Privacy klinkt in het migratierecht soms als een luxeprobleem. Eerst grenscontrole, eerst registratie, eerst veiligheid, eerst snelheid, en daarna pas privacy. Die volgorde past goed bij politieke taal over migratie, maar juridisch klopt zij niet. Privacy en gegevensbescherming zijn geen bijzaak van Europees migratiebeheer. Zij zijn fundamentele rechten en vormen een noodzakelijke voorwaarde voor een rechtsstatelijk asielsysteem.

Het EU-Migratiepact maakt deze discussie urgenter. Sinds 12 juni 2026 gelden de nieuwe Europese asiel- en migratieregels. Het Pact brengt strengere controles aan de buitengrenzen, snellere procedures, betere registratie, terugkeerregels en een solidariteitsmechanisme tussen lidstaten. [1] [2] In gewone taal; Europa wil meer grip krijgen op migratie. Maar meer grip betekent ook meer gegevensverwerking.

De buitengrens van Europa is daardoor niet meer alleen een fysieke plek. Zij is ook een digitale infrastructuur. Wie aan de buitengrens aankomt, aan de grens asiel vraagt of na een zoek- en reddingsoperatie wordt ontscheept, komt terecht in een systeem van screening, registratie, identificatie en databankvergelijking. Daarbij worden persoonsgegevens verwerkt. Soms gaat het om naam, geboortedatum, nationaliteit en reisdocumenten. Soms gaat het om gevoeliger informatie, zoals vingerafdrukken, gezichtsbeelden, gezondheidsgegevens, kwetsbaarheidsinformatie en veiligheidsindicaties. [3] [4]

Dat maakt privacy onder het EU-Migratiepact concreet. Het gaat niet om abstracte bescherming van persoonlijke levenssfeer, maar om gegevens die echte gevolgen kunnen hebben. Een Eurodac-hit kan invloed hebben op de vraag welke lidstaat verantwoordelijk wordt geacht. Een verkeerde leeftijdsregistratie kan bepalen of iemand als minderjarige of volwassene wordt behandeld. Een veiligheidsvlag kan het vertrouwen in iemands verklaring aantasten. Een fout in een databank kan doorwerken in opvang, overdracht, terugkeer en rechtsbescherming.

Privacy gaat hier dus over macht. De overheid ziet meer, bewaart meer, vergelijkt sneller en deelt gegevens binnen een steeds groter Europees systeem. De persoon over wie die gegevens gaan, heeft vaak minder controle, minder kennis van het systeem en minder praktische mogelijkheden om fouten te corrigeren. Juist in die ongelijkwaardige verhouding moet privacybescherming serieus worden genomen.

Artikel 7 en 8 EU-Handvest: privacy en gegevensbescherming

Artikel 7 van het EU-Handvest beschermt het recht op eerbiediging van privéleven, familie- en gezinsleven, woning en communicatie. Artikel 8 beschermt afzonderlijk het recht op bescherming van persoonsgegevens. Dat onderscheid is belangrijk. Privacy beschermt de persoonlijke levenssfeer. Gegevensbescherming regelt hoe informatie over iemand wordt verzameld, gebruikt, bewaard, gedeeld en gecorrigeerd. In het migratierecht vallen deze rechten vaak samen, maar zij hebben elk hun eigen juridische functie. [5] [6]

Artikel 8 van het EU-Handvest bepaalt dat persoonsgegevens eerlijk, voor bepaalde doeleinden en op basis van toestemming of een andere wettelijke grondslag moeten worden verwerkt. Ook heeft iedereen recht op toegang tot zijn gegevens en op rectificatie van onjuiste gegevens. Onafhankelijk toezicht is verplicht. Deze regels klinken technisch, maar zijn voor asielzoekers juist heel praktisch. Iemand moet kunnen weten welke gegevens over hem zijn opgeslagen, waarom dat is gebeurd, wie toegang heeft, hoe lang de gegevens worden bewaard en hoe fouten kunnen worden hersteld.

Digitalisering onder het EU-Migratiepact

Het Migratiepact vergroot het belang van die waarborgen omdat het migratiebeheer verder digitaliseert. Eurodac is daarvan het duidelijkste voorbeeld. De nieuwe Eurodac-verordening, Verordening (EU) 2024/1358, verandert Eurodac van een relatief specifieke vingerafdrukkendatabank in een bredere databank voor asiel- en migratiebeheer. Eurodac is niet meer alleen bedoeld om te zien of iemand eerder asiel heeft gevraagd in een andere lidstaat. Het systeem ondersteunt nu ook identificatie, beheer van irreguliere migratie, opsporing van secundaire bewegingen, terugkeer, hervestiging, tijdelijke bescherming en rechtshandhaving onder voorwaarden. [7] [8]

Dat is een fundamentele verschuiving. Eurodac begon als instrument om verantwoordelijkheid tussen lidstaten te bepalen. Onder het Pact wordt Eurodac een digitale kern van migratiebeheer. De databank bevat meer gegevens, ziet op meer categorieën personen en is verbonden met bredere Europese informatiesystemen. eu-LISA beschrijft Eurodac inmiddels als de asiel- en migratiedatabank van de Europese Unie, waarbij het nieuwe systeem niet alleen vingerafdrukken verwerkt, maar ook gezichtsbeelden, identiteitsgegevens en kopieën van reisdocumenten. [9]

Die uitbreiding is niet alleen administratief. Een databank met meer personen, meer gegevens en meer doelen krijgt meer invloed op procedures. Een registratie kan later terugkomen bij een overdrachtsbesluit. Een biometrische match kan bepalen hoe autoriteiten naar een dossier kijken. Een fout kan zich verspreiden tussen systemen. Een gegevenscategorie die aanvankelijk bedoeld was voor identificatie kan later relevant worden voor terugkeer of rechtshandhaving.

Daarmee wordt privacybescherming onderdeel van asielbescherming. Het recht op asiel begint niet pas bij het inhoudelijke gehoor. Het begint ook bij de manier waarop iemand wordt geregistreerd. Als de registratie verkeerd is, kan de procedure vanaf het begin scheef lopen. Als gegevens onduidelijk zijn, kan de overheid verkeerde conclusies trekken. Als de betrokkene niet begrijpt wat er wordt opgeslagen, kan hij zich moeilijk verdedigen. Privacy is dan geen apart onderwerp naast asielrecht, maar een voorwaarde voor een eerlijke procedure.

Screening: van menselijke werkelijkheid naar data

De Screeningverordening versterkt dit punt. De screening aan de buitengrens omvat onder meer identificatie, veiligheidscontrole, gezondheidscontrole en kwetsbaarheidsbeoordeling. [10] Dat betekent dat autoriteiten al vóór of aan het begin van de procedure veel informatie verzamelen. Die vroege fase is kwetsbaar. Mensen zijn net aangekomen, spreken vaak de taal niet, zijn soms uitgeput, bang, ziek of getraumatiseerd en weten niet hoe het Europese systeem werkt. Juist dan worden gegevens verzameld die later zwaar kunnen wegen.

Het risico zit vooral in de eerste omzetting van menselijke werkelijkheid naar administratieve data. Iemand geeft zijn naam door via een tolk. Een geboortedatum wordt genoteerd. Een nationaliteit wordt aangenomen. Een kwetsbaarheid wordt wel of niet opgemerkt. Een gezichtsbeeld wordt gemaakt. Vingerafdrukken worden afgenomen. Daarna lijken die gegevens hard en objectief, terwijl zij vaak zijn ontstaan in een situatie van onzekerheid.

Data lijken neutraal, maar zijn dat niet vanzelf. Een verkeerd gespelde naam kan leiden tot verwarring. Een geschatte geboortedatum kan gevolgen hebben voor minderjarigheid. Een onjuist reisdocumentgegeven kan twijfel oproepen. Een ontbrekende kwetsbaarheidsregistratie kan ervoor zorgen dat iemand in een procedure terechtkomt die niet past bij zijn situatie. Een administratief detail kan later juridisch beslissend worden.

Dit is precies waarom gegevensbescherming in migratierecht zwaar moet wegen. De Algemene verordening gegevensbescherming bevat kernbeginselen zoals rechtmatigheid, behoorlijkheid, transparantie, doelbinding, minimale gegevensverwerking, juistheid, opslagbeperking, integriteit en vertrouwelijkheid. [11] Biometrische gegevens vallen bovendien onder bijzondere persoonsgegevens wanneer zij worden verwerkt met het oog op unieke identificatie. [12] Bij EU-instellingen en EU-agentschappen geldt daarnaast Verordening (EU) 2018/1725. [13]

Die beginselen zijn geen papieren formaliteiten. Doelbinding betekent dat gegevens niet zomaar voor elk nieuw doel mogen worden gebruikt. Minimale gegevensverwerking betekent dat de overheid niet meer gegevens mag verzamelen dan noodzakelijk. Juistheid betekent dat gegevens correct moeten zijn en dat fouten moeten worden hersteld. Opslagbeperking betekent dat gegevens niet langer mogen worden bewaard dan nodig. Transparantie betekent dat de betrokkene moet begrijpen wat er gebeurt.

Doelbinding en het risico op functieverruiming

Bij Eurodac is doelbinding bijzonder belangrijk. De databank is in de loop der jaren steeds breder geworden. Oorspronkelijk draaide zij om vingerafdrukvergelijking in het kader van Dublin. Later kwamen bredere migratie- en rechtshandhavingsdoelen in beeld. Onder het Pact wordt Eurodac een uitgebreide databank voor asiel- en migratiebeheer. [14] Die ontwikkeling kan praktisch verklaarbaar zijn, maar zij vergroot het risico op functieverruiming.

Functieverruiming betekent dat gegevens die voor één doel zijn verzameld, later ook voor andere doelen worden gebruikt. Een systeem dat begint als hulpmiddel voor asielcoördinatie kan verschuiven naar een instrument voor migratiecontrole, terugkeer en veiligheid. Elke uitbreiding kan afzonderlijk verdedigbaar lijken, maar samen ontstaat een veel machtiger systeem. Juist daarom moet bij elke uitbreiding opnieuw worden getoetst of zij noodzakelijk, evenredig en voldoende begrensd is.

Rechtshandhavingstoegang maakt dit extra gevoelig. Eurodac kan onder voorwaarden worden geraadpleegd voor de voorkoming, opsporing of onderzoek van terroristische misdrijven of andere ernstige strafbare feiten. [15] Veiligheid is een legitiem doel. De staat moet ernstige criminaliteit kunnen bestrijden. Maar de meeste personen in Eurodac zijn niet geregistreerd omdat zij verdacht zijn van een strafbaar feit. Zij zijn geregistreerd omdat zij asiel vragen, irregulier zijn aangekomen of zich in een migratierechtelijke situatie bevinden.

Dat onderscheid moet scherp blijven. Als asielgegevens te gemakkelijk in een veiligheidscontext terechtkomen, ontstaat het risico dat migratie en criminaliteit in elkaars buurt worden geplaatst. Een asielzoeker moet biometrie afstaan om toegang te krijgen tot een procedure die bescherming moet beoordelen. Die handeling mag niet de indruk wekken dat hij daardoor als verdachte wordt behandeld. De overheid moet duidelijk uitleggen dat registratie niet hetzelfde is als verdenking.

Interoperabiliteit en contextverlies

Interoperabiliteit versterkt deze spanning. De EU heeft een interoperabiliteitskader opgezet voor grote informatiesystemen op het gebied van grenzen, visa, politie, justitie, asiel en migratie. [16] [17] Het doel is dat systemen beter met elkaar kunnen samenwerken, zodat identiteiten sneller kunnen worden gecontroleerd en informatie efficiënter beschikbaar is. eu-LISA beschrijft interoperabiliteit als een manier om systemen die afzonderlijk zijn ontworpen, beter met elkaar te laten samenwerken. [18]

Dat kan voordelen hebben. Identiteitsfraude kan beter worden opgespoord. Dubbele registraties kunnen sneller zichtbaar worden. Autoriteiten kunnen efficiënter werken. Maar interoperabiliteit vergroot ook het risico dat gegevens uit hun oorspronkelijke context worden gehaald. Een gegeven dat in een asielcontext is verzameld, kan later verschijnen in een grenscontrolecontext of veiligheidscontext. De betekenis van het gegeven verschuift dan, terwijl de betrokkene daar weinig zicht op heeft.

Contextverlies is een juridisch probleem. Een gegevenspunt zegt nooit alles. Een Eurodac-hit zegt dat er een eerdere registratie is, maar niet waarom iemand is doorgereisd. Een ontbrekend document zegt dat identificatie moeilijker is, maar niet dat iemand liegt. Een biometrische match zegt iets over identiteit, maar niet over de vraag of iemand bescherming nodig heeft. Als data uit hun context worden gehaald, kunnen zij zwaarder gaan wegen dan zij juridisch mogen dragen.

Daarom moet menselijke beoordeling leidend blijven. Een databank kan signalen geven, maar geen asielverhaal beoordelen. Een systeem kan vergelijken, maar niet luisteren. Een match kan aanleiding geven tot onderzoek, maar mag niet automatisch beslissen. Het asielrecht blijft individueel. Iemand kan eerder in een andere lidstaat zijn geregistreerd en toch bescherming nodig hebben. Iemand kan irregulier zijn aangekomen en toch vluchteling zijn. Iemand kan zonder documenten reizen omdat legale vluchtroutes ontbreken.

De Asielprocedureverordening bevestigt dat internationale bescherming via een procedure moet worden onderzocht. [19] Artikel 18 van het EU-Handvest beschermt het recht op asiel. Artikel 19 verbiedt collectieve uitzetting en beschermt tegen verwijdering naar een land waar iemand ernstig gevaar loopt. [20] [21] Die rechten mogen niet worden verdrongen door digitale registratie. Data mogen de beschermingsvraag ondersteunen, maar nooit vervangen.

Kinderen, gezondheid en kwetsbaarheidsgegevens

Privacy onder het Migratiepact gaat ook over kinderen. De nieuwe Eurodac-verordening verlaagt de leeftijdsgrens voor biometrische registratie van veertien naar zes jaar. Het Nederlandse Nationaal Implementatieplan Asiel- en Migratiepact vermeldt expliciet dat de leeftijd van personen van wie gegevens in Eurodac worden geregistreerd wordt verlaagd van veertien naar zes jaar. [22] eu-LISA beschrijft eveneens dat de nieuwe Eurodac meer categorieën gegevens en personen omvat. [23]

Die leeftijdsverlaging is juridisch en moreel ingrijpend. Kinderen begrijpen niet wat een Europese migratiedatabank is. Een kind van zes begrijpt niet wat vingerafdrukvergelijking betekent, hoe lang gegevens worden bewaard of hoe een registratie later kan terugkomen in een andere lidstaat. De overheid kan biometrische registratie verdedigen met kinderbescherming, bijvoorbeeld om kinderen te identificeren wanneer zij van familie gescheiden raken. Maar dat argument ontslaat de overheid niet van de plicht om de registratie kindgericht, zorgvuldig en proportioneel uit te voeren.

Kinderen zijn geen gewone gegevenssubjecten. Zij hebben eigen rechten. Artikel 24 van het EU-Handvest bepaalt dat het belang van het kind een essentiële overweging moet zijn bij alle handelingen die kinderen raken. [24] Dat betekent dat het belang van het kind niet alleen telt bij opvang of gezinshereniging, maar ook bij gegevensverwerking. Biometrische registratie van kinderen moet plaatsvinden met extra uitleg, extra begeleiding, getraind personeel en duidelijke waarborgen tegen verkeerd gebruik.

De verwerking van gezondheids- en kwetsbaarheidsgegevens verdient dezelfde voorzichtigheid. Screening moet gezondheids- en kwetsbaarheidsaspecten in beeld brengen. [25] Dat kan bescherming versterken. Als slachtoffers van mensenhandel, zieken, zwangere vrouwen, kinderen of getraumatiseerde personen tijdig worden herkend, kunnen zij naar passende procedures en opvang worden verwezen. Maar zulke gegevens zijn ook gevoelig. Gezondheidsinformatie en kwetsbaarheidsinformatie mogen niet achteloos worden opgeslagen, gedeeld of gebruikt.

Kwetsbaarheid mag niet veranderen in administratief label zonder bescherming. Een systeem dat kwetsbaarheid registreert maar vervolgens geen passende ondersteuning biedt, creëert schijnbescherming. Omgekeerd kan het ontbreken van een kwetsbaarheidsregistratie ertoe leiden dat iemand ten onrechte als “gewone” aanvrager wordt behandeld. Privacy en bescherming lopen hier opnieuw door elkaar. Goede gegevensverwerking kan bescherming mogelijk maken. Slechte gegevensverwerking kan bescherming blokkeren.

Transparantie, correctie en toegang tot de rechter

Transparantie is daarom essentieel. Personen die worden geregistreerd, moeten begrijpelijke informatie krijgen over wat er gebeurt. FRA heeft een leidraad opgesteld over het recht op informatie bij het afnemen van vingerafdrukken voor Eurodac. Daarin staat centraal dat mensen moeten begrijpen dat vingerafdrukken verplicht kunnen zijn, waarom zij worden genomen en wat er met de gegevens gebeurt. [26] Onder het nieuwe Pact is die informatieplicht nog belangrijker, omdat Eurodac meer gegevens verwerkt en breder wordt gebruikt.

Informatie moet praktisch zijn. Een juridisch correcte tekst is onvoldoende als iemand die tekst niet begrijpt. Uitleg moet beschikbaar zijn in een taal die de betrokkene begrijpt. De uitleg moet worden gegeven op een moment waarop iemand die informatie kan verwerken. Bij kinderen moet de uitleg kindvriendelijk zijn. Bij kwetsbare personen moet rekening worden gehouden met stress, trauma, ziekte of afhankelijkheid. Transparantie is pas echt wanneer zij begrijpelijk is.

Ook correctie moet praktisch mogelijk zijn. Artikel 8 van het EU-Handvest noemt het recht op toegang tot gegevens en rectificatie van onjuiste gegevens. [27] Dat recht heeft weinig waarde als iemand niet weet welke gegevens zijn opgeslagen of niet weet hoe hij een fout moet melden. Een asielzoeker moet kunnen achterhalen welke rol Eurodac of een andere databank in zijn dossier speelt. Advocaten moeten kunnen controleren welke gegevens zijn gebruikt. Rechters moeten kunnen toetsen of gegevens juist en rechtmatig zijn toegepast.

Artikel 47 van het EU-Handvest beschermt het recht op een doeltreffende voorziening in rechte en een eerlijk proces. [28] Dat recht wordt belangrijker naarmate digitale gegevens meer invloed krijgen op besluiten. Als een Eurodac-hit wordt gebruikt om overdracht aan een andere lidstaat te onderbouwen, moet de betrokkene de betekenis van die hit kunnen betwisten. Als een registratie leidt tot twijfel over leeftijd of identiteit, moet hij daartegen kunnen opkomen. Een databank mag geen onzichtbare bewijsbron worden waartegen iemand zich praktisch niet kan verdedigen.

Nederlandse uitvoering en toezicht

Nederland heeft hierin een eigen verantwoordelijkheid. Het Migratiepact is Europees, maar de uitvoering gebeurt door nationale autoriteiten. De Rijksoverheid schrijft dat sinds 12 juni 2026 nieuwe Europese asielregels gelden, met strengere controles aan de buitengrenzen, kortere procedures en beperkingen op doorreis naar andere EU-landen. [29] De IND beschrijft dat het Pact directe gevolgen heeft voor de werkwijze van de IND en dat processen moeten worden aangepast aan de nieuwe regels. [30]

Het Nationaal Implementatieplan maakt duidelijk dat de nieuwe Eurodac-verordening in Nederland leidt tot aanpassing van processen, informatiesystemen en gegevensuitwisseling. [31] Daarbij zijn verschillende ketenpartners betrokken. Dat vergroot de noodzaak van heldere verantwoordelijkheid. De ene instantie neemt gegevens af. Een andere instantie verwerkt ze. Een derde instantie gebruikt ze in een procedure. Een Europese databank beheert de centrale infrastructuur. Voor de betrokkene moet desondanks duidelijk blijven wie waarvoor verantwoordelijk is.

Versnippering van verantwoordelijkheid is een klassiek risico bij grote informatiesystemen. Als een fout ontstaat, kan de ene partij wijzen naar de andere. De lidstaat wijst naar het Europese systeem. Het Europese agentschap wijst naar de nationale invoer. De nationale ketenpartner wijst naar een andere dienst. De betrokkene mag daar niet de dupe van worden. Een rechtsstatelijk systeem moet niet alleen gegevens kunnen delen, maar ook verantwoordelijkheid kunnen dragen.

De Autoriteit Persoonsgegevens heeft in Nederland al laten zien dat toezicht op Eurodac concreet nodig is. In 2024 deed de AP onderzoek naar Eurodac en wees zij erop dat het ministerie van Justitie en Veiligheid niet beschikte over bepaalde jaarlijkse verslagen over de effectiviteit van vingerafdrukvergelijkingen, terwijl zulke verslagen verplicht waren. [32] Dat lijkt technisch, maar het gaat over verantwoording. Een systeem dat biometrische gegevens verwerkt, moet kunnen aantonen dat het rechtmatig en effectief functioneert.

Ook Europees toezicht is belangrijk. De EDPS heeft in zijn advies over het nieuwe Migratie- en Asielpact gewezen op gegevensbeschermingsaspecten van de voorstellen. [33] Bij grootschalige Europese databanken moet toezicht niet beperkt blijven tot beveiliging. Het moet ook gaan over doelbinding, noodzaak, proportionaliteit, toegang, bewaartermijnen, logging, correctie, transparantie en de positie van kwetsbare personen.

Technische betrouwbaarheid en beveiliging

De invoering van het Pact liet direct zien hoe afhankelijk het systeem van techniek is geworden. Op 12 juni 2026 meldde Reuters dat Eurodac technische problemen had op de dag waarop het Migratiepact van toepassing werd. Volgens Reuters bevestigde de Nederlandse IND dat de database niet volledig operationeel was en dat meerdere lidstaten geraakt werden. [34] Dat is meer dan een ICT-probleem. Als een digitaal systeem essentieel is voor registratie en procedurekeuze, dan kan een storing juridische gevolgen hebben.

Een storing kan betekenen dat registratie vertraagt. Een vertraging kan betekenen dat onduidelijk is welke procedure moet volgen. Een ontbrekende databankvergelijking kan betekenen dat lidstaten niet weten of iemand eerder elders is geregistreerd. Als migratiebeheer afhankelijk wordt van digitale infrastructuur, moet die infrastructuur betrouwbaar zijn. Digitale rechtsstaat betekent niet alleen dat er regels zijn, maar ook dat systemen werken.

Privacy onder het Migratiepact gaat daarom ook over beveiliging. Grote migratiedatabanken bevatten gevoelige gegevens van kwetsbare personen. Een datalek kan ernstige gevolgen hebben. Namen, gezichtsbeelden, vingerafdrukken, nationaliteit, reisroutes, asielstatus of kwetsbaarheidsinformatie mogen niet in verkeerde handen vallen. Voor sommige asielzoekers kan openbaarmaking van gegevens zelfs gevaar opleveren voor familieleden of contacten in het land van herkomst.

Beveiliging is dus geen puur technisch onderwerp. Het raakt aan vertrouwen, bescherming en veiligheid van de betrokkene. Een asielzoeker moet erop kunnen vertrouwen dat de gegevens die hij verplicht moet afstaan niet onnodig worden gedeeld, niet worden gelekt en niet worden gebruikt op een manier die hem of zijn familie in gevaar brengt. De overheid die registratie verplicht stelt, draagt ook de plicht om die gegevens streng te beschermen.

Non-discriminatie en kritiek op het Pact

Daarbij speelt non-discriminatie een belangrijke rol. Artikel 21 van het EU-Handvest verbiedt discriminatie op onder meer ras, etnische afkomst, religie, nationaliteit en andere gronden. [35] Migratiedatabanken richten zich vooral op derdelanders, asielzoekers en irreguliere migranten. Dat verschil kan juridisch verklaarbaar zijn, maar het vraagt voortdurende toetsing. Een systeem dat bepaalde groepen structureel registreert, volgt en vergelijkt, kan bijdragen aan een beeld waarin migratie vooral als risico verschijnt.

Dat risico is niet alleen juridisch, maar ook maatschappelijk. Wanneer asielzoekers vooral worden benaderd via biometrie, veiligheidschecks en databanken, verschuift de taal van bescherming naar controle. De persoon verschijnt dan eerst als identiteitsprobleem, als risico of als databestand, en pas daarna als iemand die mogelijk bescherming nodig heeft. Dat is gevaarlijk voor een asielsysteem dat juist begint bij individuele bescherming.

Mensenrechtenorganisaties hebben daarom kritisch gereageerd op het Pact. Human Rights Watch waarschuwt dat het Pact risico’s meebrengt voor toegang tot bescherming, grensprocedures en detentieachtige omstandigheden. [36] ECRE stelt dat de uitvoering van het Pact fundamentele waarborgen kan verzwakken en mensen in nood aan de buitengrens kan vasthouden. [37] Die kritiek betekent niet dat het Pact per definitie onrechtmatig is, maar zij maakt duidelijk waar de kwetsbare punten liggen.

Privacy is een van die kwetsbare punten. In de politieke discussie gaat veel aandacht naar instroom, terugkeer, grensprocedures en solidariteit. Minder zichtbaar is de vraag hoe groot de digitale macht van de overheid wordt. Toch is dat een kernvraag. Het Pact kan alleen rechtsstatelijk functioneren als de digitale laag even streng wordt gecontroleerd als de fysieke grens.

De rechtsstatelijke balans

Een goed migratiesysteem mag gegevens gebruiken, maar moet die gegevens begrenzen. Het mag identificeren, maar niet reduceren. Het mag registreren, maar niet stigmatiseren. Het mag vergelijken, maar niet automatisch concluderen. Het mag kwetsbaarheid vastleggen, maar moet daarna ook bescherming bieden. Het mag veiligheid controleren, maar mag asielzoekers niet door registratie alleen in een veiligheidsframe plaatsen.

De rechtsstatelijke kern ligt in evenwicht. Controle is legitiem, maar niet onbeperkt. 

Digitalisering is nuttig, maar niet neutraal. Data kunnen procedures ondersteunen, maar niet vervangen. Biometrie kan identificatie verbeteren, maar raakt het lichaam en de identiteit van mensen. Interoperabiliteit kan systemen efficiënter maken, maar vergroot de macht van de overheid. Privacybescherming is daarom niet de vijand van migratiebeheer. Zij is de grens waarbinnen migratiebeheer rechtmatig blijft.

Onder het EU-Migratiepact wordt dit evenwicht getest. De EU wil een systeem dat sneller, strenger en beter georganiseerd is. Dat kan alleen duurzaam zijn als het systeem ook corrigeerbaar, transparant en controleerbaar blijft. Een fout in een databank moet kunnen worden hersteld. Een betrokkene moet kunnen begrijpen wat er met zijn gegevens gebeurt. Een advocaat moet gegevensgebruik kunnen controleren. Een rechter moet digitale bewijsbronnen kunnen toetsen. Toezichthouders moeten toegang hebben tot de praktijk, niet alleen tot beleidsdocumenten.

Privacy is geen randonderwerp

Mijn conclusie is dat privacy onder het EU-Migratiepact geen randonderwerp is. Het is een van de centrale rechtsstatelijke vragen van het nieuwe Europese migratiestelsel. Het Pact maakt migratiebeheer sneller en digitaler. Daardoor worden persoonsgegevens belangrijker, gevoeliger en invloedrijker. Wie in het systeem wordt geregistreerd, wordt niet alleen administratief zichtbaar. Hij wordt onderdeel van een digitale werkelijkheid die zijn procedure kan sturen.

De digitale grens van Europa loopt door in Eurodac, screening, interoperabiliteit en gegevensuitwisseling. Juist daar moet het recht zichtbaar blijven. Niet alleen bij de rechter aan het einde van de procedure, maar al bij de eerste registratie, de eerste vingerafdruk, het eerste gezichtsbeeld en de eerste databankvergelijking.

Want een migratiesysteem dat mensen sneller verwerkt, maar hun gegevens niet zorgvuldig beschermt, is geen modern rechtsstatelijk systeem. Het is alleen sneller. En snelheid zonder waarborgen is in het asielrecht geen vooruitgang.