Jaarrapportage 2024 van de functionaris gegevensbescherming van de Passagiersinformatie-eenheid Nederland

Tweede Kamer der Staten-Generaal2Vergaderjaar 2024–202534 861Regels ter implementatie van richtlijn (EU)2016/681 van het Europees Parlement en deRaad van 27 april 2016 over het gebruik vanpersoonsgegevens van passagiers(PNR-gegevens) voor het voorkomen, opsporen,onderzoeken en vervolgen van terroristischemisdrijven en ernstige criminaliteit (PbEU 2016,L 119) (Wet gebruik van passagiersgegevensvoor de bestrijding van terroristische enernstige misdrijven)32 761Verwerking en bescherming persoonsgegevensNr. 42 BRIEF VAN DE MINISTER VAN JUSTITIE EN VEILIGHEID Aan de Voorzitter van de Tweede Kamer der Staten-GeneraalDen Haag, 12 maart 2025Terroristische en criminele netwerken maken gebruik van internationalereisroutes binnen en buiten het Schengengebied om hun activiteiten uit tevoeren. De dreiging van ernstige criminaliteit, zoals mensenhandel endrugssmokkel, blijft hiermee onverminderd aanwezig. De terroristischedreiging wordt onderstreept door het huidige dreigingsniveau inNederland, dat op niveau 4 staat.1 Dit betekent dat er sprake is van eensubstantiële terroristische dreiging en dat de kans op een aanslagaanzienlijk is. Om deze dreiging effectief het hoofd te bieden en deveiligheid van onze samenleving te waarborgen, is het noodzakelijk omover de juiste wettelijke en beleidsmatige instrumenten te beschikken.Een belangrijk instrument is het gebruik van Passenger Name Record-gegevens (PNR-gegevens). Deze gegevens spelen een essentiële rol bijhet voorkomen, opsporen, onderzoeken en vervolgen van terroristischemisdrijven en andere vormen van ernstige criminaliteit, zonder dereismogelijkheden van gewone passagiers te beperken. DePassagiersinformatie-eenheid Nederland (hierna: Pi-NL) draagt hieraan bijdoor PNR-gegevens van luchtvaartpassagiers te analyseren en zomogelijke betrokkenheid bij ernstige criminaliteit of terrorisme tedetecteren.Recent heb ik uw Kamer geïnformeerd dat in het licht van het huidigedreigingsbeeld en de voorstelbare dreiging rond de door Nederlandgeorganiseerde NAVO-top op 24 en 25 juni 2025, de Pi-NL tot de zomer1Dreigingsbeeld Terrorisme Nederland, december 2024. kst-34861-42ISSN 0921 - 7371’s-Gravenhage 2025Tweede Kamer, vergaderjaar 2024–2025, 34 861, nr. 421 van 2025 de passagiersgegevens van alle intra-EU vluchten van en naarNederlandse luchthavens verzamelt en verwerkt om te voorkomen dat(potentiële) terroristen en criminelen zich ongezien verplaatsen.2 Daarnawordt geëvalueerd of er nog steeds sprake is van een reële en actuele ofvoorzienbare dreiging. Bij de verwerking van PNR-gegevens blijft debescherming van persoonsgegevens een prioritair aandachtspunt. Erwordt gestreefd naar een zo hoog mogelijk beschermingsniveau tenaanzien van de privacy van reizigers, waarbij tegelijkertijd de veiligheidvan onze samenleving wordt gegarandeerd.Hierbij bied ik u, mede namens de Minister van Defensie, de jaarrap-portage van de functionaris gegevensbescherming van de Pi-NL over 2024aan.3 De rapportage onderstreept dat binnen de Pi-NL acties wordengenomen die verband houden met de bescherming van persoonsge-gevens. Tegelijk doet de functionaris gegevensbescherming ook nogaanbevelingen ter verbetering van de werkwijze. Ik dank de functionarisgegevensbescherming voor haar uitgebreide rapportage en neem deaanbevelingen over. Graag licht ik de conclusie en het belangrijksteaandachtspunt van de functionaris gegevensbescherming toe.Het gebruik van PNR-gegevens vereist waarborgen op het gebied vangegevensbescherming. Deze waarborgen geven invulling aan deuniversele privacy-beginselen die ten grondslag liggen aan de PNR-wet,zoals doelmatigheid, rechtmatigheid en transparantie. Ik onderschrijf deconclusie van de functionaris gegevensbescherming dat men zich binnende Pi-NL bewust is van het belang van gegevensbescherming enzorgvuldig omgaat met de persoonsgegevens en de verwerking daarvan.In de rapportage constateert de functionaris gegevensbescherming dat degecontroleerde wettelijke waarborgen voor de bescherming vanpersoonsgegevens aanwezig zijn en voldoende functioneren. Daarnaasttoont de rapportage dat aanbevelingen uit de jaarrapportage 2023 zijnopgevolgd. In de jaarrapportages 2022 en 2023 is als aandachtspuntbenoemd dat de verwerkers moeten aantonen dat de technische enorganisatorische maatregelen in de verwerkersovereenkomsten zijngeïmplementeerd en worden nageleefd.4 De functionaris gegevensbe-scherming constateert dat in 2024 de verwerkers hierover verklaringenhebben afgegeven.In de jaarrapportage van 2023 is geadviseerd dat de Pi-NL moettoewerken naar een meer gedocumenteerde en planmatige privacy-aanpak van de bescherming van passagiersgegevens. In 2024 heeft dePi-NL, naar aanleiding van de privacy-audit door de Auditdienst Rijk5, eenverbeterplan opgesteld waarin de verbetermaatregelen wordenbeschreven die reeds zijn getroffen en nog worden genomen. Voor 2025blijft één van de belangrijkste aandachtspunten om te werken aan eenmeer gedocumenteerde en planmatige aanpak van de bescherming vanpassagiersgegevens. Het advies van de functionaris gegevensbe-scherming is om de verbetermaatregelen uit het verbeterplan en deresterende actiepunten van de actielijst te prioriteren, planmatig uit te2Kamerstukken II, 2024/2025, 34 861, nr. 41.3Het gebruik van PNR-gegevens is vastgelegd in de PNR-richtlijn en de «Wet gebruik passagiers-gegevens voor de bestrijding van terroristische en ernstige misdrijven». Het verantwoordings-kader, dat onderdeel is van zowel de PNR-richtlijn als de Nederlandse wetgeving, vereist dat defunctionaris gegevensbescherming van de Pi-NL jaarlijks een rapportage opstelt, zoalsbeschreven in artikel 18, tweede lid, van de genoemde wet.4De Justitiële Informatiedienst van het Ministerie van Justitie en Veiligheid en het Joint IVCommando van het Ministerie van Defensie zijn de verwerkers die passagiersgegevensverwerken ten behoeve van de Pi-NL.5Zie het Assurancerapport Privacy Pi-NL 2020–2023: https://open.overheid.nl/documenten/6d77bd49-2830-4d4c-80e8-b0ee57fe8b4e/fileTweede Kamer, vergaderjaar 2024–2025, 34 861, nr. 422 voeren en actief te monitoren. De functionaris gegevensbeschermingadviseert hierbij een meer gedocumenteerde aanpak om de verantwoor-dingsplicht beter te borgen. De Pi-NL zal, waar het nog niet in gang isgezet, het advies van de functionaris gegevensbescherming om te werkenaan een meer geïntegreerde en gedocumenteerde privacy-aanpak verderopvolgen.Tot slot sta ik stil bij het advies van de functionaris gegevensbeschermingten aanzien van de implementatie van het arrest van het Hof van Justitievan de Europese Unie op 21 juni 2022 (hierna: het Hof).6 In de afgelopenjaren heb ik u op verschillende momenten geïnformeerd over dewijzigingen in de verwerking van PNR-gegevens.7 Deze wijzigingen zijnnoodzakelijk om de verwerking in lijn te brengen met het arrest van hetHof. Naar aanleiding van het arrest heb ik in 2023 onder andere dealgemene bewaartermijn van PNR-gegevens aangepast van vijf naar driejaar.8 De functionaris gegevensbescherming stelt dat een algemenebewaartermijn van drie jaar, in het belang van de veiligheid van deburgers is, en in verhouding staat tot de inbreuk op de privacy van depersonen van wie de passagiersgegevens worden verwerkt. Hiervoor iseen algemene bewaartermijn van drie jaar noodzakelijk en evenredig aande doelstellingen van de PNR-wet. De functionaris gegevensbeschermingadviseert de algemene bewaartermijn niet in te korten en derhalve driejaar aan te houden, hetgeen in lijn is met het arrest van het Hof. Ik deel dezienswijze van de functionaris gegevensbescherming en ben van meningdat deze maatregel een evenwichtig en proportioneel middel is in debestrijding van terrorisme en ernstige criminaliteit, met de noodzakelijkebescherming van persoonsgegevens. Ik volg de ontwikkelingen tenaanzien van de Europese implementatie van dit arrest en ik blijf mijinzetten voor een sterke informatiepositie van lidstaten in de bestrijdingvan terrorisme en ernstige criminaliteit.In het komende jaar zal ik mij onverminderd blijven inspannen voor debestrijding van ernstige criminaliteit en terrorisme. Het uitgangspunthierbij blijft het waarborgen van de veiligheid van onze samenleving. Mijninzet blijft erop gericht een zo hoog mogelijk niveau van bescherming vanpersoonsgegevens te realiseren bij Pi-NL, alsmede het recht op deeerbiediging van de persoonlijke levenssfeer, het recht op beschermingvan persoonsgegevens en het recht op non-discriminatie te waarborgen.De Minister van Justitie en Veiligheid,D.M. van Weel6Zie voor het arrest: HvJ EU 21 juni 2022, C-817/19, ECLI:EU:C:2022:491, (Ligue des droitshumains).7Kamerstukken II, 2022/2023, 34 861, nr. 36 en 38, Kamerstukken II, 2024/2025, 34 861, nr. 41.8Kamerstukken II, 2022/2023, 34 861, nr. 36Tweede Kamer, vergaderjaar 2024–2025, 34 861, nr. 423