Samenvatting van het advies van de Europese Toezichthouder voor gegevensbescherming over deelname aan de onderhandelingen inzake een tweede aanvullend protocol bij het Verdrag van Boedapest inzake cybercriminaliteit

3.6.2019

Publicatieblad van de Europese Unie

C 186/14

(De volledige tekst van dit advies is beschikbaar in het Engels, Frans en Duits op de EDPS-website: www.edps.europa.eu)

(2019/C 186/05)

Op 5 februari 2019 gaf de Europese Commissie een aanbeveling voor een besluit van de Raad houdende machtiging voor de Commissie tot deelname namens de Unie aan de onderhandelingen over een tweede aanvullend protocol bij het Verdrag van Boedapest inzake cybercriminaliteit. De bijlage bij de aanbeveling bevat een uiteenzetting van de aanbevolen onderhandelingsrichtsnoeren van de Raad inzake het protocol. Dit protocol heeft als doel de verbetering van het traditionele samenwerkingskanaal en de opname van bepalingen voor directe grensoverschrijdende samenwerking tussen rechtshandhavingsautoriteiten en dienstverleners, alsook voor grensoverschrijdende directe toegang tot gegevens door rechtshandhavingsautoriteiten.

De EDPS verwelkomt en ondersteunt de aanbeveling van de Europese Commissie houdende machtiging tot onderhandelingen namens de Europese Unie over een tweede aanvullend protocol bij het cybercriminaliteitsverdrag. Zoals de Europese Toezichthouder voor gegevensbescherming lang heeft aangevoerd, heeft de EU behoefte aan duurzame regelingen voor de uitwisseling van persoonsgegevens met derde landen voor rechtshandhavingsdoeleinden die volledig verenigbaar zijn met de EU-Verdragen en het Handvest van de grondrechten. Zelfs bij het onderzoeken van binnenlandse aangelegenheden hebben rechtshandhavingsautoriteiten steeds vaker te maken met „grensoverschrijdende situaties”, omdat informatie elektronisch is opgeslagen in een derde land. Het toenemende aantal verzoeken en de volatiliteit van digitale informatie zetten bestaande samenwerkingsmodellen, zoals verdragen betreffende wederzijdse rechtshulp (MLATs), onder druk. De EDPS begrijpt dat autoriteiten bezig zijn met een race tegen de klok voor het verkrijgen van data voor hun onderzoek, en hij ondersteunt activiteiten voor het ontwikkelingen van nieuwe samenwerkingsmodellen, onder meer in het kader van samenwerking met derde landen.

Dit advies moet een constructief en objectief advies bieden aan de EU-instellingen, aangezien de Raad zijn richtlijnen voorafgaand aan het begin van deze gevoelige taak met verstrekkende gevolgen dient aan te leveren. De EDPS benadrukt de noodzaak tot garantie van volledig respect voor grondrechten, inclusief privacy en de bescherming van persoonsgegevens. Het EDPS is zich er weliswaar van bewust dat het niet mogelijk is om de terminologie en definities van de EU-wetgeving volledig te repliceren in een overeenkomst met derde landen, toch moeten de waarborgen voor personen duidelijk en doeltreffend zijn om geheel te voldoen aan het primaire recht van de EU. Het Hof van Justitie van de Europese Unie heeft in de afgelopen jaren de beginselen inzake gegevensbescherming bevestigd, waaronder eerlijkheid, nauwkeurigheid en relevantie van informatie, onafhankelijk toezicht en individuele rechten van personen. Deze beginselen zijn net zo relevant voor publieke instellingen als voor private bedrijven en worden steeds belangrijker gezien de gevoeligheid van de gegevens voor strafrechtelijk onderzoek.

Veel waarborgen die al zijn ontwikkeld, zijn welkom, maar ze dienen te worden ingevoerd. De Europese Toezichthouder voor gegevensbescherming heeft drie belangrijke verbeteringen vastgesteld die hij voor de onderhandelingsrichtlijnen aanbeveelt met het oog op de naleving van het Handvest en van artikel 16 van het VEG:

—	garantie van de verplichte aard van het ontwikkelde protocol;

—

opname van gedetailleerde waarborgen, inclusief het doelbindingsbeginsel, vanwege de verschillende potentiële ondertekenaars, die niet allen deelnemen aan het Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens of een aan de raamovereenkomst tussen de EU en de VS equivalente overeenkomst hebben gesloten;

—	afwijzing van een aantal bepalingen inzake directe toegang tot gegevens.

Daarnaast voorziet het advies in verdere aanbevelingen voor verbeteringen en verhelderingen van de onderhandelingsrichtlijnen. Het EDPS blijft beschikbaar voor de instellingen voor meer advies tijdens de onderhandelingen en voorafgaand aan de afronding van het protocol.

1. INLEIDING EN ACHTERGROND

Op 17 april 2018 heeft de Commissie een pakket van twee wetgevingsvoorstellen gepresenteerd: een voorstel voor een verordening inzake Europese verstrekkings- en bewaringsbevelen voor elektronisch bewijsmateriaal in strafzaken ⁽¹⁾ (hierna te noemen „het e-bewijs-voorstel”), en een voorstel voor een richtlijn waarin geharmoniseerde regelgeving wordt vastgesteld aangaande de benoeming van wettelijke vertegenwoordigers voor het verzamelen van bewijsmateriaal in strafprocessen ⁽²⁾. Ook al zijn de werkzaamheden van het Europees Parlement nog aan de gang, toch is de Raad van de Europese Unie (de Raad) tot een algemene oriëntatie inzake deze twee voorstellen gekomen ⁽³⁾.

Op 5 februari 2019 heeft de Commissie twee aanbevelingen voor besluiten van de Raad aangenomen: een aanbeveling voor het aangaan van onderhandelingen met het oog op een internationale overeenkomst tussen de Europese Unie (EU) en de Verenigde Staten van Amerika (VS) inzake grensoverschrijdende toegang tot elektronisch bewijsmateriaal voor justitiële samenwerking in strafzaken ⁽⁴⁾, en een aanbeveling tot autorisatie van deelname van de Commissie namens de EU aan onderhandelingen over een tweede aanvullend protocol bij het Verdrag van de Raad van Europa inzake cybercriminaliteit (CETS nr. 185) (hierna te noemen „de Aanbeveling”) ⁽⁵⁾. Over deze laatste aanbeveling is een afzonderlijk advies van de Europese Toezichthouder voor gegevensbescherming (EDPS) opgesteld ⁽⁶⁾. De EDPS is echter van mening dat beide onderhandelingen met de VS en de Raad van Europa nauw met elkaar verbonden zijn.

De aanbeveling is vastgesteld op basis van de procedure van artikel 218 van het Verdrag betreffende de werking van de Europese Unie (VWEU) voor tussen de EU en derde landen gesloten overeenkomsten. Met deze aanbeveling wil de Commissie toestemming krijgen van de Raad om te worden aangewezen als onderhandelaar namens de EU voor het tweede aanvullend protocol bij het Verdrag van Boedapest inzake cybercriminaliteit (CETS nr. 185) ⁽⁷⁾, volgens de onderhandelingsrichtsnoeren die als bijlage bij de Aanbeveling zijn gevoegd. De bijlage bij de Aanbeveling (hierna „de Bijlage” genoemd) is van het grootste belang omdat daarin de aanbevolen richtlijnen van de Raad aan de Commissie zijn vastgesteld om namens de EU te onderhandelen over het protocol. Na afronding van de onderhandelingen moet het Europees Parlement, om deze overeenkomsten formeel te kunnen afsluiten, akkoord gaan met de teksten van de onderhandelde overeenkomsten, waarna de Raad een besluit dient te accepteren ter afsluiting van de overeenkomst. De EDPS verwacht te zijner tijd te worden geraadpleegd over de tekst van de ontwerpovereenkomst, overeenkomstig artikel 42, lid 1, van Verordening (EU) 2018/1725.

De EDPS is ingenomen met het feit dat hij is geconsulteerd na de aanname van de aanbeveling door de Europese Commissie overeenkomstig artikel 42, lid 1, van de Verordening (EU) 2018/1725. De EDPS is ook ingenomen met de verwijzing naar zijn advies in overweging 8 van de Aanbeveling. Hij benadrukt dat dit advies geen afbreuk doet aan eventuele aanvullende opmerkingen die de EDPS in een later stadium kan maken op basis van verdere beschikbare informatie, de voorzieningen van het ontwerpprotocol tijdens de onderhandelingen en ontwikkelingen in de wetgeving in derde landen.

5. CONCLUSIES

58.

De EDPS begrijpt dat rechtshandhavingsinstanties elektronisch bewijsmateriaal snel en doeltreffend moeten beveiligen en verkrijgen. Hij is het eens met het gebruik van innovatieve benaderingen om grensoverschrijdende toegang tot elektronisch bewijsmateriaal te verkrijgen en een respons van de EU te ontwikkelen op bestaande vraagstukken binnen deze context. Een tweede aanvullend protocol dat op EU-niveau wordt onderhandeld, zou het beschermingsniveau dat wordt gegarandeerd door het gegevensbeschermingsraamwerk van de EU, beter bewaken en zorgen voor een consistent beschermingsniveau in de hele EU, in plaats van aparte bilaterale overeenkomsten tussen lidstaten. Daarom is het doel van dit advies de verstrekking van constructieve en objectieve adviezen aan de EU-instellingen, aangezien de Commissie ernaar streeft toestemming van de Raad te krijgen om deel te nemen aan de onderhandelingen inzake dit protocol.

59.

De EDPS ziet in dat het mandaat ervoor moet zorgen dat het protocol passende waarborgen bevat voor gegevensbescherming.

60.

De EDPS doet drie substantiële aanbevelingen voor het voorgestelde protocol met het oog op naleving van het Handvest en van artikel 16 VWEU: De EDPS beveelt aan dat de onderhandelingsrichtsnoeren zijn gericht op:

—	garantie van de verplichte aard van het ontwikkelde protocol;

—

opname van gedetailleerde waarborgen — inclusief het doelbindingsbeginsel — vanwege de verschillende potentiële ondertekenaars, die niet allen deelnemen aan het Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens of die een aan de raamovereenkomst tussen de EU en de VS equivalente overeenkomst hebben gesloten;

—	afwijzing van een aantal bepalingen inzake directe toegang tot gegevens.

61.

Naast deze algemene aanbevelingen hebben de aanbevelingen en opmerkingen van de EDPS in dit advies betrekking op de volgende specifieke aspecten:

—	de juridische grondslag van het besluit van de Raad;

—	de verdere doorgifte door de bevoegde autoriteiten van derde landen;

—	de rechten van betrokkenen, met name het recht op informatie en het recht op toegang;

—	de controle door een onafhankelijke autoriteit;

—	de gerechtelijke en administratieve rechtsmiddelen;

—	de strafbare feiten waarop de voorgenomen overeenkomst betrekking heeft;

—	de specifieke waarborgen om een passend niveau van beveiliging van de doorgegeven gegevens te waarborgen;

—	de specifieke waarborgen voor gegevens die worden beschermd door voorrechten en immuniteiten;

—	de wederzijdse bijstand in noodsituaties;

—	in het geval van directe samenwerking, de doorgifte van persoonsgegevens, de definitie en soorten gegevens, de betrokkenheid van andere autoriteiten, de mogelijkheid voor dienstverleners met een bevel tot elektronisch bewijsmateriaal om op specifieke gronden bezwaar te maken;

—	de mogelijkheid om het protocol in te trekken in geval van schendingen van de bepalingen ervan en om deze te heroverwegen.

62.

Tot slot blijft de EDPS ter beschikking van de Commissie, de Raad en het Europees Parlement om in verdere fasen van dit proces advies te verstrekken. De opmerkingen in dit advies doen geen afbreuk aan eventuele aanvullende opmerkingen die de EDPS zou kunnen maken indien zich verdere problemen voordoen; deze zouden dan worden behandeld zodra meer informatie beschikbaar is. Hij verwacht later over de bepalingen van het ontwerpprotocol te worden geraadpleegd voordat die definitief worden vastgesteld.

Brussel, 2 april 2019.

Giovanni BUTTARELLI

Europese Toezichthouder voor gegevensbescherming