Bekymringsfull utvidelse av Schengen informasjonssystem
2005 har vært preget av de kommende utvidelsene av Schengen informasjonssystem (SIS II). Tre rådgivende personverninstanser i EU advarer mot forslaget, som de mener vil medføre et lite oversiktlig regelverk på området. Advarselen kommer både fra det europeiske tilsynsorganet for Schengen informasjonssystem (JSA), den europeiske dataombudsmannen (EDPS), og den rådgivende personverngruppen i EU (artikkel 29-gruppen).
Forslaget legger opp til at flere rettsakter skal regulere behandlingen av personopplysningene i SIS. Det er også uklart hvorvidt medlemslandene kan fravike vilkårene i de ulike rettsaktene, eventuelt i hvilken grad. Av hensyn både til medlemslandene og ikke minst til enkeltindividet, er det påkrevd med klare regler og lik praksis når det gjelder behandlingen av den enorme mengden personopplysninger SIS inneholder.
Etableringen av SIS II innebærer både organisatoriske og funksjonelle endringer. Fra å være en sentral database med kopidatabaser i de respektive medlemslandene, skal SIS II etableres som en stor felles database med direkte tilgang fra de ulike myndigheter i medlemslandene. Kommisjonen skal ha behandlingsansvaret sentralt, men det er uklart hvor langt Kommisjonens ansvar rekker og hvilket ansvar medlemslandene selv har. Det felles tilsynsorganet JSA, som består av representanter fra medlemslandenes datatilsyn, vil opphøre, og EDPS vil overta tilsynsfunksjonen.
En gigantisk etterforskningsdatabase?
Et annet kritisk punkt er hvilket formål SIS II skal ha. Med utvidelser både i forhold til opplysningskategorier (bl.a. biometriske data og fingeravtrykk) og i forhold til antallet myndigheter som skal ha tilgang til SIS, har flere uttrykt bekymring for at SIS II vil utvikle seg til å bli en gigantisk etterforskningsdatabase, noe som langt fra var den opprinnelige hensikten med systemet.
SIS-evaluering av Norge
I september 2005 ble personvernet i Norges nasjonale del av Schengen informasjonssystem evaluert. En ekspertgruppe ledet av en representant for det britiske datatilsyn sto for evalueringen av Norge og Island. Evalueringen resulterte i enkelte tilrådninger, spesielt i forhold til logging av oppslag i systemet, og en klargjøring av SIS-loven når det gjelder Datatilsynets funksjon i spørsmål om innsyn, retting og sletting. Ekspertgruppen kom også med en oppfordring til å finne en løsning på hvilket svar personer som ikke er registrert i SIS bør få på sine innsynsbegjæringer.
Tilsyn i Schengenlandene avdekket ulik praksis
Det felles tilsynsorganet JSA tok i 2004 initiativ til at Schengen-landene skulle gjennomføre tilsyn i sine respektive land i forhold til registrering av personer etter artikkel 96 i Schengen-konvensjonen. Artikkel 96 er registrering av utlendinger som er uønsket i Schengen-området, enten fordi de er utvist fra et medlemsland, eller fordi vedkommende utlending representerer en fare for den offentlige orden eller sikkerhet.
Det er Utlendingsdirektoratet (UDI) som i Norge har ansvaret for innmelding i SIS etter artikkel 96. Datatilsynet gjennomførte tilsyn ved UDI i februar 2005 og fokuserte under tilsynet på autorisasjonsrutiner, grunnlag for registrering av opplysninger, innsyn og sletting av opplysninger. Tilsynsrapporten inngikk som en del av en felles rapport som JSA utarbeidet. De ulike medlemslandene har høyst ulik praksis for hvilke personer de registrerer etter artikkel 96. Italia og Tyskland registrerer alle som har fått avslag på asylsøknaden sin, noe som i praksis medfører at disse personene nektes innreise i hele Schengen-området, uten at de har gjort noe ulovlig. Dette er svært betenkelig, og er et eksempel på at klare regler er helt nødvendig når det gjelder behandling av personopplysninger i SIS.
Fingeravtrykk - Eurodac
Høsten 2005 inviterte Personvernombudsmannen for EU (EDPS) til et samarbeidsmøte om Eurodac, et sentralt informasjonssystem for sammenligning av fingeravtrykk av asylsøkere og illegale immigranter.
Informasjonssystemet driftes av Kommisjonen, og EDPS har tilsynsansvar for den sentrale delen av informasjonssystemet. Nasjonale datatilsynsmyndigheter har tilsynsansvaret for registrering og bruk av systemet nasjonalt. EDPS har gjennomført ett tilsyn ved det sentrale Eurodac, og foreslo i møtet at de nasjonale datatilsynsmyndighetene skal gjennomføre tilsvarende tilsyn i eget land.
Formålet med et slikt fremstøt, er både å undersøke eventuelle personvernproblemer i forbindelse med behandlingen av opplysningene i systemet, og eventuelt å utarbeide felles løsninger på problemene. Datatilsynet er meget positivt innstilt til initiativet, og mener et slikt samarbeid er en nødvendig forutsetning for å opprettholde et høyt felles personvernnivå i forhold til store, sentraliserte informasjonssystemer.
Datalagringsdirektivet
EU har foreslått et regelverk som pålegger tilbydere av offentlige kommunikasjonstjenester å lagre opplysninger om all telefon- og Internettbruk foretatt av kundene. Regelverket begrunnes med bekjempelse av terror og organisert kriminalitet.
EUs forslag legger opp til at det skal lagres såkalte trafikkdata om all telefon- og internettbruk, for eksempel opplysninger om tid og sted for kommunikasjonen, hvem som foretok kommunikasjonen, og hvilke telefonnummer eller IP-adresser som er benyttet. Selve innholdet i kommunikasjonen skal derimot ikke lagres. Trafikkdata genereres automatisk ved bruk av elektroniske kommunikasjonsnettverk, og omfatter informasjon som skal sikre at kommunikasjonen teknisk sett kan gjennomføres og underlegges fakturering.
Bakgrunnen for forslaget er at eksisterende regler om lagring varierer fra land til land. EU anser det derfor for nødvendig å harmonisere regelverket i det indre marked. I Norge kan teleoperatørene lagre opplysningene i opp til fem måneder, av hensyn til teknisk gjennomføring og fakturering. Hvis forslaget blir vedtatt, må imidlertid alle tilbyderne lagre en utvidet mengde data i lengre tid enn det som er tillatt i dag, samt til andre formål (kriminalitetsbekjempelse). EUs forslag legger opp til at trafikkdata generert ved bruk av fasttelefon og mobiltelefon skal lagres i minimum ett år, mens data knyttet til bruk av Internett skal lagres i minimum seks måneder.
Forslaget om å pålegge lagringsplikt for trafikkdata, har vekket debatt i EUs medlemsland. En sentral innvending mot forslaget har vært de personvernmessige betenkeligheter ved lagringen. Denne innvendingen har vært fremført av blant annet Artikkel 29-gruppen, som er et rådgivende organ i personvernsaker i EU. Gruppen består av representanter fra de europeiske datatilsynene.
Artikkel 29- gruppen uttaler at terrorisme åpenbart gir samfunnet en stor og presserende utfordring, men råder myndighetene til å svare på utfordringen uten å underminere grunnleggende menneskerettigheter. Gruppen legger videre til grunn at myndighetene må legge opp til en minst mulig inngripende form for lagring og bruk, og stiller spørsmål ved hvorvidt denne lagringen står i forhold til problemet man ønsker å løse. Gruppen peker på at lagringen vil kunne utgjøre et brudd på den fundamentale retten til fortrolig kommunikasjon, og at denne retten ikke bør begrenses uten at det foreligger et presserende behov samtidig som grunnleggende rettssikkerhetsgarantier ivaretas. Gruppen mener videre at man må presisere klarere hvilke former for kriminalitet som skal kunne gi tilgang til dataene, og hvilke instanser som skal ha tilgang. Det anbefales også at regelverkets virkning i praksis underlegges regelmessig gjennomgang og kontroll dersom det skulle bli vedtatt.
Det er i skrivende stund ikke endelig avklart om forslaget kommer til å bli vedtatt, og om det blir bindende for Norge. Hvis forslaget ikke blir direkte bindende gjennom EØS- avtalen, må det likevel forventes et politisk press for å implementere tilsvarende regler i Norge.