Rezumat al Avizului Autorității Europene pentru Protecția Datelor referitor la propunerea de Regulament privind schimbul automatizat de date în scopul cooperării polițienești („Prüm II”)

(Textul integral al prezentului aviz poate fi consultat în limbile engleză, franceză și germană pe site-ul AEPD www.edps.europa.eu)

(2022/C 225/04)

La 8 decembrie 2021, Comisia Europeană a adoptat o propunere de Regulament al Parlamentului European și al Consiliului privind schimbul automatizat de date în scopul cooperării polițienești („Prüm II”), de modificare a Deciziilor 2008/615/JAI și 2008/616/JAI ale Consiliului și a Regulamentelor (UE) 2018/1726, 2019/817 și 2019/818 ale Parlamentului European și ale Consiliului (așa-numitele „Decizii Prüm”). Propunerea face parte dintr-un pachet legislativ mai amplu, denumit „Codul de cooperare polițienească al UE”, care include și propunerea de Directivă a Parlamentului European și a Consiliului privind schimbul de informații între autoritățile de aplicare a legii din statele membre (sub rezerva unui aviz separat al AEPD) și o propunere de Recomandare a Consiliului privind cooperarea polițienească operațională.

Obiectivul propunerii este de a consolida cooperarea în materie de aplicare a legii și, în special, schimbul de informații dintre autoritățile competente responsabile cu prevenirea, depistarea și investigarea infracțiunilor, prin stabilirea condițiilor și a procedurilor pentru căutarea automatizată de profiluri ADN, de date dactiloscopice (amprente digitale), de imagini faciale, de caziere judiciare și de anumite date privind înmatricularea vehiculelor, precum și schimbul de date în urma unei concordanțe.

Deși înțelege necesitatea ca autoritățile de aplicare a legii să beneficieze de cele mai bune instrumente juridice și tehnice posibile pentru depistarea, investigarea și prevenirea infracțiunilor, AEPD ia act de faptul că propunerea privind noul cadru Prüm nu stabilește în mod clar elementele esențiale ale schimbului de date, cum ar fi tipurile de infracțiuni, care pot justifica o interogare, și nu descrie suficient de clar sfera de cuprindere a persoanelor vizate afectate de schimbul automatizat de date, de exemplu dacă bazele de date, care fac obiectul unei interogări, conțin numai date ale suspecților și/sau ale persoanelor condamnate sau, de asemenea, date ale altor persoane vizate, cum ar fi victimele sau martorii.

AEPD consideră, în special, că activitatea de căutare automatizată de profiluri ADN și de imagini faciale ar trebui să fie posibilă numai în contextul investigațiilor individuale ale formelor grave de criminalitate, și nu ale oricărei infracțiuni, astfel cum se prevede în propunere. În plus, AEPD consideră că este necesar să se introducă în propunere cerințe și condiții comune privind datele din bazele de date naționale care sunt accesibile pentru căutări automatizate, ținând seama în mod corespunzător de obligația prevăzută la articolul 6 din Directiva (UE) 2016/680 privind protecția datelor în materie de asigurare a respectării legii (LED) de a face o distincție între diferitele categorii de persoane vizate (de exemplu infractori condamnați, suspecți, victime etc.).

AEPD își exprimă, de asemenea, preocuparea cu privire la atingerile care ar putea fi aduse drepturilor fundamentale ale persoanelor vizate de căutarea automatizată și de schimbul de caziere judiciare, menționate în propunere. AEPD consideră că necesitatea căutării automatizate și a schimbului de date din cazierele judiciare, menționate în propunere, nu este suficient demonstrată. Dacă o astfel de măsură este totuși adoptată, chiar și în mod voluntar, ar fi necesare garanții suplimentare solide pentru a respecta principiul proporționalității. În special, având în vedere provocările legate de calitatea datelor, viitorul regulament ar trebui, printre altele, să definească în mod explicit tipurile și/sau gravitatea infracțiunilor care pot justifica o interogare automatizată în registrele naționale ale cazierelor judiciare.

În ceea ce privește includerea Europol în cadrul Prüm, AEPD consideră că observațiile și recomandările sale formulate în Avizul 4/2021 referitor la propunerea de modificare a Regulamentului privind Europol rămân pe deplin aplicabile în contextul cooperării Prüm, în special cele legate de așa-numita „provocare legată de volumele mari de date”, și anume prelucrarea de către agenție a unor seturi mari și complexe de date. AEPD ar dori să reamintească două dintre mesajele principale din Avizul privind Europol: competențele sporite ar trebui să fie însoțite întotdeauna de o supraveghere mai strictă și, la fel de important, ar trebui să se evite ca orice excepție aplicabilă sub formă de derogări să devină regulă.

Propunerea prevede o arhitectură complexă pentru căutarea și schimbul automatizat de date în cadrul Prüm, care oferă trei soluții tehnice separate, dezvoltate și întreținute de trei entități diferite. AEPD consideră că propunerea ar trebui să fie mai explicită în ceea ce privește responsabilitatea pentru prelucrarea datelor cu caracter personal, în special în EUCARIS, care nu se bazează pe dreptul Uniunii și are un caracter interguvernamental. În plus, AEPD este de părere că, având în vedere amploarea și sensibilitatea prelucrării datelor cu caracter personal, modelul de guvernanță orizontală propus al cadrului Prüm nu este adecvat și ar trebui consolidat în continuare, de exemplu prin atribuirea unui rol central de coordonare unei entități a UE, de exemplu, Comisiei.

În plus, în interesul securității juridice, AEPD consideră că relația dintre normele privind protecția datelor din propunere și cadrul juridic existent privind protecția datelor în UE, în special LED și Regulamentul (UE) nr. 1725/2018 (RPDUE), ar trebui clarificată în mod explicit.

De asemenea, avizul analizează și oferă recomandări cu privire la o serie de alte aspecte specifice, cum ar fi legătura dintre cadrul Prüm și cadrul de interoperabilitate, transferul de date către țări terțe și organizații internaționale sau supravegherea operațiunilor de prelucrare în scopul cooperării în cadrul Prüm.

1.   INTRODUCERE ȘI CONTEXT

1.

La 8 decembrie 2021, Comisia Europeană a adoptat o propunere de Regulament al Parlamentului European și al Consiliului privind schimbul automatizat de date în scopul cooperării polițienești („Prüm II”), de modificare a Deciziilor 2008/615/JAI și 2008/616/JAI ale Consiliului și a Regulamentelor (UE) 2018/1726, 2019/817 și 2019/818 ale Parlamentului European și ale Consiliului („propunerea”) (1).

2.

Propunerea face parte dintr-un pachet legislativ mai amplu, denumit „Codul de cooperare polițienească al UE”, care include, de asemenea: — o propunere de Directivă a Parlamentului European și a Consiliului privind schimbul de informații dintre autoritățile de aplicare a legii ale statelor membre și de abrogare a Deciziei-cadru 2006/960/JAI a Consiliului (2) și — o propunere de Recomandare a Consiliului privind cooperarea polițienească operativă (3).

3.

Obiectivul Codului de cooperare polițienească al UE, astfel cum a fost declarat de Comisie, este de a consolida cooperarea între statele membre în scopul asigurării aplicării legii și, în special, schimbul de informații între autoritățile competente (4). În acest sens, propunerea stabilește condițiile și procedurile pentru căutarea automatizată de profiluri ADN, de date dactiloscopice (amprente digitale), de imagini faciale, de caziere judiciare și de anumite date privind înmatricularea vehiculelor, precum și pentru schimbul de date în urma unei concordanțe, între autoritățile responsabile cu prevenirea, depistarea și investigarea infracțiunilor.

4.

Propunerea, precum și Codul de cooperare polițienească al UE în general, sunt legate de obiectivele de politică ale mai multor documente strategice ale UE în domeniul justiției și afacerilor interne, în special Strategia UE privind uniunea securității (5), Strategia UE de combatere a criminalității organizate 2021-2025 (6) și Strategia din 2021 privind spațiul Schengen (7). În plus, propunerile de instituire a Codului de cooperare polițienească ar trebui analizate în contextul reformei în curs a Europol și al rolului tot mai important al agenției ca platformă centrală de informare în materie penală a Uniunii, care colectează și prelucrează volume din ce în ce mai mari de date (8).

5.

La 5 ianuarie 2022, Comisia a consultat AEPD cu privire la propunerea de Regulament Prüm II, în temeiul articolului 42 alineatul (1) din Regulamentul (UE) 2018/1725. Observațiile și recomandările din prezentul aviz se limitează la cele mai relevante dispoziții ale propunerii în ceea ce privește protecția datelor.

4.   CONCLUZII

73.

Noul cadru Prüm propus nu stabilește în mod clar elementele esențiale ale schimbului de date, cum ar fi tipurile de infracțiuni, care pot justifica o interogare (căutare), în special în ceea ce privește profilurile ADN, și anume orice infracțiune sau doar formele mai grave de criminalitate. În plus, propunerea nu descrie clar sfera de cuprindere a persoanelor vizate afectate de schimbul automatizat de date, și anume dacă bazele de date, care fac obiectul unei interogări, conțin numai date ale suspecților și/sau ale persoanelor condamnate sau, de asemenea, date ale altor persoane vizate, cum ar fi victimele sau martorii.

74.

În vederea asigurării faptului că atingerile care ar putea fi aduse dreptului fundamental la protecția datelor cu caracter personal respectă principiul necesității și al proporționalității, în temeiul articolului 52 alineatul (1) din cartă, este esențial să se clarifice domeniul de aplicare personal și material al măsurilor, și anume categoriile de persoane vizate care vor fi afectate direct, precum și condițiile obiective care pot justifica o interogare automatizată în baza de date corespunzătoare a altor state membre sau a Europol.

75.

AEPD consideră, în special, că activitatea de căutare automatizată de profiluri ADN și de imagini faciale ar trebui să fie posibilă numai în contextul investigațiilor individuale privind formele grave de criminalitate, nu și în al oricărei infracțiuni, așa cum se prevede în propunere. În plus, în conformitate cu obligația prevăzută la articolul 6 din Directiva privind protecția datelor în materie de asigurare a respectării legii de a face o distincție între diferitele categorii de persoane vizate, propunerea ar trebui să prevadă o limitare a categoriilor de persoane vizate ale căror profiluri ADN și imagini faciale, stocate în bazele de date naționale, ar trebui să fie accesibile pentru căutări automatizate, având în vedere în special limitarea inerentă a scopului pentru datele provenite de la alte categorii decât infractorii condamnați sau suspecții.

76.

AEPD consideră că necesitatea propunerii privind căutarea și schimbul automatizate de date din cazierele judiciare nu este suficient demonstrată. În cazul în care o astfel de măsură este totuși adoptată, chiar și în mod voluntar, ar fi necesare garanții suplimentare solide pentru a respecta principiul proporționalității. În special, având în vedere provocările legate de calitatea datelor, care nu pot fi soluționate prin simple măsuri tehnice precum pseudonimizarea, viitorul regulament ar trebui să stabilească cel puțin tipurile și/sau gravitatea infracțiunilor care pot justifica o căutare automatizată în registrele naționale ale cazierelor judiciare.

77.

În ceea ce privește includerea Europol în cadrul Prüm, AEPD consideră că observațiile și recomandările sale formulate în Avizul 4/2021 referitor la propunerea de modificare a Regulamentului privind Europol rămân pe deplin aplicabile în contextul cooperării Prüm, în special cele legate de prelucrarea de către agenție a unor seturi mari de date. În plus, AEPD recomandă clarificarea domeniului de aplicare personal, și anume specificarea categoriilor de persoane vizate care fac obiectul interogărilor în temeiul articolelor 49 și 50, precum și alinierea perioadelor de păstrare a înregistrărilor, pentru a asigura coerența cu Regulamentul privind Europol.

78.

Propunerea prevede o arhitectură complexă pentru căutarea și schimbul automatizat de date în cadrul Prüm, care oferă trei soluții tehnice separate, dezvoltate și întreținute de trei entități diferite. În plus, una dintre ele – EUCARIS– nu se bazează pe un act juridic al Uniunii, ci are un caracter interguvernamental. Prin urmare, AEPD consideră că propunerea ar trebui să abordeze în mod explicit responsabilitatea pentru prelucrarea datelor cu caracter personal în Eucaris. În plus, AEPD consideră că, având în vedere amploarea și sensibilitatea prelucrării datelor cu caracter personal, modelul de guvernanță orizontală actual al cadrului Prüm nu este adecvat și ar trebui consolidat în continuare, de exemplu prin atribuirea unui rol central de coordonare unei entități a UE, precum Comisia.

79.

Un alt element important al propunerii, care necesită o analiză atentă a implicațiilor sale asupra drepturilor fundamentale, este alinierea cadrului Prüm la cadrul de interoperabilitate al sistemelor de informații ale UE în domeniul justiției și afacerilor interne. AEPD invită colegiuitorul să examineze necesitatea introducerii unor norme suplimentare în acest sens, de exemplu într-un act de punere în aplicare sau un act delegat, care să abordeze provocări specifice, cum ar fi calitatea și performanța algoritmilor de concordanță pentru imaginile faciale.

80.

Luând în considerare faptul că temeiul juridic al propunerii include, printre altele, articolul 16 din TFUE, din motive de claritate și certitudine, AEPD recomandă să se precizeze în propunere că dispozițiile privind protecția datelor din capitolul 6 nu aduc atingere aplicării LED și a RPDUE în ceea ce privește prelucrarea datelor cu caracter personal în contextul cooperării în materie de aplicare a legii în temeiul cadrului Prüm.

81.

În plus, AEPD consideră că cerința privind auditurile periodice ale operațiunilor de prelucrare a datelor cu caracter personal în sensul Regulamentului Prüm II ar trebui extinsă și ar trebui să acopere, de asemenea, operațiunile de prelucrare a datelor cu caracter personal la nivel național. În acest context, AEPD recomandă ca articolul 60 alineatul (2) din propunere să se refere la competențele AEPD în general, în temeiul articolului 58 din RPDUE, și nu doar la unele dintre acestea.

---

(1)  COM(2021) 784 final.

(2)  COM(2021) 782 final.

(3)  COM(2021) 780 final.

(4)  https://ec.europa.eu/home-affairs/news/boosting-police-cooperation-across-borders-enhanced-security-2021-12-08_en

(5)  Comunicare a Comisiei referitoare la Strategia UE privind uniunea securității, COM(2020) 605 final.

(6)  Comunicare a Comisiei referitoare la Strategia UE de combatere a criminalității organizate 2021-2025, COM(2021) 170 final.

(7)  Comunicare a Comisiei intitulată „Strategie pentru realizarea unui spațiu Schengen pe deplin funcțional și rezilient”, COM(2021) 277 final.

(8)  Pentru mai multe informații, vezi Avizul 4/2021 al AEPD, https://edps.europa.eu/system/files/2021-03/21-03-08_opinion_europol_reform_en.pdf