Met de verwerking van PNR-gegevens wordt stelselmatig een grote hoeveelheid persoonsgegevens verzameld, geautomatiseerd verwerkt en bewaard van zeer veel mensen die niet bij de groep horen waarvoor de database eigenlijk is bedoeld.

De noodzaak en evenredigheid van die verwerking zijn volgens de Autoriteit Persoonsgegevens (AP) niet te rechtvaardigen. In 2022 heeft de AP de minister geadviseerd de verwerking van PNR-gegevens in lijn te brengen met de wettelijke kaders en de Europese PNR-richtlijn.

Hoewel het ministerie dit advies niet heeft opgevolgd, zag de AP tot nu toe af van handhaving. Dat kwam omdat er nog een gerechtelijke procedure liep bij het Hof van Justitie van de Europese Unie. Nu die is afgerond en de AP haar conclusies bevestigd ziet in de uitspraak, blijkt handhaving alsnog nodig.

Dat betekent dat het ministerie de huidige verwerking aanzienlijk zal moeten beperken, tot alleen die verwerkingen die noodzakelijk en evenredig zijn voor de bestrijding van terrorisme en ernstige criminaliteit.

De Autoriteit Persoonsgegevens heeft de minister verzocht binnen 14 dagen aan te geven welke acties zij heeft ondernomen of nog gaat ondernemen. De AP is bevoegd om de gegevensverwerking stil te leggen met een verwerkingsverbod, mocht dat nodig zijn.