2. Het wettelijke kader met betrekking tot PNR-gegevens
2.6. Samenvatting van het juridisch kader
Op EU-niveau is de PNR-richtlijn 2016/681 het eerste instrument dat de lidstaten verplicht om nationale wetgeving te maken die luchtvaartmaatschappijen oplegt om PNR-gegevens van vluchten naar of vanuit derde landen door te geven. Bovendien verplicht de richtlijn lidstaten om een Passagiersinformatie-eenheid op te richten. Verder biedt de PNR-richtlijn een wettelijk kader voor het gebruik van de PNR-gegevens voor het voorkomen, opsporen, onderzoeken en vervolgen van terroristische misdrijven en ernstige criminaliteit.
De PNR-richtlijn is van toepassing op het verzamelen en het gebruik van PNR-gegevens afkomstig van extra-EU-vluchten,140 maar biedt lidstaten ook de mogelijkheid om de implementatiewetgeving toe te passen op alle of een selectie intra-EU-vluchten.141 Wanneer een lidstaat besluit de wet toe te passen op intra-vluchten, dan is de richtlijn ook van toepassing op deze PNR-gegevens. De EU-ministers van JBZ hebben besloten dat zij volledig gebruik zullen maken van de mogelijkheid om de richtlijn op intra-EU-vluchten toe te passen.
De PNR-richtlijn moest uiterlijk op 25 mei 2018 zijn geïmplementeerd in de nationale wetgeving van de EU-lidstaten. De PNR-richtlijn is rechtsgeldig, maar het voortbestaan ervan is onderhevig aan discussie sinds het advies 1/15 van het HvJEU van 26 juli 2017 over de ontwerpovereenkomst tussen de EU en Canada inzake de doorgifte en verwerking van persoonsgegevens. Bovendien is het HvJEU door een aantal nationale rechtbanken verzocht om in een prejudiciële beslissing te beoordelen of de PNR-richtlijn in zijn geheel of gedeeltelijk onverenigbaar is met de artikelen 7, 8 en 52 lid 1 van het EU-Handvest.142
Per 18 juni 2019 is in Nederland de Wet gebruik van passagiersgegevens voor de bestrijding van terroristische en ernstige misdrijven (PNR-wet) in werking getreden. De Nederlandse wetgever heeft gebruikgemaakt van de mogelijkheid om ook intra-EU-vluchten aan de werkingssfeer van de wet te onderwerpen.
137 Artikel 9(2) PNR-wet.
138 Artikel 1(a) en (b), 2 Wjsg.
139 Artikel 2(1) Wjsg.
140 Artikel 1(a) PNR-richtlijn.
141 Artikel 2, leden 1 en 3, PNR-richtlijn.
142 Zie hoofdstuk 6.3. omtrent de grondwettelijke toets van de doeltreffendheid, noodzakelijkheid en evenredigheid.
Voortbouwend op de PNR-richtlijn voorziet de PNR-wet in concrete bevoegdheden voor de Pi-NL voor de verzameling en verwerking van passagiersgegevens, procedurele voorwaarden voor het verstrekken van passagiersgegevens aan overheidsinstanties in Nederland, de EU-lidstaten en derde landen, en waarborgen inzake gegevensbescherming en toezicht.
Artikel 25a van de PNR-wet bevat een horizonbepaling voor het verwerken van de gegevens van EU-vluchten. Dit betekent dat de juridische basis voor het verwerken van gegevens van intra-EU-vluchten na drie jaar vervalt, tenzij voor die tijd bij Algemene Maatregel van Bestuur is bepaald dat artikel 25a vervalt.
De Pi-NL verwerkt de verzamelde passagiersgegevens uitsluitend voor het voorkomen, opsporen, onderzoeken en vervolgen van terroristische en ernstige misdrijven. Dit is zowel de doelstelling als de doelbinding van de PNR-wet.
In Nederland is besloten dat luchtvaartmaatschappijen verplicht zijn om de passagiersgegevens van elke vlucht op drie momenten te verstrekken aan de Pi-NL: 48 uur voor vertrek, 24 uur voor vertrek en nadat de deuren van het vliegtuig zijn gesloten (0 uur).
Voor de uitvoering van de PNR-wet heeft de Pi-NL een eigen wettelijke taak en bevoegdheden. Door de gekozen juridische structuur heeft de Pi-NL in beginsel geen toegang tot Wpg-gegevens. Dit zorgt ervoor dat de passagiersgegevens bij het verzamelen en verwerken buiten de politiesystemen blijven.
De Pi-NL verwerkt passagiersgegevens uitsluitend voor de onderstaande drie doelen:
1. Het beoordelen van passagiers voorafgaand aan hun geplande aankomst in of vertrek uit Nederland, om te bepalen welke personen vanwege mogelijke betrokkenheid bij een terroristisch of ernstig misdrijf moeten worden onderworpen aan nader onderzoek door een bevoegde instantie of Europol.
2. Het verstrekken van passagiersgegevens of het verwerkingsresultaat daarvan op een vordering van een bevoegde instantie op grond van het Wetboek van Strafvordering of artikel 19 van de Wet op de economische delicten in een onderzoek naar een terroristisch of ernstig misdrijf.
3. Het analyseren van passagiersgegevens voor het opstellen en aanpassen van criteria die worden gebruikt om te kunnen beoordelen welke personen betrokken zouden kunnen zijn bij een terroristisch of ernstig misdrijf.
Daarnaast wisselt de Pi-NL de passagiersgegevens op verzoek uit met andere EU-lidstaten en geeft het de passagiersgegevens op verzoek door aan Europol en derde landen.
De Pi-NL draagt er zorg voor dat:
1. de passagiersgegevens gedurende een termijn van vijf jaar na ontvangst worden bewaard en de passagiersgegevens na deze termijn worden gewist;
2. de passagiersgegevens zes maanden na ontvangst ervan worden gedepersonaliseerd door deze af te schermen.
Het stroomschema hieronder laat zien wat er op basis van de PNR-wet kan worden gedaan met de gegevens van een passagier die een vlucht boekt (zie figuur 1).
Figuur 1. Stroomschema verwerking passagiersgegevens door Pi-NL.
De gezags- en beheerrol van de Pi-NL wordt ingevuld door middel van een besturingsmodel waarin het ministerie van JenV optreedt als opdrachtgever, de secretaris-generaal van Defensie als eigenaar en het hoofd Pi-NL als opdrachtnemer. Daarnaast is er een Frontoffice, een pilot samenwerkingsverband van de bevoegde instanties, dat de passagiersgegevens die de Pi-NL verstrekt, valideert, verrijkt en veredelt met informatie uit onder andere (politie)systemen.
De Pi-NL maakt gebruik van de applicatie. De minister van JenV is eigenaar van de TRIP-applicatie, maar heeft zelf geen toegang tot de passagiersgegevens.
In de verwerkingsketen doorlopen de passagiersgegevens de werkingssfeer van verschillende wet- en regelgeving. Binnen de PNR-wet verwerkt de Pi-NL de passagiersgegevens onder de verwerkingsverantwoordelijkheid van het ministerie van JenV.
Passagier boekt
-48u -24u …6 maanden na ontvangst
gegevens …5 jaar na ontvangst gegevens
Ou
Voldoen aan vorderingen en verzoeken historische gegevens