Conseil UE RAAD VAN DE EUROPESE UNIE Brussel, 21 januari 2011 (28.01) (OR. en) PUBLIC 17923/1/10 REV 1 LIMITE JAI 1076 MI 549 DATAPROTECT 100 FREMP 48 COHOM 299 DAPIX 57 NOTA van: het voorzitterschap aan: de delegaties nr. vorig doc.: 15949/10 JAI 922 MI 431 DATAPROTECT 82 FREMP 41 COHOM 237 DAPIX 46 Betreft: Conclusies van de Raad over de mededeling van de Commissie aan het Europees Parlement en de Raad - Een integrale aanpak van de bescherming van persoonsgegevens in de Europese Unie Op 4 november 2010 heeft de Raad een mededeling van de Commissie aan het Europees Parlement en de Raad ontvangen getiteld "Een integrale aanpak van de bescherming van persoonsgegevens in de Europese Unie". Op 10 januari 2011 heeft het voorzitterschap ontwerp-conclusies van de Raad over deze mededeling ingediend. Hoewel deze conclusies algemene beginselen in verband met kwesties van bijzonder belang bevatten, laten zij uiteraard de noodzaak van een zorgvuldige en uitvoerige bestudering van ieder aan de Raad voor te leggen wetgevingsvoorstel onverlet. 17923/1/10 REV 1 dau/lep/lv 1 DG H 2B LIMITE NL
De Groep informatie-uitwisseling en gegevensbescherming (Dapix) heeft op 17 januari 2011 een eerste uitvoerige bespreking aan deze Raadsconclusies gewijd. Een tweede vergadering is voor 31 januari 2011 gepland. In de bijlage gaan voor de delegaties de herziene ontwerp-conclusies van de Raad over de bovengenoemde mededeling, zoals die door het voorzitterschap zijn opgesteld na de vergadering van de Groep Dapix van 17 januari 2011. Naast de wijzigingen die naar aanleiding van voorstellen van de delegaties zijn aangebracht, bevat de tekst ook een aantal taalkundige wijzigingen. De volgende delegaties maakten een algemeen studievoorbehoud bij het voorstel: DE, DK, EE, FI en IT. 17923/1/10 REV 1 dau/lep/lv 2 DG H 2B LIMITE NL
BIJLAGE Conclusies van de Raad van 2011 over de mededeling van de Commissie aan het Europees Parlement en de Raad - Een integrale aanpak van de bescherming van persoonsgegevens in de Europese Unie 1. Overwegende dat de Europese Unie in de afgelopen twee decennia een aanzienlijke hoeveelheid wetgeving betreffende de bescherming van persoonsgegevens heeft ontwikkeld, te beginnen met Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, Verordening (EG) nr. 45/2001 van het Europees Parlement en de Raad van 18 december 2000 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de communautaire instellingen en organen en betreffende het vrije verkeer van die gegevens, Richtlijn 2002/58/EG van het Europees Parlement en de Raad van 12 juli 2002 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie en Kaderbesluit 2008/977/JBZ van de Raad van 27 november 2008 over de bescherming van persoonsgegevens die worden verwerkt in het kader van de politiële en justitiële samenwerking in strafzaken; 2. Overwegende dat de in dit EU-wetgevingspakket vervatte traditionele beginselen inzake gegevensbescherming nog steeds gelden en in alle toekomstige wetgevingshandelingen in acht moeten worden genomen, maar dat zij in verband met de nieuwe ontwikkelingen in het bedrijfsleven en op technologisch gebied die zich de laatste vijftien jaar hebben voorgedaan, grondig moeten worden geëvalueerd 1 ; 3. Er nota van nemend dat bij het Verdrag van Lissabon een nieuwe rechtsgrondslag is ingevoerd voor de aanneming van integrale wetgeving betreffende de bescherming van persoonsgegevens en dat in het Handvest van de grondrechten het recht op bescherming van persoonsgegevens als een grondrecht wordt erkend; 1 17923/1/10 REV 1 dau/lep/lv 3
4. Overwegende dat de Europese Unie vastbesloten is de veiligheid en de fundamentele rechten en vrijheden van natuurlijke personen te beschermen; en dat de noodzakelijke en passende verwerking van persoonsgegevens van cruciaal belang is om de veiligheid van het publiek ook in de toekomst te waarborgen; dat zowel de grondrechten als de veiligheid moeten worden beschermd om de aantasting van de vrijheden van degenen op wie de gegevens betrekking hebben te beperken en niettemin een doeltreffende bescherming tegen terrorisme en criminaliteit te bieden 2 ; 5. Beklemtonend dat steeds volledige inachtneming van het noodzakelijkheids- en het evenredigheidsbeginsel moet worden gewaarborgd bij het verzamelen, bewaren en uitwisselen van persoonsgegevens, zodat deze op een verantwoorde en veilige manier worden verwerkt 3 ; 6. Onderkennend dat het recht op de bescherming van persoonsgegevens als grondrecht geldt voor politiële en justitiële samenwerking in strafzaken; en overwegende dat er conform het Handvest van de grondrechten specifieke regels inzake gegevensbescherming voor de politiële en de justitiële sector moeten worden vastgesteld 4, waarbij eraan wordt herinnerd dat de nationale veiligheid onder de bevoegdheid van de lidstaten valt 5 ; 7. Overwegende dat andere in het Handvest vastgelegde belangrijke grondrechten, en andere doelstellingen in de Verdragen, zoals het recht op vrijheid van meningsuiting en van informatie, en andere waarden, zoals het transparantiebeginsel, ten volle in aanmerking moeten worden genomen terwijl tevens het grondrecht op bescherming van persoonsgegevens moet worden gewaarborgd 6 ; 8. Onderkennend dat, wat de internemarktdimensie betreft, het ontbreken van een degelijke harmonisatie tot een situatie heeft geleid waarin de doelstelling inzake vrij verkeer van gegevens van de Richtlijn gegevensbescherming niet volledig is verwezenlijkt; 2 3 4 5 6 Op basis van een voorstel van UK. Voorstel van NL. Voorstel van SE. Het evenwicht met andere grondrechten vormt een belangrijk element van het huidige rechtskader (zie bv. overweging 72 en artikel 9 van Richtlijn 95/46/EG en overweging 31 van Kaderbesluit 2008/977/JBZ van de Raad). 17923/1/10 REV 1 dau/lep/lv 4
9. Benadrukkend dat een aantal basiselementen van de Richtlijn gegevensbescherming van 1995, zoals de redenen voor het verwerken van persoonsgegevens alsook de rechten van de betrokkenen, op verschillende wijzen zijn omgezet in de lidstaten. Een betere harmonisatie met een hoog niveau van gegevensbescherming 7 zou zowel voor degenen op wie de gegevens betrekking hebben als voor de verantwoordelijken voor de verwerking gunstig zijn; 10. Onderkennend dat de uitwisseling van persoonsgegevens een cruciaal element is in de samenwerking tussen de lidstaten op het gebied van politiële samenwerking en justitiële samenwerking in strafzaken; 11. Onderkennend dat de uitwisseling van persoonsgegevens, waarvan er een aantal gevoelig zijn, strikte gegevensbeschermingsmaatregelen vereist. De nodige stappen moeten worden gezet om ervoor te zorgen dat persoonsgegevens tussen lidstaten kunnen worden uitgewisseld als dat noodzakelijk en evenredig is, waarbij een passende bescherming van die persoonsgegevens moet worden gewaarborgd 8 ; 12. Beklemtonend dat de gevolgen van nieuwe technologieën voor de bescherming van persoonsgegevens zorgvuldig moeten worden onderzocht, met name wat de noodzaak betreft om degenen op wie de persoonsgegevens betrekking hebben in eenvoudige bewoordingen te informeren over de gevolgen van nieuwe technologieën voor hun persoonlijke levenssfeer, en om in "privacy by default"-opties te voorzien; 13. Onderkennend dat bij het overwegen van wijzigingen van de gegevensbeschermingsregels rekening moet worden gehouden met de exponentiële groei van het internet en met de komst van "cloud computing" 9 ; 14. Onderkennend dat het bredere gebruik van biometrische en genetische gegevens ( ) op vele gebieden bijzondere aandacht vergt vanuit wetgevingsoogpunt; 7 8 9 Voorstel van DE. De herziening van de Richtlijn gegevensbescherming van 1995 mag niet tot een verzwakking leiden. Op basis van een voorstel van UK. 17923/1/10 REV 1 dau/lep/lv 5
15. Opnieuw bevestigend dat degenen op wie de persoonsgegevens betrekking hebben kennis moeten hebben 10 van hun gegevens: de betrokkenen moeten in de regel 11 kennis kunnen hebben van de verwerking van de op hen betrekking hebbende gegevens, aangezien dit belangrijk is om te waarborgen dat zij te weten kunnen komen welke gevolgen de verwerking kan hebben voor hun leven. In dat verband moet de Commissie blijven nagaan welke regelingen de transparantie van de verwerking bevorderen; 16. Onderkennend dat in een geglobaliseerde wereld de bescherming van persoonsgegevens die aan derde landen worden doorgegeven één van de meest complexe kwesties is bij de herziening van het huidige rechtskader. In dit verband moet voor ogen worden gehouden dat persoonsgegevens dikwijls worden doorgegeven aan, en vervolgens verwerkt in, derde landen, zonder dat de betrokkenen daarvan op de hoogte zijn. Met de huidige rechtsinstrumenten kunnen deze kwesties in verband met de doorgifte aan derde landen niet volledig met succes worden aangepakt 12 en worden niet altijd 13 adequate garanties geboden dat in derde landen een passend niveau van gegevensbescherming 14 wordt gewaarborgd bij de doorgifte en verwerking van persoonsgegevens; 17. Er nota van nemend dat gegevensbeschermingsautoriteiten een centrale rol vervullen bij het waarborgen van een hoog niveau van bescherming van individuele personen wat hun persoonsgegevens betreft. De gegevensbeschermingsautoriteiten zouden op grond van hun onafhankelijkheid en bevoegdheden een belangrijke ( ) rol moeten kunnen spelen bij het afdwingen van de naleving. Een machtige en geharmoniseerde rol voor de gegevensbeschermingsautoriteiten in een goed gereguleerd rechtskader is van essentieel belang, zowel voor de verantwoordelijken voor de verwerking als voor degenen op wie de persoonsgegevens betrekking hebben, en die dan kunnen rekenen op de onafhankelijkheid van de onderzoeken die door de gegevensbeschermingsautoriteiten worden uitgevoerd en in alle lidstaten aanspraak kunnen maken op hetzelfde niveau van bescherming; 10 11 12 13 14 Voorstel van NL. Voorstel van SE. Voorstel van AT, NL en UK. Voorstel van NL. 17923/1/10 REV 1 dau/lep/lv 6
De Raad van de Europese Unie 1. Is ingenomen met de mededeling van de Commissie aan het Europees Parlement en de Raad - "Een integrale aanpak van de bescherming van persoonsgegevens in de Europese Unie" en steunt krachtig de in de mededeling geformuleerde doelstelling om individuen in alle omstandigheden een passende bescherming te verzekeren; 2. Wijst erop dat gegevensbescherming in wezen van horizontale aard is. Een nieuw rechtskader op basis van de integrale aanpak zou moeten waarborgen dat op alle onder het recht van de Europese Unie vallende 15 gebieden waarop persoonsgegevens worden verwerkt, aan passende normen inzake gegevensbescherming wordt voldaan; 3. Is van oordeel dat de herziening van het rechtskader voor gegevensbescherming op basis van artikel 16 VWEU een gelegenheid biedt om de voorschriften inzake gegevensbescherming opnieuw te bezien; na de evaluatie van de uitvoering van Kaderbesluit 2008/977/JBZ van 27 november 2008 over de bescherming van persoonsgegevens die worden verwerkt in het kader van de politiële en justitiële samenwerking in strafzaken 16 moet de opneming van bepalingen betreffende gegevensbescherming op het gebied van politiële en justitiële samenwerking in strafzaken in het nieuwe integrale kader worden overwogen, waarbij terdege rekening moet worden gehouden met de specifieke aard van die gebieden 17 ; 15 16 17 Voorstel van CZ. Verscheidene delegaties (AT, CZ, IE, LU en NL) verwezen naar Kaderbesluit 2008/977/JBZ van 27 november 2008 (Kaderbesluit gegevensbescherming), waarvan de (praktische) uitvoering nog niet is geëvalueerd. 17923/1/10 REV 1 dau/lep/lv 7
4. Onderschrijft de door de Commissie in de mededeling geuite mening dat een integraal rechtskader voor gegevensbescherming niet uitsluit dat er binnen dat integrale kader specifieke voorschriften inzake gegevensbescherming gelden voor de politiële en justitiële samenwerking in strafzaken 18, en spoort de Commissie aan een nieuw rechtskader voor te stellen, en daarin terdege rekening te houden met de specifieke aard van dit gebied; in de specifieke context moeten 19 er op geharmoniseerde en evenwichtige wijze bepaalde grenzen aan de rechten van individuele personen worden gesteld, indien dat noodzakelijk is en rekening houdend met de rechtmatige doeleinden die door de rechtshandhavingsinstanties worden nagestreefd bij de bestrijding van criminaliteit en de handhaving van de openbare veiligheid 20 ; 5. Is van mening dat de effectbeoordeling voor een nieuw Commissievoorstel betreffende een nieuw rechtskader voor gegevensbescherming een concrete kostenanalyse moet bevatten voor alle daarin voorgestelde nieuwe maatregelen, met inbegrip van de gevolgen van de eventuele invoering van het beginsel "ingebouwde privacy"; 6. Verwacht dat het door de Commissie voor te leggen nieuwe rechtskader een bepaling betreffende het beginsel "ingebouwde privacy" zal bevatten en dat het privacybevorderende technologieën zal aanmoedigen; 7. Vraagt bijzondere aandacht te schenden aan minderjarigen die toegang hebben tot vele soorten IT-instrumenten en aldus hun gegevens op een aantal manieren 21 delen met andere gebruikers; acht bewustmaking op dit gebied van het hoogste belang ( ); 8. Verwacht dat de speciale bescherming van gevoelige persoonsgegevens een kernelement van het Commissievoorstel blijft ( ); 18 19 20 21 Voorstel van DE. Voorstel van FR. Voorstel van NL. 17923/1/10 REV 1 dau/lep/lv 8
9. Verzoekt de Commissie de gevolgen van het gebruik van biometrische gegevens voor individuele personen te beoordelen, en daarbij rekening te houden met de noodzaak die gegevens te verwerken voor specifieke doeleinden op het gebied van politiële en justitiële samenwerking in strafzaken 22, en naar aanleiding van die beoordeling specifieke bepalingen te overwegen 23 ; de Raad verzoekt de Commissie na te gaan wat de mogelijkheden zijn om een ( ) voorafgaande privacyeffectbeoordeling te bevorderen wanneer biometrische gegevens worden verwerkt, en aldus het beginsel "ingebouwde privacy" te ondersteunen; 10. Is van mening dat de verwerking van genetische gegevens in de context van politiële en justitiële samenwerking in strafzaken overeenkomstig het evenredigheidsbeginsel moet plaatsvinden 24 en vindt dat specifieke bepalingen hieromtrent moeten worden bestudeerd 25 ; 11. Steunt het idee van de invoering van privacyzegels (EU-certificeringsregelingen) en zelfreguleringsinitiatieven; beide initiatieven zouden nauwe samenwerking met industriële belanghebbenden, zoals dienstenaanbieders, behelzen en zijn veelbelovend voor het waarborgen van een hoger niveau van bescherming voor individuele personen en voor bewustmaking; 12. Is zich ervan bewust dat het door de mondialisering en de technologische ontwikkelingen uiterst moeilijk is geworden vast te stellen welk recht van toepassing is op bepaalde gevallen; vindt dat de kwestie van het binnen de Europese Unie toepasselijk recht derhalve duidelijk moet worden geregeld in het nieuwe rechtskader; 22 23 24 25 Op basis van een voorstel van AT. Op basis van een voorstel van DE. 17923/1/10 REV 1 dau/lep/lv 9
13. Deelt de visie van de Commissie dat, wat gevallen met een extra-eu-dimensie betreft, het feit dat een verantwoordelijke voor de verwerking - die binnen de Europese Unie is gevestigd - de verwerking van persoonsgegevens in een derde land laat verrichten, of dat gegevens anderszins aan een derde land worden doorgegeven op basis van een overeenkomst of regeling, niet ten gevolge mag hebben dat de betrokkenen de bescherming van hun persoonsgegevens verliezen waarop zij recht hebben (...). De Raad spoort de Commissie derhalve aan juridische oplossingen te vinden die passende waarborgen bieden dat de betrokkenen 26 hun rechten inzake gegevensbescherming kunnen uitoefenen, zelfs als hun gegevens buiten de Europese Unie worden verwerkt. In het nieuwe rechtskader moet de verantwoordelijkheid in die gevallen duidelijk worden toegewezen en moet van de verantwoordelijken voor de verwerking die binnen de Europese Unie diensten aanbieden, worden verlangd dat zij de betrokkenen in begrijpelijke bewoordingen informeren over de bijzonderheden van de verwerking. Degenen op wie de gegevens betrekking hebben moeten altijd op de hoogte kunnen zijn van het feit dat hun gegevens aan een derde land kunnen worden doorgegeven 27 ; 14. Is zich ervan bewust dat de ontwikkeling van universele beginselen voor de bescherming van individuele personen van het allergrootste belang is gezien de mondiaal geworden aard van de gegevensverwerking en moedigt derhalve de Commissie in het bijzonder aan te streven naar samenwerking met derde landen en internationale organisaties, zoals de OESO en de Raad van Europa 28 ; 15. Is ingenomen met de werkzaamheden betreffende de formulering van het verantwoordelijkheidsbeginsel, waarbij wordt gewezen op fundamentele verbanden tussen verschillende elementen van de bepalingen: duidelijke voorschriften - duidelijke toewijzing van verantwoordelijkheid - gevolgen van niet-naleving (sancties) - beschermde positie van degene op wie de gegevens betrekking hebben; verzoekt de Commissie de mogelijkheden te onderzoeken om het verantwoordelijkheidsbeginsel en andere zelfreguleringsinstrumenten die een vlottere werking van de interne markt kunnen bewerkstelligen te benutten om een betere naleving van de voorschriften inzake gegevensbescherming te bereiken. Er moet worden onderzocht of particuliere verantwoordelijken voor de gegevensverwerking kunnen worden vrijgesteld van de meldingsplicht, indien zij bereid zijn te verklaren dat zij zichzelf als verantwoordelijk beschouwen 29 ; 26 27 28 29 Aangezien de huidige wetgeving betreffende gegevensbescherming niet beperkt is tot EUburgers, maar geldt voor de verwerking van persoonsgegevens ongeacht de nationaliteit van de betrokkene, is de verwijzing naar EU-burgers geschrapt. Voorstel van DK. Voorstel van FI. Op basis van een voorstel van NL. 17923/1/10 REV 1 dau/lep/lv 10
16. Steunt de inspanningen van de Commissie bij het opstellen van EU-standaardprivacyverklaringen, met inbegrip van de aan de betrokkenen te verstrekken minimuminformatie; 17. Spoort de Commissie aan na te gaan wat de mogelijkheden alsook de kosten voor het bedrijfsleven en het concurrentievermogen van de EU zijn van de uitbreiding 30 van de verplichtingen inzake melding van gegevensinbreuken tot andere sectoren dan de telecommunicatiesector, zoals financiële instellingen 31. De melding van gegevensinbreuken mag evenwel geen routinealarm worden voor allerlei veiligheidsinbreuken. Ze zou alleen moeten plaatsvinden indien de risico's ( ) die voortvloeien uit de inbreuk, negatieve gevolgen kunnen hebben voor de persoonlijke levenssfeer en de persoonsgegevens van individuele personen en indien ze helpt de belangen van individuele personen te beschermen; 18. Moedigt de Commissie aan de rechten van degenen op wie de gegevens betrekking hebben (zoals inzage, correctie, wissen/afschermen) en de voorwaarden waaronder dezen die rechten kunnen uitoefenen (bv. door termijnen te bepalen) nauwkeuriger te omschrijven; 19. Is van mening dat het recht op inzage in de regel kosteloos of zonder bovenmatige kosten kan worden uitgeoefend. Alle kosten die in rekening worden gebracht in verband met de uitoefening van het recht op inzage moeten worden verantwoord; 20. Spoort de Commissie aan de invoering te onderzoeken 32 van een recht om te worden vergeten, als een innoverend juridisch instrument, voor zover de uitoefening van dat recht mogelijk wordt gemaakt door nieuwe technologieën; 30 31 32 LU en FR stelden voor die sectoren op te sommen. Volgens het voorzitterschap kunnen die in de context van deze Raadsconclusies niet uitvoerig worden vermeld. Op basis van een voorstel van DE en FR. 17923/1/10 REV 1 dau/lep/lv 11
21. Is voorstander van een meer geharmoniseerde capaciteit en rol van de gegevensbeschermingsautoriteiten, ook op het gebied van politiële en justitiële samenwerking in strafzaken, waarbij ervoor moet worden gezorgd dat een justitiële autoriteit het recht heeft een rechtsmiddel aan te wenden, ook als het om handelingen van justitie gaat 33, aangezien dit degenen op wie de gegevens betrekking hebben zou helpen bij het uitoefenen van hun rechten en ook een meer voorspelbaar terrein zou vormen voor de verantwoordelijken voor de verwerking 34 ; 22. Schaart zich achter het doel om de administratieve belasting van de verantwoordelijken voor de verwerking te verminderen en spoort de Commissie aan onder meer de mogelijkheid te beoordelen om de meldingseisen te beperken tot specifieke soorten operaties die specifieke risico's meebrengen 35, maar is tegenstander van een eenvormig gecentraliseerd registratieformulier/-systeem voor de hele EU, dat zelfs nog lastiger verplichtingen voor de verantwoordelijken voor de verwerking zou kunnen meebrengen dan de huidige. Een betere manier om dit doel te bereiken zou erin bestaan de gegevensbeschermingsregisters te vereenvoudigen zonder afbreuk te doen aan eventuele vrijstellingen waarin het toekomstige integrale rechtskader zou voorzien 36 ; 23. Steunt ( ) het streven van de Commissie om de verantwoordelijkheid van de verantwoordelijke voor de verwerking uit te breiden en spoort de Commissie aan in haar effectbeoordeling haar oordeel te geven over de mogelijke benoeming van functionarissen voor gegevensbescherming 37, ( ) waarbij het niet de bedoeling is onnodige administratieve of regelgevingslasten op te leggen 38 ; 33 34 35 36 37 38 Voorstel van AT. LU vroeg zich af wat de meerwaarde van dit voorstel is. Voorstel van FI. Op basis van een voorstel van NL. Zie blz. 12, punt 2.2.4, van de Commissiemededeling. Studievoorbehoud van AT. Ook FI en PT gaven te kennen dat er geen algemene ongekwalificeerde verplichting kan zijn om binnen iedere organisatie een functionaris voor gegevensbescherming te benoemen. 17923/1/10 REV 1 dau/lep/lv 12
24. Onderkent dat het belangrijkste element van een goed geharmoniseerde aanpak in de lidstaten een nieuw rechtskader is dat in een hoger niveau van harmonisatie voorziet dan het huidige. Verdere harmonisatie en aanpassing 39 van de rol van de gegevensbeschermingsautoriteiten zijn ook noodzakelijk, aangezien deze een belangrijke rol vervullen bij het waarborgen van de geharmoniseerde toepassing van voorschriften betreffende de bescherming van persoonsgegevens. Dat geldt in het bijzonder voor gevallen met grensoverschrijdende aspecten. Daarvoor moet de coördinatie tussen de gegevensbeschermingsautoriteiten worden verbeterd. Daarom moet de rol van de Groep van artikel 29 opnieuw worden bezien, met bijzondere aandacht voor de transparantie en de doeltreffendheid van de samenwerkingsfunctie. De onafhankelijkheid van de nationale gegevensbeschermingsautoriteiten blijft de hoeksteen van die samenwerking. 39 Voorstel van DE. 17923/1/10 REV 1 dau/lep/lv 13