34 861 Regels ter implementatie van richtlijn (EU) 2016/681 van het Europees Parlement en de Raad van 27 april 2016 over het gebruik van persoonsgegevens van passagiers (PNR-gegevens) voor het voorkomen, opsporen, onderzoeken en vervolgen van terroristische misdrijven en ernstige criminaliteit (PbEU 2016, L 119) (Wet gebruik van passagiersgegevens voor de bestrijding van terroristische en ernstige misdrijven)

32 761 Verwerking en bescherming persoonsgegevens

Nr. 36 BRIEF VAN DE MINISTER VAN JUSTITIE EN VEILIGHEID

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 17 mei 2023

Op 10 maart 2023¹ heb ik uw Kamer geïnformeerd over het verzoek van de Autoriteit Persoonsgegevens² tot analyse en het aanpassen van de Passenger Name Record-wetgeving en de verwerkingen van de Passenger Name Record-gegevens naar aanleiding van de uitspraak van het Hof van Justitie van de Europese Unie (hierna: het Hof) van 21 juni 2022³. Hierin ben ik ingegaan op de Nederlandse inzet in Europa, de bestaande (privacy) waarborgen en de wijze waarop ik invulling zal geven aan de uitspraak van het Hof. Dit doe ik door naast de bestaande privacy waarborgen een aantal aanvullende maatregelen te nemen in de verwerking van deze passagiersgegevens. Ik heb toegezegd uw Kamer te informeren over de voortgang van deze maatregelen en Europese ontwikkelingen. Middels deze brief geef ik hieraan gevolg.

Voortgang maatregel algemene bewaartermijn drie jaar

Ten aanzien van de bewaartermijnen van passagiersgegevens heb ik aangekondigd, in lijn met een interpretatie van de uitspraak van het Hof, een algemeen bewaartermijn van drie jaar te zullen vaststellen. Voor passagiersgegevens waar binnen die drie jaar een concrete link⁴ met terrorisme of ernstige criminaliteit is gebleken, geldt een termijn van vijf jaar. Daarnaast heb ik toegezegd binnen een maand na mijn brief invulling te zullen geven aan de uitspraak van het Hof op dit punt. Aan deze toezegging is inmiddels gevolg gegeven. Concreet betekent dit dat passagiersgegevens ouder dan drie jaar, met inachtneming van hieronder genoemde specifieke gevallen, niet meer verstrekt worden aan bevoegde instanties, zoals het Openbaar Ministerie, de Koninklijke Marechaussee en de Nationale Politie.

Op dit moment heeft het daadwerkelijk wissen van passagiersgegevens ouder dan drie jaar nog niet plaatsgevonden. Er is namelijk een nadere analyse van de door het Hof gestelde voorwaarden nodig om te kunnen bepalen voor welke passagiersgegevens het noodzakelijk is dat deze vijf jaar bewaard blijven. Er zijn immers specifieke gevallen, waarin passagiersgegevens ouder dan drie jaar wel bewaard en verstrekt zouden mogen worden, in lijn met de uitspraak van het Hof. Deze specifieke gevallen worden momenteel in kaart gebracht en vastgelegd door de Passagiersinformatie-eenheid Nederland. Ook de Functionaris-gegevensbescherming passagiersinformatie-eenheid Nederland wordt hiervan in kennis gesteld. Deze specifieke gevallen worden meegenomen in de hierboven genoemde analyse. Denk hierbij aan de situatie waar na analyse van eerdere verstrekkingen naar een verdachte, medeverdachten worden geïdentificeerd waarvoor de passagiersgegevens wordt opgevraagd, waarbij de drie jaar termijn inmiddels is verstreken.

Op dit moment kan nog geen toezegging worden gedaan op welke termijn daadwerkelijk wordt overgegaan tot het wissen van gegevens ouder dan drie jaar, zodra de analyse is afgerond en de benodigde technische aanpassingen zijn doorgevoerd, worden de data definitief gewist. Hieraan wordt de komende tijd prioriteit gegeven.

Voortgang maatregel onafhankelijke toets vorderingen en verstrekkingen

Aangezien de hierboven genoemde analyse nog niet is afgerond, is er nog niet overgegaan tot het daadwerkelijk wissen van passagiersgegevens. Om die reden is het mogelijk dat er passagiersgegevens worden gevorderd door het Openbaar Ministerie die op grond van de uitspraak van het Hof niet langer bewaard hadden mogen worden. Om dit risico zoveel mogelijk in te perken, worden vorderingen ouder dan drie jaar extra getoetst aan de criteria van het Hof, door een op afstand van het opsporingsonderzoek gepositioneerde officier van justitie. Alleen in die gevallen waarin de noodzakelijkheid is vastgesteld, zal de Passagiersinformatie-eenheid Nederland passagiersgegevens ouder dan drie jaar verstrekken.

Hiermee wordt door het Openbaar Ministerie tevens een stap gezet vooruitlopend op de formele inbedding van de op afstand van het opsporingsonderzoek gepositioneerde officier van justitie voor het toetsen van vorderingen en verstrekkingen, zoals aangekondigd in mijn brief van 10 maart 2023.⁵

Voortgang selectie intra-EU vluchten-methodiek en aanleveringsmethodiek

Momenteel wordt gewerkt aan een aanpak voor de borging van de periodieke selectie voor intra-EU vluchten. Met de Functionaris Gegevensbescherming van de Passagiersinformatie-eenheid Nederland is afgestemd welke onderdelen van de data protection impact assessment (DPIA) uitgewerkt worden voor het doorgiftepunt waar data van niet geselecteerde intra-EU vluchten direct (geautomatiseerd) wordt gewist. Dit laat onverlet dat Nederland ook de ontwikkelingen op Europees niveau volgt ten aanzien van selectiemethodieken voor intra-EU vluchten.

Europese ontwikkelingen

Op 30 maart 2023 heeft een overleg plaatsgevonden met vertegenwoordigers van de Belgische passagiersinformatie-eenheid. Daarin is door de Belgische vertegenwoordigers aangegeven dat het Belgische Hof nog geen uitspraak heeft gedaan in de zaak die leidde tot de prejudiciële vragen aan het Europese Hof over de verenigbaarheid van de Passenger Name Record-richtlijn. In het overleg met de Belgische passagiersinformatie-eenheid kwam naar voren dat de Belgische passagiersinformatie-eenheid in tegenstelling tot hetgeen vermeld in de genoemde brief⁶ aan uw Kamer geen zelfstandige opsporingsbevoegdheid heeft. Dat wil ik graag hierbij rechtzetten. Op basis van de Hofuitspraak is ten onrechte verondersteld dat de Belgische passagiersinformatie-eenheid over een zelfstandige opsporingsbevoegdheid beschikt.

In lijn met mijn eerdere brieven van 10 maart 2023 en 30 juni 2022⁷, werk ik – samen met alle betrokken partners – op nationaal en op Europees niveau aan de juridische, operationele en technische uitwerking van maatregelen. Ik zal mij hier ook de aankomende tijd onverminderd voor in blijven zetten. Zo zal ik binnenkort in gesprek met de Autoriteit Persoonsgegevens gaan over bovenstaande maatregelen.

Ik zal uw Kamer op de hoogte houden van de voortgang van de aangekondigde maatregelen, de Europese ontwikkelingen en daarbij behorende implicaties voor de processen van de Passagiersinformatie-eenheid Nederland en de «Wet gebruik van passagiersgegevens voor de bestrijding van terroristische en ernstige misdrijven». Een afschrift van deze brief zal ook ter informatie naar de Autoriteit Persoonsgegevens worden verstuurd.

De Minister van Justitie en Veiligheid, D. Yeşilgöz-Zegerius

---

1 Kamerstukken 34 861 en 32 761, nr. 35.

2 Brief Autoriteit Persoonsgegevens van 21 februari 2023 over Passagiersgegevens luchtvaart (PNR), te raadplegen via www.autoriteitpersoonsgegevens.nl.

3 HvJ EU 21 juni 2022, C-817/19, ECLI:EU:C:2022:491, (Ligue des droits humains).

4 Het Europese Hof spreekt over «objectief verband» (zie overwegingen: 153, 156, 157, 162, 217, 218, 220, 251, 257, 262 en 299 (onder 5) en «uit andere omstandigheden is gebleken dat er objectieve aanwijzingen bestaan ... met een minstens indirect objectief verband» (zie overweging 262).

5 Kamerstukken 34 861 en 32 761, nr. 35.

6 Kamerstukken 34 861 en 32 761, nr. 35.

7 Kamerstuk 29 754, nr. 644.