De PNR-wet (Wet gebruik van passagiersgegevens voor de bestrijding van terroristische en ernstige misdrijven) is misschien wel één van de onbekendste wetten die het mogelijk maakt op zeer grote schaal persoonsgegevens te verwerken. Tegelijkertijd staat de rechtmatigheid van de wet ter discussie. Wat speelt er? Redacteur Hanneke van den Bogerd spreekt erover met informatiejurist Kristina Irion, die in opdracht van het WODC (Wetenschappelijk Onderzoek- en Documentatiecentrum), het kennisinstituut voor het ministerie van Justitie en Veiligheid, de doeltreffendheid van de PNR-wet evalueerde.
De PNR-wet regelt sinds 2019 dat luchtvaartmaatschappijen gegevens van alle passagiers die van en naar Nederland vliegen, moeten delen met de Passagiersinformatie-Eenheid Nederland (Pi-NL). De Pi-NL is een zelfstandige organisatie die de PNR-wet in opdracht van het ministerie van Justitie en Veiligheid uitvoert. Haar taak is het verwerken en analyseren van de passagiersgegevens, met als doel terroristische en ernstige misdrijven te bestrijden.
Waar nodig worden de gegevens verstrekt aan bevoegde instanties zoals de Politie en het Openbaar Ministerie, maar ook inlichtingen- en veiligheidsdiensten zijn bevoegd om toegang te krijgen. Sinds 2019 heeft de Pi-NL gegevens van al meer dan 61 miljoen passagiersgegevens verwerkt (1). Denk hierbij aan NAW-gegevens, e-mailadressen, betalingsinformatie, bagage-informatie en waar voorhanden ook nationaliteit (2). Deze gegevens mogen vijf jaar lang bewaard worden en dat is volgens Kristina Irion, universitair hoofddocent aan het Instituut voor Informatierecht van de UvA (IViR), naar EU-wettelijke maatstaven uitzonderlijk lang. Dat maakt een goede naleving van de privacywaarborgen dus extra belangrijk. Hoe goed worden die waarborgen op dit moment nageleefd?
Irion verrichtte samen met It’s public, een maatschappelijk adviesbureau voor de publieke sector, onafhankelijk onderzoek naar de doeltreffendheid van de PNR-wet. Naar aanleiding van het onderzoek verscheen een rapport dat ingaat op het gebruik, de doeltreffendheid en het effect van de PNR-wet in de praktijk. Het rapport besteedt ook aandacht aan de naleving van de privacy-waarborgen (3). Tegelijkertijd menen verschillende belangenorganisaties dat de EU-richtlijn (4) die aan de wet ten grondslag ligt, in strijd is met de Europese grondrechten voor privacy en bescherming van persoonsgegevens. In zowel België als Duitsland hebben betrokkenen en organisaties rechtszaken aangespannen. Dit voorjaar kunnen we waarschijnlijk een beslissende uitspraak van het Europese Hof van Justitie (HvJ-EU) verwachten.
Ondertussen onderneemt minister van Justitie en Veiligheid Dilan Yesilgöz-Zegerius (VVD) juist stappen om de toepasselijkheid van de PNR-wet op vluchten binnen de EU zeker te stellen. De wettelijke grondslag voor het verwerken van intra-EU-vluchten vervalt namelijk per 18 juni 2022, tenzij de wet wordt aangepast. Vanuit de Tweede Kamer zijn hier kritische vragen over gesteld, ingegeven door de bevindingen uit het IViR-rapport, de op handen zijnde uitspraak van het HvJ-EU én het advies van de Autoriteit Persoonsgegevens om te wachten op de uitspraak van het HvJ-EU (5).
Het rapport concludeert dat de Pi-NL op hoofdlijnen voldoet aan de normen voor de gegevensverwerking (6). Toch brengt het rapport ook opvallende verbeterpunten onder de aandacht. Zo worden nu soms persoonsgegevens opgeslagen die niet verwerkt mogen worden. Irion: “Als je bij je vlucht bijvoorbeeld ook een trein- of busreis boekt, dan kunnen die gegevens tussen de PNR-gegevens terechtkomen en dat is in strijd met de wet. Het gaat om een dusdanig grote gegevensverzameling, dat de verwerking ervan geautomatiseerd plaatsvindt en dat maakt het lastig om ongewenste gegevens eruit te filteren.” Hetzelfde geldt voor het verbod om bepaalde bijzondere persoonsgegevens te verzamelen. Luchtvaartpersoneel kan bijvoorbeeld in vrije tekstvelden opmerkingen plaatsen die bijzondere persoonsgegevens bevatten. “Het is op dit moment niet uit te sluiten dat daar geen bijzondere of gevoelige persoonsgegevens in terechtkomen die bijvoorbeeld informatie prijsgeven over religie of etniciteit. Deze gegevens mogen überhaupt niet opgeslagen worden,” aldus Irion. Het is niet bekend hoe vaak dit misgaat, maar volgens het rapport zou het ministerie specifiek onderzoek kunnen instellen om dit in kaart te brengen (7).
Het IViR-rapport merkt verder op dat het ministerie haar rol als verwerkingsverantwoordelijke beter moet oppakken. Irion is van mening dat de blik te weinig gericht is op de verplichtingen van het ministerie en dat zij hier nog onvoldoende verantwoording over aflegt. “Wij zijn gevraagd om te onderzoeken of de Pi-NL binnen de lijntjes kleurt, maar de Pi-NL is een uitvoerende instantie. Dan mis je een belangrijk deel van de verantwoordelijkheid die juist bij het ministerie ligt. We vonden dat daar meer aandacht voor moest zijn en hebben daarom het ministerie ook betrokken in het onderzoek.” Op de vraag of zij verwacht dat het ministerie iets gaat doen met de bevindingen uit het rapport ten aanzien van haar eigen rol, durft zij op dit moment geen antwoord te geven.
Wel benadrukt Irion dat het ministerie de rechtmatigheid van de gegevensverwerking serieus neemt. Zo worden de gegevens conform de wet gedepersonaliseerd na zes maanden en verloopt ook het verstrekken van de gegevens aan de bevoegde instanties volgens de regels (8). Helaas is op dit moment echter onduidelijk hoever de inzage van de inlichtingendiensten in de passagiersgegevens strekt. Voor hen geldt geen beleid of bewaartermijn ten aanzien van de gegevens. Irion: “Het PNR-stelsel is juist opgezet om privacywaarborgen te treffen, maar die waarborgen vallen weg zodra er bijvoorbeeld een kopie van de passagiersgegevens met de inlichtingendiensten wordt gedeeld. Het is nu niet bekend of dit gebeurt en hoe vaak. Dat is zorgelijk.”
Daarnaast waarschuwt Irion voor de aantrekkingskracht die grote datasets op opsporingsdiensten hebben. “Altijd wanneer een grote gegevensverzameling wordt aangelegd, is het risico hoog dat zij tóch voor andere doeleinden wordt gebruikt. Dat hebben we bijvoorbeeld gezien met de automatische kentekenherkenning langs snelwegen.”
Ten aanzien van de informatieplicht naar betrokkenen, kan de vermelding daarvan een stuk zichtbaarder en specifieker. Op dit moment worden passagiers nog onvoldoende actief geïnformeerd volgens de maatschappelijke organisaties die Irion voor het onderzoek interviewde (9). Irion: “Ik vermoed dat de gemiddelde luchtvaartpassagier geen idee heeft wat er gebeurt, want de enige informatie die erover bestaat, staat op de website van de Rijksoverheid. Die is wel in Engels en Nederlandse voorhanden, maar als je dat niet leest weet je niet wat er gebeurt.” Wat dat betreft is volgens Irion ook de informatievoorziening op luchthavens voor verbetering vatbaar. “Het staat nu in klein gedrukte letters in de algemene voorwaarden van de luchtvaartmaatschappij vermeld, maar eigenlijk zou op een vliegveld ook deugdelijke informatie verstrekt moeten worden. Het mag niet zo zijn dat mensen hier nauwelijks iets over weten.”
Hoe het ook zij, het PNR-stelsel staat ter discussie. Het hangt nu van af van de uitspraak van het HvJ-EU of en op welke manier de PNR-wet blijft bestaan. Als het Hof het advies opvolgt van advocaat-generaal (A-G) G. Pitruzzella, dan blijft de PNR-wet bestaan. De A-G verricht onafhankelijk onderzoek voor rechtbanken en brengt daar een advies over uit. Het Hof volgt zijn advies meestal op.
“Voor Pitruzzella wegen de belangen van veiligheid zwaar. Hij vindt de PNR-wet hiervoor een geschikt instrument dat zowel noodzakelijk als evenredig is. Hij staat wel kritisch tegenover de bewaartermijn van 5 jaar en vindt dat gegevens alleen bewaard mogen worden als er een duidelijk verband is met een verdachte of een onderzoek,” zegt Irion. Wat betreft de opslag en bewaartermijn van de gegevens ligt een wetswijziging dus in de lijn der verwachting.
Terwijl alle ogen gericht zijn op de uitspraak van het Hof, concludeert de minister in een reactie op het rapport dat “het verslag een positief beeld toont van de effecten en doeltreffendheid van de PNR-wet (10).” Het is daarom niet verrassend dat ze wil voorkomen dat op 18 juni 2022 de wettelijk toegestane mogelijkheid vervalt om passagiersgegevens voor vluchten binnen de EU te verwerken. Toch lijkt dat wat voorbarig gezien de vraagtekens die we op dit moment bij de PNR-wet kunnen plaatsen.
Irion vindt het jammer dat de politiek de grenzen van de rechtspraak opzoekt. “De politiek zet nu stappen zonder daar zelf een rem in te hebben. Ze gaat door totdat een rechter zegt ‘tot hier en niet verder’. Hiermee geef je een verkeerd signaal af. Het zou mooi zijn als de politiek er zelf juist alles aan doet om binnen het normatieve kader en de grondwet te blijven opereren.”
2) https://wetten.overheid.nl/jci1.3:c:BWBR0042301&bijlage=1&z=2021-07-17&g=2021-07-17
3) 6) 7) 8) 9) https://repository.wodc.nl/bitstream/handle/20.500.12832/3118/3181-evaluatie-pnr-wet-volledige%20tekst.pdf?sequence=7&isAllowed=y
4) https://eur-lex.europa.eu/legal-content/NL/TXT/PDF/?uri=CELEX:32016L0681&from=es
5) https://www.tweedekamer.nl/kamerstukken/detail?id=2022Z01145&did=2022D02416
