Jaarrapportage 2023 van de functionaris gegevensbescherming van de Passagiersinformatie-eenheid Nederland

Tweede Kamer der Staten-Generaal2Vergaderjaar 2023–202434 861Regels ter implementatie van richtlijn (EU)2016/681 van het Europees Parlement en deRaad van 27 april 2016 over het gebruik vanpersoonsgegevens van passagiers(PNR-gegevens) voor het voorkomen, opsporen,onderzoeken en vervolgen van terroristischemisdrijven en ernstige criminaliteit (PbEU 2016,L 119) (Wet gebruik van passagiersgegevensvoor de bestrijding van terroristische enernstige misdrijven)32 761Verwerking en bescherming persoonsgegevensNr. 39 BRIEF VAN DE MINISTER VAN JUSTITIE EN VEILIGHEID Aan de Voorzitter van de Tweede Kamer der Staten-GeneraalDen Haag, 28 maart 2024Uit het Dreigingsbeeld Terrorisme Nederland van december 2023 blijkt datde terroristische dreiging de afgelopen periode is toegenomen van niveau3 naar 4. Dit betekent dat er een reële kans is dat een aanslag inNederland zal plaatsvinden.1 Daarnaast blijft er een aanhoudendedreiging uitgaan van ernstige criminaliteit zoals mensenhandel endrugssmokkel.2 Terroristische en criminele netwerken gebruikenveelvuldig internationale reisroutes binnen en buiten het Schengengebiedom hun terroristische en criminele activiteiten te ontplooien. Om tevoorkomen dat terroristen of criminelen zich ongezien verplaatsen, ispassend instrumentarium essentieel. Het gebruik van Passenger NameRecord-gegevens (hierna: PNR-gegevens) is een belangrijk instrument datbijdraagt aan het voorkomen, opsporen, onderzoeken en vervolgen vanterroristische misdrijven en ernstige criminaliteit, zonder de reismogelijk-heden van gewone passagiers te beperken. In de uitvoering hiervandraagt de Passagiersinformatie-eenheid Nederland bij door met behulpvan PNR-gegevens de mogelijke betrokkenheid van luchtvaartpassagiersbij een terroristisch of ernstig misdrijf te detecteren.1Dreigingsbeeld Terrorisme Nederland (december 2023) (Kamerstuk 29 754, nr. 696).2Kamerstuk 29 911, nr. 433. kst-34861-39ISSN 0921 - 7371’s-Gravenhage 2024Tweede Kamer, vergaderjaar 2023–2024, 34 861, nr. 391 Het gebruik van PNR-gegevens is geborgd in de PNR-richtlijn3 en de «Wetgebruik passagiersgegevens voor de bestrijding van terroristische enernstige misdrijven». Het verantwoordingsregime, dat integraal onderdeeluitmaakt van de PNR-richtlijn en de Nederlandse wet, schrijft voor dat defunctionaris gegevensbescherming van de Passagiersinformatie-eenheidNederland jaarlijks een rapportage opstelt zoals beschreven in artikel 18,tweede lid, van bovengenoemde wet. Hierbij bied ik u, mede namens deMinister van Defensie, de jaarrapportage van de functionaris gegevensbe-scherming van de Passagiersinformatie-eenheid Nederland over 2023 aan.Ik neem de aanbevelingen van de functionaris gegevensbeschermingover. Hieronder ga ik graag in op de conclusie en het belangrijksteaandachtspunt van de functionaris gegevensbescherming, te weten, demeer geïntegreerde en gedocumenteerde privacy-aanpak om waarborgenvan de bescherming van passagiersgegevens te verstevigen.Daarnaast sta ik stil bij de aanbeveling van de functionaris gegevensbe-scherming ten aanzien van de implementatie van het arrest van het Hofvan Justitie van de Europese Unie (hierna: het Hof)4.Conclusie functionaris gegevensbeschermingHet gebruik van PNR-gegevens ter bestrijding van terrorisme en ernstigecriminaliteit vraagt waarborgen op het gebied van privacy. De functionarisgegevensbescherming concludeert dat binnen de Passagiersinformatie-eenheid Nederland het management en de medewerkers zich bewust zijnvan het belang van gegevensbescherming en dat zorgvuldig omgegaanwordt met de persoonsgegevens die worden verwerkt. De functionarisgegevensbescherming stelt daarnaast dat de wettelijke waarborgen voorhet beschermen van persoonsgegevens die zijn gecontroleerd, aanwezigzijn en voldoende functioneren. Ook de interne cultuur en actiebereidheidom passagiersgegevens te beschermen zijn aanwezig bij dePassagiersinformatie-eenheid Nederland. Zo heeft de interne audit, die in2023 heeft plaatsgevonden, laten zien dat de Passagiersinformatie-eenheid Nederland aan het overgrote deel van de gehanteerde normenvoldoet en dat de geconstateerde verbeterpunten grotendeels al door dePassagiersinformatie-eenheid Nederland zijn opgepakt. Daarnaast geeftde functionaris gegevensbescherming in zijn jaarrapportage 2023 aan datde belangrijkste aanbevelingen uit de jaarrapportage 2022, te wetenuitvoering geven aan het arrest van het Hof en het inrichten van een meergeïntegreerde en gedocumenteerde privacy-aanpak opgevolgd dan wel ingang gezet zijn. De meer geïntegreerde en gedocumenteerde privacy-aanpak behelst een overkoepelend privacyraamwerk. Op deze wijze kanmeer gedocumenteerd en planmatig invulling worden gegeven aan debescherming van passagiersgegevens. De functionaris gegevensbe-scherming stelt dat de geadviseerde planmatige privacy aanpak weliswaaris gestart, maar ook in 2024 een belangrijk aandachtspunt blijft.Meer geïntegreerde en gedocumenteerde privacy-aanpakZoals door de functionaris gegevensbescherming in 2023 is geconclu-deerd, is naast de implementatie van het arrest van het Hof, waarhieronder verder op in wordt gegaan, gewerkt aan het opzetten enimplementeren van een planmatige privacy aanpak. Zo is door dePassagiersinformatie-eenheid Nederland een overzichtslijst opgesteld van3Richtlijn (EU) 2016/681 van het Europees parlement en de Raad van 27 april 2016 over hetgebruik van persoonsgegevens van passagiers (PNR-gegevens) voor het voorkomen,opsporen, onderzoeken en vervolgen van terroristische misdrijven en ernstige criminaliteit.4Zie voor de uitspraak: HvJ EU 21 juni 2022, C-817/19, ECLI:EU:C:2022:491, (Ligue des droitshumains).Tweede Kamer, vergaderjaar 2023–2024, 34 861, nr. 392 alle bevindingen en adviezen die afgelopen jaren zijn voortgekomen uit deverschillende audits en jaarrapportages van de functionaris gegevensbe-scherming. In lijn met het advies van de functionaris gegevensbe-scherming worden deze geïdentificeerde aandachts-en verbeterpunten hetkomend jaar op een gedocumenteerde wijze geprioriteerd, (gefaseerd)uitgevoerd en vervolgens gemonitord. Ook de uitkomsten van de door deAudit Dienst Rijk uitgevoerde privacy audit over de periode 2020–2023worden hierin meegenomen evenals de specifiek genoemde aandachts-punten in deze rapportage. Denk hierbij onder andere aan de realisatievan een technische controlemogelijkheid voor de functionaris gegevens-bescherming of de «op afstand van het onderzoek geplaatste Officier vanJustitie» naar een vordering heeft gekeken.Implementatie arrest van het HofDe functionaris gegevensbescherming constateert dat zowel de verwer-kingsverantwoordelijke als de Passagiersinformatie-eenheid Nederlandveel tijd en energie hebben gestoken in het opvolgen van het arrest vanhet Hof uit 2022. Ik heb uw Kamer afgelopen jaar verschillende kerengeïnformeerd over de wijze waarop ik invulling geef aan de uitspraak vanhet Hof.5 Alle afgekondigde maatregelen zijn inmiddels ontwikkeld,geïmplementeerd en geborgd binnen de Passagiersinformatie-eenheidNederland en worden op specifieke punten aangescherpt waarna de «Wetgebruik passagiersgegevens voor de bestrijding van terroristische enernstige misdrijven» zal worden aangepast. Zoals de functionarisgegevensbescherming in zijn rapportage aangeeft, is de functionarisgegevensbescherming betrokken bij de hiertoe geïmplementeerdemaatregelen. De functionaris gegevensbescherming constateert dat demaatregelen «een goede balans lijken te hebben tussen het doel van dePNR-wet enerzijds (bestrijding van terroristische en ernstige misdrijven)en de bescherming van persoonsgegevens anderzijds». Ik deel dezeconclusie van de functionaris gegevensbescherming en ben van meningdat ik met deze maatregelen invulling geef aan een evenredig enproportioneel pakket aan maatregelen en waarborgen die noodzakelijk zijnvoor de bestrijding van terrorisme en zware criminaliteit, met denoodzakelijke bescherming van persoonsgegevens. Ik onderschrijf deaanbeveling van de functionaris gegevensbescherming dat het van belangblijft om continu te blijven monitoren en te evalueren of de verzamelingen verwerking van passagiersgegevens inderdaad beperkt blijft tot hetstrikt noodzakelijke – conform de uitleg van het Hof. Hierbij volg ik deontwikkelingen ten aanzien van de eenduidige implementatie van hetarrest van het Hof in Europa en zal ik op Europees niveau het belang vaneen sterke informatiepositie van de verschillende lidstaten in de strijdtegen terrorisme en ernstige criminaliteit blijven adresseren.Het komende jaar zal ik mij blijven inzetten om ernstige criminaliteit enterrorisme zo effectief mogelijk te bestrijden. Waarbij dePassagiersinformatie-eenheid Nederland, als noodzakelijke randvoor-waarde, een zo hoog mogelijk niveau van bescherming van persoonsge-gevens in acht neemt. Hierbij is het van groot belang dat het recht op deeerbiediging van de persoonlijke levenssfeer, het recht op beschermingvan persoonsgegevens en het recht op non-discriminatie wordengerespecteerd. Hier zal ik ook het komende jaar onverminderde aandachtvoor hebben.De Minister van Justitie en Veiligheid,D. Yes¸ilgöz-Zegerius5In het commissiedebat van 7 juni 2023 en 20 december 2023 (Kamerstuk 29 754, nrs. 687 en709) en Kamerstukken II, 2022/2023, 34 861, nrs. 36 en 38.Tweede Kamer, vergaderjaar 2023–2024, 34 861, nr. 393