Advies van de Europese Toezichthouder voor gegevensbescherming over het voorstel voor een besluit van de Raad tot sluiting van de Overeenkomst tussen de Verenigde Staten van Amerika en de Europese Unie inzake het gebruik en de doorgifte van persoonsgegevens van passagiers aan het Amerikaanse Ministerie van Binnenlandse Veiligheid

9.2.2012

NL

Publicatieblad van de Europese Unie

C 35/16

1.

Op 28 november 2011 heeft de Commissie haar goedkeuring gehecht aan een voorstel voor een besluit van de Raad tot sluiting van de Overeenkomst tussen de Verenigde Staten van Amerika en de Europese Unie inzake het gebruik en de doorgifte van persoonsgegevens van passagiers aan het Amerikaanse Ministerie van Binnenlandse Veiligheid⁽³⁾ (hierna: „de overeenkomst”).

2.

Op 9 november 2011 is de EDPS in het kader van een versnelde procedure informeel geraadpleegd over het ontwerpvoorstel. Op 11 november 2011 heeft hij hierover een aantal vertrouwelijke opmerkingen gemaakt. Dit advies heeft ten doel die opmerkingen in het licht van het thans voorliggende voorstel aan te vullen en zijn standpunten publiekelijk kenbaar te maken. Dit advies bouwt voort op een aantal eerdere interventies van de EDPS en de Groep gegevensbescherming artikel 29 met betrekking tot persoonsgegevens van passagiers („Passenger Name Records” of „PNR-gegevens”).

3.

Met de overeenkomst wordt beoogd een solide rechtsgrondslag te scheppen voor de doorgifte van PNR-gegevens van de EU naar de VS. De overdracht van dergelijke gegevens is thans nog gebaseerd op de PNR-overeenkomst van 2007⁽⁴⁾, aangezien het Parlement heeft besloten zijn stemming over de goedkeuring van de nieuwe overeenkomst uit te stellen totdat zijn bezwaren met betrekking tot gegevensbeschermingskwesties uit de weg zijn geruimd. In zijn resolutie van 5 mei 2010⁽⁵⁾ heeft het Parlement onder meer de volgende eisen gesteld:

4.

De onderhavige overeenkomst moet worden beschouwd in de context van de algemene aanpak met betrekking tot PNR-gegevens, waartoe ook onderhandelingen met andere derde landen (met name Australië⁽⁸⁾ en Canada⁽⁹⁾) en een voorstel voor een PNR- regeling op Europees niveau⁽¹⁰⁾ behoren. De overeenkomst is tevens voorwerp van de lopende onderhandelingen tussen de EU en de VS over de uitwisseling van persoonsgegevens in het kader van de politiële en justitiële samenwerking in strafzaken⁽¹¹⁾. De overeenkomst werd enkele weken voor de verwachte goedkeuring van de voorstellen ter herziening van het algemene gegevensbeschermingskader geparafeerd⁽¹²⁾.

5.

De EDPS is verheugd over deze algemene aanpak, die erop is gericht een samenhangend rechtskader voor PNR-overeenkomsten op te stellen in overeenstemming met de wettelijke voorschriften van de EU. Hij betreurt evenwel dat het op grond van deze timing in de praktijk niet mogelijk zal zijn om voor de nodige samenhang tussen deze overeenkomsten met de nieuwe EU-regels inzake gegevensbescherming te zorgen. Tevens wenst hij eraan te herinneren dat de algemene overeenkomst tussen de EU en de VS over uitwisseling van gegevens van toepassing zou moeten zijn op de PNR-overeenkomst EU/VS.

6.

Volgens het Europees Handvest van de grondrechten kunnen alleen beperkingen aan fundamentele rechten en vrijheden worden gesteld indien zij noodzakelijk, evenredig en bij wet bepaald zijn. De EDPS⁽¹³⁾ en de Groep gegevensbescherming artikel 29⁽¹⁴⁾ hebben er al herhaaldelijk op gewezen dat de noodzakelijkheid en evenredigheid van de PNR-regelingen en van de massale overdracht van PNR-gegevens naar derde landen tot dusver niet zijn aangetoond. Het Europees Economisch en Sociaal Comité en het Bureau van de Europese Unie voor de grondrechten delen deze opvatting⁽¹⁵⁾. De hieronder gemaakte specifieke opmerkingen laten dit voorlopige en fundamentele oordeel onverlet.

7.

De onderhavige overeenkomst bevat weliswaar een aantal verbeteringen ten opzichte van de overeenkomst van 2007 en bevat passende waarborgen inzake gegevensbeveiliging en toezicht, maar geen van de hoofdbezwaren die in de bovengenoemde adviezen naar voren zijn gebracht, lijkt te zijn weggenomen, noch lijkt te zijn voldaan aan de voorwaarden die het Europees Parlement aan zijn instemming met de overeenkomst heeft gesteld⁽¹⁶⁾.

8.

In artikel 4, lid 1, van de overeenkomst is bepaald dat de Verenigde Staten PNR-gegevens verzamelt, gebruikt en verwerkt met het oog op het voorkomen, het opsporen, het onderzoeken en het vervolgen van a) terroristische misdrijven en aanverwante criminaliteit en b) andere misdrijven waarop een gevangenisstraf van drie jaar of meer is gesteld en die een grensoverschrijdend karakter hebben. Sommige van deze termen zijn nader ingevuld.

9.

Hoewel de betreffende definities nauwkeuriger zijn dan die in de overeenkomst van 2007, is er nog steeds sprake van een aantal vage termen en uitzonderingen die de doelafbakening teniet zouden kunnen doen en de rechtszekerheid zouden kunnen ondermijnen. Dit probleem betreft met name de volgende aspecten:

10.

In bijlage I van de overeenkomst worden negentien soorten gegevens genoemd die aan de VS zullen worden doorgegeven. De meeste omvatten verschillende categorieën gegevens en zijn identiek aan de gegevensvelden in de overeenkomst van 2007, die door de EDPS en de Groep gegevensbescherming artikel 29 al onevenredig zijn bevonden⁽¹⁸⁾.

11.

Dit geldt met name voor het gegevensveld „Algemene opmerkingen, waaronder OSI-⁽¹⁹⁾, SSI-⁽²⁰⁾ en SSR-⁽²¹⁾ informatie”, waaruit informatie met betrekking tot geloofsovertuiging (bijv. maaltijdwensen) of de gezondheidstoestand (bijv. verzoek om een rolstoel) kunnen worden opgemaakt. Dergelijke gevoelige gegevens moeten uitdrukkelijk worden uitgesloten van de lijst.

12.

Bij de beoordeling of de lijst evenredig is, moet ook rekening worden gehouden met het feit dat deze categorieën op grond van de doorgifte van de gegevens voor vertrek van de vlucht (artikel 15, lid 3) niet alleen betrekking hebben op de feitelijke passagiers, maar ook op de personen die uiteindelijk niet meevliegen (bijvoorbeeld vanwege annuleringen).

13.

Bovendien kan de rechtszekerheid worden ondermijnd, omdat sommige gegevenssoorten zeer open zijn geformuleerd. Categorieën als „alle beschikbare contactgegevens”, „alle bagage-informatie” en „algemene opmerkingen” moeten beter worden gedefinieerd.

14.

Om deze redenen dient de lijst te worden beperkt. In overeenstemming met het advies van de Groep gegevensbescherming artikel 29⁽²²⁾ is de EDPS van mening dat de gegevens alleen de volgende informatie mogen omvatten: de PNR-bestandslocatiecode, de datum van boeking, de geplande reisdatum/data, de naam van de reiziger, andere namen in het PNR, de volledige reisroute, identificatiemiddelen voor gratis biljetten, biljetten voor enkele reizen, informatie uit het reisbiljetveld („ticketing field”-informatie), gegevens met betrekking tot de geautomatiseerde prijsnotering van reisbiljetten, het biljetnummer, de datum van afgifte van het biljet, „No-show”-voorgeschiedenis, aantal stuks bagage, bagagebiljetnummers, „Go-show”-informatie, aantal stuks bagage per segment, upgrades op verzoek van de reiziger/ongevraagde upgrades, alle eerdere wijzigingen in de hierboven genoemde PNR-gegevens.

15.

In artikel 6 wordt vermeld dat het Ministerie van Binnenlandse Veiligheid van de VS (Department of Homeland Security, afgekort DHS) geautomatiseerde systemen gebruikt om gevoelige gegevens uit de PNR-gegevens te filteren en „af te schermen”. Gevoelige gegevens worden echter minstens dertig dagen bewaard en mogen in specifieke gevallen worden gebruikt (artikel 6, lid 4). De EDPS wil benadrukken dat dergelijke gegevens ook nadat zij zijn „afgeschermd”, nog steeds „gevoelige” gegevens betreffende identificeerbare natuurlijke personen zijn.

16.

De EDPS heeft reeds eerder opgemerkt dat het DHS geen gevoelige gegevens betreffende EU-burgers mag verwerken, ook al worden die gegevens bij ontvangst „afgeschermd”. De EDPS beveelt aan om in de tekst van de overeenkomst uitdrukkelijk te bepalen dat luchtvaartmaatschappijen geen gevoelige gegevens aan het DHS mogen doorgeven.

17.

In artikel 8 is bepaald dat PNR-gegevens gedurende ten hoogste vijf jaar in een actieve database kunnen worden bewaard en gedurende ten hoogste tien jaar kunnen worden opgeslagen. Zoals de EDPS en de Groep gegevensbescherming artikel 29 reeds eerder hebben onderstreept, is deze maximale bewaringstermijn duidelijk buitensporig, ongeacht de vraag of de gegevens in een „actieve” of een „slapende” database worden bewaard.

18.

In artikel 8, lid 1, is bepaald dat de gegevens zes maanden na ontvangst door het DHS worden „geanonimiseerd en afgeschermd”. Zolang zij niet zijn geanonimiseerd, zijn echter zowel de „afgeschermde” gegevens als de in een „slapende” database opgeslagen gegevens persoonsgegevens. Daarom dienen de gegevens na maximaal zes maanden of onmiddellijk na analyse ervan (onherroepelijk) te worden geanonimiseerd of gewist.

19.

De EDPS is ingenomen met artikel 15, lid 1, waarin wordt bepaald dat de PNR-gegevens volgens de „push-methode” worden doorgegeven. Volgens artikel 15, lid 5, kan het DHS echter in uitzonderlijke omstandigheden van luchtvaartmaatschappijen verlangen dat zij de PNR-gegevens „ter beschikking stellen”. Teneinde het gebruik van het „pull-systeem” definitief uit te sluiten en in het licht van de bezwaren die onlangs nog eens door de Groep gegevensbescherming artikel 29 zijn onderstreept⁽²³⁾, doet de EDPS de dringende aanbeveling om in de overeenkomst uitdrukkelijk te verbieden dat ambtenaren van de VS via het „pull-systeem” een aparte toegang tot de gegevens krijgen.

20.

Het aantal doorgiften van gegevens door de luchtvaartmaatschappijen aan het DHS en de frequentie daarvan dienen in de overeenkomst te worden vastgelegd. Om voor meer rechtszekerheid te zorgen dienen de omstandigheden waaronder aanvullende doorgiften toegestaan zijn, eveneens nader te worden ingevuld.

21.

De EDPS is verheugd over artikel 5 van de overeenkomst betreffende de beveiliging en de integriteit van de gegevens, en met name met de verplichting om de betrokken personen in te lichten in het geval van een incident in verband met gegevensbescherming. De volgende elementen van de desbetreffende kennisgeving moeten echter worden verduidelijkt:

22.

De EDPS staat achter de verplichting om alle toegang tot en verwerking en gebruik van PNR-gegevens vast te leggen of te documenteren, aangezien hierdoor kan worden nagegaan of het DHS op passende wijze gebruik heeft gemaakt van PNR-gegevens en of op onrechtmatige wijze toegang is verkregen tot het systeem.

23.

De EDPS is verheugd over het feit dat in overeenstemming met artikel 14, lid 1, de naleving van de van de in deze overeenkomst vastgestelde waarborgen voor de gegevensbescherming staat onder onafhankelijk toezicht van de voor gegevensbescherming bevoegde ambtenaren, zoals de Chief Privacy Officer van het DHS. Om een doeltreffende uitoefening van de rechten van de betrokkenen te waarborgen, dienen echter de EDPS en de nationale gegevensbeschermingsautoriteiten samen met het DHS de procedures en modaliteiten voor de uitoefening van deze rechten vast te leggen⁽²⁴⁾. De EDPS zou graag zien dat een dergelijke samenwerking in de overeenkomst wordt vermeld.

24.

De EDPS staat volledig achter het recht dat iedere betrokkene krachtens artikel 14, lid 1, tweede alinea, wordt verleend om „ongeacht zijn nationaliteit, land van herkomst of verblijfplaats” een klacht in te dienen. Evenwel betreurt hij dat in artikel 21 uitdrukkelijk wordt bepaald dat de overeenkomst „op grond van het Amerikaanse recht geen rechten of voordelen voor private of publieke personen of entiteiten” schept of verleent. Weliswaar voorziet de overeenkomst in het recht om in de VS „een rechtsmiddel in te stellen”, maar een dergelijk recht is mogelijk niet gelijkwaardig aan het recht om in de EU een rechtsmiddel in te stellen, met name gezien de in artikel 21 bedoelde beperking.

25.

Artikel 16 verbiedt dat gegevens worden doorgegeven aan binnenlandse overheidsinstanties in verband met de PNR-gegevens waarborgen bieden die „gelijkwaardig zijn aan of vergelijkbaar zijn met” de waarborgen die in deze overeenkomst zijn vastgesteld. De EDPS is ingenomen met deze bepaling. De lijst van autoriteiten waaraan PNR-gegevens mogen worden doorgegeven, moet echter nader worden gespecificeerd. In de overeenkomst is bepaald dat de internationale doorgifte van PNR-gegevens alleen is toegestaan indien het beoogde gebruik door de ontvangende instantie in overeenstemming is met de overeenkomst en indien daarbij — behoudens in noodsituaties — is voorzien in waarborgen voor de gegevensbescherming die „vergelijkbaar” zijn met die van de overeenkomst.

26.

Wat betreft de in de overeenkomst gebruikte formuleringen „vergelijkbaar met” of „gelijkwaardig aan”, wil de EDPS benadrukken dat het DHS gegevens alleen aan binnenlandse overheidsinstanties of overheidsinstanties van derde landen mag doorgeven indien de ontvangende instantie waarborgen biedt die ten minste even streng zijn als die waarin de overeenkomst voorziet. In de overeenkomst moet ook worden verduidelijkt dat de doorgifte van PNR-gegevens slechts per geval plaatsvindt, om te waarborgen dat alleen noodzakelijke gegevens aan de bevoegde ontvangende instanties worden doorgegeven, en dat geen uitzonderingen op deze regel mogen worden toegestaan. Daarnaast beveelt de EDPS aan om de doorgifte van gegevens naar derde landen afhankelijk te maken van voorafgaande toestemming van de rechter.

27.

In artikel 17, lid 4, is bepaald dat wanneer PNR-gegevens van een onderdaan of inwoner van een EU-lidstaat zijn doorgegeven, de bevoegde autoriteiten van de betrokken lidstaat daarvan in kennis moeten worden gesteld indien het DHS van de doorgifte op de hoogte is. Deze voorwaarde moet worden geschrapt, daar het DHS in elk geval op de hoogte dient te zijn van de doorgifte van gegevens naar derde landen.

28.

Het is niet duidelijk in welke wettelijke vorm de VS de overeenkomst beogen te sluiten en op welke wijze de overeenkomst daar juridisch bindende werking zal krijgen. Dit punt moet worden verduidelijkt.

29.

Artikel 20, lid 2, heeft betrekking op de samenhang met een mogelijk toekomstig PNR-systeem van de EU. De EDPS merkt op dat in het overleg over de dan eventueel nodige aanpassing van de overeenkomst met name dient te worden onderzocht „of een toekomstig PNR-systeem van de EU minder strenge gegevensbeschermingsnormen zou toepassen dan die welke in deze overeenkomst zijn vastgesteld”. Om voor de nodige samenhang te zorgen, moet echter bij een eventuele aanpassing ook (en vooral) worden gelet op sterkere waarborgen die een dergelijk toekomstig PNR-systeem zou bieden.

30.

De overeenkomst moet tevens worden geëvalueerd in het licht van het nieuwe gegevensbeschermingskader en van de mogelijke sluiting van een algemene overeenkomst tussen de EU en de VS over de uitwisseling van persoonsgegevens in het kader van politiële en justitiële samenwerking in strafzaken. In dit verband zou in de overeenkomst de volgende nieuwe, op artikel 20, lid 2, gebaseerde bepaling kunnen worden opgenomen: „Indien en wanneer in de EU een nieuw wetgevingskader voor gegevensbescherming wordt ingevoerd of tussen de EU en de VS een nieuwe overeenkomst over de uitwisseling van gegevens wordt gesloten, plegen de partijen overleg om na te gaan of deze overeenkomst moet worden aangepast. Bij dat overleg wordt met name onderzocht of een toekomstig gewijzigd Europees wetgevingskader voor gegevensbescherming of een toekomstige overeenkomst EU/VS betreffende gegevensbescherming strengere gegevensbeschermingsnormen zou toepassen dan die welke in deze overeenkomst zijn vastgesteld en of deze overeenkomst derhalve moet worden aangepast.”

31.

Met betrekking tot de evaluatie van de overeenkomst (artikel 23) is de EDPS van oordeel dat de nationale gegevensbeschermingsautoriteiten uitdrukkelijk bij de evaluatie moeten worden betrokken. Tevens moet de evaluatie specifiek zijn gericht op de beoordeling van de noodzakelijkheid en evenredigheid van de maatregelen en op de doeltreffende uitoefening van de rechten van de betrokkenen, en moet bij de evaluatie onder meer worden nagegaan op welke wijze de verzoeken van betrokkenen in de praktijk worden behandeld, met name wanneer geen rechtstreekse toegang tot hun gegevens is toegestaan. Er moet nader worden bepaald met welke frequentie de overeenkomst dient te worden geëvalueerd.

32.

De EDPS is ingenomen met de waarborgen voor gegevensbescherming en het toezicht daarop waarin de overeenkomst voorziet, alsook met de verbeteringen ten opzichte van de overeenkomst van 2007. Toch maakt de EDPS zich nog steeds zorgen over met name de samenhang van de algemene aanpak met betrekking tot PNR-gegevens, de doelafbakening, de categorieën gegevens die mogen worden doorgegeven aan het DHS, de verwerking van gevoelige gegevens, de bewaringstermijn, de uitzonderingen op de toepassing van de „push-methode”, de rechten van de betrokkenen en de verdere doorgifte van gegevens.

33.

Deze opmerkingen laten onverlet dat elke rechtmatige PNR-regeling of -overeenkomst die in de massale doorgifte van PNR-gegevens van de EU naar derde landen voorziet, aan de vereisten van noodzakelijkheid en evenredigheid moet voldoen. Zoals het Europees Parlement in zijn resolutie van 5 mei 2011 nogmaals heeft bevestigd, zijn „noodzaak en evenredigheid grondbeginselen […] zonder welke terrorismebestrijding nooit doeltreffend zal zijn”.