De zaak draait om het Computer Forensic Network, afgekort CFN. Dat systeem werd in 2012 opgezet voor de verwerking van digitaal materiaal uit strafrechtelijke onderzoeken. Eerst had het een beperkte taak. Het moest informatie opslaan, ordenen en daarna doorzetten naar de gewone systemen van Europol.

Meer data na terreuraanslagen
Na de aanslagen in Parijs in november 2015 veranderde de rol van Europol snel. Bij die aanslagen kwamen 130 mensen om het leven. Honderden anderen raakten gewond. Daarna nam de politieke druk op de Europese politiedienst sterk toe.

Nationale autoriteiten begonnen grote hoeveelheden gegevens naar Europol te sturen. Het ging onder meer om telefoongegevens, reisgegevens, politierapporten en informatie uit terrorismeonderzoeken. Europol moest van die berg aan gegevens bruikbare inlichtingen maken. Daardoor groeide het CFN veel verder dan de oorspronkelijke bedoeling.

Ook gewone burgers in systemen
In 2019 zou het CFN twee petabyte aan informatie hebben bevat. Dat is ongeveer 420 keer zo veel als de officiële databanken van Europol. Het ging niet alleen om de omvang van de opslag. Ook de aard van de gegevens riep grote vragen op.

In de systemen zouden telefoongegevens, identiteitsdocumenten, locatiegegevens en financiële informatie hebben gestaan. Ook mensen zonder directe band met strafbare feiten konden in beeld raken. Een vermelding in een contactenlijst, een gedeelde sociale kring of indirect contact met een verdachte kon al genoeg zijn om gegevens vast te houden.

Eigen toezichthouder waarschuwde
In 2019 waarschuwde Daniel Drewer, de interne functionaris voor gegevensbescherming van Europol, de leiding van de organisatie. Hij stelde dat 99 procent van de operationele gegevens in het CFN werd opgeslagen en verwerkt zonder voldoende waarborgen. Volgens zijn rapport was het systeem feitelijk uitgegroeid tot het belangrijkste analyseplatform van Europol.

De zorgen gingen ook over de interne controle. Er zouden zwakke toegangsregels zijn geweest. Ook was onvoldoende duidelijk wie informatie had bekeken of gewijzigd. Daarnaast was er beperkt toezicht op beheerdersrechten binnen het systeem.

Brussel wil Europol juist uitbreiden
De Europese privacytoezichthouder waarschuwde al langer voor deze ontwikkeling. Het conflict met Europol leidde uiteindelijk tot de zogenoemde ‘Big Data Challenge’. Daarbij kreeg Europol opdracht om grote hoeveelheden gegevens te verwijderen die buiten de wettelijke grenzen waren opgeslagen. Ook moesten strengere regels komen voor het bewaren van data.

Toch kijkt Brussel ondertussen naar uitbreiding van de macht van Europol. Eurocommissaris Magnus Brunner heeft publiekelijk geopperd om het budget en het personeel van Europol te verdubbelen. Daarmee zou de dienst een actievere politierol krijgen.