Det finns 18 olika system inom EU för att samla in och utbyta integritetskänslig personinformation.
Medborgarna har rätt att få veta vad som lagras, tycker ansvarig kommissionär Cecilia Malmström.
Men frågan är om de verkligen har det.
För första gången har kommissionen sammanställt alla olika system som övervakar EU-medborgarna. De innehåller allt från personuppgifter, fingeravtryck, uppgifter om resor och DNA till bankaffärer, våldsbenägenhet, vapeninnehav och straffregister. Men även asylansökningar, telefon- och internettrafik.
Det största är Schengen Informations System (SIS och SIS II). Förra året innehöll det drygt 31 miljoner noteringar.
"Medborgarna bör ha rätt att få veta vilka personuppgifter som finns lagrade och som utbyts om dem", skriver ansvariga kommissionären Cecilia Malmström i en kommentar till rapporten.
Men det gäller på ett mycket allmänt plan. Frågan om man som enskild har rätt att få veta om man förekommer i något register får inget entydigt svar från EU-kommissionen. Grundregeln är att man har den rätten. Men undantag gäller register av känslig och hemlig natur — vilket man nog får klassa de flesta av de 18 som.
De flesta av kontrollsystemen har sitt ursprung i beslutet att skrota gränskontrollerna i Schengenområdet. I gengäld behövdes en utökad kontroll och ett informationsutbyte för att hantera visumfrågor, asylmigration och polis och tullmyndigheters arbete mot terrorism och gränsöverskridande brottslighet. Terrorattackerna mot USA 2001 och Madrid och London 2004 och 2005 minskade inte precis övervakningsbehovet.
Totalt är det sex olika system som samlar persondata på EU-nivå. I resten används uppgifterna gränsöverskridande men samlas in och lagras på nationell nivå.
Systemen har olika regler för hur länge data får samlas och vilka som har tillgång till uppgifterna. En del har tydliga ramar, där uppgifterna får behållas från 6 till 24 månader. Andra har mer luddiga regler om att uppgifterna bara får behållas så länge som de behövs.
Längst tid — 15 år — får uppgifter sparas i det amerikanska systemet för information om finansiella transaktioner för att bekämpa terrorism. Kortast tid gäller för gränskontrollsystemet API, som har en 24-timmarsgräns.
Trots mängden system och register anser EU-kommissionen att skyddet för den personliga integriteten är större med fler register än med ett stort. Pär Ström, debattör i integritetsfrågor, håller inte helt med.
- Det bygger i så fall på att man har regler som upprätthålls om att man inte får samköra dem. Rent tekniskt så går de att samköra, så många register fungerar i praktiken som ett register. Rent tekniskt håller inte det argumentet, säger han till TT.
- Ju fler system man har med register, desto större risk för att uppgifter kommer på avvägar och missbrukas. Och när man samlar in olika typer av information från olika håll, så ökar också möjligheterna att skapa sig en helhetsbild av en människa, så riskerna är uppenbara, säger Pär Ström.
TT har utan framgång sökt ansvarig kommissionär Cecilia Malmström, som är på semester.