12.1.2017

Europeiska unionens officiella tidning

C 9/3

Sammanfattning av Europeiska datatillsynsmannens yttrande om det första reformpaketet för det gemensamma europeiska asylsystemet (Eurodac-, Easo- och Dublin-förordningarna)

(Den fullständiga texten till detta yttrande finns på engelska, franska och tyska på Europeiska datatillsynsmannens webbplats www.edps.europa.eu)

(2017/C 9/04)

Sedan flera år tillbaka upplever Europa ett hårt tryck till följd av en migrations- och flyktingkris, som förvärrades under 2015. Kommissionen har därför föreslagit en reform av Dublinförordningen, i syfte att anpassa den till den nuvarande situationen. Reformen har kombinerats med ett förslag till inrättande av Europeiska unionens asylbyrå, som ska bistå medlemsstaterna i utförandet av deras uppgifter rörande asyl.

Sedan Eurodac inrättades har systemet uppfyllt syftet att tillhandahålla bevis i form av fingeravtryck för att bistå vid avgörandet av vilken medlemsstat som ansvarar för att pröva en asylansökan som har lämnats in i EU.

Kommissionen har också föreslagit en omarbetning av Eurodacförordningen. Den huvudsakliga utmaningen i denna förordning är utvidgningen av Eurodacs användningsområde till att omfatta registrering av tredjelandsmedborgare som vistas olagligt i en medlemsstat eller som grips när de irreguljärt reser in i en medlemsstat från ett tredjeland.

EDPS erkänner behovet av en mer effektiv förvaltning av migrations- och asylsystemet i EU. Han rekommenderar emellertid omfattande förbättringar för att ta större hänsyn till de legitima rättigheterna och intressena hos berörda personer som kan komma att påverkas av behandlingen av personuppgifter, särskilt sårbara grupper som behöver särskilt skydd, såsom migranter och flyktingar.

I detta yttrande lämnar EDPS bland annat följande huvudsakliga rekommendationer:

—	I Dublinförordningen bör det anges att de unika identifikationsnummer som förs in i Dublindatabasen inte under några omständigheter får användas för andra syften än de som anges i Dublinförordningen.

—	Det bör genomföras en fullständig konsekvensbedömning av hur 2016 års omarbetning av Eurodacförordningen påverkar uppgiftsskyddet och integriteten, i syfte att mäta hur det nya textförslaget och utvidgningen av Eurodacdatabasens användningsområde inverkar på integriteten.

—	Det bör på grundval av en konsekvent studie eller en evidensbaserad strategi göras en bedömning av behovet att samla in och använda ansiktsbilder för de personkategorier som omfattas av 2016 års omarbetning av Eurodacförordningen och av huruvida det är proportionerligt att samla in dem.

—	Det bör göras en närmare bedömning av situationen för barn, utöver den som görs i motiveringen, samt en avvägning mellan de risker och den skada som förfarandet med fingeravtryck kan medföra för barn och de fördelar det kan innebära för dem.

I yttrandet påpekas även andra brister i de olika förslagen och lämnas ytterligare rekommendationer med avseende på uppgiftsskydd och integritet som bör beaktas i lagstiftningsprocessen.

I. INLEDNING OCH BAKGRUND

I april 2016 antog kommissionen ett meddelande med rubriken ”För en reform av det gemensamma asylsystemet och ökade möjligheter till laglig inresa till Europa” (1), där den fastställde prioriteringar för att förbättra det gemensamma europeiska asylsystemet (Ceas). Den 4 maj 2016 antog kommissionen följande tre förslag som en del av ett första paket för reform av Ceas:

—

Ett förslag till Europaparlamentets och rådets förordning om kriterier och mekanismer för att avgöra vilken medlemsstat som är ansvarig för att pröva en ansökan om internationellt skydd som en tredjelandsmedborgare eller en statslös person har lämnat in i någon medlemsstat (nedan kallat förslaget till Dublinförordning) (2);

—	Ett förslag till Europaparlamentets och rådets förordning om Europeiska unionens asylbyrå och om upphävande av förordning (EU) nr 439/2010 (nedan kallat förslaget om EU:s asylbyrå) (3).

—

Ett förslag till Europaparlamentets och rådets förordning om ändring av förordning (EU) nr 603/2013 om inrättande av Eurodac för jämförelse av fingeravtryck för en effektiv tillämpning av [förordning (EU) nr 604/2013] om kriterier och mekanismer för att avgöra vilken medlemsstat som är ansvarig för att pröva en ansökan om internationellt skydd som en tredjelandsmedborgare eller en statslös person har lämnat in i någon medlemsstat], för identifiering av tredjelandsmedborgare eller statslösa personer som vistas olagligt, och för när medlemsstaternas brottsbekämpande myndigheter och Europol begär jämförelser med Eurodacuppgifter för brottsbekämpande ändamål (omarbetning 2016) (nedan kallat förslaget till 2016 års omarbetning av Eurodacförordningen) (4).

EDPS rådfrågades informellt innan omarbetningen av Eurodacförordningen och förslaget om EU:s asylbyrå offentliggjordes, och överlämnade informella kommentarer avseende båda texterna till kommissionen.

EDPS inser att EU behöver hantera de utmaningar som migrations- och flyktingkrisen medfört sedan 2015 och att det behövs en effektiv och harmoniserad EU-politik för att bekämpa irreguljär migration såväl inom EU som till EU. Med full respekt för lagstiftarens roll när det gäller att bedöma huruvida de föreslagna åtgärderna är nödvändiga och proportionerliga lämnar EDPS i detta yttrande, i sin rådgivande roll, vissa rekommendationer om uppgiftsskydd och integritet, i syfte att hjälpa lagstiftaren att uppfylla kraven i artiklarna 7 och 8 i stadgan om de grundläggande rättigheterna vad gäller rätten till respekt för privatlivet och skydd av personuppgifter samt artikel 16 i fördraget om EU:s funktionssätt.

Först lämnar EDPS sina huvudsakliga rekommendationer avseende de tre förslagen. Dessa huvudsakliga rekommendationer avser de viktigaste av de problem som EDPS har noterat och som under alla omständigheter bör åtgärdas under lagstiftningsprocessen. Därefter lämnar EDPS ytterligare rekommendationer som avser frågor där det krävs förtydliganden, ytterligare information eller mindre ändringar. Denna åtskillnad bör hjälpa lagstiftaren att prioritera de viktigaste av de problem som tas upp i detta yttrande.

IV. SLUTSATS

68.

EDPS välkomnar de ansträngningar som gjorts med avseende på uppgiftsskydd i de olika texterna. Han konstaterar att en uppgiftsskyddskultur håller på att bli en del av lagstiftningsprocessen och också kan noteras i utformningen av förslagen.

69.

Med full respekt för lagstiftarens roll när det gäller att bedöma huruvida de föreslagna åtgärderna är nödvändiga och proportionerliga, lämnar EDPS i detta yttrande, i sin rådgivande roll, vissa rekommendationer om uppgiftsskydd och integritet med avseende på de tre förslag som han har tagit del av.

70.

Vad gäller förslaget till Dublinförordning är EDPS bekymrad över den omständigheten att det unika identifikationsnumret kan komma att användas för andra syften, till exempel för identifiering av enskilda i andra databaser, vilket gör det enkelt att jämföra databaser. EDPS rekommenderar att det anges att all annan användning av identifikationsnumret bör vara förbjuden.

71.

Vad gäller förslaget till omarbetning av Eurodacförordningen anser EDPS att en utvidgning av Eurodacs användningsområde föranleder farhågor beträffande iakttagandet av principen om ändamålsbegränsning som stadfästs i artikel 7 i EU:s stadga om de grundläggande rättigheterna. EDPS rekommenderar även att det ytterligare specificeras vilka andra typer av åtgärder förutom avlägsnande och återsändande som medlemsstaterna kan vidta på grundval av Eurodacuppgifter. EDPS rekommenderar att kommissionen tillhandahåller en fullständig konsekvensbedömning av hur 2016 års omarbetning av Eurodacförordningen påverkar uppgiftsskyddet och integriteten, i syfte att mäta den föreslagna textens inverkan på integriteten.

72.

EDPS är också bekymrad över införandet av ansiktsbilder: I förordningen hänvisas det inte till någon bedömning av behovet att samla in och använda ansiktsbilder för de personkategorier som omfattas av förslaget till omarbetning av Eurodacförordningen. EDPS anser dessutom att det i förslaget bör förtydligas i vilka fall en jämförelse av fingeravtryck och/eller ansiktsbilder ska göras, eftersom det enligt förslaget verkar som om en sådan jämförelse ska göras systematiskt.

73.

EDPS rekommenderar också att det utöver bedömningen i motiveringen tillhandahålls en närmare bedömning av situationen för barn samt en avvägning mellan de risker och den skada ett sådant förfarande kan medföra för barn och de fördelar det kan innebära för dem. Det bör i förordningen (dvs. i ett skäl) närmare anges vad som avses med att ta fingeravtryck av barn på ett barnvänligt sätt.

74.

Vad gäller lagringsperioden, som i princip kommer att vara fem år, rekommenderar EDPS att det närmare beskrivs och förklaras hur och varför en lagringsperiod på fem år anses nödvändig i detta sammanhang för att uppnå syftena med Eurodacdatabasen. EDPS rekommenderar dessutom att lagringsperioden förkortas så att den motsvarar den faktiska tid som en person är föremål för inreseförbud. EDPS rekommenderar slutligen att det i förslaget anges att startpunkten för lagringsperioden är den dag då uppgifter om fingeravtryck för första gången behandlas av en medlemsstat.

75.

EDPS rekommenderar avslutningsvis att alla uppgifter blockeras för brottsbekämpande ändamål efter tre år och att man i detta hänseende slutar göra åtskillnad mellan olika kategorier av personer som inte är EU-medborgare.

76.

Förutom de huvudsakliga rekommendationer som lämnats ovan rekommenderar Europeiska datatillsynsmannen även följande:

—

Beträffande förslaget till omarbetning av Eurodacförordningen

—	EDPS rekommenderar att det i texten till förslaget anges att det slutliga ansvaret för behandlingen av personuppgifter ligger hos medlemsstaterna, som betraktas som registeransvariga i den mening som avses i direktiv 95/46/EG.

—	Artikel 37 bör skrivas om så att det tydligt framgår i vilka fall en internationell överföring är tillåten eller förbjuden, särskilt beträffande överföring till sökandens ursprungsland.

—	I artikel 38.1 bör det anges att medlemsstaterna endast kan överföra uppgifter som är strikt nödvändiga i återsändandesyfte.

—	Tvång bör inte vara tillåtet för att erhålla fingeravtryck av enskilda. Detta bör anges i Eurodacförordningen.

—	EDPS rekommenderar ett klargörande av att förvar inte bör betraktas som en sanktion för vägran att lämna fingeravtryck.

—

Användningen av verkliga uppgifter för teständamål vid eu-LISA föranleder allvarliga farhågor och bör inte tillåtas genom Eurodacförordningen. Med beaktande av risken för berörda personers integritet bör lagstiftaren överväga och bedöma möjligheten att använda uppgifter som inte är verkliga. I texten bör det i varje fall inte anges att biometriska uppgifter kan anonymiseras eftersom de alltid avser en enskild person och därför betraktas som personuppgifter.

—	Beträffande behandlingen av uppgifter vid eu-LISA rekommenderar EDPS att det anges att lämpliga garantier måste införas vad gäller externa uppdragstagares tillgång till uppgifterna.

—	Slutligen välkomnar EDPS ansträngningarna för att se till att brottsbekämpande myndigheters tillgång bedöms av ett oberoende organ. Utsedda myndigheter och kontrollmyndigheter bör emellertid inte ingå i samma organisation, i syfte att upprätthålla kontrollmyndighetens oberoende.

—

Beträffande förslaget om EU:s asylbyrå

—	EDPS rekommenderar att det anges att byråns experter endast ska ges tillgång till databaserna i enlighet med de rättsakter som reglerar databaserna och bestämmelserna om skydd av personuppgifter.

—	EDPS rekommenderar att det närmare anges vad som avses med administrativa syften i artikel 30.3, eftersom alla syften som eftersträvas av en förvaltning kan betecknas som administrativa.

—	EDPS rekommenderar att det klargörs vem som har ansvaret för att säkerställa att den utrustning som byrån använder är säker. Detta bör fastställas avseende varje steg i utrustningens livscykel, det vill säga från anskaffning, under förvaring och användning och fram till dess bortskaffande.

Bryssel den 21 september 2016.

Giovanni BUTTARELLI

Europeisk datatillsynsman

(1) COM(2016) 197 final.

(2) COM(2016) 270 final.

(3) COM(2016) 271 final.

(4) COM(2016) 272 final.