Advies van de Europese toezichthouder voor gegevensbescherming inzake het voorstel voor een richtlijn van de Raad houdende verplichting voor de lidstaten om minimumvoorraden ruwe aardolie en/of aardolieproducten in opslag te houden

6.6.2009

NL

Publicatieblad van de Europese Unie

C 128/42

1.

Op 13 november 2008 heeft de Commissie een voorstel goedgekeurd voor een richtlijn van de Raad houdende verplichting voor de lidstaten om minimumvoorraden ruwe aardolie en/of aardolieproducten in opslag te houden (hierna „het voorstel”)⁽³⁾.

2.

Met het voorstel wordt beoogd de oliebevoorrading in de Gemeenschap in hoge mate veilig te stellen dankzij betrouwbare en transparante mechanismen op basis van solidariteit tussen de lidstaten, waarbij minimumvoorraden aardolie en/of aardolieproducten in opslag worden gehouden en de nodige procedures worden ingesteld om aan een eventuele ernstige schaarste het hoofd te bieden.

3.

Het voorstel is op 14 november 2008 door de Commissie aan de EDPS toegezonden voor advies, overeenkomstig artikel 28, lid 2, van Verordening (EG) nr. 45/2001. De EDPS is verheugd dat hij over deze kwestie is geraadpleegd en dat naar deze raadpleging wordt verwezen in de preambule van het voorstel, overeenkomstig artikel 28 van Verordening (EG) nr. 45/2001.

4.

Alvorens het voorstel goed te keuren, heeft de Commissie de EDPS informeel geraadpleegd over een specifiek artikel van het ontwerpvoorstel (huidig artikel 19). De EDPS is verheugd over deze informele raadpleging, die hem in staat heeft gesteld om enkele suggesties te doen vooraleer het voorstel door de Commissie werd goedgekeurd.

5.

De voorliggende kwestie illustreert duidelijk dat de regels voor gegevensbescherming om constante waakzaamheid vragen. In de context van de lidstaten en hun verplichting om noodvoorraden van aardolie in opslag te houden die hoofdzakelijk in eigendom zijn van juridische entiteiten, is het niet vanzelfsprekend dat verwerking van persoonsgegevens aan de orde is, maar gegevensverwerking zou wel onbeoogd kunnen plaatsvinden. In ieder geval moet worden nagegaan hoe waarschijnlijk het is dat verwerking van persoonsgegevens plaatsvindt en moet dienovereenkomstig worden gehandeld.

6.

In de huidige situatie zijn er in wezen twee activiteiten in de richtlijn waarbij verwerking van persoonsgegevens aan de orde kan zijn. De eerste activiteit is de verzameling door de lidstaten van informatie over de olievoorraden en de verstrekking van deze informatie aan de Commissie. De tweede activiteit heeft betrekking op de bevoegdheid van de Commissie om controles uit te voeren in de lidstaten. De verzamelde informatie over de eigenaren van olievoorraden kan persoonsgegevens omvatten, zoals de namen en contactgegevens van de directeuren van de bedrijven. In dat geval zou het verzamelen en verstrekken van deze gegevens aan de Commissie neerkomen op verwerking van persoonsgegevens, waardoor hetzij de nationale wetgeving tot uitvoering van Richtlijn 95/46/EG, hetzij Verordening (EG) nr. 45/2001 van toepassing wordt, afhankelijk van wie de gegevens feitelijk verwerkt. Ook als de Commissie de bevoegdheid wordt verleend om controles uit te voeren op de noodvoorraden in de lidstaten, inclusief de bevoegdheid om in het algemeen informatie te verzamelen, kan verzameling en bijgevolg verwerking van persoonsgegevens aan de orde zijn.

7.

Tijdens de informele raadpleging, die alleen betrekking had op de bepaling over de onderzoeksbevoegdheid van de Commissie, heeft de EDPS de Commissie aangeraden om na te gaan of verwerking van persoonsgegevens in het kader van een Commissieonderzoek louter incidenteel dan wel op regelmatige basis en ten behoeve van onderzoeksdoelen zou plaatsvinden. Naar gelang van het resultaat van die beoordeling werden twee benaderingen voorgesteld.

8.

Indien verwerking van persoonsgegevens onbeoogd en dus puur incidenteel plaatsvindt, heeft de EDPS aanbevolen om, ten eerste, expliciet de verwerking van persoonsgegevens uit te sluiten van het doel van het Commissieonderzoek en, ten tweede, te verklaren dat persoonsgegevens die de Commissie in de loop van het onderzoek tegenkomt, niet zullen worden verzameld of in aanmerking genomen, en in geval van accidentele verzameling onmiddellijk zullen worden vernietigd. Voorts heeft de EDPS voorgesteld om als algemene backupclausule een bepaling in te voegen luidens welke de richtlijn de regels inzake gegevensbescherming als bepaald in Richtlijn 95/46/EG en Verordening (EG) nr. 45/2001 onverlet laat.

9.

Indien het daarentegen de bedoeling is dat de gegevensverwerking op regelmatige basis plaatsvindt in het kader van een Commissieonderzoek, heeft de EDPS aanbevolen dat de Commissie een tekst invoegt waaruit blijkt dat de behoefte aan gegevensbescherming naar behoren ingeschat is. Die tekst zou de volgende elementen moeten bevatten: (I) het feitelijke doel van de gegevensverwerking, (II) de noodzaak gegevens te verwerken om dit doel te bereiken, en (III) het evenredige karakter van de gegevensverwerking.

10.

Het informele advies van de EDPS had enkel betrekking op de onderzoeksbevoegdheid van de Commissie, maar zijn opmerkingen gelden evenzeer de andere hoofdactiviteit die in het richtlijnvoorstel wordt toegelicht, zijnde het verzamelen van gegevens door de lidstaten en het toesturen van deze gegevens aan de Commissie.

11.

Uit het definitieve voorstel voor een richtlijn blijkt duidelijk dat de Commissie heeft geconcludeerd dat voor de toepassing van de richtlijn geen verwerking van persoonsgegevens wordt beoogd. De EDPS is tevreden dat zijn eerste voorgestelde aanpak volledig tot uiting komt in het voorstel.

12.

De EDPS spreekt daarom zijn steun uit voor de manier waarop de Commissie in het richtlijnvoorstel voor naleving van de gegevensbeschermingsregels heeft ingestaan. Hierna volgen nog enkele gedetailleerde aanbevelingen.

13.

Artikel 15 van het richtlijnvoorstel betreft de verplichting van lidstaten om de Commissie wekelijks een statistisch overzicht te verstrekken met de op hun grondgebied in opslag gehouden handelsvoorraden. Dergelijke informatie bevat doorgaans weinig persoonsgegevens, maar kan wel gegevens bevatten over de natuurlijke personen die eigenaar zijn van de olievoorraden bezitten of voor een juridische entiteit werken die eigenaar is. Om te voorkomen dat de lidstaten dergelijke informatie aan de Commissie verstrekken, is in artikel 15, lid 1, bepaald dat de lidstaten hierbij de namen van de eigenaren van de betreffende voorraden niet vermelden. Hoewel het verwijderen van een naam geenszins uitsluit dat gegevens toch in verband kunnen worden gebracht met een natuurlijk persoon, lijkt de toevoeging van deze zin in de onderhavige situatie (statistische overzichten van de olievoorraadniveaus) te volstaan om te verzekeren dat geen persoonsgegevens aan de Commissie worden verstrekt.

14.

De onderzoeksbevoegdheid van de Commissie is geregeld in artikel 19 van het richtlijnvoorstel. Uit het artikel blijkt duidelijk dat de Commissie de eerste, in punt 8 toegelichte aanpak heeft gevolgd. Luidens het artikel mag het verzamelen van persoonsgegevens geen onderdeel zijn van de controles van de Commissie. Mocht de Commissie dergelijke gegevens vinden of aantreffen, dan mag zij deze niet in aanmerking nemen; accidenteel verzamelde gegevens moeten worden vernietigd. Teneinde de formulering af te stemmen op de in de gegevensbeschermingswetgeving gebruikte formulering en om misverstanden te voorkomen, raadt de EDPS aan het woord „verzamelen” in de eerste zin van lid 2 te vervangen door het woord „verwerken”.

15.

De EDPS is verheugd dat ook een algemene backupclausule inzake de toepasselijke gegevensbeschermingswetgeving in het voorstel is opgenomen. In artikel 20 worden de lidstaten, respectievelijk de Commissie en andere communautaire organen duidelijk herinnerd aan hun verplichtingen uit hoofde van Richtlijn 95/46/EG, respectievelijk Verordening nr. 45/2001. In de clausule worden voorts de rechten onderstreept die betrokkenen hebben krachtens deze regels, bijvoorbeeld het recht om zich tegen de verwerking van de gegevens te verzetten, het recht op toegang tot hun persoonsgegevens en het recht op rectificatie van hun persoonsgegevens in geval van onjuistheid. Er kan misschien een opmerking worden gemaakt bij de plaats van deze bepaling in het voorstel. Omdat het gaat om een bepaling van algemene strekking, geldt ze niet louter voor de onderzoeksbevoegdheid van de Commissie. De EDPS beveelt dan ook aan om het artikel naar het eerste deel van de richtlijn te verplaatsen en het bijvoorbeeld na artikel 2 in te voegen.

16.

Ook in overweging 25 wordt verwezen naar Richtlijn 95/46/EG en Verordening (EG) nr. 45/2001. Het doel van de overweging is echter niet helemaal duidelijk, aangezien alleen de wetgeving inzake gegevensbescherming op zich, en verder niets wordt vermeld. In de overweging moet duidelijk worden vermeld dat de bepalingen van de richtlijn de genoemde wetgeving onverlet laten. Bovendien lijkt de laatste zin van de overweging te impliceren dat de gegevensbeschermingswetgeving de voor de verwerking verantwoordelijken er uitdrukkelijk toe verplicht accidenteel verzamelde gegevens onmiddellijk te vernietigen. Die verplichting komt niet voor in de vermelde wetgeving, al kan ze er wel uit voortvloeien. Het is een algemeen beginsel van gegevensbescherming dat persoonsgegevens niet langer mogen worden bewaard dan noodzakelijk is voor de verwezenlijking van de doeleinden waarvoor ze worden verzameld of vervolgens worden verwerkt. Als het eerste deel van de overweging op de hierboven voorgestelde manier wordt gewijzigd, wordt de laatste zin overbodig. De EDPS stelt daarom voor om de laatste zin van overweging 25 te schrappen.

17.

De EDPS steunt de manier waarop de Commissie voor naleving van de gegevensbeschermingsregels in het richtlijnvoorstel heeft ingestaan.

18.

Op detailniveau beveelt de EDPS het volgende aan: