Nr. 3 MEMORIE VAN TOELICHTING

De Schengengrenscode (hierna: SGC) bevat onder meer regels ten aanzien van het grenstoezicht op personen die de buitengrenzen van de lidstaten van de Europese Unie overschrijden. De belangrijkste bepalingen ten aanzien van de grenscontrole zijn in artikel 8, tweede lid, SGC opgenomen waar het gaat om de controle van personen die onder het Unierecht inzake het vrij verkeer vallen en artikel 8, derde lid, SGC waar het gaat om de controle van onderdanen van derde landen.

De SGC wordt met de invoering van het Entry Exit Systeem (hierna: EES)1 gewijzigd door verordening 2017/2225/EU2 (hierna: wijzigingsverordening SGC), omdat de invoering van het EES gevolgen zal hebben voor de grenscontrole. Met de wijziging van de SGC worden bepalingen toegevoegd over onder meer de zelfbedieningsloketten, e-gates en geautomatiseerde grenscontrolesystemen.3 De wijzigingsverordening SGC geeft daarover aan dat, omdat het aantal onderdanen van derde landen dat de grenzen overschrijdt, per lidstaat en binnen de lidstaten per grensdoorlaatpost verschilt, de lidstaten dienen te kunnen beslissen of en in hoeverre zij gebruik willen maken van technologische mogelijkheden zoals zelfbedieningsloketten, e-gates en geautomatiseerde grenscontrolesystemen (overweging 8 wijzigingsverordening SGC). In de wijzigingsverordening SGC is in artikel 8ter, negende lid, opgenomen dat het artikel onverlet laat dat lidstaten het gebruik van zelfbedieningssystemen, e-gates, of beide, kunnen toelaten voor grensoverschrijdingen van Unieburgers, van burgers van een Europese Vrijhandelsassociatie van de Europese Economische Ruimte, van Zwitserse burgers en van onderdanen van derde landen van wie de grensoverschrijding niet in het EES moet worden geregistreerd.

Bij de controle van de buitengrens op Schiphol maakt de Koninklijke Marechaussee (hierna: KMar) onder meer gebruik van het eerder genoemde SSPC-systeem. Bij de reiziger die wordt gecontroleerd met behulp van het SSPC-systeem wordt vastgesteld of de aanbieder van het reisdocument ook de rechtmatige houder van het document is en worden de controles bedoeld in artikel 8, tweede lid, onder a en b, SGC4 uitgevoerd. Deze identificatie en verificatie vindt plaats door de opgeslagen pasfoto op de chip van het reisdocument – middels een gezichtsherkenningstechniek – te vergelijken met een live foto die bij de grensdoorlaatpost wordt gegenereerd. Daarmee worden dus biometrische kenmerken vergeleken. Dat betreft een verwerking van biometrische persoonsgegevens met het oog op de unieke identificatie van de personen. Tevens wordt met behulp van een camera een «liveness detection» uitgevoerd. Door middel van deze detectie wordt beoordeeld of de reiziger die zich voor de camera bevindt ook daadwerkelijk een levend persoon is. Hiermee wordt voorkomen dat reizigers zich door middel van bijvoorbeeld een masker of een geprinte foto van een gezicht voordoen als iemand anders.

Voor de hierboven omschreven gegevensverwerking van biometrie is een grondslag vereist. Bij de ingebruikname van het SSPC-systeem in 2012 werden de gegevens verwerkt op grond van de Wet politiegegevens. Biometrische gegevens zoals de gelaatsscan werden bovendien onder Richtlijn 95/46/EG5 niet aangemerkt als bijzondere persoonsgegevens. Echter, onder de Algemene verordening gegevensbescherming (hierna: AVG) worden deze biometrische gegevens met het oog op de unieke identificatie van de personen wel aangemerkt als bijzondere persoonsgegevens.6 Sinds mei 2018 is de AVG in plaats van de Wet Politiegegevens op het SSPC-systeem van toepassing geworden. De verwerking van bijzondere persoonsgegevens is gelet op het bepaalde in artikel 9, eerste lid, AVG in beginsel verboden, tenzij een in het tweede lid genoemde uitzonderingsgrond van toepassing is. Er is zowel in het Unierecht als het lidstatelijk recht geen afdoende grondslag die de verwerking van deze bijzondere persoonsgegevens mogelijk maakt. Het wetsvoorstel regelt een dergelijke uitzondering als bedoeld in artikel 9, tweede lid, aanhef en onder g, Algemene verordening gegevensbescherming.

Met de invoering van het Entry Exit Systeem zal voor derdelanders die voor een kort verblijf worden toegelaten uit de artikelen 14, 15 en 16 EES Verordening en artikel 8ter van de wijzigingsverordening SGC een grondslag volgen voor de verwerking van biometrische gegevens die noodzakelijk is met het oog op de unieke identificatie en verificatie van de identiteit ten behoeve van grenscontrole als bedoeld in artikel 8 SGC door middel van een geautomatiseerd grenscontrole systeem. Het EES is namelijk een systeem dat onder meer als doel heeft om grenscontroles doeltreffender te maken door bij de inreis en de uitreis van onderdanen van derde landen die voor een kort verblijf worden toegelaten, de duur van het toegestane verblijf te berekenen en te controleren en de automatisering van grenscontroles voor onderdanen van derde landen mogelijk te maken. Het EES is erop gericht om het laten afstempelen bij inreis en uitreis van reisdocumenten van onderdanen uit derde landen die zijn toegelaten voor een kort verblijf af te schaffen, en deze regeling te vervangen door de rechtstreekse elektronische registratie van de inreis en uitreis in EES.7 Tot de inwerkingtreding van de EES Verordening8 en de wijzigingsverordening SGC zal ook deze groep reizigers onder het bereik van dit wetsvoorstel vallen.

Voor onderdanen van derde landen van wie de grensoverschrijding niet in het EES moet worden geregistreerd geldt dat ook na inwerkingtreding van de wijzigingsverordening VIS9, die de SGC op het punt van de grenspassage wijzigt, een dergelijke grondslag niet uit de verordening volgt. De gewijzigde SGC bepaalt slechts dat de identiteit van derdelanders die over een visum voor verblijf van langere duur of een verblijfsvergunning beschikken wordt gecontroleerd door het Visa Informatie Systeem (VIS) te consulteren in overeenstemming met artikel 22g Verordening (EG) nr. 767/200810. In de SGC wordt niet expliciet geregeld hoe deze reisdocumenten dienen te worden gecontroleerd bij de eerstelijnscontrole. Gelet op de mogelijkheid om in de eerstelijnscontrole te controleren bij een balie waar manuele controles worden uitgevoerd, zonder dat daarbij een gelaatsscan van de reiziger wordt gemaakt, wordt niet voldaan aan de eisen als bedoeld in artikel 9, tweede lid, onder g, AVG. Voor de in dit artikellid opgenomen uitzondering op het verbod om (onder andere) biometrische gegevens te verwerken, dient de verwerking namelijk noodzakelijk te zijn om redenen van zwaarwegend algemeen belang, op grond van Unierecht of lidstatelijk recht, waarbij de evenredigheid met het nagestreefde doel wordt gewaarborgd, de wezenlijke inhoud van het recht op bescherming van persoonsgegevens wordt geëerbiedigd en passende en specifieke maatregelen worden getroffen ter bescherming van de grondrechten en de fundamentele belangen van de betrokkene.

Voor grensoverschrijdingen van Unieburgers, van burgers van een Europese Vrijhandelsassociatie van de Europese Economische Ruimte en van Zwitserse burgers, bepaalt artikel 8, tweede lid, SGC dat personen die onder het Unierecht inzake vrij verkeer vallen bij binnenkomst en bij uitreis worden gecontroleerd op basis van overgelegde of getoonde reisdocumenten. Ook voor deze doelgroep wordt in de SGC niet expliciet geregeld hoe deze reisdocumenten dienen te worden gecontroleerd bij de eerstelijnscontrole. Gelet op de mogelijkheid om bij de eerstelijnscontrole te controleren bij een balie waar manuele controles worden uitgevoerd, zonder dat daarbij een gelaatsscan van de reiziger wordt gemaakt, wordt ook met artikel 8, tweede lid, SGC niet voldaan aan artikel 9, tweede lid, onder g, AVG.

Nederland is binnen de Europese kaders voor uitvoering van de grensbewaking vrij in de keus om de grenscontrole van onderdanen van derde landen van wie de grensoverschrijding niet in het EES moet worden geregistreerd, Unieburgers, burgers van een Europese Vrijhandelsassociatie van de Europese Economische Ruimte, Zwitserse burgers door middel van technologische mogelijkheden zoals zelfbedieningsloketten, e-gates en geautomatiseerde grenscontrolesystemen te regelen. Verschillende lidstaten hebben deze optie in het nationale recht vastgelegd. Onder andere Duitsland, Frankrijk, Oostenrijk en Finland hebben vergelijkbare e-gates en hebben de bevoegdheid in nationale wetgeving geregeld.

Voor zover uit verordeningen geen rechtstreekse grondslag volgt voor de verwerking van biometrische gegevens met het oog op de unieke identificatie en verificatie van de identiteit ten behoeve van grenscontrole als bedoeld in artikel 8 SGC door middel van een geautomatiseerd grenscontrolesysteem, kan deze verwerking op grond van artikel 9, tweede lid, onder g, AVG plaatsvinden wanneer deze noodzakelijk is om redenen van zwaarwegend algemeen belang.

Hoewel een handmatige controle aan een manuele balie volstaat om de unieke identificatie en verificatie van de identiteit uit te voeren, is het gezien de groei in reizigersaantallen11 niet langer uitvoerbaar om alle reizigers handmatig af te handelen, met name op piekmomenten. Het SSPC-systeem stelt de KMar in staat capaciteit aanzienlijk efficiënter in te zetten, doordat één grenswachter direct toezicht kan houden op de controles in zes e-gates, terwijl de andere grenswachter op de monitor meekijkt op eventuele andere relevante omstandigheden rondom de grensdoorlaatposten, zoals gedrag in de rij. Daarentegen moeten zes manuele balies door evenzoveel grenswachten bemand worden. Het ruimtebeslag van zes manuele balies is eveneens groter dan één cluster van zes e-gates. Er is onvoldoende ruimte om zoveel manuele balies te plaatsen dat op piekmomenten de reizigersstroom zonder het SSPC-systeem afgehandeld kan worden. Door het gebruik van het SSPC-systeem kan de doorstroom van reizigers aanzienlijk worden verbeterd.

Het zwaarwegend algemeen belang is tevens gelegen in het feit dat een significant effectievere en efficiëntere uitvoering van de grenscontrole en -bewaking plaatsvindt bij geautomatiseerde grenscontrole, waardoor de nationale veiligheid beter wordt beschermd. Geautomatiseerde grenscontrole heeft de meerwaarde dat sprake is van een wisselwerking tussen techniek en grenswachter. Hoewel grenswachters van de KMar zo goed mogelijk worden opgeleid en naar eer en geweten hun werk doen, bestaan bij een menselijke controle van reizigers en documenten altijd factoren als vermoeidheid, afleiding en persoonlijke achtergrond. Die factoren zijn bij controle door de e-gates logischerwijs niet aanwezig, terwijl de grenswachter vanuit diens waarneming, ervaring en opleiding ook steeds toezicht houdt op de grenspassages, de e-gates indien nodig kan overrulen en bij weigeringen of hits altijd nog een manuele controle uitvoert. De grenspassage middels het SSPC-systeem combineert daardoor de voordelen van geautomatiseerde en menselijke controle, terwijl controle bij de manuele balie alleen dat laatste bevat en daardoor redelijkerwijs minder effectief is.

Daarnaast zou zonder grondslag de situatie kunnen ontstaan dat onderdanen van derde landen wel kunnen profiteren van de voordelen van een geautomatiseerd grensproces en personen die onder het vrij verkeer van de Europese Unie vallen niet. Overigens blijft het ook mogelijk dat mensen gebruik maken van de mogelijkheid om de grens te passeren langs de manuele balie indien zij daar een voorkeur voor hebben. Gelet op de ervaring tot nu toe is dit een zodanig klein percentage dat ook met de huidige en te verwachten reizigersaantallen het uitvoerbaar is om dit kleine deel van de gehele reizigerspopulatie via de manuele balie te bedienen.

Een belangrijk uitgangspunt is dat wettelijk wordt vastgelegd dat de biometrische gegevens van personen die zonder complicaties kunnen passeren slechts voor een zeer beperkte periode van maximaal 24 uur (zie de nadere toelichting in paragraaf 3.3) kunnen worden bewaard. Gelet op de beperkte inbreuk op de privacy (vrije keuze, korte bewaartermijn, doelbinding, alleen toegang door gescreende KMar-medewerkers) afgezet tegen de zwaarwegende maatschappelijke belangen bij het gebruik van SSPC, is het gebruik van biometrische gegevens proportioneel voor het te behalen doel.

Voor de overgrote meerderheid van de personen die gebruik maken van de e-gates zal er geen sprake zijn van een hit met een opsporingsregister (de zogeheten «happy flow»). Met name voor deze groep is het van groot belang dat hun persoonsgegevens slechts voor een zeer beperkte periode worden opgeslagen. Deze gegevens worden binnen 24 uur onomkeerbaar verwijderd. Ook indien er wel sprake is van een hit, en er dus een match is met een opsporingsregister, mogen persoonsgegevens maximaal 24 uur worden bewaard indien een grenswachter na controle bij de manuele balie besluit dat de reiziger zijn reis alsnog mag vervolgen. De termijn van 24 uur komt voort uit de huidige bewaartermijn van het SSPC-systeem. Deze termijn is noodzakelijk om te controleren of een reiziger binnen 24 uur meer dan twee keer gebruik maakt van een e-gate. Bij de derde grenspassage zal in uitvoering van de grensbewakingstaak door de KMar worden nagegaan waarom een reiziger op één dag drie keer de(zelfde) grens wil passeren. Om te kunnen vaststellen of iemand meer dan twee keer de grens passeert zijn de paspoortgegevens en de live foto nodig om vast te kunnen stellen of het dezelfde persoon betreft. Die gegevens zullen dus 24 uur in herleidbare vorm moeten worden bewaard ten behoeve van, kort gezegd, de grensbewakingstaak. Een bewaartermijn van 24 uur na grenspassage wordt derhalve redelijk geacht.

Tevens moet het mogelijk zijn om ook na de grenspassage reizigers te kunnen identificeren zolang zij zich nog redelijkerwijs op de luchthaven kunnen bevinden. Een dergelijke identificatie kan bijvoorbeeld wenselijk worden geacht wanneer Schipholmedewerkers, KMar-medewerkers of cameratoezichthouders constateren dat een reiziger na het passeren van de grenspassage al dan niet vrijwillig zijn paspoort aan een derde overhandigt. Een termijn van 24 uur tussen grenspassage en boarding wordt daarvoor een redelijke termijn geacht.

De 24 uurs bewaartermijn ten aanzien van de livefoto is voorts noodzakelijk om te kunnen handelen indien nader onderzoek nodig is om te controleren of misbruik van de e-gates wordt gemaakt. Indien bijvoorbeeld gebruik wordt gemaakt van andermans paspoort, is het noodzakelijk om de live-foto met het paspoort te kunnen vergelijken. Zoals hierboven is beschreven, is er bij gebruik van het SSPC-systeem één grenswachter die toezicht houdt op zes e-gates en er is dus geen sprake van een één op één beoordeling van de grenswachter zoals bij de manuele balie. Bij incidenten is het dus noodzakelijk dat kan worden teruggehaald wie met het paspoort in de e-gate heeft gestaan.

Het is verder mogelijk dat de grenswachter bij een hit met een opsporingsregister de gegevens markeert als «bewaren». Deze gegevensverwerkingen in het kader van de bestrijding van strafbare feiten en bescherming van de openbare veiligheid tegen gevaren vallen op grond van artikel 2, tweede lid, onderdeel d, AVG buiten de reikwijdte van de verordening. Daarnaast is het ook mogelijk dat de gegevens na de grenspassage verwerkt worden in het kader van opsporingstaken wanneer pas na de grenspassage aanleiding wordt gevonden om over te gaan tot opsporing. In Nederland worden die typen gegevensverwerkingen gereguleerd door de Wet politiegegevens en Wet op de inlichtingen- en veiligheidsdiensten 2017 (Wiv)14. Deze gegevens worden dan in overeenstemming met de in deze wetten voorgeschreven bewaartermijn bewaard. De grenswachter heeft in een dergelijk geval echter wel een redelijke termijn nodig om de hit te beoordelen en de livefoto veilig te stellen. Ook hiervoor is de termijn van 24 uur nodig. Aangezien er geen automatische koppeling bestaat tussen het SSPC en het systeem waarin onder de Wpg het strafvorderlijk onderzoek moet worden uitgevoerd, dienen deze gegevens handmatig te worden overgebracht naar het juiste systeem. Het is dan in het kader van zowel opsporing als directe veiligheid op de luchthaven cruciaal om voor een redelijke termijn, waarbinnen de reiziger zich redelijkerwijs nog op de luchthaven kan bevinden, tevens een livefoto van deze persoon in bezit te hebben, gezien het mogelijk gebruik van een ander of vals document of een veranderd uiterlijk waardoor de reiziger niet meer getraceerd kan worden.

Het is mogelijk dat minderjarigen gebruik maken van het SSPC-systeem. Op dit moment is de minimale leeftijd voor dit gebruik 16 jaar. Het verwerken van biometrie van minderjarigen is door de AVG niet uitgesloten. Wel weegt de proportionaliteitstoets zwaarder. Bij geautomatiseerde grenscontrole krijgt de grenswachter een melding op het scherm wanneer een minderjarige gebruik maakt van het SSPC-systeem. De grenswachter besteedt bijzondere aandacht aan al dan niet begeleide minderjarigen.15 Het uitgangspunt is dat alle minderjarigen moeten worden behandeld in overeenstemming met het beginsel van het «belang van het kind» tijdens grensprocedures. Hierbij speelt een belangrijke rol dat moet worden voorkomen dat kinderen worden ontvoerd of onrechtmatig in- of uitreizen.16 De grenswachter observeert de minderjarige reiziger en kan bij verdachte omstandigheden besluiten de minderjarige en zijn begeleiding nader te controleren. Daarbij dient ook te worden meegewogen dat kinderen vanaf 16 jaar alleen mogen reizen, de informatievoorziening over SSPC op de banners en van de floorwalkers op de luchthaven redelijkerwijs kunnen begrijpen en dat de biometrie voor geen enkel ander doeleinde dan de identificatie en verificatie van de identiteit ten behoeve van grenscontrole als bedoeld in artikel 8 SGC wordt gebruikt.

Gelet op de hierboven beschreven noodzaak voor het gebruik van geautomatiseerde grenscontrole tijdens piekdrukte, en het gegeven dat piekdrukte met name ontstaat in vakantieperioden en weekenden wanneer gezinnen en scholieren vliegen, is het noodzakelijk om gebruik te kunnen maken van geautomatiseerde grenspassage. Kinderen worden immers bij grenscontroles niet van hun ouders gescheiden. Het uitsluiten van alle minderjarigen bij SSPC, zou dus betekenen dat elk gezin met kinderen langs de manuele balie moet. Tevens zullen met name in perioden van piekdrukte veel scholieren in de categorie van zestien jaar en ouder alleen reizen. Het maatschappelijk belang bij een deugdelijke grenscontrole en veilige situatie rondom de grens, en de eerdergenoemde voordelen die het SSPC-systeem daarbij biedt, maken verwerking van biometrie van kinderen vanaf 16 jaar een proportioneel middel.

De grondslag voor de verwerking van bijzondere persoonsgegevens in het kader van dit voorstel is de uitzonderingsgrond als bedoeld in artikel 9, tweede lid, onder g, AVG: «noodzakelijk om redenen van zwaarwegend algemeen belang». Zowel de AP als de ACVZ verzoekt om een nadere onderbouwing van het zwaarwegend belang van het gebruik van geautomatiseerde grenscontrole. In reactie op het advies van de AP is in paragraaf 3.1. nader toegelicht op welke wijze het SSPC-systeem bijdraagt aan een significant effectievere en efficiëntere uitvoering van de grenscontrole en -bewaking. Voor zover de ACVZ bedoelt dat voor een-op-een authenticatie geen verwerking van de biometrie noodzakelijk is, wordt dit niet gevolgd. De gelaatsscan en «liveness detection» moeten worden verwerkt ten behoeve van de identificatie en verificatie, zoals nader is toegelicht in paragraaf 3.2.

Voor zover de ACVZ betoogt dat gebruik gemaakt kan worden van de vingerafdruk, geldt dat ook deze informatie als een bijzonder persoonsgegeven wordt aangemerkt, waarvoor dezelfde waarborgen gelden als voor de gelaatsscan. Daarnaast is een selfservice grenspassage door middel van checks van vingerafdrukken minder efficiënt dan via gezichtsvergelijking, omdat de grenswachter nu live digitaal meekijkt met de gezichtsvergelijking in de e-gates en die ook kan overrulen wanneer iemand bijvoorbeeld ten onrechte niet wordt doorgelaten. Met vingerafdrukken kan dat niet, immers een grenswachter kan redelijkerwijs niet goed een geautomatiseerde vergelijking van vingerafdrukken met het blote oog checken. Bovendien zal de grenswachter het uit de aard der zaak eerder opmerken indien reizigers zich bij gezichtsherkenning trachten voor te doen als iemand anders. In lijn met de controles die worden uitgevoerd op basis van een grondslag in diverse verordeningen, wordt derhalve gekozen voor identificatie aan de hand van een gelaatsscan. Het is in al deze gevallen proportioneel om een gelaatsscan en «liveness detection» uit te voeren ten behoeve van elektronische grenscontrole ter identificatie en verificatie.