De Europese waakhond voor gegevensbescherming, de Europese Toezichthouder voor gegevensbescherming (EDPS — naar European Data Protection Supervisor), beval de politiesamenwerking Europol om persoonsgegevens van burgers, die geen aantoonbare link met criminele activiteiten hebben, te wissen na zes maanden. Europol spartelt tegen.

Europol gemaand zich aan de regels houden

Het besluit volgt na een onderzoek dat in april 2019 startte. In veel EU-lidstaten doen verhalen de ronde over politiedatabanken met gegevens over burgers. Middels de Europese samenwerking via Europol in Den Haag wisselen de politiediensten in de EU-landen die gegevens blijkbaar ook uit. Ten eerste bestond de ongerustheid eruit dat dit buiten het mandaat van Europol viel. Ten tweede was dit in strijd met de regelgeving betreffende gegevensbescherming van de Europese Unie. Beide bekommernissen bleken gerechtvaardigd, zo wees onderzoek tot twee maal toe uit.

Dat laatste bleek reeds in september 2020 duidelijk uit het eerste onderzoek. Toen droeg EDPS Europol al op om datasets zonder Data Subject Categorisation (DSC) aan te pakken. Maar dit bleef een dode letter. Nu volgde dus een tweede tik op de vingers.

Wojciech Wiewiórowski, de topman van EDPS, zei: ‘Europol deed wel iets aan enkele risico’s qua gegevensbescherming uit ons oorspronkelijk onderzoek, maar wat betreft onze hoofdbekommernis zagen we geen significante vooruitgang om de kern van de zaak aan te pakken, namelijk dat Europol persoonlijke gegevens over individuen blijft bewaren, terwijl ze niet kunnen aantonen dat die verwerking in regel is met de beperkingen opgelegd in de Europol Regulation.’

Wiewiórowski had begrip voor de operationele noden van Europol en de omvang van de verzamelde data. Dus gaf hij Europol tot dusver een periode van twaalf maanden om te verzekeren dat gegevens, die reeds in Europols bezit waren, conform het besluit van EDPS in overeenstemming met de EU-regelgeving zouden kunnen worden gebracht. Vrij vertaald: het door de Belgische Catherine De Bolle geleide EU-agentschap voor politionele samenwerking moet haar huis op orde brengen en zich voortaan aan de regels houden.

Zo min mogelijk gegevens verwerken

De EU-waakhond EDPS droeg Europol op dit structureel aan te pakken. In principe moeten politiediensten zo min mogelijk gegevens verwerken van personen die niet gelieerd zijn aan criminele activiteiten. Bovendien ging de bestaande praktijk ook in tegen het principe dat gegevens enkel voor de duur van een lopend onderzoek gestockeerd mogen worden.

Europol faalde volgens EDPS om de privacy van de burgers volgens die twee principes te beschermen. Omdat Europol geen aanstalten maakte iets aan dit probleem te doen, trad EDPS op 10 januari op met de publicatie van het besluit.

Big Data

Europol verschool zich achter de noodzaak om grote datasets te kunnen gebruiken in gerechtelijke onderzoeken. Volgens burgerrechtenorganisaties zijn dit echter illegale bigdataonderzoeken die de privacy schenden. De bedoeling is volgens Europol om gegevens over grensoverschrijdende zaken te verzamelen om alzo nieuwe toezichtsinstrumenten (‘policing tools‘) te ontwikkelen en algoritmes te trainen.

EDPS toonde echter aan dat Europol niet enkel specifieke zaken onderzocht, maar heel grote datasets van nationale politiediensten door computers liet verwerken. Dit zijn zogenaamde ‘big data driven models’. Momenteel zou het gaan om een miljoen gigabytes aan data. Een andere grote bekommernis is de gegevensuitwisseling met derdelanden. Dan gaat het vooral om landen die het niet nauw nemen met de privacy of mensenrechten, of zelfs om dictaturen.

EC: breid mandaat Europol uit

Toch kan de privacywaakhond van de EU niet op de volle steun van de EU-instellingen rekenen. Zo is er momenteel een onderhandeling gaande tussen de Europese Commissie, de Raad van de EU (met de ministers van Binnenlandse Zaken) en het Europees Parlement. Dit is de zogenaamde triloog over de regelgeving. Omdat de Europese Commissie Europol — dat eigenlijk weinig mensen en middelen heeft en ook zeer weinig bevoegdheden — sterker wil maken om zelf zwaarder te kunnen wegen op politionele diensten in de lidstaten, steunt de Europese Commissie eigenlijk de illegale bigdatapraktijken.

De Europese Commissie wil daarom het mandaat van Europol uitbreiden. Op 9 december 2021 meldde de Commissie dat in het kader van het contraterrorismeonderzoek en de grenscontroles het mandaat van Europol zich zal wijzigen. In de ogen van privacyactivisten is dit simpelweg het legaliseren van illegale praktijken.

Dit sterkt Europol ook in haar visie dat ze gewoon het besluit van EDPS naast zich neer kan leggen. Europol krijgt twaalf maanden om te bewijzen dat de gegevens relevant zijn of gewist worden. Europol gaf al aan geen deadlines te aanvaarden. Blijkbaar wil Europol in het beste geval onderhandelen over illegale praktijken.

Wojciech Wiewiórowski

EU wil illegale politiepraktijken legaliseren