Het Europees Hof van Justitie (HvJ) stelt grenzen aan de manier waarop passagiersgegevens worden verzameld en wanneer deze kunnen worden gebruikt door rechtshandhavingsinstanties, zo maakte de rechtbank dinsdag in een uitspraak bekend.

Een mensenrechtenorganisatie die de zaak aanhangig heeft gemaakt, stelt dat de praktijk van het blok te ver is gegaan en zegt dat dit kan leiden tot massaal toezicht en discriminatie.

Wat was er tot nu toe toegestaan?

De zaak heeft betrekking op de European Union Passenger Name Record Directive (PNR), die in 2016 werd aangenomen.

De verhuizing geeft justitie- en politiefunctionarissen toegang tot passagiersgegevens over mensen die in en uit het blok vliegen. Het maakt het in sommige gevallen ook mogelijk om passagiersgegevens over vluchten binnen de EU te verzamelen.

De richtlijn is bedoeld om de autoriteiten bij te staan ​​bij de bestrijding van zware criminaliteit en het voorkomen van terrorisme.

De verzamelde gegevens kunnen de namen en contactgegevens van de passagiers bevatten, evenals vluchtnummers, het aantal koffers, hoe ze voor vluchten hebben betaald en met wie ze hebben gereisd.

De gegevens worden verzameld en verwerkt door de passagiersinformatie-eenheid die door elke EU-lidstaat is opgericht. De eenheid controleert vervolgens passagiersinformatie met een database voor wetshandhaving. Ze kunnen vervolgens persoonsgegevens naar de politie, Europol en andere blokautoriteiten sturen “spontaan of in antwoord op een met redenen omkleed verzoek”, volgens de Europese Commissie.

Deze gegevens worden gebruikt om bekende criminele verdachten op te sporen, maar ook om mogelijk verdachte vluchten te signaleren – ook als passagiers contant betaalden of als ze niet veel bagage bij zich hadden op langeafstandsvluchten, meldt de Duitse publieke omroep Deutschlandfunk.

Momenteel worden gegevens na zes maanden “gedepersonaliseerd” en kunnen ze maximaal 5 jaar worden bewaard – daarna moeten ze worden verwijderd.

Hoe heeft de rechtbank beslist?

Het HvJ oordeelde echter dat hoewel de richtlijn was toegestaan, er moeten bepaalde limieten worden gesteld zodat het verzamelen van gegevens niet in strijd is met de EU-wetgeving.

In een verklaring zei de rechtbank dat “het respect voor de grondrechten vereist dat de bevoegdheden die door de PNR-richtlijn worden verleend, worden beperkt tot wat strikt noodzakelijk is”.

Autoriteiten in de 27 EU-lidstaten kunnen passagiersgegevens alleen doorgeven en verwerken voor “reële en actuele of voorzienbare terroristische dreigingen”.

Gegevens zijn alleen toegankelijk voor autoriteiten als wordt aangenomen dat de reis van de persoon verband houdt met criminele activiteiten, wat betekent dat ze moeten worden verdacht van het ontvluchten van de plaats delict of het aankomen op hun bestemming met de bedoeling het misdrijf te plegen.

De rechtbank betwistte ook de duur van de opslag van de gegevens en zei dat de meeste gegevens niet na zes maanden mogen worden bewaard. Wetshandhavingsinstanties mogen gegevens alleen langer bewaren als er een “objectieve relatie” is met mogelijke terroristische activiteiten of ernstige misdrijven.

Het EHJ verbiedt ook het gebruik van kunstmatige intelligentie (AI) in machine learning-systemen om gegevens van vliegtuigpassagiers te verzamelen en te verwerken.

De rechters zeiden dat de algoritmen in software voor het verzamelen van gegevens voor zichzelf moeten spreken en dat machine learning niet kan worden gebruikt om te bepalen welk gedrag of markers als verdacht kunnen worden beschouwd, omdat dit zou kunnen leiden tot ‘directe of indirecte discriminatie’.

Waarom is de beslissing belangrijk?

De beslissing van dinsdag is belangrijk omdat het de eerste keer is dat het hoogste gerechtshof van de EU een uitspraak heeft gedaan die het gebruik van kunstmatige intelligentie beperkt – een precedent scheppend dat zou kunnen worden gebruikt in toekomstige zaken waarbij AI betrokken is.

Hoewel het EHvJ de praktijk niet volledig heeft stopgezet, is de beslissing ook een gedeeltelijke overwinning voor voorstanders van gegevensprivacy, die stellen dat de PNR-richtlijn gegevensbescherming en privacyrechten schendt.

Het HvJ werd gevraagd om de zaak te beslissen nadat de Belgische Liga voor de Rechten van de Mens (LDH) en andere groepen de richtlijn in 2017 voor een Belgische rechtbank hadden aangevochten.

Zij stellen dat de richtlijn autoriteiten toestaat om te veel gegevens over vliegtuigpassagiers te verzamelen. Ze zeggen dat de manier waarop de gegevens worden verzameld en het gebruik ervan door wetshandhavers kan leiden tot discriminatie en profilering, evenals tot massaal toezicht.

De uitspraak van dinsdag betekent dat er verdere beperkingen gelden voor wanneer autoriteiten in de EU toegang hebben tot passagiersgegevens op vluchten die binnen het blok plaatsvinden.

rs/msh (dpa, Reuters)