Streszczenie opinii Europejskiego Inspektora Ochrony Danych w sprawie wniosku dotyczącego zmiany rozporządzenia w sprawie Europolu (pełny tekst niniejszej opinii jest dostępny w wersji angielskiej, francuskiej i niemieckiej na stronie internetowej EIOD: www.edps.europa.eu).

Streszczenie opinii Europejskiego Inspektora Ochrony Danych w sprawie wniosku dotyczącego zmiany rozporządzenia w sprawie Europolu

(pełny tekst niniejszej opinii jest dostępny w wersji angielskiej, francuskiej i niemieckiej na stronie internetowej EIOD: www.edps.europa.eu)

(2021/C 143/05)

(Dz.U.UE C z dnia 23 kwietnia 2021 r.)

9 grudnia 2020 r. Komisja Europejska przedstawiła wniosek dotyczący rozporządzenia Parlamentu Europejskiego i Rady zmieniającego rozporządzenie (UE) 2016/794 w odniesieniu do współpracy Europolu z podmiotami prywatnymi, przetwarzania danych osobowych przez Europol w celu wspierania postępowań przygotowawczych oraz roli Europolu w zakresie badań naukowych i innowacji. Wniosek ustawodawczy ma na celu wzmocnienie, a w niektórych przypadkach zwiększenie uprawnień Europolu, w odpowiedzi na zmieniającą się sytuację w zakresie bezpieczeństwa oraz zmieniające się i coraz bardziej złożone zagrożenia.

Europejski Inspektor Ochrony Danych (EIOD) zdaje sobie sprawę z potrzeby korzystania przez organy ścigania z najlepszych możliwych narzędzi prawnych i technicznych, by mogły one realizować swoje zadania polegające na wykrywaniu przestępstw i innych zagrożeń dla bezpieczeństwa publicznego, prowadzeniu postępowań przygotowawczych w ich sprawie i zapobieganiu im. Ponadto jest on przekonany, że między bezpieczeństwem a prawami podstawowymi, w tym prawem do ochrony danych, nie istnieje żaden nieodłączny i niemożliwy do pogodzenia konflikt. W związku z tym niniejsza opinia ma na celu przedstawienie rzetelnej i obiektywnej oceny konieczności i proporcjonalności proponowanych środków, wraz z szeregiem szczególnych zaleceń służących zapewnieniu właściwej równowagi między wchodzącymi w grę wartościami i interesami.

Postępowania przygotowawcze i operacje wywiadowcze w sprawach karnych w coraz większym stopniu obejmują gromadzenie i przetwarzanie dużych i złożonych zbiorów danych przez organy ścigania. Choć EIOD z zadowoleniem przyjmuje zabezpieczenia, które towarzyszą proponowanym odstępstwom w takich przypadkach, obawia się, że wyjątki od obecnych przepisów dotyczących ochrony danych, mające zastosowanie do Europolu, mogą w rzeczywistości stać się regułą. Dlatego też zaleca on, aby w rozporządzeniu w sprawie Europolu dokładniej określić sytuacje i warunki, w których Europol może skorzystać z proponowanych odstępstw. Ponadto nawet w tych przypadkach przetwarzanie danych osobowych przez Agencję powinno być w pełni zgodne z ogólnymi zasadami i obowiązkami określonymi w rozdziale IX rozporządzenia (UE) 2018/1725.

Jeśli chodzi o rozszerzone prawne możliwości współpracy Europolu z podmiotami prywatnymi, zwłaszcza w przypadku zbiorów danych dotyczących wielu jurysdykcji lub zbiorów danych niemożliwych do przypisania, EIOD docenia fakt, że są one zrównoważone szczególnymi zabezpieczeniami, takimi jak zakaz systematycznego, masowego lub strukturalnego przekazywania danych. Jednocześnie EIOD zaleca, aby to istotne ograniczenie miało zastosowanie do wszystkich wymian danych między Europolem a podmiotami prywatnymi, niezależnie od tego, gdzie się znajdują - w UE lub poza nią. EIOD uważa również, że dokładna rola i obowiązki Europolu wynikające z przepisów prawa, w sytuacji gdy Agencja ta dostarcza usługi na rzecz organów krajowych, a tym samym działa jako podmiot przetwarzający dane, powinny zostać dokładniej wyjaśnione w wiążącym akcie prawnym. Ponadto dostrzega on potrzebę oceny ewentualnego ryzyka związanego z bezpieczeństwem informacji, wynikającego z udostępnienia infrastruktury łączności Europolu do użytku przez podmioty prywatne.

Europejski Inspektor Ochrony Danych zwraca również szczególną uwagę na planowane wykorzystanie danych osobowych przez Europol do celów badań i innowacji. Jednocześnie EIOD jest w pełni świadomy, że alternatywne rozwiązanie - poleganie przez Europol i krajowe organy ścigania na narzędziach i produktach opracowanych przez dostawców zewnętrznych, często znajdujących się poza UE - wiąże się z dużo większym ryzykiem w odniesieniu do praw podstawowych. Niezależnie od tego EIOD uważa, że nowy cel przetwarzania jest zdefiniowany zbyt szeroko, i zaleca, aby zakres działań w obszarze badań i innowacji został wyjaśniony w wiążącym dokumencie.

EIOD z zadowoleniem przyjmuje i w pełni popiera proponowane dalsze wzmocnienie ram ochrony danych Europolu, w szczególności bezpośrednie stosowanie zasad horyzontalnych zawartych w rozdziale IX rozporządzenia (UE) 2018/1725 do przetwarzania danych operacyjnych przez Agencję. Jest to również ważny krok w kierunku pełnego dostosowania ram ochrony danych dla wszystkich instytucji, organów i agencji UE, do czego EIOD wzywał wielokrotnie.

Większe uprawnienia Europolu zawsze powinny wiązać się ze ściślejszym nadzorem. EIOD wzywa zatem do pełnej harmonizacji swoich uprawnień nadzorczych wobec Europolu z ogólnymi uprawnieniami EIOD, które zostały przewidziane w rozporządzeniu (UE) 2018/1725 i mają zastosowanie do innych instytucji, agencji i organów UE, w tym Parlamentu Europejskiego, Rady i Komisji. Takie dostosowanie byłoby zgodne z wolą prawodawcy unijnego, a także pomogłoby uniknąć zróżnicowanego traktowania poszczególnych organów Unii i stawiania ich w mniej lub bardziej uprzywilejowanym położeniu.

1. 

WPROWADZENIE I KONTEKST

1. Agencja Unii Europejskiej ds. Współpracy Organów Ścigania (Europol) została ustanowiona na mocy rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/794 (rozporządzenie w sprawie Europolu) w celu wspierania i wzmacniania działań właściwych organów państw członkowskich oraz ich wzajemnej współpracy w zakresie zapobiegania i zwalczania poważnej przestępczości transgranicznej, terroryzmu i innej działalności przestępczej, która narusza wspólne interesy Unii. Rozporządzenie w sprawie Europolu zastąpiło poprzedni akt podstawowy - decyzję Rady 2009/371/WSiSW ¹  - i na mocy tego rozporządzenia powierzono Europejskiemu Inspektorowi Ochrony Danych zadanie nadzorowania zgodności z prawem przetwarzania danych osobowych przez Europol od dnia 1 maja 2017 r.

2. W dniu 9 grudnia 2020 r. Komisja Europejska przyjęła wniosek dotyczący rozporządzenia Parlamentu Europejskiego i Rady zmieniającego rozporządzenie (UE) 2016/794 w odniesieniu do współpracy Europolu z podmiotami prywatnymi, przetwarzania danych osobowych przez Europol w celu wspierania postępowań przygotowawczych oraz roli Europolu w zakresie badań naukowych i innowacji ² .

3. Wniosek został włączony do programu prac Komisji na 2020 r. jako inicjatywa ustawodawcza mająca na celu zwiększenie uprawnień Europolu w celu usprawnienia operacyjnej współpracy policyjnej. Jest to również jedno z kluczowych działań w ramach przedstawionej w lipcu 2020 r. strategii UE w zakresie unii bezpieczeństwa ³ . Ponadto wniosek ustawodawczy jest częścią pakietu środków, ogłoszonego przez Komisję w dniu 9 grudnia 2020 r., mającego na celu wzmocnienie reakcji Unii na zagrożenie związane z terroryzmem ⁴ .

4. Celem wniosku jest zwiększenie i - w razie potrzeby - rozszerzenie uprawnień Europolu w ramach misji i zadań agencji określonych w art. 88 Traktatu o funkcjonowaniu Unii Europejskiej (TFUE). Trzy główne obszary, których dotyczy wniosek, zostały wyraźnie wymienione w tytule projektu rozporządzenia, mianowicie: współpraca z podmiotami prywatnymi, wsparcie operacyjne postępowań przygotowawczych oraz badania i innowacje. Wprowadzono jednak szereg dodatkowych zmian w innych ważnych aspektach pracy Europolu, takich jak: system prawny dotyczący ochrony danych, przekazywanie danych państwom trzecim, wprowadzanie wpisów do Systemu Informacyjnego Schengen itp. Ten ostatni element jest przedmiotem odrębnego wniosku ustawodawczego ⁵ , w sprawie którego również zasięgnięto opinii EIOD i który skomentowano w odrębnej opinii.

5. Zgodnie z uzasadnieniem wniosek ustawodawczy jest odpowiedzią na zmieniającą się sytuację w zakresie bezpieczeństwa oraz zmieniające się i coraz bardziej złożone zagrożenia, w tym wykorzystywanie przez grupy przestępcze transformacji cyfrowej, nowych technologii oraz kryzysu związanego z COVID-19. W tym kontekście Komisja przypomina o kilku niedawnych oświadczeniach politycznych Rady i Parlamentu Europejskiego, w których w sposób szczególny odniesiono się do potrzeby dalszego zwiększania uprawnień Europolu i wzmacniania jego zdolności ⁶ .

6. Komisja kilkakrotnie nieformalnie konsultowała się z EIOD w trakcie całego procesu przygotowywania wniosku ustawodawczego, ostatnio w dniu 25 listopada 2020 r., i Inspektor przekazywał jej swoje nieformalne uwagi. EIOD z zadowoleniem przyjmuje fakt, że zasięgnięto jego opinii na wczesnym etapie procedury i zachęca Komisję do dalszego stosowania tej dobrej praktyki. Ponadto w dniu 9 października 2020 r. EIOD zorganizował seminarium internetowe z udziałem ekspertów zatytułowane "Reforma Europolu: perspektywa ochrony danych", ze szczególnym uwzględnieniem dostosowania przepisów dotyczących ochrony danych zawartych w rozporządzeniu w sprawie Europolu do ogólnych zasad przetwarzania operacyjnych danych osobowych.

7. W dniu 7 stycznia 2021 r. Komisja przeprowadziła formalne konsultacje z EIOD w sprawie wniosku dotyczącego rozporządzenia Parlamentu Europejskiego i Rady zmieniającego rozporządzenie (UE) 2016/794 i przyjęła niniejszą opinię zgodnie z art. 42 ust. 3 rozporządzenia (UE) 2018/1725.

2. 

WNIOSKI

49. W świetle powyższego EIOD wydaje następujące zalecenia:

W odniesieniu do współpracy z podmiotami prywatnymi

– zakaz, zgodnie z którym przekazywanie danych nie może mieć charakteru systematycznego, masowego ani strukturalnego (art. 26 ust. 6 akapit ostatni), powinien mieć zastosowanie do wszystkich wymian danych z podmiotami prywatnymi, w tym na terytorium UE;

– obowiązki Europolu w przypadku działania w charakterze podmiotu przetwarzającego dane / usługodawcy, w szczególności obowiązkowe elementy przewidziane w art. 87 ust. 3 rozporządzenia (UE) 2018/1725, powinny zostać określone w wiążącym akcie prawnym na mocy prawa Unii lub państwa członkowskiego;

– Europol powinien dokonać oceny ewentualnego ryzyka związanego z bezpieczeństwem informacji, wynikającego z udostępnienia swojej infrastruktury do użytku podmiotom prywatnym i w razie potrzeby wdrożyć odpowiednie środki zapobiegawcze i łagodzące.

W odniesieniu do przetwarzania dużych i złożonych zbiorów danych, w tym w ramach wsparcia określonych postępowań przygotowawczych

– w rozporządzeniu w sprawie Europolu powinno się określić zabezpieczenia wystarczające do zapewnienia, by odstępstwa przewidziane w art. 18 ust. 5a i art. 18a nie stały się w rzeczywistości regułą;

– w rozporządzeniu w sprawie Europolu powinno się dokładniej określić przypadki, w których Europol może odpowiednio korzystać z odstępstwa przewidzianego w art. 18 ust. 5a, kiedy Agencja może wystąpić o przedłużenie maksymalnego okresu jednego roku. Ponadto należy wyjaśnić, na czym polega współzależność między art. 18 ust. 5a i 6;

– w art. 18a należy określić dalsze warunki i progi dotyczące przetwarzania przez Europol danych podmiotów spoza kategorii osób, których dane dotyczą, wymienionych w załączniku II w celu wsparcia określonego postępowania przygotowawczego, takie jak: skala, złożoność, rodzaj lub znaczenie postępowania;

– przetwarzanie danych osobowych na podstawie odstępstw przewidzianych w art. 18 ust. 5a i art. 18a powinno być w każdym przypadku zgodne z ogólnymi zasadami i obowiązkami określonymi w rozdziale IX rozporządzenia (UE) 2018/1725.

W odniesieniu do wykorzystywania danych do celów badań i innowacji

– zakres działań w obszarze badań i innowacji powinien zostać dokładniej określony w rozporządzeniu w sprawie Europolu i doprecyzowany w wiążącym dokumencie, który mógłby być dalej aktualizowany.

W odniesieniu do współpracy Europolu z państwami trzecimi

– znaczenie "kategorii przekazów" w art. 25 ust. 5, jak również rozróżnienie od "zbiorów przekazów" w ust. 6 tego samego artykułu, powinny zostać doprecyzowane i wyjaśnione w rozporządzeniu w sprawie Europolu.

W odniesieniu do ram ochrony danych mających zastosowanie do Europolu

– uprawnienia nadzorcze EIOD wobec Europolu powinny być w pełni dostosowane do ogólnych uprawnień EIOD przewidzianych w art. 58 rozporządzenia (UE) 2018/1725;

– nowy cel proponowany w art. 37a powinien zostać usunięty, a w związku z tym ograniczenie przetwarzania danych osobowych przez Europol powinno zostać uregulowane bezpośrednio w ramach przepisu art. 82 rozporządzenia (UE) 2018/1725.

W odniesieniu do innych elementów wniosku

– warunki przekazywania danych innym organom Unii przewidziane w art. 24 rozporządzenia w sprawie Europolu powinny zostać dostosowane do ogólnych zasad zawartych w art. 71 ust. 2 rozporządzenia (UE) 2018/1725, w szczególności do wymogu proporcjonalności;

– pojęcie "wspólnej analizy operacyjnej" oraz zasady prawne mające zastosowanie do przetwarzania danych osobowych w jej ramach powinny zostać wyraźnie określone w rozporządzeniu w sprawie Europolu.

Bruksela, dnia 8 marca 2021 r.

Wojciech Rafał WIEWIÓROWSKI

1 Decyzja Rady 2009/371/WSiSW z dnia 6 kwietnia 2009 r. ustanawiająca Europejski Urząd Policji (Europol) (Dz.U. L 121 z 15.5.2009, s. 37).

2 COM(2020) 796 final.

3 COM(2020) 605 final (24 lipca 2020).

4 https://ec.europa.eu/commission/presscorner/detail/pl/ip_20_2326

5 Wniosek dotyczący rozporządzenia Parlamentu Europejskiego i Rady zmieniającego rozporządzenie (UE) 2018/1862 w sprawie utworzenia, funkcjonowania i użytkowania Systemu Informacyjnego Schengen (SIS) w dziedzinie współpracy policyjnej i współpracy wymiarów sprawiedliwości w sprawach karnych w odniesieniu do wprowadzania wpisów przez Europol, COM(2020) 791 final.

6 Zobacz w szczególności Rezolucja Parlamentu Europejskiego z dnia 10 lipca 2020 r. w sprawie kompleksowej unijnej polityki zapobiegania praniu pieniędzy i finansowaniu terroryzmu (2020/2686(RSP)), konkluzje Rady w sprawie współpracy Europolu z podmiotami prywatnymi z dnia 2 grudnia 2019 r. lub deklaracja ministrów spraw wewnętrznych UE ("Dziesięć punktów dotyczących przyszłości Europolu") z dnia 21 października 2020 r.

• Identyfikator: Dz.U.UE.C.2021.143.6
• Rodzaj: Informacja
• Tytuł: Streszczenie opinii Europejskiego Inspektora Ochrony Danych w sprawie wniosku dotyczącego zmiany rozporządzenia w sprawie Europolu (pełny tekst niniejszej opinii jest dostępny w wersji angielskiej, francuskiej i niemieckiej na stronie internetowej EIOD: www.edps.europa.eu).
• Data aktu: 23/04/2021
• Data ogłoszenia: 23/04/2021