De Nationale Politie heeft met de verwerking van persoonsgegevens in het Schengen Informatiesysteem (SIS) op diverse punten de Europese privacywetgeving overtreden. Zo stond er onder meer onjuiste of incomplete informatie over mensen in het systeem, en bleven signaleringen te lang bewaard. Inmiddels heeft de Nationale Politie maatregelen genomen om de overtreding te beëindigen.
Dat schrijft de Autoriteit Persoonsgegevens in een persverklaring.
Dit moet je weten over het SIS
Het SIS is een informatiesysteem tussen landen die deelnemen aan de Verdragen van Schengen, die het mogelijk maken dat mensen zonder grens- en paspoortcontroles mogen reizen tussen deze landen. In het systeem kunnen grens-, immigratie-, politie- en douanediensten informatie en gegevens over mensen en voorwerpen invoeren. Denk aan verloren of gestolen identiteitsbewijzen en signaleringen van gezochte of vermiste personen. Als zo iemand binnen de Schengen-landen reist, kan hij alsnog aan een grenscontrole onderworpen worden.
Het Coordinated Supervision Committee (CSC) ziet erop toe dat de autoriteiten SIS op een correcte manier gebruiken. Het CSC bestaat uit de nationale Europese privacytoezichthouders en de European Data Protection Supervisor (EDPS). Namens Nederland controleert de Autoriteit Persoonsgegevens of de diensten zich aan de regels houden.
Deze overtredingen zag de AP
Samen met de andere Europese privacywaakhonden heeft de Autoriteit Persoonsgegevens een gecoördineerde inspectie uitgevoerd. In ons land heeft de toezichthouder de Nationale Politie onderzocht, omdat die instantie verantwoordelijk is voor de kwaliteit en de uitwisseling van gegevens.
Uit de controle bleek dat de Nationale Politie op enkele punten de Europese privacyregels overtrad. Om te beginnen liet de kwaliteit van signaleringen te wensen over. De politie controleerde onvoldoende of de signaleringen juist en compleet werden aangeleverd in het systeem. Regelmatig ontbrak de schriftelijke motivering van de officier van justitie voor het opnemen van een signalering. De toezichthouder constateerde dat iemand voor het verkeerde doel in het SIS stond geregistreerd. Informatie over oudere signaleringen en de voorgeschiedenis hiervan was niet terug te vinden.
Verder bewaakte de Nationale Politie informatie over signaleringen te lang. In beginsel mogen deze gegevens maximaal één jaar worden bewaard. Alleen na een grondige en individuele beoordeling mag deze bewaartermijn worden overschreden. Volgens de Autoriteit Persoonsgegevens bewaarde de politie signaleringen zonder beoordeling langer dan één jaar.
Gebruikers van het SIS dragen ‘extra zware verantwoordelijkheid’
De Nationale Politie deed aanvankelijk niets uit eigen beweging om de geconstateerde overtredingen aan te pakken. Toen de toezichthouder dreigde een dwangsom op te leggen, heeft de politie alsnog maatregelen genomen. Dat was voldoende om de overtredingen te beëindigen.
AP-bestuurslid Katja Mur vertelt dat het SIS een ‘omvangrijk systeem’ is waarin veel informatie over mensen is opgeslagen. Omdat veel mensen geen flauw benul hebben dat ze in het SIS zijn opgenomen, berust er volgens haar een ‘extra zware verantwoordelijkheid’ bij de gebruikers van het informatiesysteem. “Want registratie kan grote impact hebben op mensen. Bijvoorbeeld een onterechte weigering aan de grens of een onnodige aanhouding”, zo waarschuwt ze.
Koppeling van informatiesystemen brengt privacyrisico’s met zich mee
Tot slot benadrukt Mur dat toezicht op systemen als het SIS steeds belangrijker worden, omdat er binnenkort nieuwe informatiesystemen komen. Verder worden de nieuwe en bestaande systemen aan elkaar gekoppeld, zodat informatie nog sneller uitgewisseld kan worden. Douaniers kunnen dan nog sneller en breder naar gezochte of vermiste mensen zoeken.
“Dit [de koppeling van informatiesystemen, red.] heeft als doel om de veiligheid te vergroten, maar het brengt tegelijkertijd extra privacyrisico’s met zich mee. Onjuist, te lang of onrechtmatig in zo’n systeem staan heeft dan extra grote gevolgen. De AP blijft daarom controleren of de instanties zorgvuldig werken met persoonsgegevens in de Europese informatiesystemen”, zo belooft de toezichthouder.
