Het ministerie van Justitie en Veiligheid moet per direct stoppen met de grootschalige verwerking van reisdetails van luchtvaartpassagiers, de zogenoemde PNR-gegevens (Passenger Name Records). Hoewel bedoeld om reisbewegingen van terroristen en zware criminelen in beeld te krijgen, worden nu de reisdetails van alle luchtvaartpassagiers verzameld en jarenlang bijgehouden in een database.
Dat is niet toegestaan en moet per onmiddellijke ingang stoppen, stelt de Autoriteit Persoonsgegevens (AP). Met de verwerking van PNR-gegevens wordt stelselmatig een grote hoeveelheid persoonsgegevens verzameld, geautomatiseerd verwerkt en bewaard van zeer veel mensen die niet bij de groep horen waarvoor de database eigenlijk is bedoeld.
Gerechtelijke procedure
De noodzaak en evenredigheid van die verwerking zijn niet te rechtvaardigen. In 2022 heeft de AP de minister geadviseerd de verwerking van PNR-gegevens in lijn te brengen met de wettelijke kaders en de Europese PNR-richtlijn. Hoewel JenV dit advies niet heeft opgevolgd, zag de AP tot nu toe af van handhaving. Dat kwam omdat er nog een gerechtelijke procedure liep bij het Hof van Justitie van de EU. Nu die is afgerond en de AP haar conclusies bevestigd ziet in de uitspraak, blijkt handhaving alsnog nodig.
De AP stelt vast dat haar eerdere advies niet of onvoldoende tot actie heeft geleid. Met als gevolg dat PNR-gegevens grootschalig onrechtmatig worden verwerkt. De AP roept de minister dan ook op om het verwerken van deze gegevens onmiddellijk in overeenstemming te brengen met de PNR-richtlijn en de uitspraak van het Hof.
Dat betekent dat het ministerie de huidige verwerking aanzienlijk zal moeten beperken, tot alleen die verwerkingen die noodzakelijk en evenredig zijn voor de bestrijding van terrorisme en ernstige criminaliteit. Los daarvan roept de AP de wetgever op om de huidige wetgeving eveneens in overeenstemming te brengen met die richtlijn en die uitspraak.
Verwerkingsverbod
Hierbij is géén sprake van een overgangsregeling. De AP heeft de minister verzocht binnen 14 dagen aan te geven welke acties zij heeft ondernomen of nog gaat ondernemen. De AP is bevoegd om de gegevensverwerking stil te leggen met een verwerkingsverbod, mocht dat nodig zijn.
