Ο EDPS κρούει τον κώδωνα για το νέο πλαίσιο της Europol και ζητά αυστηρά όρια στη συλλογή και διατήρηση δεδομένων πολιτών, στη χρήση βιομετρικών στοιχείων και στην πρόσβαση τρίτων στα συστήματά της
Δεν χρειάζεται να είσαι ύποπτος, κατηγορούμενος ή να έχεις οποιαδήποτε αποδεδειγμένη σχέση με εγκληματική δραστηριότητα για να βρεθούν προσωπικά δεδομένα σου μέσα σε έναν μεγάλο όγκο πληροφοριών που επεξεργάζεται η Europol. Αυτό ακριβώς είναι το σενάριο που ανησυχεί τον Ευρωπαίο Επόπτη Προστασίας Δεδομένων (EDPS) και τον οδηγεί σε μια ιδιαίτερα αυστηρή παρέμβαση απέναντι στο νέο κανονιστικό πλαίσιο που προτείνει η Ευρωπαϊκή Επιτροπή για την ευρωπαϊκή αστυνομική υπηρεσία.
Η συζήτηση αφορά προς το παρόν πρόταση νέου Κανονισμού και όχι ήδη ισχύον νέο καθεστώς. Η Επιτροπή παρουσίασε στις 24 Ιουνίου 2026 την πρότασή της για σημαντική ενίσχυση της Europol, με στόχο να μετατραπεί ακόμη περισσότερο σε κεντρικό κόμβο πληροφοριών, επιχειρησιακής συνεργασίας, τεχνολογίας και καινοτομίας για τις αστυνομικές αρχές των κρατών-μελών.
Ο EDPS δεν αμφισβητεί την ανάγκη ενίσχυσης της Europol απέναντι στο οργανωμένο και τεχνολογικά εξελιγμένο διασυνοριακό έγκλημα. Βάζει όμως στο τραπέζι ένα πολύ διαφορετικό ερώτημα: Πόσο μακριά μπορεί να φτάσει η αστυνομική επεξεργασία δεδομένων όταν στο σύστημα μπαίνουν πλέον πληροφορίες ανθρώπων για τους οποίους δεν έχει διαπιστωθεί καμία σχέση με εγκληματική έρευνα;
Από την εξαίρεση στον κανόνα
Με το σημερινό πλαίσιο, η δυνατότητα της Europol να επεξεργάζεται δεδομένα προσώπων τα οποία δεν ανήκουν στις προβλεπόμενες κατηγορίες, όπως ύποπτοι, καταδικασθέντες, μάρτυρες, θύματα, συνεργοί ή πληροφοριοδότες, λειτουργεί υπό συγκεκριμένες προϋποθέσεις και ως εξαίρεση. Με τη νέα πρόταση, κατά τον Επόπτη, αυτή η εξαίρεση κινδυνεύει να μετατραπεί σε τακτική δραστηριότητα. Και αυτό είναι το σημείο που αφορά πολύ περισσότερους πολίτες από όσους θα περίμενε κανείς.
Η νέα ρύθμιση θα επέτρεπε στην Europol να επεξεργάζεται μεγάλους, μη δομημένους όγκους δεδομένων, στους οποίους μπορεί να περιλαμβάνονται πληροφορίες για πρόσωπα χωρίς εξακριβωμένη σύνδεση με εγκληματική δραστηριότητα. Ο EDPS προειδοποιεί ότι, στην παρούσα μορφή της πρότασης, τέτοια δεδομένα θα μπορούσαν να παραμένουν σε αστυνομικές βάσεις για εκτεταμένο και μη προσδιορισμένο χρονικό διάστημα, χωρίς τις εγγυήσεις που θεωρεί αναγκαίες.
Και δεδομένα από το διαδίκτυο ή ιδιωτικές εταιρείες
Το ζήτημα αποκτά ακόμη μεγαλύτερη διάσταση από την προέλευση των πληροφοριών.
Σύμφωνα με τη γνωμοδότηση, οι μεγάλοι όγκοι δεδομένων μπορούν να περιλαμβάνουν στοιχεία που προέρχονται από ιδιωτικούς φορείς ή έχουν συλλεχθεί από ανοικτές πηγές στο διαδίκτυο, το λεγόμενο OSINT. Ο EDPS επισημαίνει μάλιστα ότι η πρόταση δημιουργεί δυνατότητα επεξεργασίας ακόμη και δεδομένων προσώπων που δεν συνδέονται με κάποια εγκληματική έρευνα.
Σε διαφορετικό σημείο της γνωμοδότησης, ο Επόπτης στέκεται ειδικά στο άρθρο 96 της πρότασης, το οποίο επιτρέπει στην Europol να λαμβάνει προσωπικά δεδομένα απευθείας από ιδιωτικούς φορείς. Η διατύπωση είναι τόσο ευρεία ώστε, όπως σημειώνει, μπορεί να καταλαμβάνει οποιοδήποτε είδος προσωπικών δεδομένων, ακόμη και πληροφορίες που είχαν αρχικά συλλεχθεί για εμπορικούς σκοπούς, χωρίς να απαιτείται πάντοτε προηγούμενο αίτημα ή έγκριση εθνικής αρμόδιας αρχής. Για τον λόγο αυτό ζητεί οι περιπτώσεις αυτές να περιοριστούν σαφώς.
Βιομετρικά δεδομένα όχι «αυτόματα»
Μία δεύτερη κόκκινη γραμμή αφορά τα βιομετρικά δεδομένα. Η προτεινόμενη ρύθμιση προβλέπει τη δυνατότητα αναζήτησης στο αναλυτικό περιβάλλον της Europol με χρήση βιομετρικών στοιχείων για τη μοναδική ταυτοποίηση ενός φυσικού προσώπου. Ο EDPS θεωρεί προβληματικό το γεγονός ότι η διατύπωση θα μπορούσε να οδηγήσει στην εντύπωση πως μια τέτοια επεξεργασία θεωρείται εκ προοιμίου «απολύτως αναγκαία» για την καταπολέμηση των εγκλημάτων που εμπίπτουν στην αρμοδιότητα της Europol.
Η θέση του είναι σαφής: η αναγκαιότητα και η αναλογικότητα πρέπει να εξετάζονται υποχρεωτικά κατά περίπτωση κάθε φορά που χρησιμοποιούνται βιομετρικά δεδομένα για την ταυτοποίηση ενός προσώπου.
Ποιος θα μπορεί να βλέπει τα δεδομένα
Το νέο μοντέλο της Europol δεν διευρύνει μόνο τα δεδομένα που μπορούν να εισέρχονται στα συστήματά της. Διευρύνει και τις δυνατότητες πρόσβασης. Η πρόταση περιλαμβάνει μεταξύ άλλων το Europol cross-checking service, το αναλυτικό περιβάλλον της Europol, τον Police Shared Data Space και ένα νέο αυτοματοποιημένο σύστημα hit/no-hit, μέσω του οποίου άλλοι οργανισμοί και υπηρεσίες της Ένωσης θα μπορούν, όταν αυτό προβλέπεται από το ευρωπαϊκό δίκαιο, να ελέγχουν εάν υπάρχουν σχετικές πληροφορίες στα συστήματα της Europol.
Ο EDPS ζητά να προσδιοριστεί ποια δεδομένα θα περιλαμβάνονται σε αυτούς τους δείκτες και, κυρίως, να δημοσιοποιείται και να επικαιροποιείται ο κατάλογος των ευρωπαϊκών και εθνικών αρχών που αποκτούν πρόσβαση στα συστήματα.
Αν τα δεδομένα σου βρίσκονται εκεί, θα μπορείς να το μάθεις;
Η γνωμοδότηση φωτίζει ακόμη ένα πρακτικό πρόβλημα. Σε τεράστιους, μη δομημένους όγκους πληροφοριών, η ίδια η Europol μπορεί να μην είναι σε θέση να γνωρίζει εξαρχής ποια φυσικά πρόσωπα περιλαμβάνονται μέχρι τα δεδομένα να αναλυθούν και να κατηγοριοποιηθούν. Αυτό, όπως σημειώνει ο EDPS, μπορεί να επηρεάσει άμεσα και την άσκηση του δικαιώματος πρόσβασης του πολίτη στα δεδομένα που τον αφορούν.
Παράλληλα ζητεί να κατοχυρωθεί ρητά η δυνατότητα εποπτείας της επεξεργασίας δεδομένων από προσωπικό της Europol που δρα μέσα σε εθνικά ερευνητικά περιβάλλοντα, ώστε η εποπτεία να μη σταματά στα όρια των κεντρικών συστημάτων του οργανισμού.
Η Europol μεγαλώνει και ο EDPS ζητά περισσότερα «φρένα»
Η γνωμοδότηση της 11ης Αυγούστου καταλήγει σε 19 συγκεκριμένες συστάσεις. Μεταξύ άλλων, ο EDPS ζητά αυστηρό περιορισμό των περιπτώσεων στις οποίες μπορούν να χρησιμοποιούνται δεδομένα ανθρώπων χωρίς σχέση με εγκληματική δραστηριότητα, σαφή ανώτατα χρονικά όρια διατήρησής τους, συγκεκριμένα κριτήρια για το πότε η επεξεργασία θεωρείται «σχετική και αναγκαία», ισχυρότερη εποπτεία και καθαρές ευθύνες μεταξύ Europol και κρατών-μελών.
Ζητά επίσης αυξημένες εγγυήσεις κυβερνοασφάλειας, αξιολογήσεις κινδύνου, σχέδια επιχειρησιακής συνέχειας και ανάκαμψης από καταστροφές, ενημέρωση όλων των παρόχων δεδομένων σε περίπτωση παραβίασης και πρόσθετους ανθρώπινους και οικονομικούς πόρους για την εποπτεία μιας Europol με πολύ μεγαλύτερες δυνατότητες επεξεργασίας πληροφοριών.
Το διακύβευμα, επομένως, δεν είναι αν η Ευρώπη χρειάζεται ισχυρότερα εργαλεία απέναντι στο σοβαρό έγκλημα. Ο ίδιος ο EDPS αναγνωρίζει αυτή την ανάγκη. Το ερώτημα είναι ποια δεδομένα μπορεί να συγκεντρώνει μια ολοένα ισχυρότερη ευρωπαϊκή αστυνομική υπηρεσία, για πόσο χρόνο, από ποιες πηγές και με ποιον πραγματικό έλεγχο.
