De Europese toezichthouder voor gegevensbescherming (EDPS) steunt een versterking van Europol, maar waarschuwt dat extra bevoegdheden niet ten koste mogen gaan van de bescherming van persoonsgegevens. Volgens de toezichthouder zijn aanvullende waarborgen nodig om te voorkomen dat Europol te veel ruimte krijgt bij het verwerken van persoonsgegevens.
Nieuwe regels
De Europese Commissie wil de regels voor Europol aanpassen. De politieorganisatie moet daardoor beter kunnen reageren op nieuwe vormen van grensoverschrijdende criminaliteit en de samenwerking met nationale politiediensten versterken.
De EDPS heeft hierover een advies uitgebracht. De toezichthouder benadrukt dat een sterkere rol voor Europol op zichzelf niet problematisch is, maar dat de uitbreiding gepaard moet gaan met duidelijke grenzen en stevige controle. De voorgestelde regels moeten volgens de EDPS volledig aansluiten bij de bestaande Europese regels voor gegevensbescherming.
Veel persoonsgegevens
Europol verwerkt grote hoeveelheden gegevens die afkomstig zijn van nationale politie- en opsporingsdiensten. Het kan daarbij om zeer gevoelige persoonsgegevens gaan. Juist daarom vindt de EDPS het belangrijk dat duidelijk is welke gegevens Europol mag verwerken, voor welk doel en hoe lang ze mogen worden bewaard.
De toezichthouder wil voorkomen dat gegevens die oorspronkelijk voor een specifiek doel zijn verzameld, later zonder voldoende wettelijke basis voor andere doeleinden worden gebruikt.
Daarbij speelt ook de verhouding tussen Europol en de nationale autoriteiten een rol. Een Europese politieorganisatie die steeds meer gegevens verwerkt, moet volgens de EDPS niet alleen technisch goed beveiligd zijn, maar ook onder effectief onafhankelijk toezicht staan.
AI en gegevensanalyse
De discussie is extra relevant omdat Europol steeds meer gebruikmaakt van digitale analyse en AI. Grote hoeveelheden politiegegevens kunnen met dergelijke technologie sneller worden doorzocht en met elkaar in verband worden gebracht.
Dat biedt voordelen bij het opsporen van bijvoorbeeld georganiseerde criminaliteit, maar vergroot tegelijkertijd de gevolgen van fouten. Een onjuiste koppeling of analyse kan ertoe leiden dat een persoon ten onrechte als verdacht naar voren komt.
De EDPS benadrukt daarom dat gegevensbescherming niet pas achteraf moet worden geregeld. Privacywaarborgen moeten volgens de toezichthouder onderdeel zijn van het ontwerp en de wettelijke basis van nieuwe mogelijkheden.
Duidelijke grenzen
Een belangrijk aandachtspunt van de EDPS is dat Europol niet onbeperkt nieuwe gegevensverwerkingsmogelijkheden moet krijgen zonder dat daar duidelijke voorwaarden tegenover staan. De toezichthouder pleit voor een heldere afbakening van de doeleinden waarvoor gegevens mogen worden verwerkt en voor passende waarborgen rond toegang, opslag en verdere verwerking.
Ook moet duidelijk blijven wie verantwoordelijk is wanneer persoonsgegevens door verschillende Europese en nationale organisaties worden uitgewisseld.
De EDPS heeft eerder benadrukt dat uitbreiding van het mandaat van Europol gepaard moet gaan met voldoende toezicht- en handhavingsmogelijkheden.
Veiligheid versus privacy
De discussie rond Europol laat opnieuw zien hoe lastig de balans tussen veiligheid en privacy kan zijn. Politiediensten willen steeds meer gegevens kunnen combineren om criminaliteit sneller op te sporen. Tegelijkertijd betekent meer beschikbare informatie ook dat meer persoonsgegevens worden verzameld en verwerkt.
De EDPS kiest daarbij niet voor een blokkade van nieuwe technologie of meer Europese samenwerking. De boodschap is vooral dat meer bevoegdheden ook meer verantwoordelijkheid vereisen.
Voor burgers is dat belangrijk. Persoonsgegevens die bij een politieonderzoek worden verzameld, kunnen zeer gevoelig zijn. Een fout in een database of een onjuiste koppeling kan bovendien grote gevolgen hebben voor degene om wie het gaat.
Wat betekent dit voor HCC-leden?
Voor HCC-leden is vooral de groeiende rol van data-analyse en AI bij opsporing interessant. Technologie maakt het mogelijk om enorme hoeveelheden gegevens snel te analyseren. Dat kan bijdragen aan de bestrijding van criminaliteit, maar maakt de gevolgen van verkeerd gebruik eveneens groter.
De discussie gaat daarmee verder dan alleen Europol. Ook nationale politie- en overheidsdiensten gebruiken steeds meer algoritmen, databanken en AI. De vraag welke gegevens mogen worden gecombineerd en hoe burgers daartegen worden beschermd, wordt daardoor steeds belangrijker.
HCC-leden kunnen bovendien zelf te maken krijgen met de gevolgen van gegevensuitwisseling. Een persoonsgegeven dat eenmaal in een overheidsdatabase staat, kan door koppelingen en geautomatiseerde analyses in een veel bredere context terechtkomen dan oorspronkelijk bedoeld.
Standpunt van HCC
HCC vindt dat digitale technologie de samenleving veiliger kan maken, maar dat veiligheid niet als argument mag worden gebruikt om gegevensbescherming onbeperkt op te rekken. Bij uitbreiding van bevoegdheden moeten daarom vooraf duidelijke wettelijke grenzen worden vastgesteld.
HCC vindt het daarnaast belangrijk dat burgers kunnen begrijpen welke gegevens over hen worden verwerkt, met welk doel en onder welke controle. Zeker wanneer AI wordt gebruikt om verbanden te leggen of risico’s in te schatten, moet menselijke controle mogelijk blijven.
De waarschuwing van de EDPS is daarmee relevant: een sterkere Europese aanpak van criminaliteit en een sterke bescherming van persoonsgegevens hoeven elkaar niet uit te sluiten, maar daarvoor moeten privacy en toezicht wel vanaf het begin onderdeel zijn van de regelgeving
