text: http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/EDPS/Publications/Papers/Po licyP/08-04-28_PP_RTD_EN.pdf. 2 See European Data Protection Supervisor, Annual Report 2008, p. 70. Postal address: rue Wiertz 60 - B-1047 Brussels Offices: rue Montoyer 63 E-mail : edps@edps.europa.eu - Website: www.edps.europa.eu Tel.: 02-283 19 00 - Fax : 02-283 19 50

text: Article 29

text: Data Protection Working Party, Working Document on Biometrics,

text: WP 80

text: , 1 August 2003. Such as EDPS Opinion of 19 October 2005 on three Proposals regarding the Second Generation Schengen Information System (SIS II) and EDPS Opinion of 23 March 2005 on the Proposal for a Regulation of the European Parliament and of the Council concerning the Visa Information System (VIS) and the exchange of data between Member States on short stay-visas. 5 See Turbine, deliverable D.1.1.1. 6 Opinion Nº 4/2007 on the concept of personal data,

text: WP 136

text: , p. 8.

text: See reasoning in the Decision of the Hellenic Data Protection Authority N°31/2010.

text: In the project, irreversibility refers to the difficulty to derive more information from the protected reference than a verification outcome (other information could for example be the original biometric data or medical information).

text: See Turbine Deliverable 1.4.3. (‘Turbine Best Practices’).

text: It was further stated that they are general research databases owned by the respective companies and kept in respectively France and Sweden. In Sweden, the data representative of the company, whose name is communicated to the Swedish DPA, ensures and overviews the lawful and correct processing of the biometric data. In France, discussions took place with the CNIL in relation with the conditions for the use of biometric databases for research purposes with a view to obtain authorization for all these proprietary databases in accordance with French law. A decision was adopted by the CNIL in July 2010 ("Délibération 2010-336").

text: The EDPS requires from the European institutions and bodies notification for prior-checking of such biometric databases.

text: Article 4

text: d (2) Federal Data Protection Act and

text: Article 4

text: f – see also Art. 4 d (3) which refers to consent as basis for non obligatory registration.

amnesord:
Privacy by Design
Information Security
Research & Science
Technologies
Biometrics

sprak: en

title: Turbine (TrUsted Revocable Biometric IdeNtitiEs)

text: THE EUROPEAN DATA PROTECTION SUPERVISOR,

text: Having regard to the Treaty on the Functioning of the European Union, and in particular its Article 16,

text: Having regard to the Charter of Fundamental Rights of the European Union, and in particular its Article 7 and 8,

text: Having regard to

text: Regulation (EC) No 45/2001

text: on the protection of individuals with regard to the processing of personal data by the Community institutions and bodies and on the free movement of such data, in particular

text: Article 41

text: Giving effect to his policy paper entitled "The EDPS and EU Research and Technological Development" which relates to the ongoing Seventh Framework Programme as well as future Framework Programmes for Research and Technological Development;

text: HAS ADOPTED THE FOLLOWING OPINION:

text: 1. Introduction 1.1 General

text: 1. For the first time, the EDPS adopts an opinion giving effect to his 2008 policy paper entitled "The EDPS and EU Research and Technological Development" describing the possible roles the institution could play for research and development (RTD) projects in the context of the Seventh Framework Programme for Research and Technological development (FP7) launched by the Commission at the end of 2006 .

text: 2. In 2008, after having analysed the elements of the EU project “TrUsted Revocable Biometric IdeNtitiEs” (Turbine) which aims at conducting research in the field of revocable biometrics, the EDPS decided to reply favourably to the consortium’s request to produce an opinion on the EU project . The EDPS considered that the conditions he set in his policy paper in order to accept the request for an opinion were met by the Turbine consortium. The EDPS welcomed the strong relevance of the project to ‘data protection issues’ and considered it would fit with the priorities identified in his Annual Report. 1.2 The instrument of an Opinion on EU Research and Technological Development

text: 3. This policy paper presents the selection criteria for the projects that qualify for EDPS action and the ways in which the EDPS could contribute to these projects. One of EDPS' contributions to EU RTD is that of an opinion in relation to individual RTD projects.

text: 4. According to the EDPS policy paper, "a consortium of a project can request an opinion from the EDPS. Although the EDPS will not contribute to a proposal for a project, the proposal can envisage to ask for an EDPS opinion during the life cycle of the project in the case it is awarded. In this case, the EDPS has to be informed and has to give his agreement for introducing a reference to a future EDPS opinion before the submission of the answer to the call for proposals. The consortium will have to clarify in the submitted documents relating to its proposal that the EDPS opinion will be given in his role as an independent authority". The independence of the EDPS in such exercises is clearly underlined in the paper, as well as in the communications with the project stakeholders contacting him. 1.3 Aim and scope of the opinion

text: 5. The overall objective of the EDPS contribution is to promote and reinforce the application of the principle of ‘privacy by design’ within European RTD projects and to therefore facilitate the implementation of the EU data protection regulatory framework. The opinion does not only deal with the technical developments envisaged by the research project as such, but also with the research methodology and procedures implemented by the project.

text: 6. The aim of the EDPS' opinion is not to supplement the role of reviewers of the project, nor the relevant national data protection authorities, but to provide an expert view on the data protection aspects of a given project. As a consequence, the EDPS does not analyse all the deliverables but requested access to the documents of the project which he found most relevant from a data protection perspective.

text: 7. The consortium of the project provided the EDPS with all relevant documents on the data protection aspects of the research conducted in the Turbine project. The EDPS also held several discussions with some representatives of the consortium in order to obtain further clarification, and where required, further documents. Finally, the EDPS received comments of the consortium on a draft of this opinion. 1.4 Turbine

text: 8. Turbine (TrUsted Revocable Biometric IdeNtitiEs) is a research project funded by the European Union under the Seventh Framework Programme (FP7) for Research and Technology Development (http://www.turbine-project.eu). According to the Turbine partners, the overall objectives of Turbine are: - to develop an innovative, privacy enhancing technology solution for electronic identity (eID) authentication through fingerprints biometrics, and - to demonstrate the performance and security of this solution for use in commercial eID management applications as well as its benefit for the citizen in terms of enhanced privacy protection and user trust in electronic identity management through the use of fingerprints.

text: 9. The project aims at elaborating a privacy-friendly biometric method based on fingerprints. The main focus of Turbine has been on the development of a so-called Pseudo Identity protocol (PI protocol) deploying protected (biometric) templates. More particular, in the Pseudo Identity protocol, biometric data is transformed allowing for diversification and unlinkability of biometric identities. More specifically, the method is based on the replacement of the biometric fingerprint with an encrypted derivative of the fingerprint, referred to as “biometric identity”, using special hash functions based on cryptographic algorithms. By using different cryptographic algorithms, the production of a respective number of biometric identities for the same fingerprint is made possible.

text: 10. Each biometric identity is connected exclusively with the person whose fingerprint was taken, following the application of a specific algorithm. Using the above method during the operation of a biometric system (e.g. to control access of persons to installations) the identification of persons is accomplished via their biometric identities, in a way that there is no need to retain their raw biometric fingerprints. The PI protocol also allows storing biometric data locally, for example, on a token, although other architectures remain possible.

text: 11. As important features of the project, the Turbine technology is aimed to protect the biometric template by cryptographic transformation of the fingerprint information into a non-invertible key that allows matching by bit-to-bit comparison. The transformed biometric data is considered irreversible to the biometric samples and original templates. Moreover, to enhance user trust, this key will also be revocable, i.e. a new independent key can be generated to re-issue biometric identities.

text: 12. The EDPS views these two elements (the expected non-invertibility (irreversibility) of the key and the revocability of the key) of this technology as the two pillars of the Turbine project. These aspects present the most interest to the EDPS from a data protection perspective and will be discussed further below, after an analysis of the biometric data which are processed in the context of the Turbine project.

text: 2. Legal Analysis 2.1 Biometric data

text: 13. The EDPS has repeatedly underlined that the introduction and processing of biometric data needs to be supported by particularly consistent and strong safeguards. Biometric data, due to their specific nature, present special risks in their implementation which have to be mitigated. These specific characteristics attached to biometric data also explain the interest of the EDPS in the Turbine project and the goals it aims to achieve.

text: 14. The EDPS notes that the legal aspects relating to the use of biometrics have been taken very seriously by the project partners.

text: 15. Indeed, the legal concerns and requirements in relation to the processing of biometric data have been considered since the start of the project. These legal concerns are formulated in various documents, in particular in the Working document on biometrics of the

text: Article 29

text: Data Protection Working Party , as well as in opinions, including those of the EDPS relating to large scale biometric deployment in the EU.

text: 16. The EDPS received a detailed document with legal requirements, intertwined with functional and technical requirements, which was prepared during the first months of the project and was submitted to the project's Advisory Board for further input and discussion . The EDPS believes this shows the commitment of the project partners to implement privacy by design in the lifecycle of the project at an early stage. 2.1.1 Processing of Biometric data

text: 17. Biometric data are the main data processed in the Turbine project. Therefore, it is essential to determine their status.

text: 18. According to

text: Article 29

text: Working Party , biometric data may be defined as “biological properties, physiological characteristics, living traits or repeatable actions where those features and/or actions are both unique to that individual and measurable, even if the patterns used in practice to technically measure them involve a certain degree of probability. Typical examples of such biometric data are provided by fingerprints, retinal patterns, facial structure, voices, but also hand geometry, vein patterns or even some deeply ingrained skill or other behavioural characteristic (such as handwritten signature, keystrokes, particular way to walk or to speak, etc...)”.

text: 19. As the

text: Article 29

text: Working Party has pointed out: “A particularity of biometric data is that they can be considered both as content of the information about a particular individual (Titius has these fingerprints) as well as an element to establish a link between one piece of information and the individual (this object has been touched by someone with these fingerprints and these fingerprints correspond to Titius; therefore this object has been touched by Titius). As such, they can work as "identifiers". Indeed, because of their unique link to a specific individual, biometric data may be used to identify the individual”.

text: 20. In the case of the Turbine project, the proposed biometric system uses a method which “pseudonymises” biometric data (fingerprints), replacing them with encrypted irreversible derivatives (biometric identities) arising through one-way cryptography techniques with the application of hash functions. Taking into account that, due to the technical means of producing these biometric identities, the raw biometric data retrieval from them is considered not possible, a biometric identity cannot be considered as content of information characterising a person in the sense mentioned above. Therefore, the use of a biometric identity, instead of the raw biometric fingerprint, enhances the protection of the latter, since it is considered impossible, in technical terms, to extract the fingerprint information directly from the biometric identity as proposed by Turbine. However, due to the fact that the exclusive connection of the biometric identity with a specific person still exists (as only the capture of the fingerprint of the same person could lead each time to the production of the same biometric identity with the use of the same cryptographic algorithm), the biometric identity may lead to the identification of that person, in the same way that the raw biometric element does. In other words, although the biometric identity could not independently lead to disclosure of information relating to a person, it may nevertheless lead to the identification of this person within the framework of the biometric system operation (e.g. during access control) in combination with other personal data kept in the system for the same person (e.g. full name). In this sense, the biometric identity, as it is produced and used by the Turbine project, also constitutes personal data.

text: 21. As repeatedly mentioned in opinions dealing with biometric data, the EDPS also considers that the processing of some biometric data other than the simple storage of photographs alone presents specific risks to the rights and freedoms of data subjects, which subjects such processing operations to prior checking (on the basis of Article 27 (1) of Regulation 45/2001. This view is mainly based on the matching process which presents specific risks and on the nature of biometric data due to some inherent characteristics of this type of data. For example, biometric data changes irrevocably the relation between body and identity, because they make the characteristics of the human body ‘machine-readable’ and subject to further use. In addition to the highly specific nature of the data, other risks like the possibilities of inter-linkage and the state of play of technical tools may produce unexpected and/or undesirable results for the data subjects. Such processing of biometric data will therefore require specific measures which are analysed below. 2.1.2 Turbine's Features

text: 22. In day to day life, individual's identity and personal data can be compromised. Therefore, it is important to protect them. The same applies to biometric data. However, given that individuals have a limited number of irises and fingers, identity theft of such data compromises corresponding biometric references and renders them as unusable for future use. Indeed, biometric data are closely connected to individuals and by their intangibility, they would be very vulnerable if they were compromised. It is therefore important to ensure the quality of the data processed and their security.

text: 23. The Turbine project promotes two specific features of the biometric data processed and transformed into a biometric key. Irreversibility of the key

text: 24. In the Turbine project, the fingerprint carrying the identity and access to the personal information of an individual is transformed into a bit-string key which is considered not invertible , i.e. the bit-string is conceived as disconnected from the original fingerprint. This should allow an individual to have several identities or pseudoidentities to which can be associated different personal information: health, financial, legal, etc. Therefore, the use of non invertible key in order to produce renewable templates seems to make the acquisition (from this key) of original biometric reference data impossible.

text: 25. This impossibility of reversibility should better protect the biometric reference data which will no longer be compromised as it is inherently linked with the individual. This feature of irreversibility is welcomed from a data protection and security point of view, in the respect of the data protection principles expressed in Regulation 45/2001. For instance,

text: Article 4.1

text: .b of the said Regulation states that personal data must be collected for specified, explicit and legitimate purposes and not further processed in a way incompatible with those purposes. By making the biometric representations irreversible, the system shall prevent the use of biometric data for any other purpose than the one originally intended. It also ensures that the biometric data themselves are not kept for longer than necessary, as they are replaced by the bit-string key.

text: Article 4.1

text: .c also states that personal data must be adequate, relevant and not excessive in relation to the purposes for which they are collected and/or further processed. Given that the bit string of data replaces the biometric reference data, it implies that only necessary personal data are processed. This system avoids further processing of additional data, which is contained in the biometric reference.

text: 27. From a security point of view (as developed under articles 21 and 22 of Regulation 45/2001), the irreversibility of the key means that there is a greater security attached to the original biometric data as they will not be connected to the key. This security aspect is further strengthened by the aspect of revocability of the key. Revocability of the key

text: 28. The Turbine project described a procedure whereby the pseudo-identities can be revoked. With such a solution, the data subject shall have alternative means for authentication for the services when the pseudo-identities need to be revoked.

text: 29. The position of the Turbine project is that the risk of compromised biometric references can be mitigated for certain types of attacks by providing methods to allow renewable templates. If various different templates can be extracted from the same biometric reference data, the template can be renewed if it is itself subject to identity theft and hence the compromised template can be revoked.

text: 30. A biometric characteristic cannot be revised. Indeed, individuals only have certain fingers and eyes and these biometric data cannot be “renewed”. Therefore the danger is that a biometric data which is compromised would be compromised forever. On the basis of these dangers, a revocable template of those biometric data presents various advantages.

text: 31. By using a revocable key, the biometric representation of a fingerprint from which the original biometric cannot be recovered (irreversibility) can be cancelled and reissued.

text: 32. By revoking a compromised template, the system ensures that no further use of the template can be made which would be incompatible with the original purpose (

text: Article 4.1

text: .b of Regulation 45/2001), as the system would no longer recognise this template as a valid.

text: 33. Moreover, the revocability of the template ensures that the accuracy of the data is preserved (

text: Article 4.1

text: .d of Regulation 45/2001). If the data is no longer accurate (compromised, etc), the possibility to revoke and renew the template based on biometric data allows the data to be kept up to date. 2.1.3 Best Practices for research on biometric data

text: 34. According to the information received from the Turbine consortium, legal aspects of Identity Management (Idm) and legal aspects of the use of biometric data were analysed and a set of ten ‘Best Practices’ for the use of biometric data in identity 9 management schemes were researched and developed . This deliverable on proposed ‘Best Practices’ was also sent to the EDPS. It is based on opinions of the Data Protection Authorities (DPAs), the EDPS and the

text: Article 29

text: Data Protection Working Party on one hand, and the new techniques researched, tested and implemented in Turbine on the other. The proposed guidelines were also submitted and discussed with the Advisory Board of the consortium. The EDPS believes these documents show the commitment of the project's consortium to base its research on a sound legal basis. The best practices identified by the Turbine project are the following: - Biometric data shall in principle only be used for verification - User control over biometric data by default - Multiple identities and pseudonimity - Revocability of biometric identities and re-issuance - Credential and/or identity check - Deletion of the samples and of the original templates - The use of privacy-enhancing technologies - Transparency and additional information for the data subjects - Specification of fall back procedures and of the procedure to appeal a comparison decision - On the organisation (especially enrolment phase), the security and the certification of biometric IdM system.

text: 35. In October the EDPS proposed that a list of common basic requirements should be drawn up, taking into account the specific characteristics of biometric data. It should be possible to apply the list to any system of any kind which uses biometrics. The common requirements are: -Targeted impact assessment: this requirement is becoming more relevant in the light of the recent developments as regards policies on Privacy Impact Assessment, outlined by both the

text: Article 29

text: and the EDPS. - Emphasis on the enrolment process: enrolment is a critical step in the overall process of biometric identification. All measures must be taken to ensure that the enrolment phase allows for the majority of individuals to enrol. Moreover, the enrolment should also take into account the level of False Rejection Rate or False Acceptance Rate. Furthermore, fallback procedures to cover the impossibility of enrolment should be readily available. - Fallback procedure: readily available fallback procedures shall be implemented in order to respect the dignity of persons who could have been wrongly identified and to avoid transferring onto them the burden of the system imperfections. - Highlight the level of accuracy: in relation to the fallback procedures, the level of accuracy of the system and especially its false acceptance and rejection rates have to be defined according to the precision of the system and monitored constantly in relation to the population using the system. The investment which needs to be made in the fallback procedures will be defined by the level of those rates.

text: 36. The EDPS agrees that developing the best practices listed above will help to implement appropriate measures for any biometric Identity Management System conducted in compliance with the EU regulatory framework. Such a check list could indeed allow development of more privacy friendly systems, if they are taken into account from the start of projects. Following discussions with the project partners, the EDPS understands that the project, although not mentioning stricto sensu the level of accuracy among its list of best practices, has taken into account this aspect in the research, by setting precise accuracy goals at the beginning of the project. Furthermore, through the research, this level of accuracy has been tested, verified and even improved as to allow that for the use of a biometric system in an operational environment, such precise levels of accuracy will be adopted.

text: 37. However, the EDPS notes that the list of best practices developed by the Turbine project does not seem to insist specifically on the setting of the precise level of accuracy expected from a biometric system. The EDPS considers this to be of great importance. Therefore, such a level of accuracy should be established early in the system and reviewed on a regular basis. It should therefore not only be applied but it should also be an integral part of the best practices. 2.1.4 The use of proprietary and publicly available biometric databases

text: 38. In order to test and evaluate the algorithms developed by the project, the Turbine partners conducted performance tests. For testing and evaluation purposes, the Turbine partners decided at the start of the project (in the Description of Work) to run the tests on proprietary database and publicly available biometric fingerprint databases. Proprietary databases

text: 39. As regards the proprietary databases, the EDPS understands that some of the project partners made use of their own proprietary databases as well as a Norwegian proprietary database.

text: 40. The project consortium demonstrated that they ensured that these proprietary biometric databases were in compliance with the national data protection legislations of the countries where these activities take place and where these partners are established.

text: 41. For instance, the following conditions were established for the running of the Norwegian database: - Volunteers were informed orally and in writing of the fact that biometric samples (‘raw data’) were collected for storage in a database for use for research purposes. - If the volunteers agreed, they consented in writing, providing fingerprint images for teaching, research and testing purposes. The written consent forms are kept by the Norwegian University (partner of the project), which is the controller. - The data subjects were also given the right to object at all times. - The DPA in Norway was informed regarding data collection (‘Meldeskjema’) in January 2008 before the start of the project and their regulations followed. - Organisational and technical security measures were taken to secure and protect the biometric data. For instance, the data are stored in computers with username/password, and they are located in rooms with locks. In addition, the computers are not connected to the Internet or any other network. - The data of this database are kept by Gjøvik University College (GUC) only and access is restricted to authorised researchers of GUC with a need to use the data. The tests were conducted in Norway. - The data is not transmitted to any third parties or project partners.

text: 42. In the light of the different measures implemented in the context of proprietary databases, the EDPS is satisfied that Turbine partners have implemented data protection requirements in the light of the national legislation on data protection in force in the Member States where they used the aforementioned databases. Publicly available databases

text: 43. The tests made by some of the partners were also based on publicly available databases of biometrics. It was described that one of them developed in Italy was used by different project partners.

text: 44. The EDPS analysed the use for solely testing and research purposes of publicly available biometric databases obtained from a third party.

text: 45. As explained above, the EDPS considers that the presence of some biometric data, other than photographs alone, and the use of a matching process presents specific risks to the rights and freedoms of data subjects.

text: 46. Therefore, based on the above mentioned reasoning, the biometrics data should be considered as personal data, as they may be used to identify individuals and related national legislation shall be applied. For some national data protection authorities as for the EDPS , such databases of biometrics are subject to a notification procedure.

text: 47. For instance, it seems to the EDPS that in Italy, various processing of biometric data must be notified to the Italian Data Protection Authority (Garante). In addition, the processing and collection of biometric data in view of building a biometric database is a processing operation likely to present specific risks to the right and freedoms of data subjects by virtue of their nature (biometric data). In the case of the project, it would therefore seem necessary to verify whether the biometric data provided to the consortium have been collected in compliance with the national regulatory framework and that the relevant Data Protection Authority has issued an opinion/authorisation on the legality of the database.

text: 48. From the exchange of information between the EDPS and the project consortium, a distinction has been made by the project between the country in which the publicly available database has been set up by a data controller and the countries in which the data from the database have been used by the project partners.

text: 49. The project consortium stated that it conducted the verification of the legality of the processing operations in the countries where this database was further used by the Turbine partners by submitting its processing operations to the National Data Protection Authorities. However, it has not been possible for the EDPS to establish clearly whether such verification has been conducted by the consortium with regards to the publicly available database based in Italy. In such a case, the consortium should request from the provider of the data, the insurance that the data were collected in respect of the national data protection legislation implementing the data protection directive. Therefore, the EDPS is not in a position to assess whether the consortium has received sufficient guarantees that this database is legally compliant with the national law of the country in which the controller is established. 2.2. Secure access control protocol

text: 50. According to the information provided, the secure access control protocol proposed in Turbine aims at extending the properties of match-on-card, which provide both high accuracy and strong privacy guarantees, to a solution that supports identification procedure.

text: 51. One question which must be dealt with is to know whether the local storage of the biometric data in a secured hardware (i.e. terminal) without the need for a token, and its processing meets the security requirements, and the privacy and data protection requirements for the use of biometric data. This should require a contextual analysis of the situation itself and be based on an analysis by the respective national data protection authority.

text: 52. In principle, the EDPS favours the use of "one to one" search mode whereby the identification unit would compare the biometric data of the individual with a unique template (associated to the identity). Such a search mode system provides more accurate results.

text: 53. The EDPS usually favour systems that store the biometric templates in chips rather than in central databases unless it is required according to specific conditions. Storage in chips is obviously more privacy friendly insofar as the template is stored on a medium (e.g. badge with chip) which is in the possession of the respective data subject. Thus, the data subject him/herself has direct control and responsibility for his/her template. No one else has access nor is in possession of his/her template. An additional problem with the storage in central databases is that it triggers the risk of so-called "phishing expeditions", facilitating access to the database for purposes different from those for which the database had been conceived. A decentralised system solves this risk without compromising the security level in most cases.

text: 54. Indeed, the EDPS considers that security measures should not only be implemented against external threats but also against actions stemming from users themselves especially in the case of decentralised system. Turbine partners underlined that the security analysis undertaken by the project includes insider attackers, including registered users. Furthermore, the project solutions were designed to be further embedded into a system architecture with all the classical, technical and organisational security measures, including measures against attacks from inside users. The EDPS welcomes such an approach in order to preserve the integrity of the data. 2.3 Demonstrators

text: 55. The EDPS analysed the way the Turbine project implemented the research in real life scenarios. As mentioned in the documents provided, two demonstrators have been developed; one in Thessaloniki airport (Greece) involving two scenarios, and another in a mock up pharmacist in Germany.

text: 56. The two demonstrators aim to demonstrate the technology developed in Turbine. The EDPS is pleased to note that, from the start of the development of the demonstrators, the Turbine partners have established contacts with the relevant national Data Protection Authorities and submitted the relevant documents. The EDPS also facilitated contacts with the relevant DPAs, as part of his possible actions in respect of his policy paper. 2.3.1 Greek demonstrator:

text: 57. The Greek demonstrator relates to the installation of a pilot biometric access control system in critical infrastructures of the International Airport “Macedonia” of Thessaloniki. The installation performed within the framework of Turbine was carried out by the data controller (a general aviation applications company) in cooperation with other European partners and is financed by the European Union. The documents provided to the EDPS described the procedures and measures implemented in the demonstrator.

text: 58. Turbine also described in detail to the EDPS the conditions under which the access control adopting Turbine technology was implemented at Thessaloniki airport. Mainly, the access control is only installed for controlling access to places demanding special security measures. It also involves only a limited number of volunteers.

text: 59. In compliance with the national law, a notification of the system was sent to the Greek Data Protection Authority who issued an opinion. The Hellenic DPA decided that the installation of the biometric system used exclusively for scientific research purposes did not contravene the provisions of Hellenic law on Data Protection and granted an authorisation to process for the demonstrator. The Hellenic DPA did however require some terms to be met; the demonstrator took place as notified except that the collection and keeping of original biometric samples (raw) for additional performance testing purposes was not allowed.

text: 60. The EDPS welcomed that a secure and privacy friendly enrolment procedure was developed to the extent that the persons assisting in and realising the enrolment procedure have been informed, trained and supported with the aim of attaining a qualitative and secure capture of the biometric data for further reference purposes.

text: 61. The EDPS also notes that presentations were prepared and training took place during which the importance of data protection in the enrolment phase was stressed. Further training was provided by Turbine partner experts during the actual phase of enrolment. Furthermore, the consent and information forms were provided and discussed with possible volunteers several weeks before the start of the enrolment.

text: 62. Such procedures contribute to the general implementation of data protection principles in the life cycle of the project. By ensuring the provision of correct information to the individuals and the accuracy of the data which are processed in the enrolment phase, the project ensures a high level of data quality.

text: 63. Moreover, when an enrolment of biometrics takes place, the EDPS also analyses the way fallback procedures are implemented. In the Greek demonstrator, the fall back procedure was ensured by the fact that the existing access control measures were not replaced by Turbine solution but were working at the same time, allowing participants to fall back, in case of failure of the Turbine demonstrator, to these existing access controls. 2.3.2 German Demonstrator (GADM)

text: 64. As to the German demonstrator, it was clarified that according to German law , the GADM did not need to be registered or notified, provided a Data Protection Official is appointed by the controller, which was the case. Therefore, the Data Protection Official at Sagem-Orga has been duly informed by the controller and keeps the information as set out by the law. For the GADM demonstrator, an information note has been submitted to the Data Protection Official at Sagem-Orga to comply with the registration requirements set out in

text: article 4

text: e of the German Federal Data Protection Act. As required, the Data Protection Official at Sagem-Orga was informed of the elements as required under German legislation, including the name of the controller, the name of the persons responsible for the data processing, the persons authorised to access the data and the purposes. A consent form was prepared for volunteers giving a clear overview of what data will be processed for what purposes during the demonstrator. The volunteers were also duly informed of their rights.

text: 65. In this demonstrator, it was foreseen that the administrators of the enrolment would be equally informed of the need for secure and privacy friendly (transparent) enrolment and trained. It was also underlined that the administrators of the GADM enrolment are experts in biometric data processing and are aware of the need for good qualitative reference data. 2.3.3 Summarizing

text: 66. The EDPS concludes that in the conduct of the two demonstrators, the project consortium implemented the principle of privacy by design in a way that facilitates the assessment conducted by the relevant data protection authorities.

text: 3. Conclusion

text: 67. The EDPS welcomes the project as it demonstrates that implementing "privacy by design" as a key principle in research is an effective mean to ensure "privacy compliant" solutions. "Privacy by design" extends not only to the design and technical solutions of ICT systems, but it comprises the various steps in the set up of the project and its organisational practices. This latter aspect can be achieved by ensuring legal compliance, implementing the required data protection principles, and by implementing procedures and training developed to ensure correct information and training of all the parties involved. Moreover, the demonstrators provide the possibility to test the advantages of the implementation of the principle in real case scenarios.

text: 68. The development of best practices in the context of the use of biometric data should be encouraged in order to ensure future research is based on a sound privacy approach.

text: 69. The implementation of the two features, irreversibility and revocability of biometric identification, contributes significantly to this compliance by providing acceptable privacy compliant solutions.

text: 70. The EDPS recommends taking the following observations into account: - The development of a list of best practices should also take into account that a precise level of accuracy should be established and reviewed on a regular basis. - Moreover, although conducting the research under strict legal conditions, the project consortium should require evidences from its providers of biometric data that they fully comply with their national data protection legislation. Brussels, 1 February 2011 (signed) Giovanni BUTTARELLI Assistant European Data Protection Supervisor


text: HÄRIGENOM FRAMFÖRS FÖLJANDE.

text: Diskussioner om ett eventuellt PNR-system inom EU har lande om en övergripande strategi när det gäller överföring av pågått sedan 2007, när kommissionen antog ett förslag till passageraruppgifter (PNR-uppgifter) till tredjeländer, finns på: rådets rambeslut om denna fråga ( 4 ). Huvudsyftet med ett http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/ Documents/Consultation/Opinions/2010/10-10-19_PNR_SV.pdf PNR-system för EU är att få till stånd ett system som — Yttrandena från artikel 29-arbetsgruppen finns på följande länk: http://ec.europa.eu/justice/policies/privacy/workinggroup/wpdocs/ ( 1 ) EGT L 281, 23.11.1995, s. 31. index_en.htm#data_transfers ( 2 ) EGT L 8, 12.1.2001, s. 1. ( 7 ) Detta innebär att PNR-uppgifter aktivt ska överföras av flygbolagen ( 3 ) KOM(2011) 32 slutlig. och inte ”tas ut” av offentliga myndigheter genom direkt tillgång till ( 4 ) KOM(2007) 654 slutlig. flygbolagens databaser.

identifier: EDPS yttrande (2011)

amnesord:
International Agreements
PNR

publisher: Europeiska datatillsynsmannen

sprak: sv

title: Passenger Name Record

serie: yttranden

text: C 181/24 SV Europeiska unionens officiella tidning 22.6.2011

type: stycke

text: Yttrande från Europeiska datatillsynsmannenom förslaget till Europaparlamentets och rådets direktiv om användning av PNR-uppgifter för att förebygga, upptäcka, utreda och lagföra terroristbrott och grov brottslighet

text: (2011/C 181/02)

text: EUROPEISKA DATATILLSYNSMANNEN HAR AVGETT DETTA innebär att lufttrafikföretag som tillhandahåller internatio YTTRANDE nella flygförbindelser mellan EU och tredjeländer är skyl diga att överföra PNR-uppgifter för alla passagerare till be höriga myndigheter i syfte att förebygga, upptäcka, utreda med beaktande av fördraget om Europeiska unionens funktions och lagföra terroristbrott och annan grov brottslighet. Upp sätt, särskilt artikel 16, gifterna skulle centraliseras och analyseras av enheter för

text: passagerarinformation och analysresultatet skulle överföras till behöriga nationella myndigheter i varje medlemsstat. med beaktande av Europeiska unionens stadga om de grund läggande rättigheterna, särskilt artiklarna 7 och 8,

text: med beaktande av Europaparlamentets och rådets direktiv 4. Sedan 2007 har Europeiska datatillsynsmannen noga följt

text: av den 24 oktober 1995 om skydd för enskilda utvecklingen i samband med ett eventuellt PNR-system för personer med avseende på behandling av personuppgifter och EU, parallellt med utvecklingen när det gäller PNR-system i om det fria flödet av sådana uppgifter ( 1 ), och tredjeländer. Den 20 december 2007 antog datatillsyns mannen ett yttrande om kommissionens förslag till rådets rambeslut ( 5 ). Vid många ytterligare tillfällen har samstäm med beaktande av begäran om ett yttrande i enlighet med miga synpunkter framförts, inte bara från Europeiska data artikel 28.2 i Europaparlamentets och rådets förordning (EG) tillsynsmannen utan också från artikel 29-arbetsgruppen ( 6 ), nr 45/2001 av den 18 december 2000 om skydd för enskilda om hur väl behandling av PNR-uppgifter för brottsbekämp då gemenskapsinstitutionerna och gemenskapsorganen behand ningsändamål överensstämmer med nödvändighetsprinci lar personuppgifter och om den fria rörligheten för sådana pen och proportionalitetsprincipen samt med andra viktiga uppgifter ( 2 ). dataskyddsgarantier.

text: I. INLEDNING 5. Den viktigaste frågan, som datatillsynsmannen konsekvent har tagit upp, gäller motiveringen till att det skulle vara I.1 Samråd med datatillsynsmannen nödvändigt med ett europeiskt PNR-system utöver ett antal andra instrument som gör det möjligt att behandla person

text: 1. Den 2 februari 2011 antog kommissionen ett förslag till uppgifter för brottsbekämpningsändamål. Europaparlamentets och rådets direktiv om användning av PNR-uppgifter för att förebygga, upptäcka, utreda och lag föra terroristbrott och grov brottslighet (nedan kallat för slaget) ( 3 ). Förslaget översändes till Europeiska datatillsyns mannen för samråd samma dag. 6. Datatillsynsmannen erkänner att förslaget innebär påtagliga förbättringar av dataskyddet jämfört med den version av förslaget han tidigare har tillhandahållit rådgivning om. För

text: 2. Datatillsynsmannen uppskattar att kommissionen rådfrå bättringarna gäller särskilt förslagets tillämpningsområde, gade honom. Redan innan förslaget antogs fick datatillsyns definitionen av olika intressenters roll (enheterna för pas mannen möjlighet att lämna informella synpunkter. Hänsyn sagerarinformation), att behandling av känsliga uppgifter är har tagits i förslaget till vissa av dessa synpunkter, och utesluten, övergången till ett sändsystem (”push system”) datatillsynsmannen noterar att dataskyddsgarantierna i för 7 utan någon övergångsperiod ( ) och att lagringen av upp slaget generellt har stärkts. Det finns dock anledning till oro gifter begränsas. på flera punkter, särskilt när det gäller skalan för och än damålet med insamlingen av personuppgifter. ( 5 ) Yttrande av den 20 december 2007 från Europeiska datatillsyns mannen om utkastet till förslag till rådets rambeslut om användande av passageraruppgifter (PNR-uppgifter) i brottsbekämpningssyfte, I.2 Förslaget i sitt sammanhang (EUT C 110, 1.5.2008, s. 1). ( 6 ) — Yttrande av den 19 oktober 2010 om kommissionens medde 22.6.2011 Europeiska SV unionens officiella tidning C 181/25

text: 7. Europeiska datatillsynsmannen välkomnar vidareutveck 100 000 invånare i medlemsstaterna. Siffran är slående lingen av konsekvensbedömningen när det gäller skälen men gäller alla typer av brott utan åtskillnad och kan till att införa ett PNR-system för EU. Det finns en tydlig inte användas för att motivera ett förslag inriktat på att vilja att förtydliga varför systemet behövs, men datatillsyns bekämpa endast en viss typ av grova gränsöverskridande mannen finner ändå inte att de nya motiveringarna utgör brott och terrorism. Datatillsynsmannen anser inte heller att någon övertygande grund för att utveckla systemet, särskilt det är relevant att citera en rapport om ”narkotikaproblem” när det gäller storskalig ”förhandsbedömning” av alla pas utan att de statistiska uppgifterna kopplas till den typ av sagerare. Nödvändigheten och proportionaliteten analyseras narkotikahandel som berörs av förslaget. Detsamma gäller nedan i kapitel II. Kapitel II tar upp mer specifika aspekter indikationer på konsekvenser av brott, där värdet av egen av förslaget. dom som stulits och de psykiska och fysiska problem som drabbar brottsoffer inte kan anses ha något direkt samband med förslagets ändamål. II. FÖRSLAGETS NÖDVÄNDIGHET OCH PROPORTIONA II.1 Preliminära kommentarer om nödvändighet och proportiona 12. Som ett sista exempel anges det i konsekvensbedömningen litet att Belgien ”rapporterade att 95 procent av alla narkotika 8. Om ett PNR-system ska utvecklas är ett absolut krav att det beslag 2009 var helt och hållet eller huvudsakligen bero kan visas att databehandlingen inom systemet är nödvändig ende av behandling av PNR-data”. Det ska dock betonas att och proportionerlig. Europeiska datatillsynsmannen har re Belgien (ännu) inte har infört ett systematiskt PNR-system dan tidigare, bland annat i samband med en eventuell över som kan jämföras med det som beskrivs i förslaget. Detta syn av direktiv

text: (direktivet om lagring av upp kan innebära att PNR-uppgifter kan vara användbara i spe gifter), betonat att för att det ska kunna anses finnas behov ciella ärenden, vilket datatillsynsmannen inte bestrider. Det av att behandla eller lagra stora mängder uppgifter bör det är i stället den breda insamlingen av uppgifter i syfte att gå att visa ett klart samband mellan användning och resultat göra en systematisk bedömning av alla passagerare som ger och att klart fastställa att jämförbara resultat inte kunde ha anledning till allvarliga betänkligheter när det gäller data uppnåtts med andra medel som innebär att privatlivet an skyddsfrågor. grips i mindre grad ( 1 ).

text: 9. Som motivering för systemet innehåller förslaget, främst 13. Europeiska datatillsynsmannen anser att det inte finns till dess konsekvensbedömning, omfattande dokumentation räckligt mycket relevant och korrekt bakgrundsinformation och rättslig argumentation avsedd att visa både att systemet som visar att instrumentet är nödvändigt. behövs och att det uppfyller kraven på dataskydd. Förslaget går ännu längre genom att det hävdas att systemet ger ett mervärde genom att leda till en harmonisering av standar derna för dataskydd. II.3 Villkor för inskränkning av en grundläggande rättighet

text: 14. Det tas upp i dokumentet att databehandlingsåtgärderna är 10. Efter att ha analyserat dokumentation och argumentation integritetskränkande enligt stadgan om de grundläggande anser Europeiska datatillsynsmannen att förslaget med sitt rättigheterna, konventionen om skydd för de mänskliga nuvarande innehåll inte uppfyller kraven på nödvändighet rättigheterna och

text: artikel 16 i EUF-fördraget

text: , men man hän och proportionalitet enligt artikel 8 i EU:s stadga om de visar direkt till den eventuella inskränkningen av rättighe grundläggande rättigheterna, artikel 8 i den europeiska kon terna och nöjer sig med slutsatsen att ”eftersom de före ventionen om skydd för de grundläggande rättigheterna slagna åtgärderna skulle ha till syfte att bekämpa terrorism och

text: artikel 16 i EUF-fördraget

text: . Resonemanget bakom denna och andra grova brott och ingå i en rättsakt skulle de utan slutsats utvecklas i följande stycken. tvekan följa sådana krav, förutsatt att åtgärderna är nöd vändiga i ett demokratiskt samhälle och uppfyller propor tionalitetsprincipen” ( 3 ). Det visas dock inte tydligt att åt II.2 Dokument och statistik från kommissionen gärderna är nödvändiga och att alternativ som innebär ett mindre angrepp på privatlivet saknas. 11. Europeiska datatillsynsmannen noterar att konsekvens bedömningen innehåller omfattande förklaringar och rikligt med statistiska uppgifter för att rättfärdiga förslaget. Dessa är dock inte övertygande. Som ett exempel anges det i beskrivningen av hot i form av terrorism och grov brotts 15. Det faktum att ytterligare syften, t.ex. efterlevnad av invand lighet i konsekvensbedömningen och motiveringen till för ringslagstiftningen, en förteckning över personer som ska slaget ( 2 ) att det under 2007 förekom 14 000 brott per förvägras flygresor och hälsa och säkerhet, har övervägts och slutligen inte tagits med av hänsyn till proportionali ( 1 ) Se ”The moment of truth for the Data Retention Directive”, tal hållet teten innebär i det sammanhanget inte att ”begränsningen” av Peter Hustinx vid konferensen ”Taking on the Data Retention av behandlingen av PNR-uppgifter till grova brott och ter Directive” i Bryssel den 3 december 2010. Finns på: http://www. rorism faktiskt är proportionerlig i kraft av att den innebär edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/ en mindre integritetskränkning. Inte heller har man över EDPS/Publications/Speeches/2010/10-12-03_Data_retention_speech_ vägt alternativet att begränsa systemet till bekämpning av PH_EN.pdf ( 2 ) Kapitel 2.1.1 i konsekvensbedömningen och kapitel 1, första stycket, i motiveringen. ( 3 ) Kapitel 3.2, andra stycket, i konsekvensbedömningen. C 181/26 SV Europeiska unionens officiella tidning 22.6.2011 terrorism, utan att ta med andra brott, såsom har föreslagits principen om ändamålsbegränsning: enligt Europeiska data för tidigare PNR-system, bland annat det tidigare australiska tillsynsmannens åsikt ska bestämmelsen inte gälla t.ex. för PNR-systemet. Europeiska datatillsynsmannen vill under en databas som Eurodac, som har utvecklats för andra stryka att ändamålen för detta tidigare system, om vilket ändamål ( 4 ). Dessutom bör jämförelse bara vara möjlig artikel 29-arbetsgruppen antog ett positivt yttrande 2004, om det finns ett särskilt behov i ett visst fall där misstanke var begränsade till ”identifiering av passagerare som kan redan föreligger om en person efter att ett brott har begåtts. utgöra ett hot om terrorism eller relaterad brottslig verk Det skulle vara ett alltför omfattande ingrepp som saknar samhet” ( 1 ). Det australiska systemet skulle inte heller inne proportion att t.ex. systematiskt kontrollera databasen för bära någon lagring av PNR-uppgifter, utom för vissa pas informationssystemet för viseringar ( 5 ) mot alla PNR-upp sagerare som bedömdes utgöra en särskild risk ( 2 ). gifter.

text: 16. När det gäller registrerade personers möjlighet att förutsäga II.5 Förslagets mervärde för dataskyddet övervakningen är det dessutom tveksamt om kommissio nens förslag uppfyller EU-lagstiftningens krav på en sund 19. Tanken att förslaget skulle stärka dataskyddet genom att rättslig grund: ”bedömningen” av passagerare (tidigare kal skapa lika villkor när det gäller enskildas rättigheter kan lad ”riskbedömning”) kommer att göras utifrån kriterier ifrågasättas. Europeiska datatillsynsmannen erkänner att en som ständigt utvecklas och inte är genomsynliga. Såsom hetliga standarder inom EU, bland annat för dataskydd, uttryckligen anges i texten är huvudsyftet med systemet skulle öka den rättsliga förutsägbarheten, förutsatt att det inte traditionell gränskontroll utan underrättelse ( 3 ) och gri vore möjligt att fastställa PNR-systemets nödvändighet och pande av personer som inte är misstänkta, redan innan ett proportionalitet. Enligt den aktuella ordalydelsen i förslaget, brott har begåtts. Utvecklingen av ett sådant system på i skäl 28, gäller dock att direktivet inte ”påverkar medlems europeisk nivå, med insamling av uppgifter om alla pas staternas möjligheter att i enlighet med sin nationella lags sagerare och beslut som bygger på okända och föränderliga tiftning tillhandahålla ett system för insamling och behand bedömningskriterier, ger anledning till allvarliga betänklig ling av PNR-uppgifter för andra ändamål än dem som avses heter när det gäller öppenhet och proportionalitet. i direktivet, eller PNR-uppgifter rörande andra transportfö retag än de som anges i detta direktiv, med avseende på flygningar inom EU (…)”.

text: 17. Det enda syfte som Europeiska datatillsynsmannen anser skulle vara förenligt med kraven på öppenhet och propor tionalitet skulle vara att använda PNR-uppgifter från fall till 20. Förslaget medför därför endast en begränsad harmonise fall, såsom anges i

text: artikel 4.2 c

text: , men endast i samband med ring. Det omfattar visserligen registrerades rättigheter men ett allvarligt och konkret hot som fastställts med hjälp av inte ändamålsbegränsning, och det kan antas att PNR-syst konkreta indikatorer. em som redan används för att bekämpa t.ex. olaglig in vandring skulle kunna fortsätta användas på samma sätt enligt denna ordalydelse i direktivet. II.4 Risken för ”funktionsglidning”

text: 18. Enligt

text: artikel 4.2 b

text: får en enhet för passagerarinformation bedöma passagerarna och kan i samband med bedöm 21. Detta innebär dels att vissa skillnader skulle kvarstå mellan ningen jämföra PNR-uppgifter med ”relevanta databaser”. medlemsstater som redan har utvecklat ett PNR-system, Denna bestämmelse anger inte vilka databaser som är rele dels att den överväldigande majoritet av medlemsstaterna vanta. Därför är åtgärden inte förutsägbar, vilket är ett krav som inte samlar in PNR-uppgifter systematiskt (21 av 27 enligt stadgan om de grundläggande rättigheterna och kon medlemsstater) skulle vara tvungna att göra det. Europeiska ventionen om skydd för de mänskliga rättigheterna. Dess datatillsynsmannen anser att det ur detta perspektiv är utom är det tveksamt om bestämmelsen är förenlig med högst tveksamt om förslaget skulle ge något mervärde när det gäller dataskydd. ( 1 ) Yttrande 1/2004 av den 16 januari 2004 om skyddsnivån i Austra lien vid överföring av PNR-uppgifter från flygbolag,

text: artikel 85

text: -arbets ( 4 ) Syftet med Eurodac ska vara att ”bistå med att fastställa vilken med gruppen. lemsstat som enligt Dublinkonventionen är ansvarig för att pröva en ( 2 ) I yttrandet från artikel 29-arbetsgruppen förklaras det vidare att ansökan om asyl som lämnas in i en medlemsstat samt att också i ”tullen inte har någon lagstadgad skyldighet att ta upp PNR-uppgif övrigt underlätta tillämpningen av Dublinkonventionen på de villkor ter. Det finns inte heller någon lagstadgad skyldighet för tullen att som anges i denna förordning”, enligt artikel 1.1 i rådets förordning lagra sådana uppgifter. PNR-uppgifter för passagerare som vid be

text: (EG) nr 2725/2000

text: av den 11 december 2000 om inrättande av dömning med programvaran för automatisk profilanalys visar låg Eurodac för jämförelse av fingeravtryck för en effektiv tillämpning av risk (95 till 97 procent av alla passagerare) bevaras inte och regi Dublinkonventionen, (EGT L 316, 15.12.2000, s. 1). streras inte av tullen. Tullens allmänna policy är alltså att inte bevara ( 5 ) ”VIS bör ha som syfte att förbättra genomförandet av den gemen dessa uppgifter. För de 0,05–0,1 procent av passagerarna som hän samma viseringspolitiken, det konsulära samarbetet och samrådet visas till tullen för vidare utvärdering bevaras flygbolagets PNR-upp mellan centrala viseringsmyndigheter genom att underlätta utbytet gifter tillfälligt men lagras inte, i väntan på att gränskontrollen ska av uppgifter mellan medlemsstaterna om viseringsansökningar och bli klar. Efter kontroll raderas dessa passagerares PNR-uppgifter från om beslut som fattas om sådana ansökningar”, enligt artikel 2 i datorn hos den berörda tulltjänstemannen och införs aldrig i de

text: Europaparlamentets och rådets förordning (EG) nr 767/2008

text: av australiska databaserna”. den 9 juli 2008 om informationssystemet för viseringar (VIS) och ( 3 ) Motiveringen, kapitel 1. Bakgrund, Förenlighet med EU:s politik och utbytet mellan medlemsstaterna av uppgifter om viseringar för kor mål på andra områden. tare vistelse (VIS-förordningen), (EUT L 218, 13.8.2008, s. 60). 22.6.2011 Europeiska SV unionens officiella tidning C 181/27

text: 22. I stället blir konsekvensen av skäl 28 ett allvarligt brott mot medför att definitionen i förslaget mycket väl kan innefatta principen om ändamålsbegränsning. Enligt datatillsynsman mindre grova brott för vilka behandlingen av uppgifter nens åsikt borde förslaget uttryckligen föreskriva att PNR- skulle vara oproportionerlig. Exakt vad som skulle betraktas uppgifter inte får användas för andra ändamål. som mindre grov brottslighet är oklart. Istället för att över låta åt medlemsstaterna att snäva in tillämpningsområdet anser datatillsynsmannen att förslaget bör innehålla en för 23. Europeiska datatillsynsmannen kommer till motsvarande teckning över brott som ska omfattas och brott som ska slutsats som vid utvärderingen av direktivet om lagring av uteslutas eftersom de bör betraktas som mindre grova och uppgifter: i båda sammanhangen saknas såväl verklig har inte uppfyller proportionalitetskriteriet. monisering som rättslig förutsägbarhet. Dessutom blir yt terligare insamling och behandling av personuppgifter ob ligatorisk för alla medlemsstater, fastän det inte har fast ställts om systemet faktiskt är nödvändigt. 28. Samma betänkligheter gäller för den möjlighet som lämnas öppen av

text: artikel 5.5

text: att behandla uppgifter som rör alla typer av brott som upptäcks i samband med brottsbekäm II.6 Koppling till meddelandet om informationshantering i om pande insatser samt den möjlighet som tas upp i skäl 28 att rådet med frihet, säkerhet och rättvisa utöka tillämpningsområdet till andra ändamål än de som anges i direktivet eller till andra transportföretag. 24. Datatillsynsmannen noterar att utvecklingen när det gäller PNR-uppgifter är kopplad till den pågående övergripande utvärderingen av alla EU-instrument för informationsutbyte som inleddes av kommissionen i januari 2010 och utveck lades i kommissionens nya meddelande om en översikt 29. Datatillsynsmannen känner också oro när det gäller den över informationshanteringen i området med frihet, säker möjlighet som anges i

text: artikel 17

text: att låta flygningar inom het och rättvisa ( 1 ). Särskilt gäller att det finns ett tydligt EU omfattas av tillämpningsområdet för direktivet, mot samband med den aktuella debatten om den europeiska bakgrund av erfarenheterna från de medlemsstater som re strategin för informationshantering. När det bedöms om dan samlar in PNR-uppgifter. En sådan utökning av PNRett PNR-system behövs för EU anser Europeiska datatill systemets tillämpningsområde skulle i ännu högre grad synsmannen att hänsyn ska tas till resultaten av det pågå hota enskildas grundläggande rättigheter och bör inte över ende arbete med den europeiska modellen för infor vägas innan en grundlig analys har gjorts som innefattar en mationsutbyte som förväntas 2012. heltäckande konsekvensbedömning.

text: 25. I detta sammanhang, och med tanke på förslagets svaghe ter, särskilt svagheterna i konsekvensbedömningen, anser 30. Sammanfattningsvis strider det mot kravet på att uppgifter datatillsynsmannen att det finns behov av en särskild kon bara får samlas in för särskilda och uttryckliga ändamål att sekvensbedömning för dataskydd i fall som detta, när för lämna tillämpningsområdet öppet och ge medlemsstaterna slagets innehåll påverkar de grundläggande rättigheterna, möjlighet att utöka ändamålet. såsom rätten till personlig integritet och dataskydd. En övergripande konsekvensbedömning räcker inte. III.2 Enheter för passagerarinformation III. SÄRSKILDA SYNPUNKTER 31. Den roll som enheterna för passagerarinformation ska ha III.1 Tillämpningsområde och dataskyddsgarantierna i samband med behandling av PNR-uppgifter ger anledning till frågor, särskilt eftersom 26. Terroristbrott, grova brott och grova gränsöverskridande enheterna för passagerarinformation tar emot uppgifter brott definieras i förslagets artikel 2

text: g

text: h

text: och i. Europeiska från lufttrafikföretagen om alla passagerare och – enligt datatillsynsmannen välkomnar att definitionerna – och de texten till förslaget – har omfattande befogenheter att be ras tillämpningsområde – har förfinats och att en åtskillnad handla dessa uppgifter. Detta inbegriper bedömning av be görs mellan grov brottslighet och grov gränsöverskridande teenden hos passagerare som inte är misstänkta för något brottslighet. Denna distinktion är välkommen särskilt där brott och möjlighet att jämföra PNR-uppgifter med ospeci för att den förutsätter olika behandling av personuppgifter ficerade databaser ( 3 ). Europeiska datatillsynsmannen note och utesluter bedömning mot i förväg fastställda kriterier i rar att förslaget innehåller villkor för ”begränsad tillgång” samband med grov brottslighet som inte är gränsöverskri men anser att villkoren i sig inte räcker med tanke på dande. enheternas omfattande befogenheter.

text: 27. Definitionen av grov brottslighet är dock fortfarande alltför vid enligt datatillsynsmannens åsikt. Detta erkänns i försla get genom att medlemsstaterna fortfarande kan utesluta 32. För det första är karaktären hos den myndighet som utses mindre grova brott som omfattas av definitionen av grov som enhet för passagerarinformation och dess sammansätt brottslighet ( 2 ) men som inte skulle kunna behandlas som ning oklar. I förslaget nämns möjligheten att enheternas sådan enligt proportionalitetsprincipen. Denna ordalydelse personal kan utgöras av tjänstemän som ”avdelats från de behöriga myndigheterna”, men inga garantier ges när det ( 1 ) KOM(2010) 385 slutlig. ( 2 ) Enligt hänvisningen i rådets rambeslut 2008/841/RIF och ( 3 ) När det gäller enheter för passageraruppgifter, se Europeiska datatill 2002/584/RIF. synsmannens yttrande av den 20 december 2007. C 181/28 SV Europeiska unionens officiella tidning 22.6.2011 gäller personalens kompetens och integritet. Datatillsyns intressenters tillgång till databaserna varierar beroende på mannen rekommenderar att sådana krav tas med i direkti dessa kriterier. Skillnaden mellan ett specifikt hot, ett ome vets text, med hänsyn till den känsliga karaktären hos den delbart och allvarligt hot och ett specifikt och faktiskt hot databehandling som enheterna för passagerarinformation är dock inte klar. Europeiska datatillsynsmannen betonar att ska utföra. det behövs en närmare precisering av de exakta villkor som ska uppfyllas för att överföring av uppgifter ska vara till låten.

text: 33. För det andra medger förslaget att en enhet för passagerar information utses för flera medlemsstater. Detta medför risk för missbruk och överföring av uppgifter utanför förslagets III.4 Tillämplig lagstiftning villkor. Europeiska datatillsynsmannen erkänner att det kan vara motiverat av effektivitetsskäl, särskilt för mindre med 38. Som övergripande rättslig grund för dataskyddsprinciperna lemsstater, att slå sig samman men rekommenderar att vill hänvisar förslaget till rådets rambeslut 2008/977/RIF och kor för denna möjlighet införlivas i texten. Dessa villkor utökar tillämpningsområdet till databehandling på nationell bör gälla samarbetet med behöriga myndigheter samt till nivå. syn, särskilt avseende den datatillsynsmyndighet som ansva rar för övervakningen, och utövande av de registrerades rättigheter, eftersom flera myndigheter kan ha behörighet att övervaka en enhet för passagerarinformation. 39. Europeiska datatillsynsmannen tog redan 2007 ( 1 ) upp bris terna i rambeslutet när det gäller registrerades rättigheter. Bland de element som saknas i rambeslutet kan nämnas t.ex. någon form av krav på att den registrerade ska under 34. Det finns risk för funktionsglidning i samband med de rättas om tillgång begärs till hans eller hennes uppgifter: element som tas upp ovan, särskilt när det gäller kvaliteten information ska meddelas i begriplig form, syftet med be på den personal som är behörig att analysera uppgifter och handlingen av uppgifterna ska anges och det finns även ”delning” av en enhet för passagerarinformation mellan behov av mer utvecklade dataskyddsgarantier vid överkla flera medlemsstater. gan till dataskyddsmyndigheten i de fall direkt tillgång ne kas.

text: 35. För det tredje ifrågasätter datatillsynsmannen de skydd mot missbruk som anges. Loggningsskyldigheterna är välkomna men otillräckliga. Egenkontrollen bör kompletteras med en 40. Hänvisningen till rambeslutet har också konsekvenser när mer strukturerad extern övervakning. Datatillsynsmannen det gäller identifiering av den dataskyddsmyndighet som är föreslår att systematiska revisioner genomförs vart fjärde behörig att övervaka tillämpningen av det framtida direkti år. En heltäckande uppsättning säkerhetsregler bör utarbetas vet, eftersom det inte nödvändigtvis kommer att vara och tillämpas horisontellt för alla enheter för passagerar samma myndighet som den som är behörig i ärenden information. som (tidigare) hörde till första pelaren. Datatillsynsmannen finner det otillfredsställande att i ett sammanhang efter Lissabonfördraget förlita sig enbart på rambeslutet, när ett av huvudsyftena är att anpassa den rättsliga ramen för att III.3 Utbyte av uppgifter mellan medlemsstaterna garantera en högre och harmoniserad skyddsnivå som inom 36. I artikel 7 i förslaget anges flera scenarier som medger ramen för alla (de tidigare) pelarna. Europeiska datatillsyns utbyte av uppgifter mellan enheter för passagerarinfor mannen anser att ytterligare bestämmelser behövs i försla mation – vilket är den normala situationen – eller i undan get som komplement till hänvisningen till rådets rambeslut, tagsfall mellan behöriga myndigheter i en medlemsstat och där brister har identifierats särskilt när det gäller villkoren enheter för passagerarinformation. Strängare villkor gäller för tillgång till personuppgifter. dessutom beroende på om tillgång begärs till den databas som anges i

text: artikel 9.1

text: , där uppgifter lagras under de första 30 dagarna, eller till den databas som anges i 9.1, där uppgifter lagras i ytterligare fem år. 41. Dessa betänkligheter gäller även till fullo bestämmelser om överföring av uppgifter till tredjeländer. Förslaget hänvisar till

text: artikel 13.3

text: ii i rambeslutet, som innefattar omfattande undantag från dataskyddsgarantierna: bland annat medger 37. Villkoren för tillgång är mer exakt definierade när begäran artikeln undantag från tillräcklighetskravet i samband med om tillgång går utöver det normala förfarandet. Datatill ”legitima faktiska intressen, främst viktiga allmänna intres synsmannen noterar dock att ordalydelsen är förvirrande: sen”. Detta undantag är vagt formulerat och skulle med en

text: artikel 7.2

text: är tillämplig i ett ”särskilt fall för att förebygga, vid tolkning kunna gälla i många fall av behandling av upptäcka, utreda och lagföra terroristbrott eller grov brotts PNR-uppgifter. Europeiska datatillsynsmannen anser att för lighet” och i

text: artikel 7.3

text: nämns ”särskilda undantagsfall (…) slaget uttryckligen bör förhindra att avvikelserna enligt i syfte att använda dessa (PNR-uppgifter) med avseende på rambeslutet tillämpas vid behandling av PNR-uppgifter ett specifikt hot eller en viss utredning eller en viss lagfö och behålla kravet på en strikt bedömning av tillräcklighet. ringsåtgärd med anknytning till terroristbrott eller grov brottslighet”, medan

text: artikel 7.4

text: gäller ett ”omedelbart och ( 1 ) Tredje yttrandet från Europeiska datatillsynsmannen av den 27 april allvarligt hot mot den allmänna säkerheten” och

text: artikel 7.5

text: 2007 om förslaget till rådets rambeslut om skydd av personupp anger ett ”specifikt och faktiskt hot med anknytning till gifter som behandlas inom ramen för polissamarbete och straffrätts terroristbrott eller grov brottslighet”. Villkoren för olika ligt samarbete, (EUT C 139, 23.6.2007, s. 1). 22.6.2011 Europeiska SV unionens officiella tidning C 181/29 III.5 Lagring av uppgifter förteckningen ska begränsas i enlighet med arbetsgruppens yttranden och att varje tillägg bör vara vederbörligen mo 42. Förslaget föreskriver en lagringsperiod på 30 dagar, med tiverat. Detta gäller särskilt fältet ”allmänna kommentarer”, ytterligare fem års lagring i arkiv. Denna lagringsperiod är som bör uteslutas från förteckningen. väsentlig förkortad jämfört med tidigare versioner av för slaget, enligt vilka lagringstiden var upp till fem plus åtta år.

text: 43. Europeiska datatillsynsmannen välkomnar att den första III.7 Automatisk databehandling lagringsperioden har förkortats till 30 dagar men ifråga sätter den ytterligare lagringsperioden på fem år: det fram 48. Enligt artikel 4.2

text: a

text: och

text: b

text: kan bedömning av enskilda pas går inte tydligt varför dessa uppgifter behöver lagras längre sagerare enligt på förhand fastställda kriterier eller relevanta i en form som fortfarande gör det möjlighet att identifiera databaser göras med automatisk databehandling men beslu enskilda personer. ten bör granskas individuellt med icke-automatiska meto der. 44. Datatillsynsmannen betonar också en terminologifråga i texten som har viktiga rättsliga följder: i

text: artikel 9.2

text: anges det att passageraruppgifter kommer att ”maskeras” och där för kommer att vara ”anonymiserade”. Längre fram i texten 49. Datatillsynsmannen välkomnar förtydligandet i den nya nämns det dock att det fortfarande går att få ”full tillgång versionen av texten. Den oklara definitionen av det tidigare till PNR-uppgifterna”. Om detta är möjligt innebär det att tillämpningsområdet för bestämmelsen, enligt vilken beslut PNR-uppgifterna aldrig har anonymiserats helt: de är mas inte skulle fattas på grund av den automatiska behand kerade men går fortfarande att identifiera. Följden är att lingen av PNR-uppgifter som kunde ha ”negativa rättsliga ramverket för dataskydd fortfarande är helt tillämpligt, vil verkningar för en person eller på annat sätt påverkar en ket ger anledning till den grundläggande frågan om nöd person allvarligt”, har ersatts med en tydligare ordalydelse. vändighet och proportionalitet när det gäller att lagra iden Det framgår nu klart att alla positiva resultat kommer att tifierbara uppgifter om alla passagerare i fem år. granskas individuellt.

text: 45. Europeiska datatillsynsmannen rekommenderar att förslaget formuleras om genom att principen med fullständig ano nymisering av uppgifterna utan möjlighet att få tillbaka 50. Den nya versionen anger också tydligt att en bedömning dem i identifierbar form behålls, vilket innebär att ingen aldrig kan bygga på en persons ras eller etniska ursprung, retroaktiv utredning tillåts. Dessa uppgifter kan fortfarande religiösa eller filosofiska övertygelse, politiska övertygelse, – och enbart – användas för allmänna underrättelseändamål medlemskap i fackförening, hälsotillstånd eller sexuella som involverar identifiering av mönster för terrorism och läggning. Med andra ord tolkar datatillsynsmannen den relaterad brottslighet i migrationsflöden. Detta bör särskiljas nya ordalydelsen så att inget beslut ens delvis kan fattas från lagring av uppgifter i identifierbar form – som är på grundval av känsliga uppgifter. Detta överensstämmer föremål för vissa dataskyddsgarantier – i fall som har gett med bestämmelsen att inga känsliga uppgifter får behandlas upphov till konkret misstanke. av enheterna för passageraruppgifter, som det också finns skäl att välkomna. III.6 Förteckning över PNR-uppgifter

text: 46. Datatillsynsmannen välkomnar att känsliga uppgifter inte ingår i förteckningen över uppgifter som ska behandlas III.8 Granskning och statistiska uppgifter men vill betona att förslaget fortfarande medger att sådana uppgifter skickas till enheter för passagerarinformation, 51. Europeiska datatillsynsmannen anser det vara av yttersta som sedan har skyldighet att radera dem (

text: artikel 4.1

text: , vikt att en grundlig bedömning görs av direktivets tillämp

text: artikel 11

text: ). Det framgår inte klart av ordalydelsen om en ning, såsom föreskrivs i

text: artikel 17

text: . Han anser att en gransk heterna för passageraruppgifter fortfarande har en rutin ning inte bara ska innefatta bedömning av den allmänna mässig skyldighet att filtrera bort känsliga uppgifter som efterlevnaden av dataskyddsstandarderna utan att dessutom skickas av flygbolag eller om de bara ska göra det i un en mer grundläggande och specifik bedömning ska göras av dantagsfall, när flygbolag har skickat sådana uppgifter av huruvida PNR-systemet utgör en nödvändig åtgärd. I det misstag. Europeiska datatillsynsmannen rekommenderar att sammanhanget spelar de statistiska uppgifter som nämns texten ändras så att det tydligt framgår att inga känsliga i

text: artikel 18

text: en viktig roll. Datatillsynsmannen anser att uppgifter ska skickas av flygbolagen, vid själva källan till dessa uppgifter bör innefatta antalet brottsbekämpande åt databehandlingen. gärder, såsom föreskrivs i utkastet, men också antalet fak tiska brottsmålsdomar som har följt – eller inte – av de 47. Bortsett från känsliga uppgifter avspeglar förteckningen brottsbekämpande åtgärderna. Sådana uppgifter är nödvän över uppgifter som kan överföras i hög grad Förenta sta diga för att resultatet av granskningen ska bli avgörande. ternas PNR-förteckning, som artikel 29-arbetsgruppen i flera yttranden har kritiserat för att vara alltför omfat tande ( 1 ). Europeiska datatillsynsmannen anser att III.9 Förhållandet till andra instrument ( 1 ) Yttrande av den 23 juni 2003 om den skyddsnivå som garanteras i 52. Förslaget påverkar inte befintliga avtal med tredjeländer Amerikas förenta stater för överföring av passageraruppgifter,

text: artikel 19

text: ). Europeiska datatillsynsmannen anser att denna Detta yttrande och senare yttranden från arbetstruppen i detta ämne finns på: http://ec.europa.eu/justice/policies/privacy/workinggroup/ bestämmelse bör hänvisa tydligare till syftet med ett globalt wpdocs/index_en.htm#data_transfers ramverk som ska ge harmoniserade dataskyddsgarantier C 181/30 SV Europeiska unionens officiella tidning 22.6.2011 inom PNR-området, inom och utanför EU, såsom Europa har något samband med terrorism ingår i förslaget. I parlamentet har begärt och kommissionen har utvecklat i vilket fall bör mindre grova brott uttryckligen definieras sitt meddelande av den 21 september 2010, ”Om en över och uteslutas. Datatillsynsmannen rekommenderar att gripande strategi när det gäller överföring av passagerar medlemsstaternas möjlighet att bredda tillämpnings uppgifter (PNR-uppgifter) till tredjeländer”. området tas bort.

text: 53. I den meningen bör avtal med tredjeländer inte innefatta — Det definieras inte tillräckligt exakt vilka typer av hot mindre strikta bestämmelser än direktivet. Detta är särskilt som innebär att utbyte av uppgifter mellan enheter för viktigt nu när avtalen med Förenta staterna, Australien och passageraruppgifter och medlemsstater ska tillåtas. Kanada omförhandlas med tanke på en global – och har moniserad – ram. — Tillämpliga dataskyddsprinciper bör inte bygga enbart IV. SLUTSATS på rådets rambeslut 2008/977/RIF, som har brister, främst när det gäller registrerades rättigheter och över 54. Utvecklingen av ett PNR-system för EU i kombination med föring till tredjeländer. En högre standard för data förhandling om PNR-avtal med tredjeländer har varit ett skyddsgarantier, som bygger på principerna i direktiv långdraget projekt. Europeiska datatillsynsmannen erkänner

text: , bör utvecklas i förslaget. att påtagliga förbättringar har gjorts av utkastet jämfört med förslaget till rådets rambeslut om ett PNR-system för EU från 2007. Dataskyddsgarantier har lagts till utifrån — Inga uppgifter ska lagras längre än 30 dagar i identifi debatter och yttranden från olika intressenter, bland annat erbar form, förutom i fall som kräver vidare utredning. artikel 29-arbetsgruppen, datatillsynsmannen och Europa parlamentet. — Förteckningen över PNR-uppgifter som ska behandlas 55. Datatillsynsmannen välkomnar förbättringarna, särskilt an bör begränsas i enlighet med tidigare rekommendatio strängningarna att begränsa förslagets tillämpningsområde ner från artikel 29-arbetsgruppen och Europeiska data och skärpa villkoren för behandling av PNR-uppgifter. Han tillsynsmannen. Särskilt gäller att fältet ”allmänna kom är dock nödsakad att notera att förslaget inte uppfyller den mentarer” inte ska ingå. avgörande förutsättningen för utveckling av ett PNR-syst em, nämligen efterlevnad av nödvändighets- och proportio nalitetsprinciperna. Europeiska datatillsynsmannen påmin — Utvärderingen av direktivet ska bygga på omfattande ner om att PNR-uppgifter enligt hans åsikt skulle kunna uppgifter, bland annat det antal personer som faktiskt vara nödvändiga för brottsbekämpningsändamål i specifika fälls i brottmål – och inte bara åtalas – på grundval av fall och även uppfylla dataskyddskraven, men att använda behandling av deras uppgifter. uppgifterna på ett systematiskt och urskiljningslöst sätt, för alla passagerare, ger anledning till särskilda betänkligheter.

text: 58. Dessutom rekommenderar datatillsynsmannen att utveck 56. Konsekvensbedömningen innehåller element avsedda att lingen av PNR-systemet för EU bedöms i ett bredare per rättfärdiga behovet av PNR-uppgifter för brottsbekämpning, spektiv som innefattar den pågående allmänna utvärdering men informationen är alltför generell till sin karaktär och av alla EU-instrument för hantering av informationsutbyte ger inte tillräckligt stöd för storskalig behandling av PNR- som kommissionen inledde i januari 2010. Vid bedömning uppgifter för underrättelseändamål. Enligt datatillsynsman av behovet av ett PNR-system för EU bör särskild hänsyn nens åsikt är den enda åtgärd som är förenlig med data tas till resultaten av det pågåendet arbetet med den euro skyddskraven användning av PNR-uppgifter från fall till fall, peiska modellen för informationsutbyte, som förväntas bli när ett allvarligt hot har fastställts med konkreta indikato klart 2012. rer.

text: 57. Utöver denna grundläggande brist gäller datatillsynsman Utfärdat i Bryssel den 25 mars 2011. nens synpunkter följande aspekter: — Tillämpningsområdet bör vara mycket mer begränsat Peter HUSTINX när det gäller typen av brott som berörs. Datatillsyns mannen ifrågasätter att även grov brottslighet som inte Europeiska datatillsynsmannen

type: vagledning

utgivare: edps