De nieuwe verordening die Europol toestaat om grote datasets met gegevens van niet-verdachte burgers op te slaan en te verwerken moet deels nietig worden verklaard, zo stelt de Europese privacytoezichthouder EDPS die hiervoor naar het Hof van Justitie van de Europese Unie is gestapt.

Onder de Europol Regulation mag de Europese opsporingsdienst data verwerken van personen die een duidelijk vastgestelde relatie met criminele activiteiten hebben. Op deze manier moet worden voorkomen dat Europol gegevens van niet-verdachte personen verwerkt. Europol ontvangt deze data van Europese politiediensten en verwerkt het vervolgens in de eigen systemen.

De hoeveelheid data die Europol ontvangt is echter zo groot dat het niet meteen zonder een assessment onderscheid kan maken tussen personen van wie er duidelijk is vastgesteld dat er een relatie is met criminele activiteiten en niet-verdachte personen. Europol bewaart deze datasets voor lange tijden in de eigen systemen, soms zelfs jaren. De opsporingsdienst kan echter niet garanderen dat deze datasets geen gegevens van niet-verdachte personen bevatten en was daarmee initieel in overtreding van de Europol Regulation, zo laat de EDPS weten.

De Europese privacytoezichthouder sprak Europol hier in september 2020 op aan, aangezien de opslag van data van niet-verdachte personen een risico voor de fundamentele rechten van individuen vormt. Sindsdien heeft Europol verschillende maatregelen getroffen, maar heeft het niet voldaan aan het verzoek van de EDPS om een bewaartermijn voor het filteren van de data in te stellen.

Daarop besloot EDPS om in januari van dit jaar in te grijpen. Europol kreeg voortaan zes maanden de tijd om ontvangen datasets te filteren en moest alle al ontvangen ongefilterde datasets ouder dan zes maanden vernietigen. Brussel besloot echter om de verordening aan te passen, waardoor Europol in bepaalde gevallen wel grote datasets mag verwerken. Dat leidt volgens de privacytoezichthouder tot een aanzienlijke toename van de hoeveelheid persoonlijke data die de opsporingsdienst opslaat en verwerkt.

Dit heeft weer tot gevolg dat data van niet-verdachte personen op dezelfde manier zal worden verwerkt als die van personen die wel verdacht zijn. De nieuwe verordening werd eind juni van kracht. De EDPS had eerder al aangegeven dat het grote twijfels over de rechtsgeldigheid van deze retroactieve autorisatie heeft. De aangepaste verordening zorgt er namelijk voor dat Europol de datasets die het van de Europese privacytoezichthouder moest vernietigen niet hoeft te vernietigen.

Volgens de EDPS bedreigt de nieuwe Europol-verordening de onafhankelijkheid van de toezichthouder en ondermijnt het de rechtszekerheid voor de persoonlijke data van individuen. Vanwege de gevolgen, en om ervoor te zorgen dat de EU-wetgever niet halverwege de wedstrijd de spelregels verandert op het gebied van privacy en databescherming, heeft de EDPS het Hof dan ook gevraagd om twee betwiste bepalingen nietig te verklaren.