Nota n.a.v. het (nader/tweede nader/enz.) verslag : Nota naar aanleiding van het verslag

Nr. 6
NOTA NAAR AANLEIDING VAN HET VERSLAG

Ontvangen 8 februari 2023

INHOUDSOPGAVE

1.

Aanleiding

2

2.

EES, Etias en VIS

6

2.1

De EES-verordening

6

2.2

De Etias-verordening

7

2.3

De herziening van de VIS-verordening

12

3.

SIS-verordeningen

13

4.

Interoperabiliteit

15

5.

Uitvoeringsaspecten en gevolgen

19

5.1

Gevolgen voor de systemen

19

5.2

Gevolgen voor uitvoerende organisaties

20

6.

Gegevensbescherming en privacy-aspecten

21

6.1

Gevolgen voor de privacy

21

6.2

Rechten van betrokkenen en informatievoorziening

22

6.3

Rechtsmiddelen gegevensbescherming

24

7.

Consultatie paragraaf

25

I. ALGEMEEN

Met veel belangstelling heeft de regering kennis genomen van de gestelde vragen en
gemaakte opmerkingen van de aan het woord zijnde fracties in het verslag bij het onderhavige
wetsvoorstel. Er is inbreng is geleverd door de leden van de fracties van de VVD,
D66 en de SP. De leden van de VVD-fractie hebben kennis genomen van het voorstel en
danken de regering. De leden van de D66-fractie merken op dat de regering vrijwel
alle adviezen van de Raad van State heeft overgenomen en hebben slechts enkele vragen.
De leden van de CDA-fractie hebben opgemerkt kennis te hebben genomen van het wetsvoorstel
en af te zien van een schriftelijke inbreng omdat zij geen nadere vragen hebben. De
leden van de SP-fractie geven aan het belang van samenwerking tussen de zogenaamde
Schengenlanden op het gebied van criminaliteit, grenzenbeleid, visumbeleid en migratiebeleid
te onderschrijven vanwege het wegvallen van interne grenscontroles. Daarbij geven
de leden aan dat het uitwisselen van informatie handen en voeten kan geven aan samenwerking
op het gebied van criminaliteitsbestrijding, grenzenbeleid, visumbeleid en migratiebeleid,
maar dat het wel proportioneel, effectief en subsidiair moet zijn en daarom nog diverse
vragen hebben.

De regering gaat in deze nota naar aanleiding van het verslag graag in op de gestelde
vragen in de volgorde van het verslag. De gestelde vragen zijn integraal en cursief
opgenomen, waarbij de beantwoording van de zijde van de regering onder de vragen die
het betreft is opgenomen.

1. Aanleiding

Vragenblok 1 – VVD

De leden van de VVD-fractie willen graag het belang van een goed grensbewakingssysteem
benadrukken. Deze leden vragen dan ook welk effect de regering verwacht dat deze verordeningen
zullen hebben op de instroom van asielzoekers. Bevatten de verordeningen volgens de
regering voldoende drukmiddelen om ervoor te zorgen dat alle EU-lidstaten de verordeningen
adequaat uitvoeren? Wat zijn de risico’s als enkele lidstaten de verordeningen onvoldoende
of te langzaam uitvoeren? Welke mitigerende maatregelen bevatten de verordeningen
hiervoor? Deze leden vragen hoe haalbaar de beoogde tijdslijnen zijn voor zowel Nederland
als andere lidstaten.

De doelstellingen van de verordeningen betreft het voorkomen van illegale immigratie
en beschermen van de veiligheid van het Schengengebied. De doeltreffendheid van de
grenscontroles wordt bij de implementatie van de verschillende verordeningen verhoogd.
Voor onderdanen van derde landen die naar het Schengengebied willen afreizen kan via
het Europees reisinformatie- en autorisatiesysteem (Etias) dan wel via het Visuminformatiesysteem
(VIS) worden gemonitord of hun inreis een risico op het gebied van illegale migratie
of veiligheid vormt. De risico´s worden deels geput uit de signaleringen in het Schengeninformatiesysteem
(SIS). Daarnaast geldt dat een van de doelstellingen van het Entry Exit Systeem (EES)
is het mogelijk maken om verblijfsduuroverschrijders te identificeren en op te sporen,
en de bevoegde nationale autoriteiten van de lidstaten in staat stellen passende maatregelen
te treffen. De systemen kunnen een bijdrage leveren aan het beperken van de instroom
van migranten die op illegale wijze het Schengengebied binnenkomen.

Voor wat betreft de drukmiddelen die er zijn om ervoor te zorgen dat alle lidstaten
de EU-verordeningen adequaat uitvoeren geldt in ieder geval dat net als voor andere
Europeesrechtelijke verplichtingen de Europese Commissie bij niet naleving van deze
verplichtingen een inbreukprocedure kan starten tegen de betreffende lidstaat. Indien
noodzakelijk kan de Commissie de zaak vervolgens voor het Hof van Justitie van de
EU brengen. Daarnaast bevatten de verordeningen mechanismen om te monitoren hoe de
werking van de verordeningen verloopt in de vorm van terugkerende evaluaties. Op deze
wijze blijft ook na ingebruikname van de systemen in beeld hoe de werking van de verordeningen
verloopt.

Voor Nederland is het net als voor andere lidstaten essentieel dat kwalitatief hoogwaardige
centrale Europese systemen tijdig beschikbaar komen, zodat er voldoende tijd is voor
het nationale test- en implementatietraject. Nederland heeft ongeveer 7 maanden implementatietijd
nodig ná oplevering van een kwalitatief uitstekend en stabiel centraal systeem door
eu-LISA («European Union Agency for the Operational Management of Large-Scale IT Systems
in the Area of Freedom, Security and Justice»). Deze voorwaarde is gedeeld met de
Europese Commissie en eu-LISA. Daarnaast is er een afhankelijkheid van andere lidstaten,
aangezien elk afzonderlijke systeem simultaan in alle lidstaten in werking zal treden.
Wanneer één lidstaat niet gereed is, zal de inwerkingtreding worden uitgesteld. In
Nederland is in 2018 besloten tot de opzet van een programma om de implementatie te
begeleiden. Met de implementerende partners is binnen het programma besloten dat de
Europese planning leidend is voor de Nederlandse implementatie. Nederland ligt voor
de realisatie en implementatie op schema.

De Commissie heeft sinds juni 2020 om de risico’s te mitigeren een Rapid Alert proces
opgezet waarmee de voortgang van de implementatie van de IT-systemen bij de lidstaten
en het Europese agentschap eu-LISA wordt gemonitord. Op basis van dat mechanisme kan
snel gerichte ondersteuning worden geboden. Nederlandse experts zijn vertegenwoordigd
in diverse Europese overleggen en expert groepen. Op deze wijze kan veelvuldig worden
overlegd en kunnen best practices worden uitgewisseld.

Vragenblok 2 – VVD

Gezien het belang van het systeem, is er ook een mogelijkheid op cyberaanvallen die
het systeem proberen te ontregelen, zo stellen de leden van de VVD-fractie. Hoe schat
de regering de kans op cyberdreigingen en hackpogingen in? Welke veiligheidsmaatregelen
worden genomen tegen mogelijke cyberaanvallen op deze systemen? Zijn deze volgens
de regering adequaat?

De regering acht de dreiging van cyberaanvallen reëel. Aangezien de potentiele impact
groot is moet Nederland zich daar tegen wapenen voor de nationale systemen. Het gaat
immers om grote hoeveelheden gevoelige persoonsgegevens. In de verordeningen is dat
al ondervangen doordat er een security plan wordt vereist en passende bescherming
van persoonsgegevens. Nederland heeft dit securityplan opgesteld.

Naar aanleiding van aanbevelingen van het Adviescollege ICT-toetsing (AcICT) is het
securityplan verder aangevuld. De implementatie van maatregelen is onderdeel van alle
fasen van de ontwikkeling van de systemen.

Eu-LISA is verantwoordelijk voor de beveiliging van centrale informatiesystemen. Ook
daarvoor zijn uitgebreide securityplannen opgesteld. De verordeningen zien ook op
periodieke audits van zowel de nationale als de centrale systemen. Volgens de regering
wordt met deze maatregelen voorzien in een adequate bescherming van de systemen.

Vragenblok 3 – SP

De leden van de SP-fractie vernemen dat, met de Uitvoeringswet EU-verordeningen grenzen
en veiligheid, Nederland gebruik gaat maken van de nieuwe systemen EES en Etias en
daarnaast van de nieuwe mogelijkheden van de bestaande systemen VIS en SIS. Bovendien
worden deze systemen straks gekoppeld via het zogenaamde European search portal (ESP)
waardoor met één bevraging maar liefst acht systemen doorzocht kunnen worden, namelijk
de Interpol systemen, de Europol systemen, SIS, EES, Etias, VIS, Eurodac en ECRIS-TCN.
Legio verschillende organisaties zal daar toegang toe krijgen, alleen al in Nederland
gaat het om diverse organisaties van de Koninklijke Marechaussee tot aan het Ministerie
van Buitenlandse Zaken, en de verantwoordelijkheid komt ook op diverse plekken te
liggen. Het is dus een omvangrijke en complexe wijziging. Toch merken deze leden op
dat het uitwisselen van al deze extra gegevens onvoldoende worden toegelicht. Wat
is daar de ratio achter? Gaan al die autoriteiten nu echt de juiste gegevens uitwisselen
die nu nog niet bekend zijn of creëert Europa zeeën aan data waar geen behoefte aan
is en niemand het overzicht van kan houden? Welke waarborgen dienen er eigenlijk bij
het uitwisselen van al deze gegevens? Als laatste vragen deze leden naar een reflectie
van de regering op het toeslagenschandaal. Via het koppelen van allerlei gegevens
werden personen ten onrechte verdacht gemaakt en zelfs gestraft. Hoe wordt dit voorkomen
met de enorme bak aan gegevens die hier gaat ontstaan?

De totstandkoming van de verschillende verordeningen waar het wetsvoorstel op ziet
kent een lange voorgeschiedenis waarbij een aantal tekortkomingen in de toen bestaande
Europese informatiesystemen op het terrein van grenzen en veiligheid werd gesignaleerd.
In 2016 presenteerde de Commissie een mededeling over krachtigere en slimmere informatiesystemen
voor grenzen en veiligheid, waarin deze tekortkomingen aan bod kwamen, zoals een suboptimale
werking van de systemen, lacunes in informatiebeheer, een complex landschap van op
verschillende wijze beheerde systemen en een gefragmenteerde architectuur van gegevensbeheer
voor grenstoezicht en veiligheid. In 2017 bracht een deskundigengroep verslag uit
waarin voorstellen werden gedaan om de tekortkomingen aan te pakken door het optimaliseren
van de bruikbaarheid van de bestaande informatiesystemen, het waar nodig ontwikkelen
van aanvullende systemen om informatielacunes op te vullen en het waarborgen van de
interoperabiliteit van de systemen. Aanbevelingen waren onder meer om één zoekportaal
te ontwikkelen voor alle systemen, één gezamenlijke dienst voor biometrische matching
en één gemeenschappelijk identiteitsregister. De deskundigengroep heeft ook aanbevolen
om nader te kijken naar «gaten» in doelgroepen. Zo is onder andere gewezen op houders
van een visum lang verblijf of personen met een verblijfsvergunning en illegale vreemdelingen
die geen asielverzoek hebben ingediend.

De verordeningen waar het wetsvoorstel op ziet zijn het resultaat van deze voorgeschiedenis
om een oplossing te bieden voor de geconstateerde tekortkomingen.

Het uitwisselen van gegevens draagt bij aan een beter beheer van de buitengrens van
het Schengengebied en zorgt voor een verhoogde interne veiligheid binnen de Europese
Unie. Door betere informatie-uitwisselingen worden belangrijke lacunes op veiligheidsgebied
gedicht.

Daarnaast wordt er door de uitwisseling van gegevens een bijdrage geleverd aan de
correcte identificatie van personen en het ondersteunen van de doelstellingen van
de verschillende onderdelen. Interoperabiliteit zorgt ervoor dat deze Unie-informatiesystemen
en de hierin opgenomen gegevens elkaar aanvullen, met inachtneming van de grondrechten
van het individu.

Een van de interoperabiliteitscomponenten omvat het European Search Portal (ESP).
Hierdoor worden alle systemen in één keer doorzoekbaar, waarbij door de verschillende
gebruikers van de uitvoeringsorganisaties rekening wordt gehouden met de verschillende
toegangsrechten tot de centrale EU-informatiesystemen. Het verkrijgen van toegang
voor een nationale autoriteit is afhankelijk van wat het juridisch kader van het onderliggende
systeem hierover regelt. Het is dus niet zo dat iedere autoriteit via het ESP toegang
krijgt tot alle systemen. Dit hangt namelijk af van de rechten die die specifieke
autoriteit heeft. Die rechten zijn gebaseerd op de specifieke taak die de betreffende
autoriteit heeft en dan ook beperkt tot wat nodig is voor de uitvoering van die taak.
Dit gebeurt aan de hand van gebruikersprofielen die vastleggen tot welke gegevens
toegang kan worden verkregen. De personeelsleden van de autoriteiten die de taak gaan
uitvoeren die de verordening aan die autoriteit oplegt dienen naar behoren te worden
gemachtigd voor het verkrijgen van toegang tot de systemen overeenkomstig het gebruikersprofiel.
Verdergaande verwerking zoals het koppelen van gegevens is niet toegestaan. De verordeningen
regelen dan ook dat naast de privacy-rechten die betrokkenen hebben, de lidstaten
aansprakelijk zijn voor schade die betrokkenen lijden door onrechtmatige gegevensverwerking
of een andere handeling in strijd met de verordening. Andere maatregelen die worden
getroffen zien bijvoorbeeld op het loggen van de systemen waaruit onder meer blijkt
welke gegevens met welk doel en door welke autoriteit zijn geraadpleegd. Zowel op
EU-niveau als op het niveau van de lidstaten wordt voorzien in toezicht op de verwerking
van persoonsgegevens, namelijk door respectievelijk de Europese toezichthouder voor
gegevensbescherming en de Autoriteit Persoonsgegevens (hierna: AP). Daarbij worden
op reguliere basis audits verricht op de gegevensverwerking. Op deze wijze zijn er
meerdere mechanismen in werking die onrechtmatige gegevensuitwisseling zoveel mogelijk
voorkomen, aan het licht brengen en bestraffen.

De leden van de SP-fractie wijzen verder op het Toeslagenschandaal en vragen om een
reflectie van de regering hierop. Bij de Europese systemen geldt dat deze worden gereguleerd
door de verordeningen, die duidelijk regelen welke autoriteiten wanneer toegang krijgen
tot de systemen. Zoals hierboven aan bod kwam is verdergaande verwerking zoals het
koppelen van gegevens niet toegestaan. Doordat de Europese wetgever heeft gekozen
voor een systematiek zoals hierboven beschreven waarbij toegang beperkt is en er diverse
controlemechanismen zijn, is de bescherming van de personen van wie gegevens worden
verwerkt tegen onrechtmatige verwerking gewaarborgd. Daarnaast geldt dat de verordeningen
de rechten van betrokkenen uitgebreid reguleren voor wat betreft de bescherming van
persoonsgegevens. Hierop zal nog nader worden ingegaan in de vragenblokken 27 en volgende.

Vragenblok 4 – SP

De leden van de SP-fractie achten het waardevol dat via het bevragen van het ESP snel
kan worden geïdentificeerd welke lidstaat relevante gegevens heeft over de betrokken
personen. Hebben deze leden het goed begrepen dat alle systemen werken via een zogenaamd
hit/no-hit systeem waardoor nooit rechtstreeks alle inhoudelijke informatie zichtbaar
is, maar alleen welke lidstaat relevante gegevens over die persoon heeft in het kader
van één van de systemen of verschilt dit per systeem? Indien lidstaten wel gelijk
de gegevens in krijgen te zien, meent de regering dat dit proportioneel is?

De verordeningen werken zo dat er sprake is van gedifferentieerde toegangsrechten
tot de systemen, afhankelijk van de taak van de betreffende bevoegde autoriteit en
het doel waarvoor toegang wordt verleend. Indien een bevoegde autoriteit verantwoordelijk
is voor de invoer van gegevens in een van de systemen, gaan de toegangsrechten verder
dan als er sprake is van het raadplegen van een van de systemen voor andere doeleinden,
zoals voor rechtshandhavingsdoeleinden.

Het ESP is gekoppeld aan de verschillende systemen zodat deze via dit ESP doorzocht
kunnen worden. Daarbij wordt zoals hierboven in vragenblok 3 al even aan bod kwam
gebruik gemaakt van profielen die bepalen welke toegangsrechten tot welke systemen
een bevoegde autoriteit heeft. Dit profiel is gekoppeld aan de taak die de betreffende
autoriteit heeft en gaat niet verder dan dat. Daardoor krijgt de betrokken autoriteit
niet meer gegevens te zien dan nodig voor de uitvoering van zijn taak.

Voor het voorkomen, opsporen en vervolgen van terroristische misdrijven en andere
ernstige strafbare feiten is het in bepaalde gevallen toegestaan de systemen te raadplegen
indien er het vermoeden is dat er gegevens over de betrokkene staan opgeslagen in
een van de systemen. In dat geval kan via een hit/no-hit gekeken worden of een van
de systemen gegevens bevat. Indien dat inderdaad het geval is volgt er een procedure
aan de hand waarvan toestemming kan worden verkregen tot het raadplegen van een de
systemen die het betreft.

De verordeningen maken dus onderscheid ten aanzien van welke instantie met welke reden
de systemen kan raadplegen voor wat betreft de gegevens die getoond worden. Op deze
wijze is de proportionaliteit dan ook gewaarborgd.

Vragenblok 5 – SP

De leden van de SP-fractie beseffen dat bij het verzamelen van gegevens er altijd
het risico op function-creep aanwezig. Function-creep betekent dat gegevens voor andere
doeleinden worden gebruikt dan waarvoor ze oorspronkelijk zijn verzameld. Kan de regering
aangeven waarom zij van mening is of er hier sprake is van function-creep en waarom
zij dat wel of niet problematisch vindt nu de systemen VIS en SIS worden uitgebreid?

In reactie op de vragen van de leden van de SP-fractie wil de regering graag benadrukken
dat de verordeningen vastleggen welke autoriteiten voor welke doeleinden de systemen
mogen raadplegen. Het gebruik van deze systemen en de gegevens die daarin staan voor
andere doeleinden is dan ook niet toegestaan. Door het loggen van het raadplegen van
de systemen en het toezicht daarop worden de risico’s op function-creep zo veel mogelijk
geminimaliseerd.

2. EES, Etias en VIS

2.1 De EES-verordening

Vragenblok 6 – VVD

De leden van de VVD-fractie erkennen het belang van de doelstellingen van het EES.
Grensbewaking is een essentieel onderdeel van een goed werkend migratiesysteem binnen
de EU. Hoe meer dit aan de buitengrenzen van de Schengenzone gebeurt, hoe beter dit
is voor de veiligheid van de gehele zone. Deze leden zien het dan ook als positief
dat hier stappen in gezet worden middels het EES. Kan de regering verder toelichten
hoe dit systeem kan bijdragen aan onderzoek in verband met terrorisme en andere ernstige
strafbare feiten?

Voor het EES geldt dat, net als voor Etias en VIS, een van de doelstellingen van de
betreffende verordening het bijdragen tot het voorkomen, opsporen en onderzoeken van
terroristische misdrijven en andere ernstige strafbare feiten is. Dit vindt plaats
door aangewezen autoriteiten, dat wil zeggen de met de opsporing van strafbare feiten
belaste ambtenaren, onder voorwaarden toegang te verlenen tot de informatiesystemen.
Dit is het geval indien toegang voor raadpleging nodig is met het oog op het voorkomen,
opsporen en onderzoeken van een terroristisch misdrijf of een ander ernstig strafbaar
feit. De toegang voor raadpleging dient daarnaast noodzakelijk en evenredig te zijn
in een specifiek geval en er dient bewijsmateriaal of gegronde redenen te zijn om
aan te nemen dat de raadpleging van de EES-gegevens zal bijdragen tot het voorkomen,
opsporen of onderzoeken van de desbetreffende strafbare feiten. Dit met name wanneer
er een gegrond vermoeden bestaat dat de verdachte, de dader of het slachtoffer van
een terroristisch misdrijf of een ander ernstig strafbaar feit behoort tot een van
de personen die in het EES worden geregistreerd.

Vragenblok 7 – SP

De leden van de SP-fractie begrijpen dat met de EES de in- en uitreisbewegingen van
derdelanders worden geregistreerd. Tevens worden verzoeken om personen te weigeren
opgenomen net als gezichtsopnamen. Het systeem moet het stempelen van paspoorten bij
de grensovergang gaan vervangen, al blijft die optie wel mogelijk. Gaat Nederland
ook het afstempelen van paspoorten vervangen? En hebben deze leden het goed begrepen
dat het systeem ook vingerafdrukken afneemt van derdelanders die vrijgesteld zijn
van de visumplicht? Kan de regering toelichten wat het nut is van die vingerafdrukken
en waarom dat specifiek voor deze groep geldt? Gaat Nederland ook vingerafdrukken
afnemen wanneer bijvoorbeeld iemand die aan de bovenstaande eisen voldoet via Schiphol
Schengen betreedt?

Met de wijziging van de Schengengrenscode (SGC) in verband met de invoering van het
EES wordt het verplicht om het stempelen van paspoorten te vervangen door registratie
in het EES. De optie om het stempelen in paspoorten te handhaven is van tijdelijke
aard doordat deze ziet op de eerste periode van invoering van het EES. Daarnaast is
voorzien in overgangsmaatregelen voor lidstaten die het EES nog niet gebruiken. Nederland
zal dan ook overeenkomstig de wijziging van de SGC het afstempelen van paspoorten
vervangen.

Het klopt dat het afnemen van vingerafdrukken gaat plaatsvinden voor onderdanen van
derde landen die worden toegelaten voor kort verblijf en zijn vrijgesteld van de visumplicht.
Van onderdanen van derde landen die visumplichtig zijn worden in het kader van de
visumprocedure al vingerafdrukken afgenomen, waardoor het afnemen van vingerafdrukken
van deze doelgroep niet nogmaals nodig is. Het afnemen van vingerafdrukken heeft als
doel om personen correct te identificeren en identiteitsfraude tegen te gaan. Deze
verplichtingen volgen uit de verordeningen en gelden ongeacht de plaats waar de inreis
plaatsvindt, dus ook op Schiphol.

2.2 De Etias-verordening

Vragenblok 8 – VVD

De leden van de VVD-fractie hebben begrepen dat systemen als Etias al in gebruik zijn
in landen als de Verenigde Staten en Australië. Wat zijn de overeenkomsten en verschillen
tussen deze systemen en Etias en welke lessen kunnen wij hiervan leren?

Vanuit Europa is met de ontwikkeling van Etias opdracht gegeven aan PricewaterhouseCoopers
(PwC) om een haalbaarheidsstudie uit te voeren. Daarin zijn systemen uit VS, Canada
en Australië vergeleken met de opzet van het Etias.1 De systemen voor Etias, de ESTA uit de VS, eTA uit Canada en eTA uit Australië hebben
als overeenkomst dat er een aanvraag moet worden gedaan voorafgaand aan een reis naar
het betreffende land of zone om een mate van zekerheid te krijgen over de toegang.
Het geeft echter in geen van de landen recht op toegang, de toegang wordt door de
grenswachter bij de grenspassage beoordeeld. De doelstelling van de verschillende
reisautorisaties is gelegen in het voorafgaand aan het afreizen naar de bestemming
bepalen of er redenen zijn de derdelander te weigeren. De opzet is daarmee op hoofdlijnen
gelijk aan die van de aanvragen in de VS, Canada en Australië. Een belangrijk verschil
tussen ESTA en Etias betreft de rechtsmiddelen. Waar de VS geen mogelijkheid biedt
om een procedure te starten tegen een weigering van de ESTA, kent de Europese regelgeving
rondom Etias wel de mogelijkheid om rechtsmiddelen in te zetten tegen een Etias-besluit.
Australië en ook Canada bieden de mogelijkheid een rechtsmiddel aan te wenden bij
afwijzing. De Europese wetgever heeft dit rapport betrokken bij de verdere ontwikkeling
van Etias.

Vragenblok 9 – SP

De leden van de SP-fractie begrijpen dat met de oprichting van het Etias-systeem inreizigers
van het Schengengebied vooraf kunnen worden gescreend in het kader van veiligheid,
illegale migratie en epidemische risico’s. Zo kan personen voorafgaand aan hun boottocht
of vlucht eventueel de toegang tot Schengen worden ontzegd. Dit roept echter diverse
vragen op. Hoe en wie beoordeelt of een persoon op basis van veiligheidsrisico’s de
toegang tot Schengen moet worden ontzegd? Klopt het dat hier altijd, in ieder geval
in Nederland, een officier van justitie tussenstaat of mag de Koninklijke Marechaussee,
die belast is met de grensbewaking, een dergelijk besluit zelfstandig nemen? En op
basis waarvan? En waarom is er voor Etias en tevens voor de andere gegevensbanken
niet gekozen het voor te leggen aan de rechter-commissaris?

Een aanvraag voor een reisautorisatie wordt eerst op automatische wijze verwerkt door
het centrale Etias-systeem, waarbij onder meer het SIS wordt gecontroleerd op relevante
signaleringen, het VIS op het weigeren van een visum en bijvoorbeeld op het bestaan
van een overeenkomst met een door de Commissie opgestelde risico-indicator. Deze indicatoren
worden onder meer opgesteld aan de hand van statistieken voor illegale immigratie
of hoog epidemiologisch risico. Indien deze automatische verwerking geen hit oplevert
krijgt een persoon automatisch een reisautorisatie.

Indien het Etias-systeem wel een hit signaleert, wordt de aanvraag handmatig verwerkt
door de centrale Etias-eenheid (dus op Europees niveau). De centrale Etias-eenheid
verifieert eerst of de hits en de gegevens kloppen. Bij een valse hit wordt alsnog
een reisautorisatie afgegeven en worden de gegevens gecorrigeerd. Indien de hit wel
klopt wordt de aanvraag doorgezet naar de verantwoordelijke nationale Etias-eenheid
die de aanvraag inhoudelijk beoordeelt. In bepaalde gevallen zal de nationale Etias-eenheid
in ieder geval de reisautorisatie weigeren, namelijk als a) het voor de aanvraag gebruikte
reisdocument overeenkomt met een reisdocument dat in SIS staat geregistreerd als verloren,
gestolen, verduisterd of ongeldig verklaard en b) de aanvrager in SIS is gesignaleerd
met het oog op weigering van inreis en verblijf. De Etias-verordening regelt dat er
in andere gevallen een beoordeling plaatsvindt door de nationale Etias-eenheid van
het risico voor de veiligheid of het risico van illegale immigratie. Daarbij wordt
onder meer gebruik gemaakt van risico-indicatoren en de informatie uit de hits. Eventueel
kan worden verzocht om aanvullende informatie of documentatie van de aanvrager, andere
lidstaten of Europol. De nationale Etias-eenheid beslist op basis van deze informatie
zelfstandig over de afgifte van een reisautorisatie. Indien deze beoordeling resulteert
in een weigering van de reisautorisatie kan de aanvrager in bezwaar tegen deze beslissing,
gevolgd door beroep bij de rechter.

De aanvraag voor een reisautorisatie betreft de aanvraag voor een bestuursrechtelijk
besluit, waartegen bezwaar en beroep open staat. De rechter-commissaris heeft een
rol in het strafrechtelijk domein, wat hier niet aan de orde is. Het gaat hier namelijk
om een besluit dat samenhangt met het verlenen van toegang tot Schengen voor onderdanen
van derde landen en niet om de opsporing en vervolging van strafbare feiten. Om die
reden is er dan ook geen rol weggelegd voor de rechter-commissaris en is dit door
de regering ook niet overwogen.

Vragenblok 10 – SP

Hebben de leden van de SP-fractie het goed begrepen dat wanneer een grensbewaker buiten
Nederland het ESP bevraagt over een derdelander en er een hit opduikt die is ingevoerd
door een Nederlandse autoriteit, dat de Nederlandse Etias National Unit de vraag moet
beantwoorden of die derdelander toegang moet krijgen tot Schengen? Of is het zo dat
de betreffende grensbewaker op basis van informatie van de Nederlandse Etias National
Unit een beslissing moet maken?

De centrale Etias-eenheid beoordeelt welke nationale Etias-eenheid verantwoordelijk
is voor een handmatige afdoening. Wanneer een hit op bijvoorbeeld het VIS is ingevoerd
door een Nederlandse autoriteit, is de kans groot dat de handmatige afwikkeling van
de aanvraag wordt toebedeeld aan de Nederlandse Etias-eenheid. De Nederlandse Etias-eenheid
krijgt dan te zien dat er een hit is en kan via de gebruikelijke nationale kanalen
de informatie opvragen bij de autoriteiten die de gegevens hebben ingevoerd. Indien
de handmatige afwikkeling van de aanvraag is toebedeeld aan een andere lidstaat die
ook hits heeft ingevoerd, krijgt die andere lidstaat een melding van de centrale Etias-eenheid
dat er een hit is ingevoerd door Nederland. Daarna wordt er door de verantwoordelijke
lidstaat een raadplegingsprocedure gestart. Nederland geeft dan een gemotiveerd positief
of negatief advies af op basis van de in Nederland bekende gegevens. Daarbij worden
de brongegevens (zoals strafdossiers) waarop dit advies is gebaseerd niet gedeeld.
Na een negatief advies van een lidstaat, mag de verantwoordelijke lidstaat uitsluitend
nog een reisautorisatie afgeven voor zijn eigen territorium.

Vragenblok 11 – SP

Dezelfde vraag geldt voor illegale migratie, zo stellen de leden van de SP-fractie.
Kan de regering in de eerste plaats toelichten wat dat betekent? Vallen vluchtelingen
die een aanvraag tot asiel in één van de Schengenlanden in willen dienen hier bijvoorbeeld
ook onder? Zo ja, hoe wordt het dan mogelijk voor vluchtelingen om nog asielaanvragen
in Schengenlanden in te dienen als ze vooraf geen autorisatie meer krijgen om naar
de EU af te reizen?

De systemen dragen bij aan het beperken van de instroom van migranten die op illegale
wijze het Schengengebied betreden. In het kader van een Etias- of VIS-aanvraag wordt
gekeken of er een risico bestaat op illegale immigratie en op vestigingsgevaar. Met
de inwerkingtreding van Etias geldt voor visumvrije derdelanders dat zij een Etias-reisautorisatie
voorafgaand aan hun reis dienen aan te vragen. Op deze wijze kan bepaald worden of
de persoon in aanmerking komt voor toegang tot het Schengengebied, dan wel of zijn
inreis een risico met zich meebrengt. Dit omvat tevens het risico op vestiging. Dit
risico wordt gebaseerd op bijvoorbeeld het feit dat de aanvrager in het EES geregistreerd
staat als een persoon die zijn toegestane verblijfsduur overschrijdt dan wel of de
aanvrager in het verleden als zodanig geregistreerd is geweest. Het zal dan ook veel
lastiger worden om zonder reisautorisatie naar Nederland af te reizen, aangezien luchtvervoerders,
zee-vervoerders en internationale vervoerders die groepen per bus over land vervoeren
gehouden zijn om te controleren of reizigers over een reisautorisatie beschikken.

Vanzelfsprekend blijft het mogelijk om conform het Vluchtelingenverdrag en het EU-recht
een verzoek tot internationale bescherming te doen. Het aanvragen van asiel wordt
door het systeem niet belemmerd.

Vragenblok 12 – SP

Ook de screening op basis van epidemische risico’s roept vragen op bij de leden van
de SP-fractie. Hoe wordt bepaald of een individu een epidemisch risico vormt voor
het Schengengebied? Gebeurt dit aan de hand van risico’s op het niveau van landen
waarvan de onderdanen toegang wordt ontzegd zoals ten tijde van de coronapandemie
gebeurde? Wie moet uiteindelijk de beslissing maken of een reiziger een epidemisch
risico vormt en op basis van welke informatie? In hoeverre kan de Koninklijke Marechaussee
worden voorbereid op het uitvoeren van deze taak en/of is er al ervaring opgedaan
tijdens de coronapandemie?

Een aanvraagdossier moet aan de hand van de Etias-screeningsregels worden geanalyseerd
door de in het aanvraagdossier geregistreerde gegevens te vergelijken met specifieke
risico-indicatoren voor vooraf bepaalde veiligheidsrisico’s, risico’s op het gebied
van illegale immigratie of hoog epidemiologisch risico’s. De Commissie stelt een uitvoeringshandeling
vast tot nadere omschrijving van het veiligheidsrisico, het risico op het gebied van
illegale immigratie of hoog epidemiologisch risico. Deze uitvoeringshandelingen zijn
gebaseerd op door de lidstaten verstrekte informatie over een specifiek hoog epidemiologisch
risico, evenals door het Europees Centrum voor ziektepreventie en -bestrijding (ECDC)
verstrekte informatie, gebaseerd op epidemiologisch toezicht en risicobeoordelingen,
en door de World Health Organization (WHO) gemelde uitbraken van ziekte. Aan de hand
van specifieke risico-indicatoren beoordeelt uiteindelijk de nationale Etias-eenheid
of een reisautorisatie wordt verleend.

Informatie die is opgegeven bij een aanvraag voor een reisautorisatie, zal altijd
eerst geautomatiseerd in het centrale Etias-systeem worden getoetst. Bij eventuele
hits daarin, zal in beginsel de nationale Etias-eenheid (ENU) van de lidstaat van
eerste inreis deze moeten afhandelen. Dat geldt dus ook voor hits op basis van mogelijk
epidemisch risico.

Op grond van artikel 33, eerste lid, van de Etias-verordening zullen door de ETIAS-screeningraad
van de centrale Etias-eenheid en screeningsregels een handelwijze worden gecreëerd,
bestaande uit specifieke risico-indicatoren voor een epidemisch risico waarmee de
informatie van aanvragers zal worden vergeleken. Daarnaast voorziet de Etias-verordening
in de oprichting van een onafhankelijke Etias-sturingsraad voor de grondrechten met
een advies- en beoordelingsfunctie. De Etias-sturingsraad voor de grondrechten voert
regelmatig beoordelingen uit en doet aanbevelingen over de gevolgen voor de grondrechten
van de verwerking van aanvragen en van de toepassing van artikel 33, met name wat
betreft privacy, bescherming van persoonsgegevens en non-discriminatie.

Hoe voornoemde screeningsregels en handelwijze eruit zullen komen te zien en hoe het
proces op nationaal niveau exact zal verlopen, is nog niet bekend. Deze processen
zijn nog in ontwikkeling. Binnen Nederland ligt het voor de hand het RIVM hierop te
laten adviseren, aangezien het RIVM ook adviseert aan de WHO en ECDC en dat eerder
ook tijdens de coronapandemie heeft gedaan. De Koninklijke Marechaussee, waar de nationale
Etias-eenheid in Nederland zal worden ondergebracht, is in afwachting van voornoemde
uitvoeringshandeling reeds bezig met de ontwikkeling van een nationaal werkproces,
waarbij specifiek wordt gekeken naar eerdere ervaringen bij Corona en Ebola. Daarnaast
vindt overleg plaats met ketenpartners als de IND en het Ministerie van Buitenlandse
Zaken over bij hen vergelijkbare bestaande werkprocessen bij onder andere de beoordeling
van visumaanvragen.

Vragenblok 13 – SP

In de memorie van toelichting lezen de leden van de SP-fractie dat veel informatie
die in Etias wordt opgenomen tevens in het SIS kan worden geregistreerd. Bij voorkeur
dient dan ook het SIS gebruikt te worden, zo schrijft de regering. Wat is dan het
nut van Etias als SIS dezelfde informatie herbergt en beide systemen toch tegelijk
via het ESP bevraagd kunnen worden?

Het onderdeel waar de leden van de SP-fractie aan refereren betreft een specifiek
onderdeel van Etias, namelijk de Etias-observatielijst die kan worden gehanteerd voor
het beoordelen van een veiligheidsrisico. Het Etias systeem is, zoals eerder omschreven,
een reisinformatie- en autorisatiesysteem, waarmee vóór de reis van niet-visumplichtige
onderdanen van derde landen bepaald kan worden of zij in aanmerking komen voor toegang
tot het Schengengebied. Het Etias-informatiesysteem verwerkt de ingediende aanvragen
en vergelijkt de aanvraaggegevens met signaleringen in onder andere SIS en de Etias-observatielijst.
De observatielijst kan worden gebruikt voor het beoordelen van een veiligheidsrisico.
Lidstaten beschikken over de mogelijkheid om onderdanen van derde landen op te voeren
op een Etias-observatielijst die wordt opgesteld op basis van informatie met betrekking
tot terroristische misdrijven of andere ernstige strafbare feiten. In Nederland gaat
de voorkeur er naar uit om indien aan de voorwaarden wordt voldaan een signalering
in SIS in te voeren en niet een aanmelding uit te voeren voor de Etias-observatielijst.
Het uiteindelijke resultaat is hetzelfde omdat bij aanvragen voor een reisautorisatie
zowel SIS als de observatielijst worden gecontroleerd.

Vragenblok 14 – SP

De leden van de SP-fractie hebben nog vragen over toegang voor vervoerders tot Etias.
Het is uiteraard logisch dat KLM bijvoorbeeld bij het boarden in een derde land vooraf
checkt of voor alle reizigers naar Schiphol, dat onderdeel van Nederland is en dus
het Schengengebied, autorisatie is verleend om naar Schiphol te reizen. Tegelijk bevat
Etias, met daaraan gekoppeld andere databases, bijzondere persoonsgegevens. Tot welke
informatie krijgen particuliere vervoerders toegang en welke waarborgen gelden daarbij?

Lucht- en zee-vervoerders en internationale vervoerders die groepen per bus over land
vervoeren, wordt de verplichting opgelegd voor het instappen te controleren of de
reizigers in het bezit zijn van een geldige reisautorisatie. Vervoerders hebben daarbij
geen toegang tot het Etias-dossier zelf, maar kunnen aan de hand van reisdocumentgegevens
controleren of een reisautorisatie is afgegeven. Het Etias-informatiesysteem bezorgt
de vervoerders door middel van het toegangsportaal een respons «OK/NIET OK» waarbij
wordt vermeld of de persoon al dan niet een geldige reisautorisatie heeft. Tot verdere
gegevens hebben vervoerders dan ook geen toegang.

2.3 De herziening van de VIS-verordening

Vragenblok 15 – VVD

De leden van de VVD-fractie verwelkomen het dichten van de veiligheidslacune op het
gebied van informatie-uitwisseling over visa voor lang verblijf en verblijfsvergunningen.
Op welke manier zullen de nieuw toegevoegde doelstellingen ten uitvoer worden gebracht?

Het is juist wat de leden van de VVD-fractie aangeven dat met de herziening van de
VIS-verordening een veiligheidslacune wordt gedicht. Aanvragen voor visa voor lang
verblijf en verblijfsvergunningen worden voordat de herziening van VIS is doorgevoerd
nog niet geregistreerd in een van de Europese informatiesystemen. Tevens worden de
aanvragen nog niet vergeleken met gegevens uit de andere systemen. Met het opnemen
van aanvragen voor visa voor lang verblijf en verblijfsvergunningen in VIS wordt dan
ook een veiligheidslacune gedicht doordat door de interoperabiliteit met de andere
systemen bijvoorbeeld wordt gecontroleerd of een persoon gesignaleerd is in SIS of
geregistreerd staat in het EES in verband met het overschrijden van de verblijfsduur.

Daarnaast geldt aan de grens dat vanaf het moment dat de interoperabiliteit van VIS
met de andere systemen een feit is, via het Europese zoekportaal (ESP) gebruik gemaakt
kan worden van informatie van het EES en het Etias om controles te verrichten. Hierdoor
ontstaat een betere en zorgvuldigere informatie-uitwisseling. Het gaat hierbij om
verificatie van de identiteit van de houder van het visum, verificatie van de echtheid
en de status van het visum en de vaststelling of aan de voorwaarden voor toegang tot
het grondgebied van de lidstaten is voldaan. Daarnaast zal zich in de nieuwe constructie
veel moeilijker identiteitsfraude voor kunnen doen, bijvoorbeeld doordat onder de
nieuwe verordening gebruikt gemaakt gaat worden van gezichtsopnamen ter plekke. Hierdoor
zal de mogelijkheid tot morphing van foto’s worden ondervangen.

Vragenblok 16 – SP

De leden van de SP-fractie begrijpen dat VIS gewijzigd moet worden om deze te kunnen
koppelen aan het EES en Etias. Daarnaast zal het VIS ook gewijzigd worden om machtigingen
tot voorlopig verblijf en verblijfsvergunningen te registreren. Kan de regering toelichten
hoe deze informatie exact bijdraagt aan het bestrijden van terroristische misdrijven
en de identificatie van personen?

Voor zowel het EES, als Etias en zowel de huidige VIS-verordening als de VIS-verordening
na herziening geldt dat de doelstellingen van deze systemen mede zijn gelegen in het
voorkomen, opsporen of onderzoeken van terroristische misdrijven en andere ernstige
strafbare feiten. Met de herziening van de VIS-verordening blijft deze doelstelling
overeind en wordt de procedure die geldt voor toegang tot het VIS voor rechtshandhavingsdoeleinden
gelijk getrokken met de procedure die geldt voor de raadpleging van EES en Etias.
De informatie uit het VIS draagt hieraan bij doordat net als bij EES en Etias in bepaalde
gevallen met opsporing belaste ambtenaren het VIS mogen raadplegen indien wordt voldaan
aan de in de verordening gestelde voorwaarden. Zo moet raadpleging noodzakelijk en
evenredig zijn met het oog op het voorkomen, opsporen en onderzoeken van een terroristisch
misdrijf of een ander ernstig strafbaar feit in een specifiek geval. Ook dienen er
redelijke gronden te zijn om aan te nemen dat de raadpleging van VIS-gegevens wezenlijk
zal bijdragen tot het voorkomen, opsporen of onderzoeken van de desbetreffende strafbare
feiten, met name indien er een gegrond vermoeden bestaat dat de verdachte, de dader
of het slachtoffer van een terroristisch misdrijf of een ander ernstig strafbaar feit
behoort tot een van de categorieën waarop de VIS-verordening van toepassing is (artikel
22 sexdecies, eerste lid, van de herziene VIS-verordening). Het centraal toegangspunt
controleert of aan de voorwaarden voor toegang wordt voldaan en dient dan ook toestemming
te geven.

Ten aanzien van de identificatie van personen die vermist, ontvoerd of als slachtoffers
van mensenhandel aangemerkt zijn en ten aanzien van wie er gegronde redenen bestaan
om aan te nemen dat de raadpleging van VIS-gegevens zal bijdragen aan hun identificatie,
of tot het onderzoek naar specifieke gevallen van mensenhandel geldt een aangepaste
procedure (artikel 22 septdecies van de herziene VIS-verordening). In die gevallen
is het niet noodzakelijk dat sprake van de hierboven genoemde voorwaarden voor het
voorkomen, opsporen of onderzoeken van strafbare feiten.

3. SIS-verordeningen

Vragenblok 17 – SP

De leden van de SP-fractie begrijpen dat SIS wordt ontleend aan drie verschillende
verordeningen met elk een eigen doel en grondslag in het Verdrag van de Werking van
de EU. Het gaat dan om grenscontroles, terugkeer en politiële en justitiële samenwerking
in strafzaken. Hebben deze leden het echter goed begrepen dat al die gegevens in één
gegevensbank terechtkomen? Terwijl die gegevens ook nog eens via het ESP te bevragen
is? Een goed terugkeerbeleid is noodzakelijk om het draagvlak voor de opvang van asielzoekers
te behouden en tevens om plekken voor asielzoekers vrij te houden. Toch vragen deze
leden wat het nut is van deze registratie. Welke autoriteiten kunnen nu de registratie
van een terugkeerbesluit inzien en welke actie dienen zij hieraan te koppelen? Wat
moet Nederland bijvoorbeeld doen met een Algerijn die in Duitsland voor asiel is afgewezen
en tegen wie een terugkeerbesluit is genomen?

SIS betreft weliswaar één informatiesysteem, maar kan worden geraadpleegd voor verschillende
doeleinden en kent daardoor verschillende toegangsrechten. De bevoegde autoriteiten,
die een taak hebben op het gebied van grenscontroles, terugkeer en politiële en justitiële
samenwerking in strafzaken, kunnen het SIS slechts raadplegen voor zover dat noodzakelijk
is voor de uitvoering van hun taak. Bijgevolg kunnen niet alle bevoegde autoriteiten
alle gegevens raadplegen. De SIS-verordeningen voorzien in nadere regels hierover.
Met het ESP kunnen dan ook niet alle autoriteiten alle gegevens in het SIS raadplegen.
Voor het raadplegen van SIS is het gebruik van het ESP optioneel. Het ESP kan het
Centrale SIS-systeem (C.SIS) bevragen, maar niet het nationale SIS (N.SIS). Op een
beperkte categorie gegevens kan worden gezocht in ESP, te weten op personen en documenten
gerelateerd aan personen. Het ESP wordt in het kader van interoperabiliteit nog verder
ontwikkeld waarbij de architectuur nationaal nog moet worden bepaald. Ook dan zal
echter gelden dat autoriteiten alleen die gegevens kunnen raadplegen die voor de uitvoering
van hun taken nodig zijn en de betreffende autoriteiten geen toegang hebben tot andere
gegevens in het SIS.

De reden dat een terugkeerbesluit in SIS kan worden opgenomen is zodat bijgehouden
kan worden welke personen daadwerkelijk Schengen verlaten en welke personen de termijn
voor terugkeer overschrijden. Ter uitvoering van de SIS-verordeningen voorziet voorliggend
wetsvoorstel in een grondslag voor het raadplegen van het SIS door de nationaal bevoegde
autoriteiten, door te verduidelijken welke autoriteiten in Nederland worden bedoeld
met de omschrijving die de verordening geeft. Ten aanzien van een terugkeerbesluit
geldt dat zulks slechts kan worden geraadpleegd door IND, DT&V, politie en KMar en
slechts voor zover dat in een concreet geval noodzakelijk is voor de uitvoering van
hun taak.

Bij het gestelde voorbeeld geldt dat, afhankelijk van de concrete situatie, Nederland
verschillende dingen moet doen. Daarbij is tevens relevant of de Algerijn zijn terugkeertermijn
heeft overschreden. Indien de gesignaleerde Algerijn wordt aangetroffen op bijvoorbeeld
Schiphol bij de uitreis uit het Schengengebied, wordt Duitsland als signalerende lidstaat
geïnformeerd over de terugkeer. De signalering wordt vervolgens gewist in SIS. Indien
van toepassing, bijvoorbeeld omdat de Algerijn buiten zijn terugkeertermijn zit, kan
vervolgens een signalering in SIS worden ingevoerd met het oog op weigering van toegang
en verblijf. Een soortgelijke procedure geldt indien de Algerijn wordt aangetroffen
bij binnenkomt op Schiphol. Duitsland wordt dan geïnformeerd als signalerende lidstaat.
Indien er tevens een inreisverbod is opgelegd wordt de signalering in verband met
het door Duitsland genomen terugkeerbesluitdoor Nederland gewist en wordt een signalering
voor weigering van toegang en verblijf opgenomen. Een andere mogelijkheid is dat indien
Nederland een verblijfsvergunning overweegt te verlenen aan de Algerijn en bij het
raadplegen van SIS ziet dat Duitsland een signalering inzake terugkeer met een inreisverbod
heeft opgelegd, Nederland Duitsland raadpleegt via de uitwisseling van aanvullende
informatie. Indien de Algerijn in Nederland wordt aangetroffen in kader van het vreemdelingentoezicht,
geldt dat Nederland in deze situatie twee dingen moet doen:

– de signalerende lidstaat – via Bureau SIRENE – informeren dat de vreemdeling in Nederland
is aangetroffen, zodat informatieuitwisseling op grond van artikel 7, tweede lid,
van de SIS-terugkeerverordening plaatsvindt en;

– bezien of een terugkeerbesluit opgelegd kan worden aan de vreemdeling en of een eventuele
inbewaringstelling volgt.

Samengevat dient Nederland in het gestelde voorbeeld de signalerende lidstaat te informeren,
SIS bij te werken en eventueel aanvullende acties te ondernemen.

Vragenblok 18 – SP

Het valt de leden van de SP-fractie op dat het SIS ook DNA-profielen kan bevatten.
Welke autoriteiten mogen met welk doel deze DNA-profielen opnemen? Kan de regering
dat nog eens helder toelichten?

In reactie op de vragen van de leden van de SP-fractie is het goed om voor nadere
beantwoording te benadrukken dat dit onderdeel alleen SIS-politiële en justitiële
samenwerking in strafzaken betreft en niet raakt aan SIS-grenscontroles of SIS-terugkeer.
Daarnaast geldt dat DNA-profielen alleen aan signaleringen mogen worden toegevoegd
als het gaat om vermiste personen die in bescherming moeten worden genomen voor hun
eigen veiligheid of ter voorkoming van een bedreiging van de openbare orde of de openbare
veiligheid, en voorts slechts voor zover foto´s, gezichtsopnames of dactyloscopische
gegevens niet beschikbaar zijn of niet geschikt zijn voor identificatie.

Wanneer een DNA-profiel wordt toegevoegd aan een signalering bevat dat profiel enkel
de informatie die strikt noodzakelijk is voor de identificatie van de vermiste persoon.
Het DNA-profiel wordt slechts gebruikt om de identiteit van de betrokkene te bevestigen
van een persoon die naar aanleiding van een alfanumerieke doorzoeking in SIS is gevonden.
Een DNA-profiel in SIS kan slechts worden geraadpleegd door ambtenaren van de KMar,
politie en openbaar ministerie.

Vragenblok 19 – SP

De leden van de SP-fractie hebben in navolging van de Autoriteit Persoonsgegevens
(AP) ook vragen over het aanhouden van de kopie van SIS. De regering betoogt begrijpelijkerwijs
dat ook ten tijde van onderhoud aan het systeem of bij storingen de autoriteiten beschikking
willen hebben over de meest recente gegevens. Toch sluiten deze leden zich bij de
AP aan dat de opslag van gegevens zich tot een minimum moet beperken. Kan de regering
nog eens toelichten waarom zij de kopie proportioneel en noodzakelijk vindt?

De verantwoordelijkheid voor het waarborgen van de ononderbroken beschikbaarheid van
SIS-gegevens voor de eindgebruikers wordt door de verordeningen neergelegd bij de
lidstaten (artikelen 6 van de SIS-verordening politiële en justitiële samenwerking
en SIS-verordening grenscontroles en artikel 19 SIS-verordening terugkeer). In deze
verordeningen wordt de nationale kopie ook genoemd om als back-up te gebruiken om
een ononderbroken beschikbaarheid voor de eindgebruikers te waarborgen. In het verleden
heeft Nederland al bewust gekozen voor het hebben van een gehele kopie van C.SIS in
verband met de nationale veiligheid en het in eigen hand houden van de beschikbaarheid
van SIS-gegevens aan de grens en voor de opsporing. Met de geldende artikelen hierover
in de SIS-verordeningen geldt dit des temeer. Naast onderhoud dat eu-LISA pleegt aan
het netwerk, heeft Nederland recentelijk nog uitval van C.SIS ervaren waarbij teruggevallen
kon worden op de nationale kopie om zodoende geen hits te missen in Nederland. Bij
het ontbreken van een kopie kan ook de vergelijking van passagiersgegevens (zogeheten
PNR en API-data) met signaleringen niet plaatsvinden ter voorkoming, opsporing en
vervolging van zware criminaliteit en terrorisme, met alle mogelijke schade van dien.
Daarnaast geldt dat het C.SIS de hoeveelheid zoekopdrachten die Nederland richt tot
het N.SIS niet zou kunnen verwerken. Dit is aanvullend een reden dat een kopie bestaat
om de continuïteit te waarborgen.

4. Interoperabiliteit

Vragenblok 20 – SP

De leden van de SP-fractie hebben kennisgenomen van het voorstel om naast het inrichten
van EES en Etias en het wijzigen van VIS en SIS ook interoperabiliteit tussen deze
systemen en andere systemen te bewerkstelligen. Via de ESP kunnen autoriteiten in
één keer acht systemen bevragen. Tot welke informatie een beambte toegang heeft hangt
af van diens autorisatie. Zo moet de toegang tot gegevens altijd functioneel en proportioneel
zijn. Wie ziet erop toe dat dit systeem altijd functioneert, zodat een medewerker
van de Immigratie- en Naturalisatiedienst (IND) die bevoegd is om informatie over
een terugkeerbesluit in te voeren, geen toegang krijgt tot bijvoorbeeld medische gegevens
in het kader van epidemische risico’s in Etias?

Beide verordeningen interoperabiliteit regelen dat de antwoorden die het ESP geeft,
uitsluitend de gegevens bevatten waartoe de gebruiker op grond van het Unierecht en
het nationale recht toegang heeft. Daardoor zal een gebruiker die krachtens het EU-
en Nederlandse recht geen toegang heeft tot bepaalde gegevens, ook niet via een ESP-zoekslag
aan die gegevens kunnen komen (artikel 9, vierde en zesde lid).

Voor alle verordeningen geldt dat daarin is vastgelegd welke autoriteiten toegang
krijgen voor welke doelstellingen. De lidstaten dienen aan eu-LISA te melden welke
autoriteiten dat in de betreffende lidstaat zijn en personeelsleden «naar behoren
te machtigen». Ten aanzien van het ESP geldt dat er gebruikersprofielen worden opgesteld
waaruit de toegangsrechten blijken van deze gebruikers. Deze gebruikersprofielen betreffen
in ieder geval:

– de velden die gebruikt kunnen worden voor zoekvragen;

– de EU informatiesystemen, Europol data en Interpol databases die zullen en mogen worden
geconsulteerd en die een antwoord teruggeven aan de gebruiker;

– de data die in elk antwoord wordt opgenomen.

De raadpleging van het ESP is daarnaast controleerbaar doordat eu-LISA logbestanden
bijhoudt van alle gegevensverwerkingsverrichtingen in het ESP. In deze logbestanden
wordt het volgende vermeld: a) de lidstaat die of het Unie-agentschap dat de zoekopdracht
start en het gebruikte ESP-profiel; b) de datum en het tijdstip van de zoekopdracht;
c) de doorzochte Unie-informatiesystemen en Interpol-databanken. Elke lidstaat houdt
vervolgens logbestanden bij van de zoekopdrachten van zijn autoriteiten en van de
personeelsleden van zijn autoriteiten die naar behoren gemachtigd zijn om het ESP
te gebruiken. Deze logbestanden mogen uitsluitend worden gebruikt voor het toezicht
op de gegevensbescherming, onder meer door de toelaatbaarheid van een zoekopdracht
en de rechtmatigheid van de gegevensverwerking te controleren, en voor het verzekeren
van de gegevensbeveiliging en -integriteit.

Vragenblok 21 – SP

Onderdeel van de interoperabiliteit is ook de shared biometric matching service, zo
lezen de leden van de SP-fractie. Dat systeem vergelijkt vingerafdrukken en gezichtsopnames
uit de verschillende gegevensbanken met elkaar. Deze informatie wordt geanonimiseerd
opgeslagen in een eigen bestand. Kan de regering nog eens toelichten wat het nut hiervan
is? Klopt het dat dit alleen het doel dient om te kijken of één persoon niet onder
meerdere identiteiten staat geregistreerd? En indien dit het geval is, waarom staat
dit dan los van het common identity register? Hebben deze leden het goed begrepen
dat die zogenaamde common identity repository ook als onafhankelijke gegevensbank
inzichtelijk is voor de politie? Zo ja, wat is daar het nut van? En hoe verhoudt dit
zich dan weer tot de multiple identity detector die ook meerdere identiteiten kan
signaleren?

Het shared biometric matching service (sBMS) is ingesteld door de beide verordeningen
interoperabiliteit ter ondersteuning van het gemeenschappelijk identiteitsregister
(het common identity register: CIR) en het multiple identity register (MID). Deze
drie onderdelen van de verordeningen interoperabiliteit hangen dan ook onlosmakelijk
met elkaar samen.

In het CIR worden een aantal gegevens gescheiden per informatiesysteem opgeslagen
die afkomstig zijn uit de onderliggende systemen. Van ieder van in een van de systemen
geregistreerde persoon wordt een afzonderlijk bestand aangelegd met als doel de correcte
identificatie van deze personen. Het gaat dus om de gegevens die zien op de identiteit.
Op grond van de EES-verordening worden bijvoorbeeld onder meer naam, nationaliteit,
soort en nummer van het gebruikte reisdocument en een gezichtsopname geregistreerd.
Deze identiteitsgegevens worden in het CIR geregistreerd. De andere gegevens zoals
bijvoorbeeld de datum en tijdstip van inreis van deze persoon, staan in het EES geregistreerd.

De MID is bedoeld om controles mogelijk te maken indien in de onderliggende systemen
identiteiten zijn opgenomen die met elkaar verband houden of lijken te houden. Indien
er sprake lijkt te zijn van meerdere identiteiten zorgt de MID voor het aanmaken en
opslaan van een identiteitsbevestigingsbestand. Dit bestand bevat links tussen de
verschillende informatiesystemen. Indien niet met zekerheid kan worden gesteld dat
de gevonden identiteiten horen bij dezelfde persoon wordt een gele link aangemaakt
die handmatig wordt geverifieerd door de autoriteit die de gegevens heeft vastgelegd
die tot de gele link hebben geleid. Op deze wijze worden de gegevens op juistheid
gecontroleerd en fraude opgespoord. De MID bevat zelf dus geen identiteitsgegevens,
alleen linkjes met verwijzingen naar identiteitsgegevens. De MID wordt zelf niet door
eindgebruikers bevraagd met uitzondering van autoriteiten belast met de handmatige
identiteitsverificatie.

Het sBMS is specifiek bedoeld om biometrische gegevens te kunnen vergelijken. Het
sBMS slaat biometrische templates op die worden verkregen uit de onderliggende Europese
informatiesystemen. Dit maakt het mogelijk om biometrische gegevens die zijn opgeslagen
in het CIR met elkaar te vergelijken. Een biometrische template is een mathematische
weergave die wordt verkregen door uit biometrische gegevens uitsluitend de kenmerken
te extraheren die nodig zijn om identificaties en verificaties te verrichten. De templates
bevatten op grond van de verordeningen dus geen biografische identiteitsgegevens en
zijn niet terug te herleiden tot linken aan de oorspronkelijke biometrische gegevens
zonder toegang tot het onderliggende systeem waar deze gegevens zijn opgeslagen. Met
andere woorden, de biometrische gegevens (vingerafdrukken en gezichtsbeelden) worden
exclusief bewaard door de onderliggende systemen. De centrale voorziening zal enkel
de templates creëren en opslaan met een referentie naar het onderliggende systeem.

De beide verordeningen interoperabiliteit regelen de instelling van dit sBMS omdat
biometrische gegevens zoals vingerafdrukken en gezichtsopnames uniek zijn en derhalve
voor de identificatie van een persoon veel betrouwbaarder dan alfanumerieke gegevens.
De sBMS dient als technisch instrument om het werk van de relevante Europese informatiesystemen
en andere interoperabiliteitscomponenten te versterken en vereenvoudigen. Het doel
is om de identificatie van een natuurlijk persoon die mogelijk in meerdere van de
betreffende informatiesystemen is geregistreerd te vergemakkelijken. De sBMS zorgt
ervoor dat één enkel technisch component nodig is om biometrische gegevens te matchen
in plaats van meerdere. Dit bevordert de veiligheid en biedt financiële, operationele
en onderhouds-technische voordelen. Momenteel heeft elk EU-informatiesysteem dat biometrische
gegevens bevat een eigen zoekmachine, ofwel een eigen BMS.

Het sBMS is dus noodzakelijk voor de juiste identificatie van een persoon én maakt
het mogelijk meerdere identiteiten tussen de verschillende centrale systemen op te
sporen, twee belangrijke doelstellingen van interoperabiliteit. Voor de detectie van
meerdere identiteiten wordt door het CIR gebruik gemaakt van het sBMS wanneer het
gaat om biometrische gegevens

De leden van SP-fractie hebben goed begrepen dat het CIR in bepaalde gevallen inzichtelijk
is voor politieautoriteiten zoals bedoeld in de beide verordeningen interoperabiliteit.
Artikel 20 van de beide verordeningen over interoperabiliteit biedt lidstaten de mogelijkheid
daarvoor te kiezen. De regering stelt voor hiervan gebruik te maken en verwijst hierbij
naar artikel 8 van het wetsvoorstel. Het nut daarvan is dat de politieautoriteiten
het CIR dan kunnen raadplegen voor de juiste identificatie van een persoon ter voorkoming
en bestrijding van illegale migratie en in het kader van rechtshandhaving of een natuurramp,
ongeval of terroristische aanslag. De regering hecht daaraan, omdat de consequenties
van geen of foute identificatie groot kunnen zijn. Dit betreft zowel het risico op
een verkeerde straf- of vreemdelingenrechtelijke beslissing (bijvoorbeeld een onterechte
aanhouding, veroordeling of invrijheidstelling of toewijzing of afwijzing van een
aanvraag) als het risico voor een derde wiens identiteit wordt gebruikt. Als een zoekslag
in het CIR ertoe kan bijdragen om bij twijfel over identiteit of onmogelijkheid om
te identificeren, te identificeren en vergissingen, anonimiteit of identiteitsfraude
tegen te gaan, dienen wat de regering betreft de mogelijkheden te worden aangegrepen
die het EU-recht daarvoor biedt.

De raadpleging van het CIR door de politieautoriteiten ziet dus niet op de goede werking
van de systemen zelf maar op het gebruik maken van de gegevens die in de systemen
staan. Het MID ziet juist wel op de goede werking van de systemen. De politie heeft
daar verder dan ook geen rol in.

Vragenblok 22 – SP

De leden van de SP-fractie begrijpen dat achter het ESP ook de databases van Europol
en Interpol zich bevinden. Kan de regering toelichten welke informatie in die databases
op te vragen is?

Het ESP dient een aanvullend middel te zijn voor het doorzoeken van het centrale SIS,
de Europol-gegevens en de Interpol-databanken. Dit ter aanvulling van de interfaces
die daarvoor al beschikbaar zijn, zoals vastgelegd in de Interoperabiliteitsverordening
politiële en justitiële samenwerking, asiel en migratie. Het staat alleen bevragingen
toe indien gegevens worden gebruikt die gerelateerd zijn aan personen of reisdocumenten
die in een Unie-informatiesysteem, in de Europol-gegevens of in de Interpol-databanken
zijn opgenomen.

Met betrekking tot Europol gaat het om het bevragen van het Europol Informatiesysteem
(EIS) via de bevragingsapplicatie QUEST. Deze database bevat onderzoeksinformatie
uit alle EU-lidstaten over personen verdacht van of veroordeeld voor terroristische
misdrijven en andere ernstige strafbare feiten die binnen het mandaat van Europol
vallen.

Met de Interpol databases worden bedoeld de databanken voor gestolen en verloren reisdocumenten
(SLTD-databank) en de databank voor reisdocumenten die voorkomen in uitgevaardigde
Notices (TDAWN-databank). Met de beoogde EU-Interpol overeenkomst waar momenteel over
onderhandeld wordt, worden de nodige garanties op het gebied van gegevensbescherming
vastgelegd die het mogelijk maken dat het ESP verbinding maakt met de databanken van
Interpol.

5. Uitvoeringsaspecten en gevolgen

5.1 Gevolgen voor de systemen

Vragenblok 23 – VVD

De leden van de VVD-fractie vragen hoe lang Nederland verwacht nodig te hebben om
deze systemen te implementeren. Welke problemen worden er voorzien? Kan de regering
daarnaast verder toelichten wat de functie en werking van het Europaloket zal zijn?

De vraag naar hoeveel tijd Nederland nodig heeft om deze systemen te implementeren
kan niet los worden gezien van het feit dat de uitvoering van de verordening een complex
traject is met veel onderlinge afhankelijkheden. Voor Nederland is, zoals ook in vragenblok
1 aan de orde kwam, essentieel dat kwalitatief hoogwaardige centrale Europese systemen
tijdig beschikbaar komen, zodat er voldoende tijd is voor het nationale test- en implementatietraject.
Dit geldt logischerwijze voor alle lidstaten. In Nederland is in 2018 dan ook besloten
tot de opzet van een programma om de implementatie te begeleiden. Met de implementerende
partners is binnen het programma besloten dat de Europese planning leidend is voor
de Nederlandse implementatie. Nederland ligt voor de realisatie en implementatie op
schema.

Daarbij zullen er uitdagingen op het gebied van capaciteit zijn en worden uitdagingen
verwacht bij de grensposten bij de uitrol van de systemen, aangezien dat tot een piekbelasting
zal leiden. Hiervoor zijn in Europa maatregelen voorzien om deze risico’s te mitigeren.
Nederland heeft dan ook bij de Commissie aangegeven dat het belangrijkste punt voor
de implementatie de beschikking over stabiele en kwalitatief hoogwaardige systemen
op centraal niveau is. Daarnaast is er een afhankelijkheid van andere lidstaten, aangezien
elk afzonderlijke systeem simultaan in alle lidstaten in werking zal treden. Wanneer
één lidstaat niet gereed is, zal de inwerkingtreding worden uitgesteld. De Commissie
heeft sinds juni 2020 een Rapid Alert proces opgezet waarmee de voortgang van de implementatie
van de IT-systemen bij de lidstaten en het Europese agentschap Eu-LISA wordt gemonitord.
Op basis van dat mechanisme kan snel gerichte ondersteuning worden geboden. Nederlandse
experts zijn vertegenwoordigd in diverse Europese overleggen en expert groepen. Op
deze wijze kan de vinger aan de pols worden gehouden over de voortgang en eventuele
problemen.

Het beoogde tijdpad dat is gegeven met de financiering ziet in ieder geval op een
periode tot ultimo 2027. Dan wordt verwacht dat alle verordeningen in werking zijn
getreden en dat processen, techniek en personeel gestabiliseerd zijn.

Het Europaloket wordt gebouwd om ketenpartners te ontzorgen als een schakel tussen
de nationale en Europese systemen. Daarbij levert het Europaloket verschillende diensten
waarbij ketenpartners kunnen kiezen voor maatwerk op een manier die het beste aansluit
op de voor hen toepasselijke situatie (bijvoorbeeld bevragen of muteren). De invoer
in een Europees systeem vanuit een nationaal systeem kan via het Europaloket plaatsvinden.
De gegevens die via het Europaloket uitgewisseld worden vallen uiteen in twee categorieën.
Het betreft ofwel gegevensuitwisseling in het kader van grensverkeer en migratie van
derdelanders ofwel bevraging van Europese databases met het oog op het voorkomen,
opsporen of onderzoeken van terroristische misdrijven of andere ernstige strafbare
feiten. De verantwoordelijkheid voor beide categorieën berichtuitwisseling via het
Europaloket berust bij de Minister van Justitie en veiligheid.

Vragenblok 24 – SP

De leden van de SP-fractie merken op dat met de logische onderverdeling van de verantwoordelijkheden
bij verschillende overheidsdiensten en -organisaties het complex is om het overzicht
te houden. De Europese Commissie is voor een deel verantwoordelijk. Tegelijk heeft
eu-LISA een rol. Vervolgens zijn er in Nederland talloze organisaties bij betrokken.
Wie is er eindverantwoordelijk voor de uitwisseling van alle gegevens?

De regering onderstreept het belang van goede waarborgen ten aanzien van de uitwisseling
van deze gegevens. Ten aanzien van de Europese systemen geldt dat het beheer bij EU-Lisa
ligt maar voor de verwerking van de verschillende gegevens in de systemen geldt dat
er inderdaad meerdere bevoegde autoriteiten bij zijn betrokken. De Europese wetgever
heeft dit punt herkend en erkend doordat geregeld is welke autoriteit verantwoordelijk
is voor de gegevensverwerking, dan wel de lidstaten verplicht de verwerkingsverantwoordelijke
aan te wijzen (zie in dit kader bijvoorbeeld artikel 57 van de Etias-verordening,
artikel 39 van de EES-verordening en artikel 40 van de Interoperabiliteitsverordeningen).
Op deze wijze is er altijd een organisatie verantwoordelijk voor de betreffende gegevens.
Daarnaast geldt dat lidstaten verplicht zijn de Commissie en eu-LISA in kennis te
stellen van zowel de bevoegde autoriteiten als verwerkingsverantwoordelijken, waarvan
lijsten worden gepubliceerd. Uiteindelijk is Nederland als lidstaat verantwoordelijk
voor de gegevensverwerking die niet door Europese instanties of een andere lidstaat
wordt verricht.

5.2 Gevolgen voor uitvoerende organisaties

Vragenblok 25 – VVD

De leden van de VVD-fractie maken zich zorgen om de hoge werkdruk bij de IND, die
met het toevoegen van deze extra taken alleen maar zal toenemen. De regering geeft
aan dat er waarschijnlijk extra personeel zal moeten worden ingezet. Om hoe veel extra
personeel (fte) gaat het en op welke termijn zal dit personeel geworven worden?

In overleg met ketenpartners is er voor gekozen om te voorzien in een gefaseerde opbouw
van de personele bezetting. Hiervoor is gebruik gemaakt van een ingroeimodel. Wat
wil zeggen dat het niet in de lijn der verwachting ligt dat al direct bij de start
van de implementatie van de verordeningen het totaal aantal opgevoerde FTE’s door
de ketenpartners nodig zal zijn en ook niet direct zal worden gerealiseerd. Daarnaast
geldt dat de systemen die de verordeningen reguleren gefaseerd in gebruik worden genomen
en daardoor de benodigde FTE ook gefaseerd beschikbaar kunnen komen. Momenteel is
de verwachting, gebaseerd op de Europese planningen, dat in 2023 het aantal benodigde
FTE 26 is, oplopend naar 46 in 2027.

Vragenblok 26 – SP

De leden van de SP-fractie lezen in de memorie van toelichting dat er bij de verschillende
diensten en organisaties die met de systemen werken of gaan werken veel fte nodig
is. Kan de regering schematisch weergeven waar precies hoeveel fte nodig is om de
systemen te benutten? Hoe meent de regering aan al die fte te komen in een tijd waarin
meer vacatures zijn dan sollicitanten? En hoe voorkomt de regering dat deze nieuwe
taken ten koste gaan van bestaande taken bij bijvoorbeeld de Koninklijke Marechaussee
of de vreemdelingenpolitie?

Zoals tevens in reactie op de vragen van de leden van de VVD-fractie is weergegeven,
is er in samenspraak met de verschillende ketenpartners voor gekozen om te voorzien
in een gefaseerde opbouw van de personele bezetting. De systemen die worden gereguleerd
door de verordeningen worden eveneens gefaseerd in gebruik genomen. Daarnaast geldt
dat de werkzaamheden per systeem verschillen per ketenpartner. Daarbij kan sprake
zijn van een intensieve rol in verband met een taak ten aanzien van registratie van
gegevens in een systeem, of een beperkte rol doordat de betreffende ketenpartner alleen
een systeem raadpleegt in specifieke gevallen. Ook geldt dat niet alle werkzaamheden
en systemen nieuw zijn.

Ten aanzien van een schematische weergave van het aantal fte’s dat nodig is bij alle
ketenpartners om met de systemen te gaan werken geldt dat er door de ketenpartners
voorlopige inschattingen zijn gemaakt. Het opnemen van een schematische weergave van
het aantal benodigde fte’s zou echter een beeld geven van harde vaststaande cijfers,
terwijl zoals eerder aan bod kwam de Europese planning voor het in gebruik nemen van
de systemen leidend is en alleen gewerkt kan worden met voorlopige inschattingen.
Momenteel is de inschatting dat bij alle betrokken organisaties het aantal benodigde
fte gedurende een aantal jaren zal oplopen naar ongeveer 360 fte.

Gezien de actuele situatie op de arbeidsmarkt, kan het een uitdaging zijn voor de
individuele ketenpartners om de gewenste (nieuwe) medewerkers te werven. Om dit risico
te mitigeren zijn er actieplannen die voorzien dat aanvullende wervingstrajecten binnen
de ketenpartners worden opgestart om zo goed mogelijke de benodigde mensen aan te
trekken. De ontstane vertragingen vanuit Europa ten aanzien van de inwerkingtreding
van de verordeningen hebben hierbij ook een klein positief effect. De datum waarvoor
de personele bezetting benodigd is wordt hiermee vooruit geschoven, de mogelijkheden
voor de ketenpartners om de medewerkers tijdig te werven worden hiermee vergroot.

Nieuwe taken zullen niet ten koste gaan van bestaande taken omdat voor de uitvoering
van de taken van de verordeningen specifiek is begroot en extra wordt geworven.

6. Gegevensbescherming en privacy-aspecten

6.1 Gevolgen voor de privacy

Vragenblok 27 – VVD

De leden van de VVD-fractie erkennen dat het implementeren van de verordeningen grote
uitdagingen op het gebied van databescherming met zich meebrengt gezien de verwerking
van persoonsgegevens. Op welke manier wordt gewaarborgd dat dit proces in alle lidstaten
goed verloopt? Voldoen alle nationale systemen ook aan de minimale privacy-eisen?

Wat betreft het delen van gegevens tussen EU-lidstaten onderling vindt de regering
dat de richtlijnen hier voldoende ruimte voor biedt, maar ook voldoende waarborgen
bevat voor individuele personen (bijvoorbeeld als één van de EU-landen nauwe banden
onderhoudt met een derde land van waaruit asielzoekers op de vlucht zijn), vragen
de leden van de VVD-fractie.

Wat betreft het delen van gegevens met derde partijen vragen de leden van de VVD-fractie
of de regering vindt dat de verordeningen een goede balans vinden in de ruimte voor
het delen van gegevens (bijvoorbeeld met het oog op de nationale veiligheid) en privacyoverwegingen.

De bescherming van persoonsgegevens is op diverse niveaus in de verordeningen gewaarborgd.
Voor wat betreft de veiligheid van de systemen zelf geldt dat de ontwikkeling en het
beheer is belegd bij het Europese agentschap eu-LISA. Deze systemen moeten aan hoge
kwaliteitseisen voldoen, waaronder de bescherming van gegevens. Zo zijn er vanaf de
ontwikkelfase al beveiligingsrisicobeoordelingen uitgevoerd en worden de beginselen
van privacy door ontwerp en standaardinstellingen gevolgd. De lidstaten zijn verantwoordelijk
voor de nationale systemen die worden aangesloten en dienen daartoe eveneens beveiligingsmaatregelen
te treffen.

Voor wat betreft de bescherming van persoonsgegevens geldt daarnaast dat de verordeningen
regelen dat de ter uitvoering van de verordeningen ingevoerde of opgevraagde gegevens
niet voor andere doelen dan waarin de verordeningen voorzien worden verwerkt. Ook
moeten de lidstaten ervoor zorgen dat verzamelde en opgeslagen gegevens rechtmatig
worden verwerkt en alleen naar behoren gemachtigde personeelsleden toegang tot de
systemen hebben voor de uitvoering van hun taken.

Vervolgens zijn in de verordeningen diverse controlemechanismen opgenomen. Naast het
feit dat lidstaten aansprakelijk zijn voor schade geleden door onrechtmatige gegevensverwerking,
geldt dat er logbestanden worden bijgehouden van het raadplegen van de systemen waaruit
blijkt welke autoriteit met welk doel welke gegevens heeft geraadpleegd. Voor de personen
van wie gegevens worden verwerkt geldt dat zij onder meer recht hebben op informatie,
inzage en correctie van gegevens en er de mogelijkheid is om een klacht in te dienen
bij de toezichthouder of een rechterlijke procedure te starten. Tot slot is er voorzien
in toezicht op de verwerking van persoonsgegevens.

Alle voornoemde eisen en rechten gelden op grond van de verordeningen in alle lidstaten
en op deze wijze wordt gewaarborgd dat de processen goed verlopen.

De verordeningen bevatten een goede balans tussen het kunnen delen van gegevens tussen
de lidstaten en privacyoverwegingen. Het delen van gegevens is mogelijk indien daar
een legitiem doel voor is zoals beschreven in de verordeningen, maar daarbij bevatten
de verordeningen ook de randvoorwaarden en de eis van een beveiligde omgeving om dit
te kunnen doen op een wijze die recht doet aan de privacybelangen van betrokkenen.

6.2 Rechten van betrokkenen en informatievoorziening

Vragenblok 28 – VVD

De leden van de VVD-fractie vragen op welke manier een betrokkene een beslissing kan
aanvechten. Is hier een termijn aan verbonden? Zo ja, wat gebeurt er als deze termijn
wordt overschreden?

Betrokkenen kunnen op grond van alle verordeningen beslissingen aanvechten en hun
rechten uitoefenen. Als het gaat om bijvoorbeeld een besluit tot weigering van toegang,
dan gelden daar de gebruikelijke bezwaar en beroepsmogelijkheden voor conform de Algemene
wet bestuursrecht (Awb). Waar het gaat om het aanvechten van een beslissing op het
terrein van privacybescherming geldt dat de verordeningen mede onder verwijzing naar
de Algemene verordening gegevensbescherming (AVG) en de Richtlijn gegevensbescherming
opsporing en vervolging (RGB) bepalingen bevatten die ervoor zorgen dat de personen
van wie persoonsgegevens worden verwerkt hun rechten kunnen uitoefenen. Zowel de EES-verordening,
als de Etias-verordening, de herziening van de VIS-verordening, de SIS-verordeningen
en de beide Verordeningen interoperabiliteit regelen dat betrokkenen hun verzoek tot
bijvoorbeeld inzage of correctie van gegevens bij iedere lidstaat kunnen indienen.
Ook de toepasselijke termijnen zijn geregeld. Daarbij dient de betrokkene te worden
ingelicht over de wijze waarop hij een rechtsvordering kan instellen of een klacht
kan indienen bij de bevoegde autoriteiten of bij de rechter in die lidstaat en over
de bijstand die hem kan worden verleend door de toezichthoudende autoriteit (in Nederland
dus de Autoriteit persoonsgegevens: AP). Indien de termijn wordt overschreden geldt
de in de Awb opgenomen mogelijkheid van het opleggen van een dwangsom bij niet tijdig
beslissen. Ook geldt dat indien een verplichting ten aanzien van gegevensverwerking
niet wordt nagekomen, de betrokkene het recht heeft een klacht in te dienen bij de
toezichthouder of een rechtsvordering in te stellen.

Vragenblok 29 – SP

De leden van de SP-fractie maken zich zorgen over het steeds makkelijker uitwisselen
van gegevens tussen de landen in het Schengengebied. Foute registraties in het ene
land kunnen gevolgen hebben in een ander land. Het is daarom belangrijk dat betrokkenen
hun rechten uit kunnen oefenen. Kan de regering kort uitleggen waarom dit het geval
is? Is het echt haalbaar voor personen in Nederland om inzicht te krijgen in informatie
die door een ander land is ingevoerd en om die eventueel te wijzigen? Kan de regering
ook iets meer toelichten over het in te richten centrale loket dat in de memorie van
toelichting wordt aangekondigd?

Zoals ook toegelicht in de reactie op de vragen van de leden van de VVD-fractie (vragenblok
27) kennen de verordeningen specifieke bepalingen ten aanzien van de rechten van betrokkenen.
De gegevens worden centraal opgeslagen in de Europese systemen waardoor er geen verschil
in registraties kan ontstaan tussen de lidstaten. Ook het aanbrengen van interoperabiliteit
tussen de verschillende systemen zorgt voor het voorkomen van verschillende registraties.
Personen kunnen hun rechten uitoefenen in iedere lidstaat en daar een verzoek indienen
tot bijvoorbeeld inzage of correctie van gegevens. Indien nodig wordt vervolgens door
de lidstaat die het verzoek heeft ontvangen gevraagd aan de voor de verwerking verantwoordelijke
lidstaat om de gegevens te controleren. Indien gegevens feitelijk onjuist zijn, onvolledig
zijn of onrechtmatig zijn opgeslagen moeten deze worden gerectificeerd, aangevuld
of verwijderd. Indien het verzoek wordt afgewezen of niet binnen de daarvoor in de
verordening bepaalde termijn wordt gereageerd kan de betrokkenen een klacht indienen
bij de toezichthouder of naar de rechter gaan, dan wel heeft de betrokkene recht op
een dwangsom bij niet tijdig beslissen.

Nederland richt een centraal kantoor, ook wel «loket» in voor de behandeling van AVG-verzoeken
die betrekking hebben op de verwerking van persoonsgegevens door middel van de MID
(«multiple identity detector» of detector van meerdere identiteiten), zodat betrokkenen
effectiever gebruik kunnen maken van hun rechten met betrekking tot deze gegevensverwerkingen.
De MID zorgt voor het aanmaken en opslaan van een identiteitsbevestigingsbestand,
waarbij links tussen identiteitsgegevens in de verschillende Europese systemen kunnen
worden aangebracht. Een persoon kan namelijk in meerdere systemen voorkomen. Ook ten
aanzien van dit MID geldt dat personen het recht op toegang, rectificatie en wissing
van gegevens hebben. Omdat deze gegevens gelinkt zijn met een van de onderliggende
systemen geldt dat er verschillende bevoegde autoriteiten en verschillende lidstaten
betrokken kunnen zijn bij een dergelijk verzoek. De lidstaten mogen op grond van de
verordeningen beslissen dat antwoorden op dergelijke verzoeken gegeven worden door
centrale kantoren. Omdat Nederland het belang onderkent voor burgers om hun rechten
te kunnen uitoefenen wordt inderdaad gekozen voor het inrichten van een centraal kantoor
zodat dit proces zo goed mogelijk verloopt.

Dit centrale kantoor voor de inzage en correctie van MID-gegevens wordt belegd bij
de organisatie Justid, die ook de ketenprocescoördinatie op het aan de MID gerelateerde
manuele verificatieproces doet. Justid verzorgt daarbij het ontvangen van de MID gerelateerde
vraag en draagt in die hoedanigheid zorg voor het aan de betrokkene inzage geven in
het door de betrokken ketenpartners gevolgde manuele verificatieproces. Justid verzorgt,
indien dit aan de orde is, ook het doorgeleiden van vragen over in de MID vastgelegde
identiteitsgegevens naar de bij de registratie betrokken verantwoordelijk autoriteiten.
Met dit centrale kantoor wordt geborgd dat de burger één centraal aanspreekpunt heeft
en houdt voor aan de MID gerelateerde inzage- & correctieverzoeken.

Vragenblok 30 – SP

In de reactie van de Autoriteit Persoonsgegevens is kritiek geuit op de hoogte van
de boetes bij verwerking van gegevens in strijd met de verordeningen, zo lezen de
leden van de SP-fractie. Kan de regering toelichten of zij tegemoet is gekomen aan
die kritiek in de versie van de wet zoals die nu bij de Tweede Kamer ligt?

De verordeningen regelen dat de Algemene verordening gegevensbescherming (AVG) en
de Richtlijn gegevensbescherming opsporing en vervolging (RGB) van toepassing zijn,
naast de specifieke bepalingen die de verordeningen zelf bevatten. Voor de RGB geldt
dat deze in de Wet politiegegevens (Wpg) en de Wet justitiële en strafvorderlijke
gegevens (Wjsg) is geïmplementeerd. Volgens de AP is er sprake van een discrepantie
ten aanzien van de boete op doorgifte van gegevens aan derde landen in strijd met
de verordeningen al naar gelang de vraag of dit onder de toepassing van de (U)AVG
valt of de Wpg en Wjsg. Het advies van de AP is opgevolgd door specifiek voor de overtreding
van de bepaling over de doorgifte van gegevens aan derde landen in het wetsvoorstel
een bepaling op te nemen (artikel 9) die voorziet in gelijke maximumboetes, ongeacht
of de verwerking van persoonsgegevens wordt beheerst door de (U)AVG of de Wpg en Wjsg.

6.3 Rechtsmiddelen gegevensbescherming

Vragenblok 31- VVD

De leden van de VVD-fractie vragen op welke manier niet-Nederlanders aanspraak kunnen
maken bij de AP. Kunnen mensen zonder verblijfsvergunning dit ook al doen?

De verordeningen kennen rechten op het terrein van de verwerking van persoonsgegevens
toe aan de personen van wie gegevens in de systemen worden verwerkt. Dit zijn bij
uitstek onderdanen van derde landen zonder verblijfsvergunning nu het bijvoorbeeld
gaat om inreis en uitreis voor kort verblijf Schengen (EES), een reisautorisatie voor
kort verblijf (Etias) of een visum voor onderdanen van derde landen (VIS). Hetzelfde
geldt voor signaleringen ten aanzien van een terugkeerbesluit, een inreisverbod of
een ongewenstverklaring (SIS). Alleen ten aanzien van signaleringen op het terrein
van politiële en justitiële samenwerking kunnen ook Unieburgers worden geraakt.

De toezichthoudende autoriteiten van de lidstaten hebben op grond van de verordeningen
taken gekregen op het terrein van bijstand en ondersteuning. Dit geldt dus ook voor
de Autoriteit Persoonsgegevens.

De Autoriteit Persoonsgegevens heeft desgevraagd aangegeven dat de wijze waarop niet-Nederlanders
hun rechten kunnen uitoefenen met betrekking tot het Schengen Informatiesysteem II
(SIS II) en het Visum Informatiesysteem (VIS) wordt toegelicht op de website van de
AP. Ook mensen zonder verblijfsvergunning kunnen dit doen.

In de toekomst zal dit dus ook voor de nieuwe systemen gaan gelden. Daarnaast geldt
dat personen op verschillende andere manieren worden gewezen op hun rechten. Bij afgifte
of weigering van een reisautorisatie wordt bijvoorbeeld tevens informatie verstrekt
over de rechten en procedures ten aanzien van de bescherming van persoonsgegevens.

7. Consultatie paragraaf

Vragenblok 32 – D66

De leden van de D66-fractie vragen of de regering nader kan onderbouwen waarom niet
is gekozen de rechter-commissaris aan te wijzen als centraal toegangspunt dat toegang
geeft tot de Europese informatiesystemen, zoals de AP aanbeveelt.

De EES-verordening, de Etias-verordening, de VIS-verordening, maar ook de Eurodac-verordening
geven bepaalde materiële en procedurele voorwaarden voor het raadplegen van het desbetreffende
informatiesysteem met het oog op de opsporing en vervolging van strafbare feiten.
Het centraal toegangspunt heeft tot taak het verifiëren of aan alle voorwaarden is
voldaan.

De regering staat voor dat de officier van justitie fungeert als centraal toegangspunt
en niet de rechter-commissaris. Hiervoor is het volgende van belang. De attributie
van strafvorderlijke bevoegdheden vindt plaats op basis van de ingrijpendheid van
de bevoegdheden – de inbreuk die toepassing van de bevoegdheid maakt op de rechten
van de betrokkene. Naargelang de mate van ingrijpendheid van de bevoegdheid toeneemt,
dient de uitoefening te worden voorbehouden aan een qua waarborgen voor kwaliteit,
onafhankelijkheid en onpartijdigheid beter toegerust orgaan. Hier hangt mee samen
dat bevoegdheden van vergelijkbare mate van ingrijpendheid zijn geattribueerd aan
hetzelfde orgaan. Gelet op de mate van ingrijpendheid van het raadplegen van de desbetreffende
informatiesystemen alsmede gelet op de verhouding tot andere strafvorderlijke bevoegdheden
meent de regering dat de officier van justitie als centraal toegangspunt passend is.

In reactie op het advies van de Autoriteit Persoonsgegevens is opgemerkt dat de verordeningen
niet vereisen dat de taak van centraal toegangspunt bij een rechter wordt belegd,
maar slechts vereisen dat de als centraal toegangspunt aangewezen autoriteit onafhankelijk
is ten opzichte van de autoriteiten waaraan toegang kan worden verleend tot de desbetreffende
informatiesystemen. Dit is met de officier van justitie als centraal toegangspunt
het geval. Conform het advies van de Raad van State bij het wetsvoorstel is in artikel
4, tweede lid, van het wetsvoorstel expliciet vastgelegd dat bij de uitoefening van
de taken en bevoegdheden, bedoeld in het eerste lid, de officier van justitie volledig
onafhankelijk optreedt ten opzichte van de in artikel 3 aangewezen autoriteiten, alsmede
van de officier van justitie die het gezag over die autoriteiten uitoefent.

Vragenblok 33 – D66

Daarnaast vragen de leden van de D66-fractie of de regering nader kan onderbouwen
waarom er (naast een invoeringstoets) geen evaluatiebepaling is opgenomen, zoals de
AP aanbeveelt.

Voor wat betreft het opnemen van een evaluatiebepaling geldt dat een zelfstandige
evaluatie van de voorgestelde uitvoeringswet niet noodzakelijk is gelet op de verschillende
algemene evaluatiebepalingen die al in de verordeningen zelf zijn opgenomen. Op grond
van deze bepalingen wordt de werking van de verordeningen waaronder de toepassing
van de betreffende verordening in de praktijk geëvalueerd en zijn de lidstaten verplicht
de daarvoor benodigde informatie aan te leveren. Gelet op het feit dat het wetsvoorstel
dient ter uitvoering van de betreffende EU-verordeningen, ligt het voor de hand deze
Europese evaluaties te volgen en indien nodig vervolgens het wetsvoorstel aan te passen
en niet het wetsvoorstel zelf te evalueren los van de werking van de verordeningen.

Ten aanzien van het uitvoeren van een invoeringstoets geldt dat voor de uitvoering
van een dergelijke toets geen wettelijke bepaling vereist is. Om die reden zal na
de inwerkingtreding van het wetsvoorstel het geldende kabinetsbeleid ten aanzien van
het uitvoering van een invoeringstoets dan ook gevolgd worden.

Vragenblok 34 – SP

De leden van de SP-fractie willen markeren dat het wetsvoorstel een forse impact heeft.
Tegelijk volgt deze wetgeving uit Europese verordeningen. Toch menen deze leden dat
er meer aandacht nodig is voor dit voorstel. Waarom heeft de regering de organisaties
die moeten gaan werken met deze gegevensbanken niet om een publieke reactie gevraagd?
En waarom zijn er geen niet-gouvernementele organisaties die actief zijn op het terrein
van gegevensbescherming benaderd voor input? De consultaties die nu meegezonden zijn
met het voorstel zijn in de ogen van deze leden wel erg beperkt gezien de reikwijdte
van het voorstel.

De organisaties die gaan werken met de verschillende systemen zijn niet om een publieke
reactie gevraagd omdat zij deelnemen in het voor de uitvoering van de verordeningen
opgezette programma grenzen en veiligheid. Waar de consultatie van een wetsvoorstel
een momentopname betreft van de standpunten van de betreffende organisaties, wordt
met het programma op doorlopende wijze de betrokkenheid van deze organisaties gewaarborgd.
Daarnaast geldt dat de verplichtingen die in de verordeningen zijn opgenomen waaronder
waarborgen op het terrein van gegevensbescherming al vastliggen en niet meer gewijzigd
kunnen worden. Op Europees niveau worden voorstellen voor Europese regelgeving geconsulteerd,
waarop een ieder kan reageren.

Vragenblok 35 – SP

Het is de leden van de SP-fractie opgevallen dat de Raad voor de Rechtspraak (Rvdr)
in haar advies zich beperkt tot de totstandkoming van Etias terwijl het voorstel veel
meer behelst. Heeft de RvdR aangegeven waarom ze deze beperking aanbrengt?

De Raad voor de Rechtspraak heeft opgemerkt geen aanleiding te zien tot het maken
van inhoudelijke opmerkingen maar wel gevolgen te zien voor de werklast van de Rechtspraak,
met name de bestuursrechtspraak. De Raad heeft niet aangegeven waarom deze beperking
is aangebracht. Dat neemt niet weg dat het voor de hand ligt dat de Raad naar de gevolgen
voor de werklast heeft gekeken van Etias, omdat op grond van de Etias-verordening
in combinatie met de voorgestelde Uitvoeringswet een nieuwe taak wordt ingevoerd op
grond waarvan besluiten tot afgifte of weigering van een reisautorisatie worden genomen.
Tegen deze besluiten staat bezwaar en beroep open. Het instellen van beroep heeft
gevolgen voor de werkbelasting van de gerechten. Bij de andere verordeningen speelt
dat niet op deze wijze omdat er daar sprake is van bestaande besluitvorming en rechtsbescherming.
Dit is tevens beschreven in de memorie van toelichting in de paragraaf over de gevolgen
voor de rechtspraak.

De Staatssecretaris van Justitie en Veiligheid,
E. van der Burg