Het gebruik van biometrie in militaire missies: aanzet voor een studie van het juridisch kader
Door prof. dr. M.C. (Marten) Zwanenburg
1
1. Inleiding
Tijdens de politietrainingsmissie die de Nederlandse krijgsmacht van 2011 tot 2013 uitvoerde in Afghanistan, trainden Nederlandse militairen Afghaanse politiefunctionarissen. Biometrie werd door Afghaanse autoriteiten ingezet om rekruten te screenen en voor het volgen van agenten na hun opleiding. Voor Nederland was dit tracking and tracing systeem nuttig om informatie te vergaren over opgeleide agenten, en om agenten te volgen die door Nederlandse trainers waren opgeleid.2 Biometrie werd ook op een andere manier ingezet in Afghanistan, toen Nederland aanwezig was in de Afghaanse provincie Uruzgan. Sporen, waaronder vingerafdrukken, werden veiliggesteld op gevonden Improvised Explosive Devices (IEDs). Deze sporen werden vergeleken met biometrische gegevens die waren vastgelegd in een database met persoonsgegevens. Het verzamelen van die persoonsgegevens werd gedaan met biometrische scanapparatuur, die door Nederlandse militairen met name werd gebruikt in risicogebieden of op locaties waar zich mogelijk personen bevonden die betrokken waren bij IED-incidenten.3
Sinds het gebruik van biometrie in Afghanistan is deze technologie ook in andere missies ingezet, zoals in de MINUSMA missie in Mali of de anti-piraterij missie Atalanta.4 Binnen de krijgsmacht wordt het gezien als een belangrijke capaciteit voor de toekomst. Biometrie kan een grote bijdrage leveren aan het bereiken van operationele effecten, de veiligheid van het eigen personeel en de nationale veiligheid doordat de tegenstander niet langer anoniem kan blijven.5 De Nederlandse krijgsmacht is niet alleen een gebruiker van biometrie, maar speelt een voortrekkersrol op dit gebied binnen de NAVO. In 2012 zegde Nederland toe een project te leiden om improvised explosive devices (IEDs) te bestrijden, waarin biometrie een belangrijke rol speelde.6
Net als het gebruik van andere technologieën in militaire missies moet de inzet van biometrie plaatsvinden binnen de toepasselijke juridische randvoorwaarden. In de juridische literatuur is redelijk wat aandacht voor de regels die op het gebruik van biometrie in het algemeen van toepassing zijn. Tot nu toe is echter nauwelijks specifiek aandacht voor het juridisch kader dat geldt voor het gebruik van deze technologie in militaire missies die in het buitenland worden uitgevoerd, zoals de missie in Afghanistan waarnaar hierboven werd verwezen.
Dit artikel heeft als doel om een aanzet te doen voor het beschrijven van dat kader. Het gebruik van het woord 'aanzet' is welbewust: het is niet realistisch om in dit artikel een volledige en uitputtende beschrijving te geven. Dit is in de eerste plaats omdat het gaat om een groot aantal regels dat is neergelegd in een verscheidenheid aan instrumenten. Sommige van deze instrumenten zijn internationaalrechtelijk, zoals het Europees Verdrag voor de Rechten van de Mens (EVRM) maar ook het Humanitair Oorlogsrecht (HOR). Andere maken deel uit van nationaal recht. Daar komt bij dat ten aanzien van een aantal relevante instrumenten, of bepalingen daarin, geen consensus bestaat over de juiste interpretatie ervan. Dit geldt zeker voor de toepassing ervan in militaire missies. Dit artikel is dan ook bedoeld als het startpunt voor verder onderzoek. Het identificeert een aantal relevante instrumenten en bepalingen, bespreekt de toepassing daarvan op het gebruik van biometrie en (interpretatie-) vragen die dat oproept, en geeft mogelijke oplossingsrichtingen voor enkele van die vragen.
Het artikel is als volgt ingedeeld. In paragraaf 2 zal kort worden ingegaan op wat biometrie eigenlijk is. Paragraaf 3 bespreekt het gebruik van biometrie in militaire missies. Vervolgens worden in paragraaf 4 enkele algemene opmerkingen gemaakt over het juridisch kader voor het gebruik van biometrie in militaire missies. De paragrafen 5 tot en met 7 bespreken de rechtsbasis voor en rechtsregimes die van toepassing (kunnen) zijn op verschillende fases van de inzet van biometrie. Het betreft het vergaren van biometrische gegevens (paragraaf 5), het opslaan en bewaren van die gegevens (paragraaf 6) en tenslotte het delen van die gegevens (paragraaf 7). Het artikel sluit af met een conclusie.
2. Wat is biometrie
De NAVO-definitie van biometrie, die ook door de Nederlandse krijgsmacht wordt gebruikt, is 'the automated recognition of individuals based on their behaviourial and biological characteristics.' Biometrie maakt voor de herkenning van individuen gebruik van unieke fysieke, fysiologische of gedragskenmerken van personen.7 Hierbij gaat het onder andere om vingerafdrukken, de iris, kenmerken van het gezicht, stemherkenning en toetsaanslag. Deze kenmerken zijn uniek, waardoor ze uiterst geschikt zijn voor herkenning van een individu. Biometrie wordt doorgaans ingezet voor een van de twee volgende doelen. Het eerste doel is verificatie van de identiteit van een individu. Hierbij gaat het om een 'één-op-één' proces: een biometrisch kenmerk wordt ter plaatse gepresenteerd en vergeleken met een opgeslagen kopie van dat kenmerk. Op deze manier kan worden vastgesteld of iemand is wie hij claimt te zijn. Het tweede doel is biometrische identificatie. In dit geval gaat het om een 'één-op-meerderen' proces: een biometrisch kenmerk dat ter plaatse wordt gepresenteerd en dat wordt vergeleken met een set van kopieën van kenmerken van meerdere personen die in een database zijn opgeslagen. Wanneer het ter plaatse gepresenteerde kenmerk een 'match' oplevert met een van de kopieën in de database, kan worden vastgesteld wie de betreffende persoon is.
Om biometrische identificatie of verificatie uit te kunnen voeren is apparatuur nodig om biometrische kenmerken op te nemen, om deze op te kunnen slaan en om deze te kunnen vergelijken. Deze apparatuur wordt gebruikt in twee fases, te weten registratie en testen.8 Tijdens de registratie (enrolment) wordt een biometrisch kenmerk van een individu verzameld door een meetapparaat, meestal een biometrische sensor. Het systeem onttrekt informatie van dat kenmerk en maakt een zogeheten template: data die het biometrisch kenmerk representeren. Dit template, meestal 'master template' genoemd, wordt vervolgens opgeslagen. Tijdens het testen wordt biometrische meetapparatuur gebruikt om een biometrisch kenmerk af te nemen, op basis waarvan een nieuw template wordt gemaakt. Dit template wordt vervolgens vergeleken met een of meer 'master templates'. Dit proces heet 'matching'. Matching kan bestaan uit identificatie of verificatie. Het afnemen van een biometrisch kenmerk kan 'live' gebeuren, dat wil zeggen direct van een fysiek individu. In een dergelijk geval gaat het om een zogenaamd 'live' template. Maar een kenmerk kan ook worden afgenomen van een object (bijvoorbeeld een vingerafdruk op een IED) of uit een document (in geval een afbeelding van een biometrisch kenmerk in een document staat, in een computerbestand, etc.). Tenslotte kunnen sommige soorten biometrische kenmerken van een afstand worden afgenomen.
3. Biometrie in militaire missies
Biometrie is oorspronkelijk ontwikkeld voor gebruik in civiele toepassingen. Inmiddels is deze technologie niet meer weg te denken uit het dagelijks leven. Voorbeelden zijn het gebruik van vingerafdrukken voor het beveiligen van mobiele telefoons, het gebruik van irisscans op vliegvelden en het biometrische paspoort.
Gebruik van biometrie in militaire missies is van meer recente datum. Tegenstanders in deze missies zullen vaak proberen hun identiteit en hun activiteiten anoniem te houden. Zo kunnen ze opereren zonder dat hun vijand daarvan op de hoogte is. Om dit tegen te gaan en de gewenste effecten te bereiken is het van belang om de identiteit van personen en activiteiten te kunnen achterhalen. Biometrie is een belangrijk middel dat daaraan kan bijdragen. Het kent veel potentiële toepassingen binnen militaire missies. Deze toepassingen dienen allemaal het doel van verificatie of identificatie.9 Enkele voorbeelden zijn:
Biometrie kan worden gebruikt om toegang te verkrijgen tot compounds en andere militaire installaties. Zeker wordt gesteld dat de persoon die toegang wil krijgen degene is die hij claimt te zijn.
Een andere toepassing is bij het bestrijden van IEDs. Wanneer een IED wordt aangetroffen, kan deze worden onderzocht op vingerafdrukken of DNA (latente biometrische sporen). Wanneer een vingerafdruk of DNA wordt gevonden, kan deze worden gescand, opgeslagen, en worden vergeleken met vingerafdrukken of DNA die zijn opgenomen in een database. Wanneer er een match is met een vingerafdruk of DNA in de database, kan dit leiden tot de identificatie van een persoon die betrokken is geweest bij het maken, vervoeren of plaatsen van de IED en mogelijk van het netwerk waar hij of zij deel van uitmaakt. Dit is de toepassing waar het hierboven genoemde, door Nederland geleide, NAVO-project op zag.
Biometrie kan ook bijdragen aan piraterijbestrijding.10 Biometrische gegevens worden afgenomen van personen die worden verdacht van piraterij. Deze gegevens kunnen helpen bij het identificeren van deze personen en ze koppelen aan piraterij-incidenten, met name wanneer ze zich voordoen als iemand anders.
Dit zijn slechts enkele voorbeelden, er zijn veel meer mogelijke toepassingen voor biometrie in militaire operaties.11
In het kader van de NAVO is de afgelopen jaren doctrine ontwikkeld over het gebruik van biometrie in militaire operaties. Dit heeft geleid tot twee doctrinedocumenten. Het NATO Framework Concept of Biometrics in Support of Operations (MCM 0050-2012) werd in 2012 aangenomen. Dit document beschrijft wat biometrie is, onderzoekt opties voor gebruik ervan in militaire operaties en bevat een raamwerk voor verdere ontwikkeling van beleid, standaardisatie, doctrine en operatieconcepten. In 2016 zag de Allied intelligence Publication (AintP) 15 (countering Threat Anonymity: biometrics in Support of operations and intelligence) het licht. Dit document bouwt voort op het NATO Framework Concept. Het bevat strategische en operationele richtlijnenvoor het gebruik van biometrie ter ondersteuning van operaties en inlichtingenvergaring.
AintP-15 beschrijft onder andere de zogenaamde 'biometric cycle'. Deze cyclus beschrijft de verschillende fasen waaruit de inzet van biometrie in een operatie bestaat. Het volledige proces bestaat uit 11 stappen. In een vereenvoudigde weergave van dit proces gaat het om 7 stappen:12
1. Planning
2. Biometric Capture (vastleggen)
3. Matching
4. Sharing (delen)
5. BEI Analysis (analyse)
6. Decision/Action (besluit/actie)
11. Evaluation (evaluatie)
Niet alle toepassingen van biometrie in missies omvatten al deze fasen. Zo maken bijvoorbeeld delen en analyseren niet noodzakelijkerwijze deel uit van het gebruik van biometrie voor toegangscontrole.
Vanuit juridisch perspectief zijn met name het vastleggen, opslaan en bewaren, en het delen van biometrische gegevens van belang. In de volgende paragrafen zal daarom de nadruk worden gelegd op deze elementen.
4. Juridisch kader algemeen
Twee onderscheiden zijn van belang bij het beschrijven van het juridisch kader voor het gebruik van biometrie in missies. De eerste is het onderscheid tussen de rechtsbasis voor militair optreden aan de ene kant en het rechtsregime dat op dat optreden van toepassing is aan de andere kant. Militair optreden in een ander land zonder toestemming van dat land, waaronder het gebruik van biometrie, vormt in beginsel een inbreuk op de soevereiniteit van dat andere land. De rechtsbasis zorgt ervoor dat wat normaal een inbreuk zou vormen wordt gerechtvaardigd. Wanneer over de rechtsbasis voor militair optreden wordt gesproken heeft men vaak geweldgebruik in gedachten, maar ook voor militair optreden in een derde land zonder geweld is een rechtsbasis nodig.
Het rechtsregime betreft de regels die van toepassing zijn op het optreden. De belangrijkste, maar niet noodzakelijkerwijze de enige, rechtsregimes die van toepassing kunnen zijn tijdens missies zijn het humanitair oorlogsrecht (HOR) en de mensenrechten. Het HOR is formeel juridisch alleen van toepassing tijdens een gewapend conflict. De belangrijkste verdragen van het HOR zijn de vier Conventies van Genève van 1949 en de twee Aanvullende Protocollen bij die Conventies uit 1977. Nu deze verdragen stammen van voor de ontwikkeling van biometrie bevatten ze geen regels die dat onderwerp expliciet regelen. Wel bevatten ze regels die gevolgen hebben voor de manier waarop biometrie kan worden ingezet in militaire operaties. Deze regels worden verderop in meer detail besproken. Belangrijke mensenrechtenverdragen waar Nederland partij bij is en die relevant zijn voor biometrie zijn het Internationaal Verdrag inzake de Burgerlijke en Politieke Rechten (BUPO-verdrag) en het Europees Verdrag tot bescherming van de Rechten van de Mens en de Fundamentele Vrijheden (EVRM). In tegenstelling tot het HOR gelden deze verdragen zowel in vredes- als in oorlogstijd. Dat wil niet zeggen dat ze altijd van toepassing zijn tijdens missies. Dit komt onder meer doordat hun geografische reikwijdte in beginsel beperkt is tot het eigen grondgebied van de betreffende staat. Toepasselijkheid van deze verdragen buiten het eigen grondgebied is alleen aan de orde in bepaalde situaties. Hoewel er discussie is over welke situaties dit betreft, bestaat steeds meer overeenstemming dat dit het geval is wanneer een staat effectieve controle uitoefent over grondgebied en wanneer personen die handelen namens de staat controle uitoefenen over een persoon.
In deze bijdrage zal voor wat betreft mensenrechtenverdragen uitsluitend worden gekeken naar het EVRM. Deze keuze is gemaakt om de omvang van het artikel te kunnen beperken. Het EVRM is voor Nederland een belangrijk mensenrechtenverdrag, onder meer vanwege het feit dat er een individueel klachtrecht bestaat, dat het mogelijk maakt dat individuen een klacht kunnen indienen tegen een staat bij het Europees Hof voor Rechten van de Mens (EHRM) en vanwege de zeer uitgebreide jurisprudentie van dat Hof.
Een tweede onderscheid dat van belang is, is dat tussen internationaal recht en nationaal recht. Het internationaal recht bestaat uit geschreven en ongeschreven regels die de onderlinge relaties tussen (primair) staten en internationale organisaties beheersen.13 Nationaal recht bestaat uit die regels die door een specifiek land zijn uitgevaardigd. Hoewel die regels meestal primair van toepassing zijn in het betreffende land zelf, kunnen ze ook daarbuiten van toepassing zijn. Zo is bijvoorbeeld het Nederlands Wetboek van Strafrecht van toepassing op de Nederlandse militairen waar zij zich ook bevinden.14 In het geval van een Nederlandse bijdrage aan militaire missies in een ander land, is primair van belang het Nederlands nationaal recht. Daarnaast is van belang het nationaal recht van de staat waar de missie wordt uitgevoerd, ook wel 'het gastland' genoemd.
In theorie kan een duidelijk onderscheid worden gemaakt tussen toepassing van nationaal en internationaal recht. In de praktijk bestaat echter een wisselwerking tussen de twee. Een instrument van internationaal recht kan bijvoorbeeld rechtstreekse werking hebben in het nationaal recht. Een relevant voorbeeld is de Algemene Verordening Gegevensbescherming (AVG).15 Dit is een instrument van EU-recht, dat naar zijn aard rechtstreeks doorwerkt in de Nederlandse rechtsorde. Toch heeft de Nederlandse wetgever nationale regelgeving aangenomen, de Uitvoeringswet Algemene Verordening Gegevensbescherming, die bepaalde zaken uit de AVG verder invult.
Hieronder zal het recht dat ziet op gegevensbescherming worden besproken als een apart rechtsregime, omdat dit bijdraagt aan een duidelijke structuur van het artikel en omdat het doorgaans als apart rechtsregime wordt behandeld. Daarbij moet wel in gedachten worden gehouden dat dit recht grotendeels een nadere invulling vormt van de mensenrechten, het recht op privacy in het bijzonder.16 In deze zin vormt het recht inzake gegevensbescherming niet een rechtsregime dat los staat van de mensenrechten.
5. Verzamelen van biometrische gegevens
5.1 Rechtsbasis
Het door militairen verzamelen van biometrische gegevens van personen in een ander land vormt een inbreuk op de soevereiniteit van dat land is en daarom in beginsel niet toegestaan. Dit heeft niet zozeer te maken met het verzamelen zelf maar met het feit dat dit door militairen wordt gedaan. Het optreden van militairen is bij uitstek een uitoefening van overheidsgezag, en is op het grondgebied van een staat daarom in beginsel voorbehouden aan de autoriteiten van die staat zelf. Optreden van militairen in een ander land is alleen rechtmatig wanneer er een rechtsbasis is voor dat optreden. Er zijn in beginsel drie mogelijke rechtsbases voor militair optreden in een ander land. Dit zijn:
-
Toestemming van het gastland
-
Nationale zelfverdediging zoals vastgelegd in artikel 51 van het Handvest van de Verenigde Naties (VN)
-
Een resolutie van de VN Veiligheidsraad op grond van hoofdstuk VII van het VN Handvest
Wanneer een van deze rechtsbases aanwezig is, zal deze normaal gesproken niet expliciet verwijzen naar het verzamelen van biometrische gegevens. Een VN Veiligheidsraad resolutie die militair optreden autoriseert bijvoorbeeld gaat normaal gesproken niet in op alle specifieke modaliteiten van dat optreden. Een voorbeeld vormen de resoluties die ten grondslag lagen aan de ISAF-missie. Deze beschreven in algemene bewoordingen de doelstellingen van de missie en gaven de missie de bevoegdheid om 'all necessary measures' te nemen om het mandaat uit te voeren. Of het verzamelen van biometrische gegevens door ISAF was gerechtvaardigd, was daarom afhankelijk van de vraag of dit een noodzakelijke maatregel was om het ISAF-mandaat uit te voeren.
Een soortgelijke noodzakelijkheidstoets geldt in geval de rechtsbasis door militair optreden wordt gevormd door het recht op zelfverdediging. Dat recht biedt immers de rechtvaardiging voor het nemen van die maatregelen die noodzakelijk en proportioneel zijn om een gewapende aanval te stoppen.
Wanneer de toestemming van het gastland de rechtsbasis vormt voor militair optreden, zal deze toestemming het mogelijk maken om biometrische gegevens te verzamelen wanneer dit binnen de reikwijdte van de gegeven toestemming valt. Aangezien toestemming door een gastland vaak in algemene termen wordt gegeven, is het zaak vast te stellen of het gebruik van biometrie in een specifiek geval is inbegrepen. Bij twijfel daarover is voorzichtigheid geboden, omdat het gaat om iets wat in beginsel een inbreuk vormt op de soevereiniteit van de gastland.
Naast bovengenoemde rechtsbases kan een rechtsbasis voor het verzamelen van biometrische gegevens ook voortvloeien uit een verdrag. Zo kan bijvoorbeeld worden beargumenteerd dat het VN Zeerechtverdrag impliciet een rechtsbasis biedt in het kader van piraterijbestrijding. Artikel 105 van dit verdrag machtigt iedere staat om een piratenschip of een schip dat door piraten of kapers is overmeesterd in beslag te nemen, de personen aan boord te arresteren en de goederen aan boord in beslag nemen. Het artikel bepaalt dat de gerechten van de Staat die de inbeslagneming heeft uitgevoerd, kunnen beslissen over de op te leggen straffen. Dit impliceert dat het strafrecht en de strafvordelijke regels van die staat worden toegepast ten aanzien van verdachten van piraterij, ook waar het gaat om het afnemen van biometrische gegevens. Artikel 105 VN en 110 Zeerechtverdrag maken het mogelijk om deze regels toe te passen aan boord van een schip dat onder andere vlag vaart, zonder dat daarmee inbreuk wordt gemaakt op het beginsel dat de vlagstaat op volle zee exclusieve rechtsmacht heeft aan boord van schepen die onder zijn vlag varen.
5.2 Rechtsregime
5.2.1 EVRM
Het EVRM bevat enkele relevante bepalingen voor het afnemen van biometrische gegevens. Wanneer dit niet vrijwillig gebeurt en de persoon is vastgenomen, is artikel 5 EVRM van belang. Dit artikel bepaalt dat iemand zijn vrijheid alleen mag worden ontnomen overeenkomstig een wettelijk voorgeschreven procedure en alleen voor bepaalde doelen. Het (uitsluitend) verzamelen van inlichtingen is niet een van die doelen.17
Bij het onder dwang verzamelen van biometrische gegevens zijn potentieel ook het verbod op foltering en onmenselijke of vernederende behandeling (artikel 3 EVRM) en het recht op eerbieding van privé-, familie- en gezinsleven (artikel 8 EVRM) in het geding. Het recht op privé-leven is een synoniem voor het recht op privacy.18 Door dit recht wordt onder andere de fysieke integriteit van een persoon beschermd.19 Als gevolg hiervan kan de wijze waarop biometrische gegevens worden verzameld mogelijk een schending van artikel 8 opleveren.
Artikel 8 ziet, naast de bescherming van de fysieke integriteit, onder andere ook op de bescherming van persoonsgegevens. De vraag is of artikel 8 EVRM op basis hiervan altijd van toepassing is op het afnemen van biometrische gegevens zonder instemming, ook wanneer geen sprake is van een inbreuk op de fysieke integriteit door de manier waarop dat gebeurt. Het EHRM heeft zich hier (nog) niet over uitgesproken. Sommige auteurs stellen dat dit wel het geval is, omdat het verzamelen van persoonsgegevens wordt gezien als een inmenging in privacy.20 Dit sluit onder andere aan bij de uitspraak van de Grote Kamer van het EHRM in de zaak Murray v. VK, waarin artikel 8 werd geacht van toepassing te zijn op het opnemen van persoonlijke gegevens.21 Volgens andere auteurs kan uit de jurisprudentie van het EHRM worden afgeleid dat biometrische gegevens niet automatisch onder de bescherming van artikel 8 vallen.22 Uit de jurisprudentie van het EHRM zou af te leiden zijn dat dit van geval tot geval moet worden beoordeeld. Wel zouden DNA, vingerafdrukken en stemherkenning in ieder geval onder het artikel vallen. Voor wat betreft DNA en vingerafdrukken kan dit in ieder geval worden afgeleid uit de recente uitspraak van een Kamer van het EHRM in de zaak Gaughran v. VK.23 In deze zaak oordeelde het Hof dat het bewaren van DNA, vingerafdrukken en een foto zonder adequate waarborgen in strijd was met artikel 8 EVRM. Als het bewaren van deze gegevens wordt gereguleerd door artikel 8, moet worden aangenomen dat dit ook geldt voor het afnemen daarvan. Uit de jurisprudentie van het EHRM kan ook worden afgeleid dat het afnemen van fysiek materiaal, zoals bij het afnemen van DNA, niet een vereiste is voor het van toepassing zijn van artikel 8. Het afnemen van vingerafdrukken omvat immers ook geen afname van fysiek materiaal.
Hoe dit ook zij, inmengingen in het recht neergelegd in artikel 8 EVRM zijn alleen toegestaan als zij aan drie voorwaarden voldoen. Ten eerste moeten ze bij wet zijn voorzien. Ten tweede moeten ze in een democratische samenleving noodzakelijk zijn. Tenslotte moeten ze in het belang van de nationale veiligheid, de openbare veiligheid of het economisch welzijn van het land, het voorkomen van wanordelijkheden en strafbare feiten, de bescherming van de gezondheid of de goede zeden of voor bescherming van de rechten en vrijheden van anderen zijn.
Over de eerste voorwaarde kan worden opgemerkt dat onder 'wet' ook de verschillende vormen van lagere wetgeving vallen.24 Deze wet moet toegankelijk en voorzienbaar zijn.25 Wanneer deze voorwaarde wordt toegepast op militaire operaties, is een eerste vraag die opkomt of 'wet' alleen ziet op nationale wetgeving, of dat hier ook internationale instrumenten onder kunnen vallen. Stel dat bijvoorbeeld de verklaring waarin een Staat toestemt dat militairen van een andere Staat optreden op zijn grondgebied expliciet verwijst naar de mogelijkheid biometrische gegevens te verzamelen, is dan voldaan aan de voorwaarde 'voorzien bij wet'? De jurisprudentie van het EHRM verwijst tot nu toe alleen naar nationale wetgeving,26 maar het Hof heeft dan ook nog niet te maken gehad met een zaak waarin de bevoegdheid tot inmenging in het privéleven was vastgelegd in een internationaalrechtelijk instrument. Dat is wel gebeurd in de context van artikel 5 EVRM. Dat artikel vereist dat niemand zijn vrijheid mag worden ontnomen, behalve overeenkomstig een wettelijk voorgeschreven procedure en in de gevallen genoemd in dat artikel. Het vereiste van een 'wettelijk voorgeschreven procedure' toont overeenkomsten met het vereiste van 'voorzien bij wet' in artikel 8. Ten aanzien van dat eerste vereiste heeft het EHRM in de zaak Medvedyev t. Frankrijk geaccepteerd dat een diplomatieke notawisseling in beginsel die wettelijke basis kan vormen.27 Een soortgelijk argument kan ook voor het vereiste in artikel 8 worden gemaakt. Als 'wet' toch uitsluitend verwijst naar nationale wetgeving, is de vraag in militaire operaties of dit ziet op de nationale wetgeving van de zendstaat, van de gaststaat, of wellicht van beide. Het meest voor de hand lijkt te liggen dat het daarbij (uitsluitend) gaat om de wetgeving van de zendstaat: dat is immers de staat die inbreuk maakt op het recht op privacy.
Bij de tweede voorwaarde gaat het om de redelijke balans die moet worden gevonden tussen de belangen van het individu en van de gemeenschap als geheel.28 Wat betreft de derde voorwaarde geldt dat de lijst van gerechtvaardigde belangen vrij breed is. Met name de nationale veiligheid, de openbare veiligheid en het voorkomen van strafbare feiten lijken voor de hand liggende redenen voor een militaire operatie om biometrische gegevens af te nemen.
Opgemerkt moet worden dat artikel 15 EVRM voorziet in de mogelijkheid dat een Staat die partij is bij het verdrag afwijkt van zijn verplichtingen daaronder in geval van tijd van oorlog of in geval van enig andere algemene noodtoestand die het bestaan van het land bedreigt. Dit wordt ook wel 'derogatie' genoemd. Derogatie is alleen toegestaan voor zover de ernst van de situatie deze maatregelen strikt vereist en op voorwaarde dat deze niet in strijd zijn met andere verplichtingen die voortvloeien uit het internationale recht. Artikel 15 (2) sluit bepaalde rechten uit van derogatie. Het verbod op foltering vastgelegd in artikel 3 is daar een van, maar de rechten neergelegd in artikelen 5 en 8 niet. Ook bestaat veel discussie over de vraag of derogeren ten aanzien van extraterritoriaal optreden van een partij bij het EVRM mogelijk is. De auteur is van mening dat dit in beginsel wel mogelijk is.29
5.2.2 Humanitair Oorlogsrecht
Het HOR bevat in artikel 17 van het derde Verdrag van Genève een bepaling die mogelijk relevant is voor het gebruik van biometrie. Volgens deze bepaling zijn krijgsgevangenen slechts gehouden hun geslachtsnaam, voornamen en rang, geboortedatum en leger- of stamboeknummer te geven. Hieruit lijkt te volgen dat zij niet mogen worden gedwongen om hun biometrische gegevens te laten vastleggen. Immers, artikel 17 bepaalt ook dat wanneer een krijgsgevangen de informatie die hij is gehouden te geven opzettelijk niet geeft, zijn voorrechten kunnen worden beperkt. De enige toegestane sanctie op het niet geven van de informatie is dus beperking van voorrechten, wat het onder dwang afgeven lijkt uit te sluiten.
Hier komt bij dat geen lichamelijke of geestelijke marteling, noch enige andere vorm van dwang, mag worden toegepast op krijgsgevangenen om van hen inlichtingen te verkrijgen van welke aard ook. Als onder 'inlichtingen' ook moet worden verstaan informatie over de identiteit van de gevangene, zou dit ook in de weg te staan dat krijgsgevangenen worden gedwongen hun biometrische gegevens te laten vastleggen.30
Het ICRC commentaar bij dit artikel noemt de mogelijkheid dat van biometrie gebruik wordt gemaakt alleen in verband met lid 5 van artikel 17, dat bepaalt dat de identiteit van krijgsgevangenen die uit hoofde van hun lichamelijke of geestelijke toestand niet in staat zijn zich te identificeren, zal worden vastgesteld met behulp van alle mogelijke middelen.31 Dit lijkt te impliceren dat deze mogelijkheid niet open staat in geval van gevangenen die wel in staat zijn hun identiteit te geven, ook wanneer ze kiezen dat niet te doen.
Artikel 31 van het vierde Verdrag van Genève bepaalt dat geen lichamelijke of morele dwang ten aanzien van burgers mag worden uitgeoefend, in het bijzonder met het doel om inlichtingen van hen of van derden te verkrijgen. Hieruit lijkt te volgen dat ook burgers niet kunnen worden gedwongen hun biometrische gegevens te laten afnemen.
Opgemerkt moet echter worden dat artikel 17 en artikel 31 geen expliciet verbod bevatten op het gebruik van biometrie, en dat deze artikelen zijn opgesteld voordat deze technologie beschikbaar was. Daarnaast kan worden beargumenteerd dat het gebruik van biometrie kan bijdragen aan het verwezenlijken van voorwerp en doel van het derde respectievelijk vierde Verdrag van Genève, te weten de bescherming van krijgsgevangenen en burgers. De praktijk van staten zal moeten uitwijzen welke interpretatie staten die partij zijn bij de verdragen geven aan deze artikelen in de context van het gebruik van biometrie.
Hoe dan ook is van belang dat artikel 17 van het derde en artikel 31 van het vierde Verdrag van Genève alleen van toepassing zijn tijdens internationale gewapende conflicten. Soortgelijke regels maken geen deel uit van het verdragsrecht dat niet-internationale gewapende conflicten reguleert. Ook lijken geen soortgelijke gewoonterechtelijke regels te bestaan die van toepassing zijn tijdens niet-internationale gewapende conflicten.32
5.2.3 Gegevensbescherming: AVG, de Uitvoeringswet AVG en de Regeling Gegevensbescherming Militaire Operaties
De eerder genoemde AVG en de Uitvoeringswet bevatten belangrijke bepalingen voor het verzamelen van biometrische gegevens.
De AVG gaat over het rechtmatig omgaan met persoonsgegevens.33 De bescherming van persoonsgegevens is technologieneutraal geformuleerd om niet afhankelijk te zijn van de gebruikte technologieën.34 De verordening is van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking, alsmede de verwerking van persoonsgegevens die in een bestand zijn opgenomen die bestemd zijn om daarin te worden opgenomen.35 Zoals hierboven bleek, definieert de NAVO biometrie als een geautomatiseerd proces, zodat voor zover biometrie gaat over persoonsgegevens dit valt onder de verordening.
Persoonsgegevens zijn in de verordening gedefinieerd als alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon.36 Hier vallen biometrische gegevens ook onder. Op basis van de AVG mogen persoonsgegevens alleen worden verwerkt in overeenstemming met de wet. Verwerking betekent een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens.37 Uit bovenstaande volgt dat de AVG ook van toepassing is op de verwerking van persoonsgegevens door middel van biometrie. De AVG bevat ook een definitie van 'biometrische gegevens'. Dit zijn:
persoonsgegevens die het resultaat zijn van een specifieke technische verwerking met betrekking tot de fysieke, fysiologische of gedragsgerelateerde kenmerken van een natuurlijke persoon op grond waarvan eenduidige identificatie van die natuurlijke persoon mogelijk is of wordt bevestigd, zoals gezichtsafbeeldingen of vingerafdrukgegevens.38
Volgens de AVG mogen persoonsgegevens alleen worden verzameld met een gerechtvaardigd doel. Dat doel moet welbepaald zijn en vooraf duidelijk omschreven. Het doel waarvoor een organisatie persoonsgegevens gaat verwerken moet verenigbaar zijn met het doel waarmee de persoonsgegevens zijn verzameld. Dit wordt ook wel aangeduid met het begrip 'doelbinding'. De verwerking moet onder meer beperkt zijn tot wat noodzakelijk is voor het doeleinde van de verwerking.
Artikel 6 van de AVG bepaalt dat de verwerking van persoonsgegevens alleen rechtmatig is voor zover aan ten minste een van de in dat artikel genoemde voorwaarden is voldaan. De meest relevante van deze voorwaarden in het kader van biometrie in missies is dat de verwerking noodzakelijk is voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen.39 De rechtsgrond voor deze voorwaarde moet worden vastgesteld bij Unierecht of lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is.40
Van belang is dat paragraaf 43 van de AVG bepaalt dat:
Om ervoor te zorgen dat toestemming vrijelijk wordt verleend, mag toestemming geen geldige rechtsgrond zijn voor de verwerking van persoonsgegevens in een specifiek geval wanneer er sprake is van een duidelijke wanverhouding tussen de betrokkene en de verwerkingsverantwoordelijke, met name wanneer de verwerkingsverantwoordelijke een overheidsinstantie is, en dit het onwaarschijnlijk maakt dat de toestemming in alle omstandigheden van die specifieke situatie vrijelijk is verleend. 41
Van een dergelijke situatie zal al gauw sprake zijn in geval van het afnemen van biometrische gegevens door militairen in het kader van een missie. Immers, er kan al gauw twijfel bestaan over de vraag of toestemming vrijwillig is gegeven wanneer dit is gebeurd jegens personen met wapens in een operationele omgeving.
Artikel 9 van de AVG bevat regels over een aantal bijzondere categorieën van persoonsgegevens, waaronder biometrische gegevens. De verwerking van biometrische gegevens met het oog op de unieke identificatie van een persoon is verboden, tenzij aan een van de voorwaarden genoemd in dat artikel is voldaan. Een van de genoemde voorwaarden is dat de betrokkene uitdrukkelijk toestemming heeft gegeven. Zoals hierboven al bleek kan er op grond van het bepaalde in paragraaf 43 van de AVG in de meeste gevallen niet van uit worden gegaan dat dit het geval is wanneer biometrische gegevens worden afgenomen door militairen. Een andere voorwaarde genoemd in artikel 9 is dat verwerking noodzakelijk is om redenen van zwaarwegend algemeen belang, waarbij de evenredigheid met het nagestreefde doel wordt gewaarborgd, de wezenlijke inhoud van het recht op bescherming van persoonsgegevens wordt geëerbiedigd en passende en specifieke maatregelen worden genomen ter bescherming van de grondrechten en de fundamentele belangen van de betrokken.42 Wanneer een situatie uit lid 2 van artikel 9 opgaat, moet er nog steeds een grondslag worden gevonden onder artikel 6 AVG. Op zichzelf biedt artikel 9 (2) namelijk geen grondslag voor verwerking: er is sprake van een dubbele toets.43
Van belang is dat de AVG niet van toepassing is op bepaalde activiteiten. Het gaat daarbij onder meer om (a) de verwerking van persoonsgegevens in het kader van activiteiten die buiten het Unierecht vallen en (b) verwerking door de lidstaten bij de uitvoering van activiteiten binnen het gemeenschappelijk buitenlands en veiligheidsbeleid (GBVB) van de EU.44 Gevolg hiervan is onder meer dat verwerkingen van persoonsgegevens in het kader van inzet van de krijgsmacht zijn uitgezonderd van de verordening.45 Dit is omdat missies die niet deel uitmaken van het GVDB buiten het Unierecht., en dus binnen de eerste uitzondering, vallen. Voor zover het missies betreft die vallen binnen het GVDB zijn deze ook uitgesloten van de werking van de AVG, op basis van de tweede uitzondering, nu dit activiteiten zijn die vallen binnen het GVDB.
Ook van belang is echter dat de Uitvoeringswet AVG een zogenaamde 'schakelbepaling' bevat.46 Deze bepaling maakt de AVG en de Uitvoeringswet ook van toepassing op verwerkingen door de krijgsmacht ten behoeve van de uitvoering van haar taken bedoeld in artikel 97 van de Grondwet.47 Dit geldt niet voor de verwerking van persoonsgegevens voor zover daarop de Wet op de Inlichtingen- en veiligheidsdiensten 2017 van toepassing is.48 De wet is dus niet van toepassing op de MIVD. Daarnaast biedt de wet de mogelijkheid aan de minister van Defensie om een uitzondering te maken voor de verwerking van gegevens door de krijgsmacht. Hier wordt later op teruggekomen.
De Uitvoeringswet bepaalt dat verwerking van, onder andere, biometrische gegevens met het oog op de unieke identificatie van een persoon verboden is.49 De wet bevat enkele uitzonderingen op dit verbod. De uitzondering die op het eerste gezicht relevant is voor missies, is indien de verwerking van biometrische gegevens noodzakelijk is voor authenticatie of beveiligingsdoeleinden.50
Hierboven werd al genoemd dat de Uitvoeringswet de mogelijkheid aan de minister van Defensie biedt om een uitzondering te maken voor de verwerking van gegevens door de krijgsmacht. Van deze mogelijkheid is gebruik gemaakt door het uitvaardigen van een ministeriële regeling, de Regeling Gegevensbescherming Militaire Operaties (hierna; de Regeling). Deze is in 2018 in werking getreden. De Regeling werd nodig gevonden omdat de omstandigheden waarin de krijgsmacht soms moet functioneren het niet altijd toelaten dat bij inzet in militaire operaties alle bepalingen van de AVG onverkort worden toegepast. De Regeling bevat daarom een aantal uitzonderingen op de toepassing van de AVG en de Uitvoeringswet AVG. Hij bepaalt in het bijzonder dat belangrijke delen van de AVG en de Uitvoeringswet niet van toepassing zijn op de verwerking van persoonsgegevens ter uitvoering van de in artikel 97 van de Grondwet omschreven taken voor zover dat noodzakelijk is voor de uitvoering van het mandaat en de bescherming van de troepenmacht. Omdat artikel 97 van de Grondwet een volledige lijst bevat van de doelstellingen van de krijgsmacht, zou een logische conclusie zijn dat de Regeling van toepassing is op alle inzet van de krijgsmacht. De toelichting op de Regeling maakt echter duidelijk dat inzet van de krijgsmacht in het kader van nationale taken (zoals bijstand, militaire steunverlening in het openbaar belang) buiten de reikwijdte van de regeling valt.51 Voor biometrische gegevens verzameld in het kader van deze nationale taken (in tegenstelling dus tot andere taken van de Krijgsmacht onder artikel 97 GW) gelden de Uitvoeringswet en de AVG (op basis van de schakelbepaling in de Uitvoeringswet AVG) in volle omvang.
Artikel 1 van de Regeling bepaalt dat de regels over bijzondere categorieën persoonsgegevens in de AVG en de Uitvoeringswet, waaronder dus ook biometrische gegevens vallen, niet van toepassing zijn. De algemene beginselen voor de verwerking van persoonsgegevens die zijn neergelegd in de artikelen 5 – 8 van de AVG blijven zodoende wel van toepassing op de krijgsmacht, ook wanneer deze biometrische gegevens verwerkt.
Artikel 2 gaat specifiek in op de verwerking van biometrische gegevens. Het bepaalt dat biometrische gegevens alleen mogen worden verwerkt ten behoeve van het vaststellen en de verificatie van de identiteit van een persoon. De toelichting op de Regeling legt uit dat aangezien ook de verwerking van biometrische gegevens zijn grondslag moet vinden in de internationaalrechtelijke grondslag voor de operatie, van dergelijke verwerking alleen sprake kan zijn voor zover dat noodzakelijk is voor de uitvoering van het mandaat en de bescherming van de troepenmacht.52 Daarbij kan onder andere worden gedacht aan het verwerken van biometrische gegevens die zijn verkregen van geïmproviseerde explosieven. Met andere woorden, de Regeling staat het bijhouden van een database met vingerafdrukken van IEDs en het vergelijken van die gegevens in die database met personen toe, mits binnen het mandaat van de betreffende missie.
5.3 Sub-conclusie
Voor het verzamelen van biometrische gegevens in missies is een rechtsbasis nodig. Deze moet worden gezocht in de rechtsbasis voor de missie als geheel. Omdat die over het algemeen niet expliciet zal verwijzen naar het verzamelen van biometrische gegevens, zal moeten worden gekeken of deze daaruit kan worden afgeleid. Het beginsel van noodzakelijkheid speelt daarbij een rol, in ieder geval voor zover de rechtsbasis bestaat uit een VNVR resolutie of het recht op zelfverdediging zoals vastgelegd in artikel 51 VN Handvest.
Het toepasselijke rechtsregime kan bepalingen bevatten die de manier waarop biometrische gegevens worden verzameld inkaderen. Meerdere rechtsregimes kunnen tegelijkertijd van toepassing zijn.53 Welk(e ) rechtsregime(s) van toepassing is of zijn, hangt af van het soort operatie en de omstandigheden waarin deze plaatsvindt. Zo is voor toepasselijkheid van het HOR nodig dat Nederland partij is bij een gewapend conflict, en voor toepasselijkheid van het EVRM dat een persoon zich onder de effectieve controle van Nederland bevindt.
Of biometrische gegevens vrijwillig worden afgegeven speelt een belangrijke rol in alle drie de besproken rechtsregimes. Met name wanneer dit niet het geval is bevatten deze rechtsregimes belangrijke beperkingen. In dit verband bepaalt de AVG specifiek dat wanneer de verantwoordelijke voor de verwerking een overheidsinstantie is, en dit het onwaarschijnlijk maakt dat de toestemming in alle omstandigheden van die specifieke situatie vrijelijk is verleend, toestemming geen rechtsgrond kan vormen voor verwerking van persoonsgegevens.
In het EVRM is met name artikel 8, dat het recht op privacy vastlegt, van belang. De toepassing hiervan op het verzamelen van biometrische gegevens in missies roept een aantal vragen op. Het HOR bevat slechts enkele regels die relevant zijn voor dit onderwerp, en deze zijn alleen van toepassing tijdens internationale gewapende conflicten. Dit beperkt het belang ervan, omdat de gewapende conflicten waar Nederland de laatste jaren partij bij was niet-internationaal van aard waren.54
De AVG en de uitwerking daarvan in het nationale Nederlandse recht is van bijzonder belang. Hoewel de AVG zelf niet van toepassing is op missies, heeft de Uitvoeringswet deze alsnog van overeenkomstige toepassing gemaakt. De Regeling maakt daar weer enige uitzonderingen op, maar bevat tegelijkertijd strikte regels ten aanzien van biometrie. Ook hier speelt het beginsel van noodzakelijkheid weer een belangrijke rol. Of het verzamelen van biometrische gegevens noodzakelijk is, kan alleen van geval tot geval worden bepaald.
6. Opslaan en bewaren van biometrische gegevens
6.1 Rechtsbasis
Net als voor het verzamelen van biometrische gegevens is voor het opslaan en bewaren daarvan een grondslag nodig. Hiervoor geldt hetzelfde als voor het verzamelen van gegevens zoals hierboven beschreven.
6.2 Rechtsregime
6.2.1 EVRM
Ook voor het opslaan en bewaren van biometrische gegevens is het EVRM van belang, in het bijzonder het recht op privacy in artikel 8. Op grond van de jurisprudentie van het EHRM moet ervan uit worden gegaan dat het opslaan van biometrische gegevens wordt gereguleerd door het recht op privacy, vanwege het karakter van deze gegevens en de hoeveelheid persoonlijke informatie die zij bevatten.55 Artikel 8 EVRM is immers ook van toepassing op het opslaan van persoonsgegevens.56 Om gerechtvaardigd te zijn moet het opslaan en bewaren van deze gegevens onder meer één van de doelen genoemd in artikel 8 (2) EVRM nastreven. Van de in artikel 8 (2) EVRM genoemde doelen lijken in dit kader met name de doelen 'nationale veiligheid', 'het voorkomen van wanordelijkheden en strafbare feiten' en 'bescherming van de rechten en vrijheden van anderen' relevant. De inmenging moet niet alleen noodzakelijk zijn voor één van deze doelen, maar moet daarnaast ook proportioneel zijn ten opzichte van het nagestreefde doel. Dit impliceert met name beperkingen ten aanzien van de duur van het bewaren van de gegevens, wie toegang heeft tot de gegevens, en de hoeveelheid gegevens.57 Wat betreft het laatste kunnen alleen die gegevens die noodzakelijk zijn voor het specifieke doel waarvoor ze zijn afgenomen worden opgeslagen.
6.2.2 Gegevensbescherming: AVG, Uitvoeringswet en Regeling Gegevensbescherming Militaire Operaties
Hierboven werden de AVG, de Uitvoeringswet AVG en de Regeling al geïntroduceerd. Deze zijn ook van belang voor het opslaan en bewaren van biometrische gegevens, omdat die handelingen ook vallen onder de 'verwerking' van persoonsgegevens.
Op basis van de AVG moet opslaan en bewaren van biometrische gegevens zijn voorzien in of bij de wet. Zoals eerder besproken kan dit ook gaan om uitvoeringswetgeving. De Regeling is daar een goed voorbeeld van. Vanwege het beginsel van doelbinding moet opslaan en bewaren beperkt zijn tot dat wat noodzakelijk is voor het doeleinde waarvoor de gegevens zijn verzameld. Dit betekent dat in beginsel biometrische gegevens die in het kader van deelname van Nederland aan een bepaalde militaire missie zijn verzameld, na het beëindigen van die deelname moeten worden gewist.
Op basis van artikel 2 van de Regeling mogen biometrische gegevens alleen worden opgeslagen en bewaard ten behoeve van het vaststellen en de verificatie van de identiteit van een persoon. In de toelichting wordt opgemerkt dat het gericht vergelijken van personen met een zogenaamde (biometrische) watchlist in dit verband mogelijk is. Voorwaarde is dan wel dat de verwerkte persoonsgegevens bij het ontbreken van een match niet opgeslagen worden of direct verwijderd worden. De reden daarvoor is dat het bewaren van die gegevens niet noodzakelijk is voor, en een verdere verwerking van die gegevens niet verenigbaar is met, het doel waarvoor ze zijn verkregen.
Artikel 5 van de Regeling regelt de bewaartermijn van persoonsgegevens, waaronder biometrische gegevens. Deze gegevens moeten worden vernietigd wanneer ze niet langer noodzakelijk zijn voor de uitvoering van het mandaat en de bescherming van de troepenmacht. Na beëindiging van de Nederlandse deelname aan de operatie worden de gegevens overgedragen aan de Directie Operaties van het ministerie van Defensie. Die directie beoordeelt, in samenspraak met de Directie Juridische Zaken, of de gegevens vernietigd of bewaard worden. Zoals hierboven gesteld zou het uitgangspunt op basis van het beginsel van doelbinding vernietiging moeten zijn. Wel kan bijvoorbeeld worden gedacht aan de situatie waarin een nieuwe bijdrage van Nederland aan dezelfde operatie op korte termijn is voorzien. Dat vernietiging uitgangspunt is volgt ook uit de toelichting op de Regeling. Deze maakt duidelijk dat na beëindiging van de Nederlandse deelname aan een operatie in de regel de internationaalrechtelijke grondslag en het doel van het bewaren van de gegevens zal vervallen. Het bewaren van gegevens na deze beëindiging zal dus als het goed is alleen bij uitzondering gebeuren.
6.2.3 Subconclusie
Ook voor het opslaan en bewaren van biometrische gegevens in missies is een rechtsbasis nodig, en bepaalt het toepasselijke rechtsregime of regimes hoe dit kan gebeuren.
Uit artikel 8 EVRM, waar dit van toepassing is, volgt dat het opslaan en bewaren een van de doelen genoemd in lid 2 van dat artikel moet dienen. Daarnaast moet het proportioneel zijn ten opzichte van het nagestreefde doel. Dit impliceert met name beperkingen ten aanzien van de duur van het bewaren van de gegevens, wie toegang heeft tot de gegevens, en de hoeveelheid gegevens. Wat betreft het laatste kunnen alleen die gegevens die noodzakelijk zijn voor het specifieke doel waarvoor ze zijn afgenomen worden opgeslagen.
De Regeling beperkt de mogelijkheid tot opslaan en bewaren. Uitgangspunt is, of zou in ieder geval moeten zijn, dat gegevens worden vernietigd wanneer de Nederlandse bijdrage aan een operatie eindigt.
7. Delen van biometrische gegevens
7.1 Rechtsbasis
Net als voor het verzamelen, opslaan en bewaren van biometrische gegevens, is voor het delen daarvan een grondslag nodig. Deze kan gezocht worden in de grondslag voor de operatie als geheel.
7.2 Rechtsregime
7.2.1 EVRM
Artikel 8 EVRM is ook van belang in het kader van het delen van biometrische gegevens met andere landen. Immers, het delen van biometrische informatie met een ander land vormt in beginsel een inbreuk op dit recht van degene wiens gegevens worden gedeeld. Het gevolg hiervan is dat het delen van biometrische gegevens alleen rechtmatig is wanneer is voldaan aan de vereisten genoemd in artikel 8. Die vereisten zijn dat het delen bij wet is voorzien en dat het in een democratische samenleving noodzakelijk is voor een van de doelen genoemd in het artikel. Dat zijn: het belang van de nationale veiligheid, de openbare veiligheid of het economisch welzijn van het land, het voorkomen van wanordelijkheden en strafbare feiten, de bescherming van de gezondheid of de goede zeden of voor de bescherming van de rechten en vrijheden van anderen. Het meest logisch lijkt dat het daarbij moet gaan om de belangen van de staat die de gegevens deelt, en niet van de staat met wie de gegevens worden gedeeld. Het gaat dan om de belangen van de staat van het 'openbaar gezag', zoals die uitdrukking wordt gebruikt in artikel 8 EVRM, die de inbreuk maakt. Goed beargumenteerd kan worden dat de nationale veiligheid van de delende staat het noodzakelijk kan maken om biometrische informatie te delen. Immers, dat delen kan het mogelijk maken voor een ander land om de biometrische informatie te koppelen aan een persoon of andere informatie, waarna die informatie wordt verstrekt aan het land dat de biometrische gegevens heeft gedeeld. Die informatie kan van groot belang zijn voor de bescherming van de nationale veiligheid, inclusief de militairen, van dat land. Uit het vereiste 'noodzakelijk in een democratische samenleving' volgt dat het delen van gegevens proportioneel moet zijn ten opzichte van het nagestreefde doel. Dit impliceert dat nauwkeurig moet worden gekeken met wie gegevens kunnen worden gedeeld. Daarnaast kan worden gedacht aan het opleggen van voorwaarden bij het delen van gegevens, bijvoorbeeld over het doel waarvoor deze kunnen worden gebruikt.
7.2.2 Gegevensbescherming: AVG en Uitvoeringswet
Omdat in de AVG onder 'verwerking' van gegevens ook het verstrekken door middel van doorzending en verspreiden of op andere wijze ter beschikking stellen valt, is de Verordening ook van toepassing op het delen van biometrische gegevens. Als gevolg hiervan mogen deze gegevens onder andere alleen worden gedeeld voor dezelfde doeleinden als waarvoor ze zijn verzameld. Daarnaast moet voor het delen zijn voldaan aan tenminste een van de voorwaarden genoemd in artikel 6 van de AVG. De meest relevante daarvan is dat verwerken (waaronder dus delen) noodzakelijk is voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag.58 Daarbij wordt verwezen naar een taak van de 'verwerkingsverantwoordelijke', wat impliceert dat het hierbij gaat om een taak van degene die de gegevens deelt.
De Uitvoeringswet AVG bevat ten aanzien van het delen van persoonsgegevens geen aanvullingen ten opzichte van de AVG zelf. De Regeling bevat wel een bepaling over dit onderwerp. Artikel 3 legt allereerst vast dat het verstrekken van persoonsgegevens als onderdeel van operationele inlichtingenproducten aan andere deelnemende landen of internationale organisaties binnen de bevelsstructuur van een operatie is toegestaan voor zover dat noodzakelijk is voor de uitvoering van het mandaat en de bescherming van de troepenmacht.
Het tweede lid van artikel 3 bepaalt dat het verstrekken van persoonsgegevens anders dan genoemd in het eerste lid aan andere deelnemende landen of internationale organisaties die deelnemen aan dezelfde operatie is toegestaan onder de voorwaarde dat met deze landen of organisaties een regeling overeengekomen is waarin waarborgen gesteld worden ten aanzien van doelbinding, doorgifte, verdere verwerking en bewaartermijn zodat deze beperkt zijn tot de betreffende operatie.
Op basis van de Regeling kunnen biometrische gegevens die zijn verzameld in het kader van een operatie dus alleen worden gedeeld met andere landen of organisaties die deelnemen aan dezelfde operatie. Dit is een logisch gevolg van het feit dat normaal gesproken de rechtsbasis voor het verzamelen van biometrische gegevens volgt uit de rechtsbasis voor een operatie in zijn algemeenheid. In die rechtsbasis ligt het doel van het verzamelen van biometrische gegevens. Als gevolg van het beginsel van doelbinding kan het delen van die gegevens daarom alleen binnen de operatie plaatsvinden.59 Het volgt ook uit het uitgangspunt van de Regeling dat de daarin neergelegde uitzonderingen alleen zien op de taakuitvoering voor zover dat noodzakelijk is voor de vervulling van het mandaat en de bescherming van de (internationale) troepenmacht.60
De toelichting bij de Regeling maakt duidelijk waarom onderscheid wordt gemaakt tussen gegevens als onderdeel van operationele inlichtingenproducten enerzijds en andere gegevens anderzijds. Bij het laatste gaat het om verzamelingen van – vaak grote hoeveelheden – persoonsgegevens. De aard en de omvang hiervan rechtvaardigt extra waarborgen.61
7.3 Subconclusie
Ook voor het delen van biometrische gegevens is een rechtsbasis nodig, die kan worden gezocht in de rechtsbasis voor de missie als geheel. Ten aanzien van toepasselijke rechtsregimes kan worden geconcludeerd dat wanneer het EVRM van toepassing is, artikel 8 beperkingen oplegt aan het delen van biometrische gegevens. Welke beperkingen nodig zijn om aan het artikel te voldoen zal van geval tot geval moeten worden beoordeeld.
De bepaling over het delen van biometrische gegevens in de Regeling kan deels worden gezien als een invulling hiervan. Deze maakt duidelijk dat gegevens alleen binnen dezelfde operatie kunnen worden gedeeld, en dat een regeling moet worden overeengekomen waarin waarborgen zijn neergelegd over een aantal onderwerpen. De bepaling specificeert niet verder hoe die waarborgen er uit zouden moeten zien.
8. Conclusie
Biometrie kan een belangrijke rol spelen in missies. Het is dan ook te verwachten dat deze technologie steeds meer zal worden gebruikt in dergelijke operaties. Het is niet voor niets dat in NAVO-verband doctrinedocumenten zijn opgesteld over de inzet van biometrie.
Het juridisch kader voor deze inzet heeft tot nu toe weinig aandacht gekregen. Dit artikel heeft een eerste aanzet gedaan tot een beschrijving van dat kader. Deze is echter verre van volledig. Hoewel een aantal juridische instrumenten zijn beschreven, zijn dit niet de enige die een rol kunnen spelen bij het reguleren van de inzet van biometrie in een missie. Te denken valt onder andere aan een statusovereenkomst, wanneer deze is gesloten met de gaststaat van de operatie. Voor zover de auteur bekend is er nog geen statusovereenkomst die expliciet verwijst naar biometrie. Wanneer het gebruik van biometrie toeneemt kan dit echter veranderen. Daarnaast kunnen bepalingen in zo'n overeenkomst ook gevolgen hebben voor biometrie zonder dat die technologie expliciet wordt genoemd.
Niet alleen is de beschrijving van het juridische kader niet volledig, het is ook gebleken dat toepasselijke rechtsregimes relevante bepalingen bevatten die op meerdere manieren kunnen worden geïnterpreteerd. Dit geldt onder andere voor bepalingen die de reikwijdte van instrumenten bepalen, zoals artikel 1 van het EVRM. Het geldt ook voor materiële bepalingen die deel uitmaken van die instrumenten.
Ondanks dit alles is het mogelijk om enkele conclusies te trekken.
Een eerste conclusie is dat hoewel biometrie een relatief nieuw fenomeen is, het niet wordt ingezet in een juridisch vacuüm. Voor de inzet ervan is een rechtsbasis nodig, die moet worden gezocht in de rechtsbasis voor de missie als geheel waarin biometrie wordt ingezet. De manier waarop biometrie kan worden ingezet binnen de operatie wordt bepaald door het toepasselijke rechtsregime. Meerdere regimes kunnen tegelijk van toepassing zijn. Welke dat zijn is afhankelijk van de aard van de operatie en de omstandigheden waarin deze plaatsvindt.
Een tweede conclusie is dat drie rechtsregimes vooral van belang lijken te zijn voor de inzet van biometrie. Het eerste regime zijn de mensenrechten, in het bijzonder het recht op privacy zoals neergelegd in artikel 8 EVRM. Het tweede regime is het recht betreffende gegevensbescherming, in het bijzonder de van de AVG afgeleide nationale wetgeving. Het derde regime is het HOR. Dit laatste bevat een zeer beperkt aantal regels die relevant lijken voor het gebruik van biometrie, maar afhankelijk van hoe deze regels worden geïnterpreteerd kunnen ze het rechtmatig gebruik van biometrie wel danig beperken.
Een derde conclusie is dat hoewel de AVG zelf niet van toepassing is op missies, Nederland ervoor heeft gekozen om deze in nationale wetgeving van overeenkomstige toepassing te verklaren. Dit lijkt op het eerste gezicht mogelijk vreemd, omdat het de mogelijkheden om biometrie in te zetten beperkt. Het biedt echter wel houvast voor militaire planners en commandanten. Deze houvast wordt ook geboden door de Regeling. Daarnaast kan zoals gezegd het recht inzake gegevensbescherming worden gezien als een invulling van het recht op privacy. In dat kader vormt de Regeling de wettelijke grondslag die wordt geëist in artikel 8 EVRM voor een inbreuk op het recht op privacy.
Een vierde conclusie heeft er mee te maken dat bij inzet van biometrie in missies per definitie minimaal twee landen betrokken zijn (namelijk de zendstaat en de gaststaat). Wanneer toepasselijke rechtsregels verwijzen naar bijvoorbeeld 'wetgeving' of 'belangen', roept dit vragen op over wat daaronder moet worden verstaan. Gaat het om de wetgeving en belangen van de zendstaat, van de gaststaat, of misschien van beide? Dit artikel heeft gesuggereerd dat het vooral gaat om de wet en belangen van de zendstaat. Dit onderwerp verdient echter nader onderzoek, net als een aantal andere onderwerpen die in dit artikel zijn benoemd. Het is van belang dat naarmate het gebruik van biometrie een belangrijker rol gaat spelen in missies, ook meer aandacht zal komen voor het juridisch kader dat daarop van toepassing is. Hopelijk dat dit artikel daaraan kan bijdragen.