Het ministerie van Justitie en Veiligheid moet per direct stoppen met de grootschalige verwerking van reisdetails van luchtvaartpassagiers, de zogenoemde PNR-gegevens (Passenger Name Records). Die zijn bedoeld om reisbewegingen van terroristen en zware criminelen in beeld te krijgen, maar nu worden de reisdetails van alle luchtvaartpassagiers verzameld en jarenlang bijgehouden in een database. Dat is niet toegestaan en moet per onmiddellijke ingang stoppen, stelt de Autoriteit Persoonsgegevens (AP) in een brief aan de minister.
Met de verwerking van PNR-gegevens wordt stelselmatig een grote hoeveelheid persoonsgegevens verzameld, geautomatiseerd verwerkt en bewaard van zeer veel mensen die niet bij de groep horen waarvoor de database eigenlijk is bedoeld. ‘De noodzaak en evenredigheid van die verwerking zijn niet te rechtvaardigen. In 2022 heeft de AP de minister geadviseerd de verwerking van PNR-gegevens in lijn te brengen met de wettelijke kaders en de Europese PNR-richtlijn’, aldus de toezichthouder.
Hoewel Justitie dit advies niet heeft opgevolgd, zag de AP tot nu toe af van handhaving. Dat kwam omdat er nog een gerechtelijke procedure liep bij het Hof van Justitie van de Europese Unie. Nu die is afgerond en de AP haar conclusies bevestigd ziet in de uitspraak, blijkt handhaving alsnog nodig. De AP stelt vast dat haar eerdere advies niet of onvoldoende tot actie heeft geleid, ‘met als gevolg dat PNR-gegevens grootschalig onrechtmatig worden verwerkt’.
Verwerking beperken
De AP roept de minister dan ook op om het verwerken van deze gegevens onmiddellijk in overeenstemming te brengen met de PNR-richtlijn en de uitspraak van het Hof. ‘Dat betekent dat het ministerie de huidige verwerking aanzienlijk zal moeten beperken, tot alleen die verwerkingen die noodzakelijk en evenredig zijn voor de bestrijding van terrorisme en ernstige criminaliteit.’ Er is géén sprake van een overgangsregeling. ‘De AP heeft de minister verzocht binnen 14 dagen aan te geven welke acties zij heeft ondernomen of nog gaat ondernemen. De AP is bevoegd om de gegevensverwerking stil te leggen met een verwerkingsverbod, mocht dat nodig zijn.’
