Toezichthouder EDPS heeft Europol bevolen om oudere gegevens te verwijderen van personen die geen verband houden met een criminele activiteit. Persoonsgegevens zonder categorisering van gegevenssubjecten moeten nu binnen zes maanden worden vernietigd.

In het kader van zijn onderzoek heeft de EDPS Europol in september 2020 vermaand voor de voortdurende opslag van grote hoeveelheden gegevens zonder categorisering van gegevenssubjecten. Dat vormt volgens de toezichthouder een risico voor de grondrechten van individuen. Hoewel Europol sindsdien enkele maatregelen heeft genomen, heeft de internationale organisatie niet voldaan aan de verzoeken van de EDPS om een ​​passende bewaartermijn voor gegevens vast te stellen voor het filteren en extraheren van de persoonsgegevens die op grond van de Europol-verordening voor analyse zijn toegestaan. Dit betekent dat Europol deze gegevens langer dan nodig heeft bewaard en dat is in strijd met de beginselen van gegevensminimalisatie en opslagbeperking, zoals vastgelegd in de Europol-verordening.

Bewaartermijn van zes maanden
In het licht van het bovenstaande heeft de EDPS besloten gebruik te maken van zijn corrigerende bevoegdheden en een bewaartermijn van zes maanden op te leggen (om de persoonsgegevens te filteren en te extraheren). Datasets ouder dan 6 maanden die deze categorisering van betrokkenen niet hebben ondergaan, moeten worden gewist. Dit betekent dat Europol niet langer gegevens mag bewaren over mensen die niet in verband zijn gebracht met een misdrijf of criminele activiteit voor langere tijd zonder vaste termijn. De EDPS heeft Europol een termijn van 12 maanden toegekend om te voldoen aan het besluit voor de datasets die al waren ontvangen voordat dit besluit aan Europol werd meegedeeld.

Geen significante vooruitgang
Wojciech Wiewiórowski van EDPS: “Europol heeft een aantal van de gegevensbeschermingsrisico’s aangepakt die in het eerste onderzoek van de EDPS werden geïdentificeerd. Er is echter geen significante vooruitgang geboekt bij het aanpakken van de kernzorg dat Europol voortdurend persoonsgegevens over personen opslaat wanneer niet is vastgesteld dat de verwerking voldoet aan de beperkingen die zijn vastgelegd in de Europol-verordening. Een dergelijke verzameling en verwerking van gegevens kan een enorme hoeveelheid informatie opleveren, waarvan de precieze inhoud vaak onbekend is bij Europol tot het moment waarop deze wordt geanalyseerd en geëxtraheerd – een proces dat vaak jaren duurt.”
De EDPS zegt er alle vertrouwen in te hebben dat het bevel ervoor zal zorgen dat Europol zijn verplichtingen uit hoofde van de Europol-verordening nakomt, terwijl zijn operationele capaciteiten behouden blijven.