extra databank wordt aangelegd die enorme hoeveelheden gegevens bevat, en zelfs, volgens het voorstel, gevoelige gegevens (in dat geval zijn de intermediairs verplicht die gevoelige gegevens te wissen). Daarom beveelt de EDPS aan geen intermediairs bij de verwerking van passagiersgegevens te betrekken, tenzij hun hoedanigheid en taken duidelijk gespecificeerd zijn.

70.

PIU's hebben een beslissende rol bij het identificeren van personen die bij terrorisme of georganiseerde criminaliteit betrokken (kunnen) zijn of ermee geassocieerd (kunnen) worden. Volgens het voorstel zullen zij verantwoordelijk zijn voor het ontwikkelen van risico-indicatoren en het verstrekken van inlichtingen over reispatronen (35). Wanneer de risicobeoordeling op gestandaardiseerde reispatronen gebaseerd is en niet op bewijsmateriaal in verband met een concreet geval, kan de analyse als proactief onderzoek worden beschouwd. De EDPS benadrukt dat dit soort verwerking in principe strikt geregeld (zo niet verboden) is in de wetgeving van de lidstaten, en de taak is van specifieke overheidsinstellingen waarvan de werking ook strikt is geregeld.

71.

Aan de PIU's wordt daarom de zeer gevoelige verwerking van informatie toevertrouwd, maar het voorstel geeft geen bijzonderheden over hun hoedanigheid en over de voorwaarden waaronder zij deze taak zouden uitoefenen. Hoewel het waarschijnlijk is dat deze door een regeringsinstantie, mogelijkerwijs de douane of een grenscontroledienst, zal worden verricht, verbiedt het voorstel de lidstaten niet uitdrukkelijk om deze taak aan inlichtingendiensten of zelfs om het even welke verwerker toe te vertrouwen. De EDPS onderstreept dat de transparantie en de garanties die voor inlichtingendiensten gelden, niet altijd dezelfde zijn als die welke voor de traditionele wetshandhavingsautoriteiten gelden. Nadere gegevens over de hoedanigheid van de PIU's zijn van doorslaggevend belang, aangezien dit rechtstreekse gevolgen zal hebben voor het toepasselijke rechtskader en de voorwaarden voor toezicht. De EDPS is van oordeel dat het voorstel een aanvullende bepaling moet bevatten waarin de specifieke kenmerken van de PIU's worden genoemd.

72.

Uit artikel 4 van het voorstel blijkt dat iedere autoriteit die verantwoordelijk is voor de voorkoming en bestrijding van terroristische misdrijven en georganiseerde criminaliteit de gegevens kan ontvangen. Hoewel het doel duidelijk is omschreven, ontbreekt de hoedanigheid van de autoriteit. Het voorstel voorziet niet in een beperking van de ontvangers tot wetshandhavingsinstanties.

Zoals hierboven is gezegd met betrekking tot PIU's, is het van doorslaggevend belang dat de desbetreffende gevoelige informatie in een omgeving met een duidelijk rechtskader wordt verwerkt. Dat is bijvoorbeeld veel meer het geval voor wetshandhavingsinstanties dan voor inlichtingendiensten. Gezien de elementen van datamining en proactief onderzoek die het voorstel bevat, kan niet worden uitgesloten dat dergelijke inlichtingendiensten bij de verwerking van de gegevens worden betrokken, zonder uitsluiting van andere soorten autoriteiten.

73.

De algemene opmerking van de EDPS is dat de handhaving van een PNR-systeem van de EU zelfs nog moeilijker wordt gemaakt aangezien wetshandhavingsautoriteiten verschillende bevoegdheden hebben naar gelang van het nationale recht van de lidstaten, al dan niet met inbegrip van inlichtingen-, belastingen-, immigratie- of politiediensten. Dit is echter een bijkomende reden om aan te bevelen het voorstel preciezer te maken met betrekking tot de hoedanigheid van de vermelde actoren en de garanties voor toezicht op de uitvoering van hun taken. Er moeten aanvullende bepalingen in het voorstel worden opgenomen, om de bevoegdheden en de wettelijke verplichtingen van intermediairs, PIU's en andere bevoegde autoriteiten duidelijk te specificeren.

74.

Het voorstel voorziet in een aantal waarborgen in verband met de doorgifte van PNR-gegevens aan derde landen (36). Het voorziet met name uitdrukkelijk in de toepassing van het kaderbesluit gegevensbescherming op de doorgifte van gegevens, alsook in een specifieke beperking van het doel, en het bepaalt dat de lidstaat zijn toestemming moet geven in geval van verdere doorgifte. De doorgifte moet ook in overeenstemming zijn met de nationale wetgeving van de betrokken lidstaat, en met alle toepasselijke internationale overeenkomsten.

75.

Er blijven echter vele vragen, met name met betrekking tot de aard van de toestemming, de voorwaarden voor toepassing van het kaderbesluit gegevensbescherming en de kwestie van „wederkerigheid” bij de doorgifte van gegevens aan derde landen.

76.

De lidstaat van herkomst moet uitdrukkelijk toestemming geven voor de verdere doorgifte van gegevens door een derde land aan een ander derde land. Het voorstel specificeert niet onder welke voorwaarden en door wie deze toestemming zal worden gegeven en of de nationale gegevensbeschermingsautoriteiten bij het besluit moeten worden betrokken. De EDPS is van oordeel dat de manier waarop toestemming wordt gegeven ten minste in overeenstemming moet zijn met de nationale wetten waarin voorwaarden voor de doorgifte van persoonsgegevens aan derde landen worden gesteld.

77.

Bovendien mag toestemming van een lidstaat niet prevaleren boven het beginsel volgens hetwelk het land van ontvangst in een passend niveau van bescherming moet voorzien voor de beoogde verwerking. Deze voorwaarden moeten cumulatief zijn, aangezien zij in het kaderbesluit gegevensbescherming zijn opgenomen (artikel 14). De EDPS stelt derhalve voor het volgende punt c) toe te voegen aan artikel 8, lid 1: „en c) het derde land voor een passend beschermingsniveau voor de beoogde gegevensverwerking zorgt”. De EDPS herinnert er in dit verband aan dat er mechanismen moeten komen die gemeenschappelijke normen en gecoördineerde beslissingen met betrekking tot adequaatheid garanderen (37).

78.

Het voorstel verwijst naar de in het kaderbesluit gegevensbescherming vervatte voorwaarden en waarborgen en specificeert ook uitdrukkelijk een aantal voorwaarden, met name de bovengenoemde toestemming van de betrokken lidstaat, en een beperking van het doel tot de voorkoming en bestrijding van terroristische misdrijven en georganiseerde criminaliteit.

79.

Het kaderbesluit gegevensbescherming zelf voorziet in voorwaarden voor de doorgifte van persoonsgegevens aan derde landen, namelijk met betrekking tot de beperking van het doel, de hoedanigheid van de ontvangers, de toestemming van de lidstaten, en het beginsel van adequaatheid. Het voorziet evenwel ook in afwijkingen van deze voorwaarden voor doorgifte: gerechtvaardigde doorslaggevende belangen, met name zwaarwegende openbare belangen, kunnen een voldoende basis voor doorgifte zijn, zelfs indien de hierboven genoemde voorwaarden niet zijn vervuld.

80.

Zoals reeds is vermeld in deel III van dit advies, is de EDPS van oordeel dat in de tekst van het voorstel duidelijk moet worden opgenomen dat de meer precieze waarborgen van het voorstel prevaleren boven de algemene voorwaarden — en uitzonderingen — van het kaderbesluit gegevensbescherming, waar dat van toepassing is.

81.

Het voorstel behandelt de kwestie van mogelijke „vergeldingsverzoeken” van landen die de EU om PNR-gegevens zouden kunnen verzoeken voor vluchten van de EU naar hun grondgebied. Wanneer de EU om gegevens uit de databanken van luchtvaartmaatschappijen van deze derde landen verzoekt, omdat zij een vlucht naar of vanuit de EU verzorgen, zouden die derde landen hetzelfde kunnen vragen van in de EU gevestigde luchtvaartmaatschappijen, met inbegrip van gegevens van EU-burgers. Hoewel de Commissie dit „vrij onwaarschijnlijk” acht, laat zij het toe. Het voorstel verwijst in dit verband naar het feit dat in de Overeenkomsten met de Verenigde Staten en Canada in een dergelijke „automatisch afdwingbare” wederkerige behandeling is voorzien (38). De EDPS heeft vragen bij de betekenis van deze automatische wederkerigheid en de toepassing van voorwaarden op dergelijke doorgiftes, met name rekening houdend met het bestaan van een passend niveau van bescherming van het betrokken land.

82.

Er moet een onderscheid worden gemaakt tussen derde landen die reeds een overeenkomst met de EU hebben gesloten en landen die dat niet hebben gedaan.

83.

De EDPS neemt er nota van dat wederkerigheid kan leiden tot het doorgeven van persoonsgegevens aan landen die geen garanties kunnen bieden inzake democratische normen en een passend niveau van gegevensbescherming.

84.

De effectbeoordeling geeft verdere elementen met betrekking tot de voorwaarden voor doorgifte van gegevens aan derde landen: het voordeel van het PNR-systeem van de EU, waarbij gegevens door PIU's worden gefilterd, wordt benadrukt. Alleen geselecteerde gegevens van verdachte personen (en geen bulkdata) zouden worden doorgegeven aan de bevoegde autoriteiten van de lidstaten en waarschijnlijk ook aan derde landen (39). De EDPS beveelt aan dit punt in de tekst van het voorstel te verduidelijken. Een eenvoudige verklaring in de effectbeoordeling biedt niet de nodige bescherming.

85.

Hoewel de selectie van gegevens het effect op de privacy van passagiers mede zou beperken, zij eraan herinnerd dat de beginselen inzake gegevensbescherming veel meer behelzen dan een beperking van het aantal gegevens — namelijk ook noodzakelijkheid, transparantie en de uitoefening van de rechten van de betrokkenen — en dat met alle beginselen rekening moet worden gehouden om te bepalen of een derde land een passend niveau van bescherming biedt.

86.

De effectbeoordeling geeft aan dat de EU in dit geval in die bilaterale overeenkomsten met derde landen op bepaalde normen kan aandringen en voor samenhang kan zorgen. Het wordt ook mogelijk derde landen waarmee de EU een overeenkomst heeft, om een wederkerige behandeling te verzoeken, hetgeen nu niet kan (40).

87.

Dit doet de vraag rijzen welk effect het voorstel heeft op de bestaande overeenkomsten met Canada en de Verenigde Staten. De voorwaarden voor toegang tot gegevens zijn in die overeenkomsten inderdaad ruimer, omdat de gegevens niet aan een soortgelijke selectie worden onderworpen voordat zij aan die derde landen worden doorgegeven.

88.

In de effectbeoordeling wordt gesteld dat in gevallen waarin de EU met een derde land een internationale overeenkomst heeft betreffende de uitwisseling/overdracht van PNR-gegevens aan dat derde land, terdege rekening moet worden gehouden met die overeenkomst. De luchtvervoerders moeten de PNR-gegevens naar de passagiersinformatie-eenheden zenden conform de normale praktijk uit hoofde van de huidige maatregel. De PIU die deze gegevens ontvangt, geeft ze door aan de bevoegde autoriteit van het derde land waarmee een dergelijke overeenkomst bestaat (41).

89.

Terwijl het voorstel enerzijds ten doel lijkt te hebben alleen geselecteerde gegevens door te geven aan bevoegde autoriteiten binnen of buiten de EU, herinneren de effectbeoordeling, de preambule (overweging 21) en artikel 11 zelf er anderzijds aan dat terdege rekening moet worden gehouden met de bestaande overeenkomsten. Dit kan tot de conclusie leiden dat filteren alleen een geldige maatregel kan zijn voor toekomstige overeenkomsten. In dit opzicht zou erin kunnen worden voorzien dat toegang tot de gegevens als „bulk” nog steeds de regel is voor de toegang door, bijvoorbeeld, de autoriteiten van de Verenigde Staten tot PNR-gegevens, overeenkomstig de bepalingen van de Overeenkomst tussen de EU en de Verenigde Staten, maar dat tegelijkertijd en per geval een doorgifte van gegevens aan de Verenigde Staten zou kunnen plaatsvinden die betrekking heeft op door de PIU's vastgestelde specifieke gegevens, met inbegrip van, zij het niet beperkt tot, gegevens betreffende vluchten naar de Verenigde Staten.

90.

De EDPS betreurt het gebrek aan duidelijkheid op dit beslissende punt van het voorstel. Hij acht het uiterst belangrijk dat de voorwaarden voor doorgifte van PNR-gegevens aan derde landen coherent zijn en een geharmoniseerd beschermingsniveau genieten. Daarnaast moeten ter wille van de rechtszekerheid verduidelijkingen met betrekking tot de garanties voor de doorgifte van gegevens in het voorstel zelf worden opgenomen en niet alleen in de effectbeoordeling, zoals nu het geval is.

91.

De EDPS neemt er nota van dat het voorstel uitdrukkelijk uitsluit dat door de passagiersinformatie-eenheden en de bevoegde autoriteiten van de lidstaten handhavingsmaatregelen worden genomen die uitsluitend op geautomatiseerde verwerking van PNR-gegevens of op ras of etnische afstamming, godsdienstige, levensbeschouwelijke of politieke overtuiging of seksuele geaardheid van een persoon zijn gebaseerd (42).

92.

Deze verduidelijking is welkom, aangezien ze het risico van willekeurige maatregelen tegen personen beperkt. De EDPS neemt er evenwel nota van dat het toepassingsgebied wordt beperkt tot handhavingsmaatregelen van PIU's of bevoegde autoriteiten. Deze formulering sluit de geautomatiseerde filtering van personen volgens standaardprofielen niet uit, en verhindert evenmin de geautomatiseerde opstelling van lijsten van verdachte personen en het nemen van maatreglen zoals uitgebreid toezicht, zolang deze maatregelen niet als handhavingsmaatregelen worden beschouwd.

93.

De EDPS vindt het begrip handhavingsmaatregelen te vaag, en is van oordeel dat in principe geen enkel besluit met betrekking tot personen zou mogen worden genomen dat uitsluitend op de geautomatiseerde verwerking van hun gegevens gebaseerd is (43). De EDPS beveelt aan het voorstel dienovereenkomstig te wijzigen.

94.

Artikel 5, lid 2, van het voorstel bevat een belangrijke precisering, aangezien duidelijk wordt gemaakt dat de luchtvaartmaatschappijen niet worden verplicht om, naast de gegevens die voor het oorspronkelijke commerciële doel worden verzameld, nog andere gegevens te verzamelen of te bewaren.

95.

Verscheidene aspecten van de verwerking van die gegevens moeten nog verder worden toegelicht:

De EDPS steunt de punten die in dit verband in het advies van de Groep van artikel 29 zijn gemaakt.

96.

Buiten de EU gevestigde luchtvaartmaatschappijen wordt verzocht gegevens zelf door te geven aan PIU's of intermediairs („push-methode”), voor zover zij over de nodige technische architectuur beschikken. Indien dat niet het geval is, zullen zij de overname van gegevens via de „pull-methode” moeten toestaan.

97.

Het toestaan van verschillende methoden voor de verstrekking van gegevens naar gelang van de betrokken luchtvaartmaatschappijen zal des te meer moeilijkheden opleveren met betrekking tot de controle op de overeenstemming van de doorgifte van PNR-gegevens met de gegevensbeschermingsregels. Dit dreigt ook de concurrentie tussen luchtvaartmaatschappijen van binnen en buiten de EU te verstoren.

98.

De EDPS herinnert eraan dat de push-methode, waarbij de luchtvaartmaatschappijen toezicht kunnen blijven houden op de kwaliteit van de doorgegeven gegevens en de omstandigheden van de doorgifte, de enige toelaatbare methode is wat betreft de evenredigheid van de verwerking. Bovendien moet het een daadwerkelijke „push” zijn, dat wil zeggen dat de gegevens niet als „bulk” aan een intermediair mogen worden gezonden, maar dat ze vanaf de eerste fase van de verwerking moeten worden gefilterd. Het is niet toelaatbaar dat niet-noodzakelijke gegevens — en gegevens die niet in bijlage 1 van het voorstel zijn opgenomen — aan een derde partij worden toegezonden, ook al moeten deze onmiddellijk door deze derde partij worden gewist.

99.

Artikel 9 van het voorstel voorziet in een bewaringstermijn van 5 jaar voor PNR-gegevens, met een bijkomende termijn van 8 jaar waarin de gegevens moeten worden bijgehouden in een „slapende” databank die onder beperkte voorwaarden toegankelijk zal zijn.

100.

De EDPS heeft vragen bij het verschil tussen de twee soorten databanken: het is twijfelachtig of de slapende databank een echt archief is, met verschillende methoden voor de opslag en opvraging van gegevens. De meeste van de voorwaarden voor toegang tot de slapende databank bestaan immers uit veiligheidsvoorschriften die ook voor de „databank voor bewaring gedurende vijf jaar” zouden kunnen gelden.

101.

De totale opslagduur — 13 jaar — is in ieder geval buitensporig lang. Deze wordt in de effectbeoordeling gerechtvaardigd door de noodzaak om risico-indicatoren te ontwikkelen en reis- en gedragspatronen af te leiden (46), waarvan de efficiëntie nader moet worden aangetoond. Hoewel het duidelijk is dat, bij een lopend onderzoek gegevens in een specifiek geval zolang als nodig kunnen worden bewaard, valt het niet te rechtvaardigen dat de gegevens van alle passagiers 13 jaar lang worden bewaard, terwijl er geen sprake is van enige vorm van verdenking.

102.

De EDPS neemt er verder nota van dat de lidstaten in hun antwoorden op de vragenlijst van de Commissie niet achter deze bewaringstermijn staan; volgens deze antwoorden zou de gemiddelde duur van de bewaringstermijn 3,5 jaar zijn (47).

103.

Bovendien is de termijn van 13 jaar vergelijkbaar met de bewaringstermijn van 15 jaar in de meest recente overeenkomst met de Verenigde Staten. De EDPS heeft altijd aangenomen dat deze lange bewaringstermijn alleen was overeengekomen omdat de VS-regering sterke druk uitoefende om een veel langere termijn dan 3,5 jaar te bekomen, en niet omdat dit ooit door de Raad of de Commissie werd verdedigd. Er is geen reden om een dergelijk compromis — dat alleen is gerechtvaardigd als noodzakelijk resultaat van onderhandelingen — binnen de EU zelf in een rechtsinstrument om te zetten.

104.

Het comité van de lidstaten dat op grond van artikel 14 van het voorstel wordt opgericht, zal bevoegd zijn voor beveiligingskwesties met inbegrip van protocollen en versleuteling van PNR-gegevens, maar ook voor advies inzake gemeenschappelijke algemene criteria en werkmethoden voor de risicobeoordeling.

105.

Behalve deze indicaties bevat het voorstel geen elementen of criteria met betrekking tot de concrete voorwaarden en het concrete kader van het risicobeoordelingsproces. De effectbeoordeling vermeldt dat de criteria uiteindelijk zullen afhangen van de inlichtingen die in het bezit van iedere lidstaat zijn en die in voortdurende ontwikkeling zijn. De risicobeoordeling moet worden verricht zonder dat er eenvormige normen voor de identificatie van verdachten zijn. De mate waarin het comité van de lidstaten in dit opzicht een rol zal kunnen spelen, lijkt dus twijfelachtig.

106.

Het voorstel bevat een reeks beveiligingsmaatregelen (48) die door PIU's, intermediairs en andere bevoegde autoriteiten moeten worden genomen om de gegevens te beschermen. Gezien het belang van de databank en de gevoelige aard van de verwerking, is de EDPS van oordeel dat, naast de beoogde maatregelen, de entiteit die de gegevens verwerkt ook moet worden verplicht om officieel kennis te geven van iedere inbreuk op de beveiliging.

107.

De EDPS is op de hoogte van het project om op Europees niveau een dergelijke kennisgevingsprocedure in te stellen in de elektronischecommunicatiesector. Hij adviseert deze waarborg op te nemen in het onderhavige voorstel, en verwijst in dit verband naar het systeem voor inbreuken op de beveiliging dat in de Verenigde Staten is ingevoerd met betrekking tot overheidsdiensten (49). Er kunnen zich namelijk beveiligingsincidenten voordoen op alle activiteitsterreinen, zowel in de particuliere als in de openbare sector, zoals het recente verlies van een volledige databank met gegevens van burgers door de Britse administratie heeft aangetoond (50). Grootschalige databanken zoals degene die in het voorstel wordt beoogd, zouden bij voorrang met een dergelijk waarschuwingssysteem moeten worden uitgerust.

108.

De EDPS neemt er nota van dat er binnen drie jaar na de inwerkingtreding van het kaderbesluit een evaluatie moet plaatsvinden op basis van een verslag van de Commissie. Hij erkent dat deze evaluatie, die gebaseerd zal zijn op door de lidstaten verstrekte informatie, specifiek betrekking zal hebben op gegevensbeschermingswaarborgen, en de toepassing van de „push-methode”, de gegevensbewaring en de kwaliteit van de risicobeoordeling zal omvatten. Volledigheidshalve moet deze evaluatie de resultaten bevatten van een analyse van de statistische gegevens die op basis van de verwerking van PNR-informatie zijn geproduceerd. Deze statistieken moeten, naast de in artikel 18 van het voorstel vermelde elementen, nadere statistische gegevens betreffende de identificatie van personen met een hoog risico bevatten, zoals de criteria voor die identificatie en de concrete resultaten van wetshandhavingsacties ten gevolge van de identificatie.

109.

De EDPS heeft in dit advies reeds de klemtoon gelegd op het ontbreken van concrete elementen om de noodzakelijkheid van het voorgestelde systeem vast te stellen. Hij is echter van mening dat, wanneer het kaderbesluit in werking treedt, het ten minste moet worden aangevuld met een vervalbepaling. Aan het eind van de periode van drie jaar moet het kaderbesluit worden ingetrokken indien er geen elementen zijn die pleiten voor verlenging.

110.

In de slotbepalingen van het voorstel wordt een voorwaarde gesteld voor de verdere toepassing van bestaande bilaterale of mulilaterale overeenkomsten of regelingen. Die instrumenten kunnen slechts worden toegepast voor zover zij verenigbaar zijn met de doelstellingen van het voorgestelde kaderbesluit.

111.

De EDPS heeft twijfels bij het toepassingsgebied van deze bepaling. Zoals reeds in deel V onder „Wederkerigheid” is vermeld, is het niet duidelijk wat het effect van deze bepaling zal zijn op de inhoud van overeenkomsten met derde landen, zoals de overeenkomst met de Verenigde Staten. Vanuit een ander perspectief is het evenmin duidelijk of de bepaling een effect kan hebben op de voorwaarden voor toepassing van instrumenten met een ruimer toepassingsgebied, zoals Verdrag nr. 108 van de Raad van Europa. Hoewel dit onwaarschijnlijk kan lijken gezien het verschil in institutionele context en betrokken actoren, moet ieder risico op verkeerde interpretatie worden vermeden en moet het voorstel duidelijk maken dat het geen effect heeft op instrumenten met een ruimer toepassingsgebied, met name degene die betrekking hebben op de bescherming van de grondrechten.

112.

De EDPS benadrukt de ingrijpende gevolgen van het huidige voorstel qua de gegevensbescherming. Hij heeft zijn analyse toegespitst op vier fundamentele kwesties die in het voorstel aan de orde komen, en beklemtoont dat de aangehaalde kwesties integraal moeten worden aangepakt. In de huidige omstandigheden is het voorstel niet in overeenstemming met de grondrechten, met name met artikel 8 van het Handvest van de grondrechten van de Unie, en zou het niet mogen worden aangenomen.

113.

Indien gehoor wordt gegeven aan de bovenstaande opmerkingen, met name betreffende de rechtmatigheidstoets, dan moet de wetgever rekening houden met een aantal formuleringsvoorstellen die in dit advies zijn gedaan. Met name wordt verwezen naar de punten 67, 73, 77, 80, 90, 93, 106, 109 en 111 van het advies.

114.

Hoewel het algemene doel van bestrijding van terrorisme en georganiseerde criminaliteit op zich duidelijk en rechtmatig is, is de essentie van de te verrichten verwerking niet voldoende omschreven en verantwoord.

115.

De EDPS is van oordeel dat de technieken om het risico dat bepaalde personen vormen te beoordelen door middel van datamininginstrumenten en gedragspatronen, verder moeten worden geëvalueerd, en dat hun nut voor terrorismebestrijding duidelijk moet worden vastgesteld alvorens zij op zo'n grote schaal worden gebruikt.

116.

Voortbouwen op verschillende databanken zonder algemeen zicht op de concrete resultaten en tekortkomingen:

117.

Terrorismebestrijding kan zeker een legitieme grond zijn om uitzonderingen op de fundamentele rechten op privacy en gegevensbescherming te hanteren. Om geldig te zijn echter moet de noodzakelijkheid van de inbreuk met duidelijke en onweerlegbare elementen worden ondersteund, en moet de evenredigheid van de verwerking worden aangetoond. Dit geldt des te meer bij een grote inbreuk op de persoonlijke levenssfeer, zoals dit voorstel beoogt.

118.

Deze verantwoordingselementen ontbreken in het voorstel, dat de noodzakelijkheids- en de evenredigheidstoets niet kan doorstaan.

119.

De EDPS benadrukt het essentiële karakter van de bovengenoemde noodzakelijkheids- en evenredigheidstoets. Deze vormt een conditio sine qua non voor de inwerkingtreding van het voorstel.

120.

De EDPS neemt nota van een ernstig gebrek aan rechtszekerheid met betrekking tot de regeling die van toepassing is op de verschillende bij het project betrokken actoren, met name luchtvaartmaatschappijen en andere actoren uit de eerste pijler, of dit nu de regels van het voorstel, de regels van het kaderbesluit gegevensbescherming of de nationale wetgeving ter uitvoering van Richtlijn 95/46/EG zijn. De wetgever moet duidelijk maken in welke fasen van de verwerking deze verschillende regels zullen gelden.

121.

De huidige tendens om systematisch samenwerking voor wetshandhavingsdoeleinden op te leggen aan particuliere actoren doet de vraag rijzen welk gegevensbeschermingskader (eerste of derde pijler) van toepassing is op de voorwaarden van deze samenwerking: het is niet duidelijk of de regels op de hoedanigheid van de verantwoordelijke voor de verwerking (particuliere sector) of op het beoogde doel (wetshandhaving) moeten worden gebaseerd.

122.

De EDPS heeft reeds de klemtoon gelegd op het risico van een juridisch vacuüm tussen activiteiten in de eerste en de derde pijler (51). Het is inderdaad verre van duidelijk of activiteiten van particuliere bedrijven die in zekere zin verband houden met de wetshandhaving op strafrechtelijk gebied, tot het werkterrein van de wetgever van de Europese Unie uit hoofde van de artikelen 30, 31 en 34 EU-Verdrag behoren.

123.

Vermeden moet worden dat verwerking door dienstaanbieders voor verschillende doeleinden aan verschillende kaders voor gegevensbescherming zou worden onderworpen, met name gezien de moeilijkheden die dit zou veroorzaken op het gebied van de uitoefening van de rechten van de betrokkenen.

124.

Het voorstel dient in een specificatie te voorzien met betrekking tot de hoedanigheid van de ontvangers van door luchtvaartmaatschappijen verzamelde persoonsgegevens, hetzij intermediairs, passagiersinformatie-eenheden of bevoegde autoriteiten.

125.

De hoedanigheid van de ontvangers, die in een aantal gevallen actoren uit de particuliere sector kunnen zijn, houdt rechtstreeks verband met het soort garanties inzake gegevensbescherming die voor die ontvanger gelden. Het is van essentieel belang dat de toepasselijke regeling duidelijk is voor alle betrokken actoren, waaronder de wetgever, de gegevensbeschermingsautoriteiten, alsook de verantwoordelijken voor de verwerking en de betrokkenen.

126.

De EDPS benadrukt dat ervoor moet worden gezorgd dat in het land van ontvangst in een passend niveau van bescherming wordt voorzien. Hij heeft ook vragen bij de betekenis van het in het voorstel vermelde „wederkerigheidsbeginsel” en de toepassing ervan op landen die reeds gebonden zijn door een overeenkomst met de EU, zoals Canada of de Verenigde Staten. Hij acht het uiterst belangrijk dat de voorwaarden voor doorgifte van PNR-gegevens aan derde landen coherent zijn en een geharmoniseerd beschermingsniveau genieten.

127.

De EDPS vestigt ook de aandacht van de wetgever op specifieke aspecten van het voorstel die moeten worden verduidelijkt of die beter rekening moeten houden met het gegevensbeschermingsbeginsel. Dit is met name het geval met betrekking tot de volgende aspecten:

128.

De EDPS neemt er nota van dat het onderhavige voorstel op een ogenblik komt waarop de institutionele context van de Europese Unie op het punt staat fundamenteel te wijzigen. De gevolgen van het Verdrag van Lissabon op het gebied van besluitvorming zullen fundamenteel zijn, vooral wat de rol van het Parlement betreft.

129.

Het nooit eerder geziene effect van het voorstel met betrekking tot de grondrechten in aanmerking nemend, adviseert de EDPS dit voorstel niet aan te nemen in het kader van het huidige Verdrag, maar ervoor te zorgen dat het de medebeslissingsprocedure van het nieuwe Verdrag volgt. Dat zou de rechtsgrondslagen versterken waarop de in het voorstel beoogde beslissende maatregelen zullen worden genomen.

1.

de bescherming van de veiligheid van de staat, de openbare veiligheid, de geldelijke belangen van de staat of de bestrijding van strafbare feiten;

2.

de bescherming van de betrokkene en van de rechten en vrijheden van anderen.”.

1.5.2008   

NL

Publicatieblad van de Europese Unie

C 110/16

1.5.2008   

NL

Publicatieblad van de Europese Unie

C 110/17

—

op de website „concurrentie” van de Europese Commissie (http://ec.europa.eu/comm/competition/mergers/cases/). Deze website biedt verschillende mogelijkheden om individuele concentratiebeschikkingen op te zoeken, onder meer op bedrijfsnaam, nummer van de zaak, datum en sector;

—

in elektronische vorm op de EUR-Lex website onder documentnummer 32008M5084. EUR-Lex is het geïnformatiseerde documentatiesysteem voor de communautaire wetgeving (http://eur-lex.europa.eu).

1.5.2008   

NL

Publicatieblad van de Europese Unie

C 110/17

—

op de website „concurrentie” van de Europese Commissie (http://ec.europa.eu/comm/competition/mergers/cases/). Deze website biedt verschillende mogelijkheden om individuele concentratiebeschikkingen op te zoeken, onder meer op bedrijfsnaam, nummer van de zaak, datum en sector;

—

in elektronische vorm op de EUR-Lex website onder documentnummer 32008M5104. EUR-Lex is het geïnformatiseerde documentatiesysteem voor de communautaire wetgeving (http://eur-lex.europa.eu).

1.5.2008   

NL

Publicatieblad van de Europese Unie

C 110/18

—

op de website „concurrentie” van de Europese Commissie (http://ec.europa.eu/comm/competition/mergers/cases/). Deze website biedt verschillende mogelijkheden om individuele concentratiebeschikkingen op te zoeken, onder meer op bedrijfsnaam, nummer van de zaak, datum en sector;

—

in elektronische vorm op de EUR-Lex website onder documentnummer 32008M4784. EUR-Lex is het geïnformatiseerde documentatiesysteem voor de communautaire wetgeving (http://eur-lex.europa.eu).

1.5.2008   

NL

Publicatieblad van de Europese Unie

C 110/18

—

op de website „concurrentie” van de Europese Commissie (http://ec.europa.eu/comm/competition/mergers/cases/). Deze website biedt verschillende mogelijkheden om individuele concentratiebeschikkingen op te zoeken, onder meer op bedrijfsnaam, nummer van de zaak, datum en sector;

—

in elektronische vorm op de EUR-Lex website onder documentnummer 32008M5092. EUR-Lex is het geïnformatiseerde documentatiesysteem voor de communautaire wetgeving (http://eur-lex.europa.eu).

1.5.2008   

NL

Publicatieblad van de Europese Unie

C 110/19

—

op de website „concurrentie” van de Europese Commissie (http://ec.europa.eu/comm/competition/mergers/cases/). Deze website biedt verschillende mogelijkheden om individuele concentratiebeschikkingen op te zoeken, onder meer op bedrijfsnaam, nummer van de zaak, datum en sector;

—

in elektronische vorm op de EUR-Lex website onder documentnummer 32008M5061. EUR-Lex is het geïnformatiseerde documentatiesysteem voor de communautaire wetgeving (http://eur-lex.europa.eu).

1.5.2008   

NL

Publicatieblad van de Europese Unie

C 110/20

1.5.2008   

NL

Publicatieblad van de Europese Unie

C 110/21

1.5.2008   

NL

Publicatieblad van de Europese Unie

C 110/22

Gobierno de Navarra

Departamento de Desarrollo Rural y Medio Ambiente

C/ Tudela, 20

E-31003 Pamplona (Navarra)

Dirección General de Desarrollo Rural

C/ Tudela, 20

E-31003 Pamplona

Tlf: (34-848) 42 29 33

E-mail: izabalzv@cfnavarra.es

Gobierno de Navarra

Departement Landbouw en Visserij

Duurzame Landbouwontwikkeling

Ellips, 6e verdieping

Koning Albert II laan 35, bus 40

B-1030 Brussel

—

Artikel 4 van Verordening (EG) nr. 1857/2006

—

Code général des collectivités territoriales (partie législative): articles L 1511-1 et L 1511-2

—

Délibération de la commission permanente régionale du 12 octobre 2007

a)

de bouw, verwerving of verbetering van onroerende goederen;

b)

de koop of huurkoop van machines en materieel, met inbegrip van computerprogrammatuur, tot maximaal de marktwaarde van de activa;

c)

algemene kosten in verband met de onder a) en b) bedoelde uitgaven, zoals kosten voor architecten, ingenieurs en adviseurs, haalbaarheidsstudies en het verkrijgen van octrooien en licenties

Conseil régional du Centre

9, rue St Pierre Lentin

F-45041 Orléans cedex 1

Tél.: (33) 02 38 70 30 30

Fax: (33) 02 38 70 31 18

E-mail: Amanda.Tibble@regioncentre.fr

Departamento de Agricultura, Alimentación y Acción Rural

Generalitat de Catalunya

Gran Via de les Corts Catalanes, 612-614

E-08007 Barcelona

2007: 70 000 EUR

2008: 66 750 EUR

2009: 67 500 EUR

2010: 67 875 EUR

2011: 68 250 EUR

2012: 68 625 EUR

2013: 69 000 EUR

—

tot 50 % van de subsidiabele uitgaven in probleemgebieden; en tot 40 % van de subsidiabele uitgaven in andere gebieden.

—

voor investeringen in niet-productieve erfgoedelementen, tot 100 % van de werkelijke uitgaven;

—

voor investeringen in erfgoedelementen die tot de productieve activa behoren, tot 60 % van de subsidiabele uitgaven — of 75 % in probleemgebieden — op voorwaarde dat de investeringen niet leiden tot een verhoging van de productiecapaciteit van het bedrijf;

—

aanvullende steun kan worden verleend tot 100 % om de extra kosten te dekken voor traditionele materialen die bij de instandhouding van de erfgoedelementen van bedrijven worden gebruikt.

—

de gemeentelijke overheid cofinanciert de verzekeringspremies voor een bedrag dat gelijk is aan het verschil tussen het uit de nationale begroting gefinancierde bedrag en maximaal 50 % van de subsidiabele verzekeringspremie wanneer de desbetreffende verzekering dient ter dekking van de verliezen aan gewassen en vruchten, en van de verliezen in de veehouderij als gevolg van ziekten.

—

tot 100 % van de werkelijke uitgaven voor juridische en administratieve procedures.

—

tot 100 % van de werkelijke uitgaven; de steun wordt verleend in de vorm van gesubsidieerde diensten en niet in de vorm van rechtstreekse geldelijke betalingen aan producenten.

—

tot 100 % van de subsidiabele uitgaven voor: onderwijs en opleiding voor landbouwers; adviesdiensten; de organisatie van fora, wedstrijden, tentoonstellingen en beurzen; publicaties en catalogi; de verspreiding van wetenschappelijke kennis; vervangingsdiensten. De steun wordt verleend in de vorm van gesubsidieerde diensten en niet in de vorm van rechtstreekse geldelijke betalingen aan producenten

Občina Žužemberk

Grajski trg 33

SLO-8360 Žužemberk

1.5.2008   

NL

Publicatieblad van de Europese Unie

C 110/27

1.5.2008   

NL

Publicatieblad van de Europese Unie

C 110/28

Block C, Sector 45

Greenwood City

Gurgaon 122003

Haryana

India

Express Building 9-10

Bahadur Shah Zaraf Marg

New Delhi 110002

India

1.5.2008   

NL

Publicatieblad van de Europese Unie

C 110/29