EU-Hof eist aanpassingen PNR-verdrag EU-Canada
Nieuwsbericht | 27-07-2017
Het gaat om het advies van het EU-Hof van 26 juli 2017 in de zaak Advies 1/15
De EU heeft met Canada onderhandeld over een verdrag met betrekking tot de doorgifte en de verwerking van gegevens uit het Passenger Name Record (PNR-overeenkomst). Dit verdrag is in 2014 ondertekend. Toen de Raad van de EU aan het Europees Parlement vroeg om dit verdrag goed te keuren, heeft het EP aan het Hof van Justitie advies gevraagd over de verenigbaarheid van het voorgenomen verdrag met het recht van de Unie en in het bijzonder met de voorschriften inzake de eerbiediging van het privéleven en de bescherming van persoonsgegevens. Dit is de eerste keer dat het Hof zich uitspreekt over de verenigbaarheid van een ontwerp van een internationaal verdrag met het Handvest van de grondrechten van de Europese Unie.
Een lidstaat, het Europees Parlement, de Raad of de Commissie kan op grond van artikel 218, lid 11 EU-Werkingsverdrag het advies inwinnen van het EU-Hof over de verenigbaarheid van een voorgenomen verdrag met de Verdragen of over de bevoegdheid om dit verdrag te sluiten. Indien het EU-Hof afwijzend adviseert, kan het voorgenomen verdrag niet in werking treden, tenzij na voorafgaande wijziging daarvan of na herziening van de EU-Verdragen.
In zijn advies van vandaag antwoordt het Hof dat het PNR-verdrag niet in haar huidige vorm mag worden afgesloten, omdat verschillende bepalingen ervan onverenigbaar zijn met de door de Unie erkende grondrechten.
Het voorgenomen verdrag maakt het mogelijk om de PNR-gegevens van alle luchtreizigers stelselmatig en continu door te geven aan een Canadese autoriteit met het oog op het gebruik en de bewaring ervan en op de eventuele latere doorgifte ervan aan andere autoriteiten en aan andere derde landen, met als doel terrorisme en zware grensoverschrijdende criminaliteit te bestrijden. Daartoe voorziet het voorgenomen verdrag onder meer in een bewaartermijn van vijf jaar voor deze gegevens, in vereisten op het gebied van de beveiliging en de integriteit van de PNR-gegevens, in een onmiddellijke afscherming van gevoelige gegevens, in een recht om toegang tot de gegevens te krijgen, ze te laten verbeteren en ze te laten wissen, en in de mogelijkheid om administratieve en gerechtelijke rechtsmiddelen aan te wenden.
De PNR-gegevens kunnen, samen beschouwd, onder meer een volledige reisroute blootleggen, inzicht geven in reisgewoontes en relaties tussen twee of meer personen, inlichtingen verschaffen over de financiële situatie van luchtreizigers, hun voedingsgewoonten of hun gezondheidstoestand en zelfs gevoelige gegevens over deze passagiers bevatten. Bovendien zijn de doorgegeven PNR-gegevens bestemd om vóór de aankomst van de passagiers in Canada op stelselmatige en geautomatiseerde wijze te worden geanalyseerd aan de hand van vooraf vastgelegde criteria en modellen. Dergelijke analyses kunnen aanvullende informatie verstrekken over het privéleven van de passagiers. Tot slot maakt het voorgenomen verdrag het mogelijk om gedurende een erg lange tijd over informatie met betrekking tot het privéleven van de passagiers te beschikken. De PNR-gegevens kunnen immers tot vijf jaar lang worden bewaard.
Het EU-Hof wijst er dan ook op dat de doorgifte van de PNR-gegevens van de EU naar Canada en de regels van het voorgenomen verdrag over de bewaring en het gebruik van die gegevens en de eventuele latere doorgifte ervan aan Canadese, Europese of buitenlandse openbare instanties een inmenging in het grondrecht op eerbiediging van het privéleven inhouden. Het voorgenomen verdrag vormt ook een inmenging in het grondrecht op bescherming van persoonsgegevens.
Het EU-Hof onderzoekt vervolgens of deze inmengingen kunnen worden gerechtvaardigd. In dat verband merkt het op dat de betrokken inmengingen gerechtvaardigd worden door een doelstelling van algemeen belang (het waarborgen van de openbare veiligheid in het kader van de strijd tegen terroristische misdrijven en zware grensoverschrijdende criminaliteit) en dat de doorgifte van PNR-gegevens naar Canada en de latere verwerking ervan geschikte manieren zijn om die doelstelling te verwezenlijken.
Wat de noodzakelijkheid van de inmengingen betreft, verklaart het EU-Hof dat verschillende bepalingen van het verdrag verder gaan dan strikt noodzakelijk is en geen duidelijke en nauwkeurige regels bevatten.
In het bijzonder merkt het EU-Hof op dat de verdragsluitende partijen de mogelijkheid hebben erkend dat gevoelige gegevens (te weten alle informatie waaruit „de raciale of etnische afkomst, de politieke opvattingen, de godsdienstige of levensbeschouwelijke overtuiging of het lidmaatschap van een vakvereniging” blijkt en informatie over „gezondheid of seksueel gedrag”) worden doorgegeven aan Canada. Aangezien er een risico bestaat dat de verwerking van gevoelige gegevens in strijd is met het discriminatieverbod, is voor de doorgifte ervan aan Canada een nauwkeurige en bijzonder goed onderbouwde rechtvaardiging nodig die is gebaseerd op andere gronden dan de bescherming van de openbare veiligheid tegen terrorisme en ernstige grensoverschrijdende criminaliteit. In dit geval ontbreekt een dergelijke rechtvaardiging echter. Het EU-Hof leidt hieruit af dat de bepalingen van het verdrag over de doorgifte van gevoelige gegevens aan Canada en over de verwerking en de bewaring van deze gegevens onverenigbaar zijn met de grondrechten.
Voorts is het EU-Hof van oordeel dat het voorgenomen verdrag niet verder gaat dan strikt noodzakelijk is voor zover zij toestaat dat de PNR-gegevens van alle luchtreizigers worden doorgegeven aan Canada. De geautomatiseerde analyse van de PNR-gegevens beoogt immers het risico voor de openbare veiligheid vast te stellen dat zou kunnen worden gevormd door personen die niet bekend zijn bij de bevoegde diensten en die vanwege dit risico kunnen worden onderworpen aan een grondig onderzoek bij de grens. Deze gegevensverwerking zorgt ervoor dat veiligheidscontroles (met name aan de grenzen) eenvoudiger en sneller kunnen verlopen. Overeenkomstig artikel 13 van het Verdrag van Chicago ( Verdrag inzake de internationale burgerluchtvaart, dat is ondertekend te Chicago op 7 december 1944) moeten alle luchtreizigers die Canada willen inreizen of verlaten deze controles ondergaan, aangezien zij de toelatings- en vertrekvoorwaarden dienen te respecteren waarin het toepasselijke Canadese recht voorziet.
Om diezelfde redenen is, voor zover de passagiers zich nog in Canada bevinden of op het punt staan dat derde land te verlaten, het noodzakelijke verband aanwezig tussen deze gegevens en de doelstelling van het voorgenomen verdrag, zodat dit verdrag niet verder gaat dan strikt noodzakelijk is door het loutere feit dat zij bepaalt dat de PNR-gegevens van de passagiers stelselmatig mogen worden bewaard en gebruikt.
Wat het gebruik van de PNR-gegevens tijdens het verblijf van de luchtreizigers in Canada betreft, merkt het EU-Hof echter wel op dat deze reizigers na verificatie van hun PNR-gegevens toegelaten zijn tot het grondgebied van dit derde land, zodat het gebruik van die gegevens tijdens hun verblijf in Canada gebaseerd moet zijn op nieuwe omstandigheden die dit gebruik rechtvaardigen. In dit kader zijn dus, zoals door de rechtspraak van het EU-Hof wordt vereist, regels nodig die de materiële en procedurele voorwaarden voor dit gebruik bepalen, zodat de gegevens in kwestie met name worden beschermd tegen het gevaar van misbruik. Dergelijke regels moeten gebaseerd zijn op objectieve criteria ter bepaling van de omstandigheden en voorwaarden waarin de in de voorgenomen overeenkomst bedoelde Canadese autoriteiten deze gegevens mogen gebruiken. Om in de praktijk te garanderen dat deze voorwaarden ten volle worden nageleefd, moet het gebruik van de bewaarde PNR-gegevens tijdens het verblijf van de luchtreizigers in Canada in beginsel worden onderworpen aan een voorafgaande controle door hetzij een rechterlijke instantie, hetzij een onafhankelijke bestuurlijke entiteit, en moet de beslissing van deze rechterlijke instantie of deze entiteit worden gegeven naar aanleiding van een gemotiveerd verzoek dat de bevoegde autoriteiten met name in het kader van een procedure ter voorkoming, opsporing of vervolging van strafbare feiten hebben ingediend. Hiervan kan slechts worden afgeweken in dringende gevallen, mits dit naar behoren wordt gerechtvaardigd.
Na het vertrek van de luchtreizigers uit Canada is de duurzame opslag van de PNR-gegevens van alle luchtreizigers – die door het voorgenomen verdrag wordt toegestaan – volgens het EU-Hof niet beperkt tot wat strikt noodzakelijk is. Wat luchtreizigers betreft voor wie bij hun aankomst in Canada en tot op het ogenblik van hun vertrek uit dat derde land niet is vastgesteld dat zij een terroristische dreiging kunnen vormen of zich schuldig zouden kunnen maken aan zware grensoverschrijdende criminaliteit, lijkt er – zodra zij vertrokken zijn – tussen hun PNR-gegevens en de doelstelling van het voorgenomen verdrag immers geen verband, zelfs geen indirect verband, te bestaan dat de bewaring van deze gegevens rechtvaardigt. Wat luchtreizigers betreft ten aanzien van wie op basis van objectieve gegevens kan worden aangenomen dat zij zelfs na hun vertrek uit Canada een terroristische dreiging kunnen vormen of zich schuldig zouden kunnen maken aan zware grensoverschrijdende criminaliteit, is het daarentegen wel toelaatbaar dat hun PNR-gegevens na hun verblijf in Canada, zelfs vijf jaar lang, opgeslagen blijven. Voor het gebruik van de PNR-gegevens gelden dan dezelfde voorwaarden als die welke gelden voor het gebruik van de PNR-gegevens tijdens het verblijf van de luchtreizigers in Canada.
Het EU-Hof is ook van oordeel dat andere bepalingen van het voorgenomen verdrag onverenigbaar zijn met de grondrechten, tenzij dit verdrag zo wordt herzien dat de inmengingen beter worden afgebakend en preciezer worden omschreven. Zo verklaart het EU-Hof dat het verdrag:
sommige van de door te geven PNR-gegevens duidelijker en nauwkeuriger moet bepalen;
moet voorschrijven dat de modellen en criteria die voor de geautomatiseerde verwerking van de PNR-gegevens worden gebruikt, specifiek en betrouwbaar zijn en niet discrimineren;
moet bepalen dat uitsluitend databases zullen worden gebruikt die door Canada worden aangewend in het kader van de strijd tegen terrorisme en zware grensoverschrijdende criminaliteit;
moet bepalen dat de Canadese autoriteiten PNR-gegevens slechts kunnen meedelen aan openbare instanties van landen buiten de Europese Unie indien er tussen de Unie en dat land een verdrag bestaat dat gelijkwaardig is aan het voorgenomen verdrag of indien de Europese Commissie op dit domein een besluit heeft vastgesteld;
moet bepalen dat de luchtreizigers het recht hebben om individueel te worden ingelicht wanneer PNR-gegevens die betrekking hebben op hen worden gebruikt tijdens hun verblijf in Canada en na hun vertrek uit dat land, en ook wanneer deze gegevens aan andere instanties of aan particulieren worden vrijgegeven;
moet waarborgen dat een onafhankelijke toezichthoudende instantie nagaat of de regels met betrekking tot de bescherming van luchtreizigers bij de verwerking van hun PNR-gegevens worden nageleefd.
Aangezien niet alle inmengingen die het voorgenomen verdrag toestaat, beperkt blijven tot wat strikt noodzakelijk is en zij dus niet volledig gerechtvaardigd zijn, komt het EU-Hof tot de slotsom dat het voorgenomen verdrag niet kan worden gesloten in haar huidige vorm.
Tot slot wilde het Parlement ook weten of het voorgenomen verdrag gebaseerd moet zijn op de artikelen 82 en 87 EU-Werkingsverdrag (justitiële samenwerking in strafzaken en politiële samenwerking), dan wel op artikel 16 EU-Werkingsverdrag (bescherming van persoonsgegevens). In dit verband antwoordt het EU-Hof dat het verdrag moet worden gebaseerd op zowel artikel 16 EU-Werkingsverdrag als artikel 87 EU-Werkingsverdrag. Het streeft immers twee onlosmakelijk met elkaar verbonden doelstellingen na die van even groot belang zijn, te weten de – uit artikel 87 EU-Werkingsverdrag voortvloeiende – doelstelling terrorisme en zware grensoverschrijdende criminaliteit te bestrijden en de – uit artikel 16 EU-Werkingsverdrag voortvloeiende – doelstelling persoonsgegevens te beschermen.
