02016D1250 — NL — 01.08.2016 — 000.001

Onderstaande tekst dient louter ter informatie en is juridisch niet bindend. De EU-instellingen zijn niet aansprakelijk voor de inhoud. Alleen de besluiten die zijn gepubliceerd in het Publicatieblad van de Europese Unie (te raadplegen in EUR-Lex) zijn authentiek. Deze officiële versies zijn rechtstreeks toegankelijk via de links in dit document

►B ►C1 UITVOERINGSBESLUIT (EU) 2016/1250 VAN DE COMMISSIE van 12 juli 2016 overeenkomstig Richtlijn 95/46/EG van het Europees Parlement en de Raad betreffende de gepastheid van de door het EU-VS-privacyschild geboden bescherming ◄ (Kennisgeving geschied onder nummer C(2016) 4176) (Voor de EER relevante tekst) (PB L 207 van 1.8.2016, blz. 1)





Gerectificeerd bij:









▼B

▼C1

UITVOERINGSBESLUIT (EU) 2016/1250 VAN DE COMMISSIE

van 12 juli 2016

overeenkomstig Richtlijn 95/46/EG van het Europees Parlement en de Raad betreffende de gepastheid van de door het EU-VS-privacyschild geboden bescherming

▼B

(Kennisgeving geschied onder nummer C(2016) 4176)

(Voor de EER relevante tekst)







Artikel 1

1. oor de toepassing van artikel 25, lid 2, van Richtlijn 95/46/EG waarborgen de Verenigde Staten een passend beschermingsniveau voor persoonsgegevens die van de Unie naar organisaties in de Verenigde Staten worden doorgegeven in het kader van het EU-VS-privacyschild.

2. Het EU-VS-privacyschild bestaat uit de Beginselen die op 7 juli 2016 door het Amerikaanse ministerie van Handel zijn gepubliceerd en in bijlage II zijn opgenomen, en de officiële verklaringen en toezeggingen die in de in de bijlagen I en III tot en met VII opgenomen documenten zijn vervat.

3. Voor de toepassing van lid 1 worden persoonsgegevens doorgegeven in het kader van het EU-VS-privacyschild wanneer ze worden doorgegeven uit de Unie naar organisaties in de Verenigde Staten die op de „privacyschildlijst” staan, die door het Amerikaanse ministerie van Handel wordt bijgehouden en bekendgemaakt, overeenkomstig de secties I en III van de in bijlage II opgenomen Beginselen.

Artikel 2

De toepassing van de bepalingen van Richtlijn 95/46/EG, met uitzondering van artikel 25, lid 1, die betrekking hebben op de verwerking van persoonsgegevens in de lidstaten, en met name artikel 4, wordt door dit besluit onverlet gelaten.

Artikel 3

Wanneer de bevoegde autoriteiten in de lidstaten hun bevoegdheden uit hoofde van artikel 28, lid 3, van Richtlijn 95/46/EG uitoefenen, en dit tot de opschorting van of een definitief verbod op gegevensstromen naar een organisatie in de Verenigde Staten die op de privacyschildlijst staat overeenkomstig de secties I en III van de in bijlage II opgenomen Beginselen leidt, teneinde natuurlijke personen met betrekking tot de verwerking van hun persoonsgegevens te beschermen, stelt de betrokken lidstaat de Commissie hiervan onverwijld in kennis.

Artikel 4

1. De Commissie zal de werking van het EU-VS-privacyschild voortdurend controleren om te beoordelen of de Verenigde Staten een passend beschermingsniveau blijven waarborgen voor de in het kader daarvan uit de Unie naar organisaties in de Verenigde Staten doorgegeven persoonsgegevens.

2. De lidstaten en de Commissie stellen elkaar in kennis van de gevallen waarin de overheidsinstanties in de Verenigde Staten met de wettelijke bevoegdheid om de in bijlage II opgenomen Beginselen te doen naleven, niet voorzien in doeltreffende opsporings- en toezichtsmechanismen waarmee inbreuken op de Beginselen in de praktijk kunnen worden vastgesteld en bestraft.

3. De lidstaten en de Commissie stellen elkaar in kennis van eventuele aanwijzingen dat de ingrepen van de Amerikaanse overheidsdiensten die verantwoordelijk zijn voor de nationale veiligheid, de rechtshandhaving en andere openbare belangen, in het recht van natuurlijke personen op de bescherming van hun persoonsgegevens verder gaan dan hetgeen strikt noodzakelijk is, en/of dat er geen doeltreffende rechtsbescherming tegen dergelijke ingrepen is.

4. Binnen één jaar na de datum van kennisgeving van dit besluit aan de lidstaten en daarna elk jaar, zal de Commissie de vaststelling in artikel 1, lid 1, evalueren op basis van alle beschikbare informatie, met inbegrip van de informatie die in het kader van de in de bijlagen I, II en VI bedoelde jaarlijkse gezamenlijke evaluatie is ontvangen.

5. De Commissie zal alle relevante vaststellingen aan het bij artikel 31 van Richtlijn 95/46/EG ingestelde comité meedelen.

6. De Commissie zal volgens de in artikel 31, lid 2, van Richtlijn 95/46/EG bedoelde procedure ontwerpmaatregelen indienen teneinde dit besluit op te schorsen, te wijzigen of in te trekken of het toepassingsgebied ervan te beperken, onder andere, wanneer er aanwijzingen zijn:

— dat de Amerikaanse overheidsdiensten de verklaringen en toezeggingen in de aan dit besluit gehechte documenten niet nakomen, onder meer wat betreft de voorwaarden voor en beperkingen van de toegang van Amerikaanse overheidsdiensten ten behoeve van de nationale veiligheid, de rechtshandhaving en andere doeleinden van openbaar belang tot in het kader van het EU-VS-privacyschild doorgegeven persoonsgegevens;

— dat klachten van betrokkenen uit de EU stelselmatig niet doeltreffend worden behandeld; of

— dat de privacyschildombudsman stelselmatig niet tijdig en passend reageert op verzoeken van betrokkenen uit de EU, zoals in sectie 4(e) van bijlage III wordt vereist.

De Commissie zal dergelijke ontwerpmaatregelen ook indienen indien zij door het gebrek aan medewerking van de instanties die bij het waarborgen van de werking van het EU-VS-privacyschild in de Verenigde Staten betrokken zijn, niet kan bepalen of de vaststelling in artikel 1, lid 1, in het gedrang komt.

Artikel 5

De lidstaten nemen alle nodige maatregelen om aan dit besluit te voldoen.

Artikel 6

Dit besluit is gericht tot de lidstaten.









BIJLAGE I

Brief van de Amerikaanse minister van Handel Penny Pritzker

7 juli 2016

Mw. Věra Jourová

Commissaris voor Justitie, Consumentenzaken en Gendergelijkheid

Europese Commissie

Wetstraat 200

1049 Brussel

BELGIË

Geachte commissaris Jourová:

Namens de Verenigde Staten heb ik de eer u hierbij te doen toekomen een pakket documenten inzake het EU-VS-privacyschild dat het resultaat is van twee jaar productieve besprekingen tussen onze teams. Dit pakket biedt, samen met andere documenten waarover de Commissie de beschikking heeft via openbare bronnen, een zeer sterke basis voor een nieuwe vaststelling van gepastheid door de Europese Commissie ( 1 ).

We kunnen beiden trots zijn op de verbeteringen in de kaderregeling. Het privacyschild is gebaseerd op Beginselen die aan beide kanten van de Atlantische Oceaan een brede steun genieten, en wij hebben de werking van deze beginselen versterkt. Door samen te werken, hebben wij een reële kans om de bescherming van de privacy in de hele wereld te beschermen.

Het privacyschildpakket omvat de Beginselen inzake het privacyschild, alsook een brief, opgenomen als bijlage 1, van de Dienst voor Internationale Handel van het ministerie van Handel, die het programma beheert. Hierin worden de toezeggingen beschreven die onze ministerie heeft gedaan om ervoor te zorgen dat het privacyschild effectief functioneert. Bijlage 2 bij het pakket bevat onder andere toezeggingen van het ministerie van Handel met betrekking tot het nieuwe arbitrale model in het kader van het privacyschild.

Ik heb mijn ambtenaren opdracht gegeven alle nodige middelen in te zetten om het kader van het privacyschild snel en volledig in te voeren en ervoor te zorgen dat op tijd aan de in bijlage 1 en bijlage 2 neergelegde verplichtingen wordt voldaan.

Het privacyschildpakket bevat tevens documenten van andere Amerikaanse instanties, namelijk:

— een brief van de Federal Trade Commission (FTC) waarin de tenuitvoerlegging van het privacyschild wordt beschreven;

— een brief van het ministerie van Vervoer waarin zijn tenuitvoerlegging van het privacyschild wordt beschreven;

— twee door het bureau van de directeur van de nationale inlichtingendienst (ODNI) opgestelde brieven met betrekking tot waarborgen en beperkingen die van toepassing zijn op de nationale veiligheidsautoriteiten van de VS;

— een brief van het Amerikaanse ministerie van Buitenlands Zaken en een bijbehorend memorandum, waarin de toezegging van het ministerie van Buitenlandse Zaken wordt beschreven met betrekking tot het instellen van een nieuwe privacyschildombudsman voor het indienen van vragen met betrekking tot de Amerikaanse „signal intelligence”-praktijken, en

— een brief opgesteld door het Amerikaanse ministerie van Justitie met betrekking tot de waarborgen en beperkingen inzake de toegang van de Amerikaanse overheid ten behoeve van rechtshandhaving en het algemeen belang.

U kunt ervan verzekerd zijn dat de Verenigde Staten deze toezeggingen ernstig neemt.

Binnen 30 dagen na de definitieve goedkeuring van de vaststelling van het beschermingsniveau wordt het volledige privacyschildpakket ingediend bij het Federal Register voor de bekendmaking ervan.

Wij kijken ernaar uit met u samen te werken wanneer het privacyschild is geïmplementeerd en we samen aan de volgende fase van dit proces beginnen.

Met vriendelijke groet,

Penny Pritzker









Bijlage 1

Brief van de waarnemend onderminister van Internationale Handel Ken Hyatt

Mevrouw Věra Jourová

Commissaris voor Justitie, Consumentenrechten en Gendergelijkheid

Europese Commissie

Westraat 200

1049 Brussel

BELGIË

Geachte commissaris Jourová:

Namens de Dienst voor Internationale Handel heb ik de eer u een beschrijving te geven van de verbeterde bescherming van persoonsgegevens die het EU-VS-privacyschildkader („privacyschild” of „kader”) biedt, en van de toezeggingen die het ministerie van Handel („ministerie”) heeft gedaan om ervoor te zorgen dat het privacyschild effectief functioneert. De voltooiing van deze historische regeling is een belangrijk resultaat voor de privacy en het bedrijfsleven aan beide zijden van de Atlantische Oceaan. Het privacyschild biedt EU-burgers het vertrouwen dat hun gegevens worden beschermd en dat zij over rechtsmiddelen beschikken om eventuele problemen aan te pakken. Het biedt zekerheid die de trans-Atlantische economie zal helpen groeien door ervoor te zorgen dat duizenden Europese en Amerikaanse ondernemingen over onze grenzen heen kunnen blijven investeren en zakendoen. Het privacyschild is het resultaat van ruim twee jaar hard werk en samenwerking met u, onze collega's binnen de Europese Commissie („Commissie”). Wij verheugen ons erop te blijven samenwerken met de Commissie om ervoor te zorgen dat het privacyschild blijft werken zoals bedoeld.

Samen met de Commissie hebben we het privacyschild ontwikkeld zodat in de Verenigde Staten gevestigde organisaties kunnen voldoen aan de eisen inzake gepastheid inzake gegevensbescherming in het kader van EU-wetgeving. De nieuwe kaderregeling zal een aantal aanzienlijke voordelen opleveren voor zowel particulieren als bedrijven. Ten eerste biedt het een belangrijke reeks privacybeschermingen voor de gegevens van EU-burgers. Het vereist dat de deelnemende organisaties in de VS een conform privacybeleid ontwikkelen, in het openbaar toezeggen te zullen voldoen aan de privacyschildbeginselen, zodat de nakoming van de toezegging kan worden afgedwongen, jaarlijks hun naleving bij het ministerie hercertificeren, gratis onafhankelijke geschillenbeslechting aan EU-burgers aanbieden, en onderworpen zijn aan het gezag van de Amerikaanse Federal Trade Commission („FTC”), het ministerie van Vervoer („DOT”), of een andere handhavingsinstantie. Ten tweede zal het privacyschild duizenden bedrijven in de Verenigde Staten en dochterondernemingen van Europese bedrijven in de Verenigde Staten in staat stellen om persoonsgegevens te ontvangen vanuit de Europese Unie om gegevensstromen mogelijk te maken die de trans-Atlantische handel ondersteunen. De trans-Atlantische economische relatie is reeds 's werelds grootste, goed voor de helft van de wereldwijde economische output en bijna een biljoen dollar aan goederen en dienstenhandel, waarmee miljoenen banen aan beide zijden van de Atlantische Oceaan worden ondersteund. Bedrijven die afhankelijk zijn van trans-Atlantische gegevensstromen komen uit alle industriële sectoren en omvatten grote Fortune 500-bedrijven evenals vele kleine en middelgrote ondernemingen (KMO's). trans-Atlantische gegevensstromen kunnen Amerikaanse organisaties in staat stellen gegevens te verwerken die nodig zijn om goederen, diensten en werkgelegenheid te bieden aan Europese burgers. Het privacyschild ondersteunt gedeelde privacybeginselen, waarbij de verschillen in onze juridische aanpak worden overbrugd, en tevens de handels- en economische doelstellingen van zowel Europa als de Verenigde Staten worden bevorderd.

Het besluit van een bedrijf om zichzelf voor dit nieuwe kader te certificeren is vrijwillig. Zodra echter een bedrijf zich publiekelijk tot het privacyschild verplicht, is de naleving van deze verplichting afdwingbaar krachtens de Amerikaanse wetgeving, hetzij door de Federal Trade Commission hetzij door het ministerie van Vervoer, afhankelijk van welke instantie bevoegdheid over de privacyschildorganisatie uitoefent.

Verbeteringen in het kader van de privacyschildbeginselen

Het uiteindelijke privacyschild versterkt de bescherming van de privacy door:

— te eisen dat aanvullende informatie wordt verstrekt aan burgers in het kader van het kennisgevingsbeginsel, met inbegrip van een verklaring van deelname van de organisatie aan het privacyschild, een verklaring van het recht van de burger om toegang te krijgen tot persoonsgegevens en de aanwijzing van het desbetreffende onafhankelijke orgaan van geschillenbeslechting;

— versterking van de bescherming van de persoonsgegevens die een privacyschildorganisatie aan een derde voor de verwerking verantwoordelijke overdraagt, door te eisen dat de partijen een overeenkomst aangaan die bepaalt dat dergelijke gegevens alleen mogen worden verwerkt voor beperkte en bepaalde doeleinden die met de door de burger verleende toestemming overeenstemmen, en dat de begunstigde dezelfde mate van bescherming zal bieden als de Beginselen;

— versterking van de bescherming van persoonsgegevens die een privacyschildorganisatie aan vertegenwoordigers van derde partijen overdraagt, door onder andere te eisen dat een privacyschildorganisatie: redelijke en passende maatregelen neemt om ervoor te zorgen dat de externe vertegenwoordiger de overgedragen persoonsgegevens verwerkt op een wijze die in overeenstemming is met de verplichtingen van de organisatie in het kader van de Beginselen; na kennisgeving, redelijke en passende maatregelen neemt om ongeoorloofde verwerking te stoppen en te herstellen; een samenvatting of een representatief exemplaar van de desbetreffende privacybepalingen van de overeenkomst met die externe vertegenwoordiger op verzoek aan het ministerie overlegt;

— te bepalen dat een privacyschildorganisatie verantwoordelijk is voor de verwerking van persoonsgegevens die zij in het kader van het privacyschild ontvangt en vervolgens overdraagt aan een derde die namens haar optreedt, en dat de privacyschildorganisatie op grond van de Beginselen aansprakelijk blijft als haar vertegenwoordiger dergelijke persoonsgegevens verwerkt op een wijze die niet in overeenstemming is met de Beginselen, tenzij de organisatie bewijst dat zij niet verantwoordelijk is voor de gebeurtenis die aanleiding geeft tot de schade;

— te verduidelijken dat privacyschildorganisaties de persoonsgegevens moeten beperken tot de informatie die met het oog op de verwerking relevant is;

— te eisen dat een organisatie elk jaar bij het ministerie certificeert dat zij zich ertoe verplicht de Beginselen toe te passen op de informatie die zij heeft ontvangen terwijl zij aan het privacyschild deelnam indien zij het privacyschild verlaat en ervoor kiest om dergelijke gegevens te bewaren;

— te eisen dat in onafhankelijke verhaalmechanismen wordt voorzien zonder kosten voor de burger;

— te eisen dat zowel organisaties als hun geselecteerde onafhankelijke verhaalmechanismen onmiddellijk moeten reageren op vragen en informatieverzoeken van het ministerie van Informatie in verband met het privacyschild;

— te eisen dat organisaties snel reageren op klachten over de naleving van de Beginselen die de autoriteiten van de EU-lidstaten via het ministerie hebben ingediend; en

— te eisen dat een privacyschildorganisatie alle desbetreffende privacyschildgerelateerde secties van elk aan de FTC voorgelegd nalevings- or beoordelingsverslag openbaar maakt indien zij onderworpen wordt aan een FTC- of rechterlijk bevel op grond van niet-naleving.

Beheer en toezicht inzake het privacyschildprogramma door het ministerie van Handel

Het ministerie herhaalt zijn toezegging dat het een gezaghebbende lijst zal bijhouden en ter beschikking van het publiek zal stellen van Amerikaanse organisaties die bij het ministerie een zelfcertificeringsverklaring hebben ingediend en zich hebben verplicht om zich aan de Beginselen te houden (de „privacyschildlijst”). Het ministerie houdt de privacyschildlijst actueel door organisaties te verwijderen die zich vrijwillig terugtrekken, die niet aan de jaarlijkse hercertificering overeenkomstig de procedures van het ministerie voldoen, of die permanent nalaten aan de regels te voldoen. Het ministerie zal tevens een gezaghebbende lijst bijhouden en ter beschikking van het publiek zal stellen van Amerikaanse organisaties die eerder wel bij het ministerie een zelfcertificeringsverklaring hadden ingediend, maar die van de privacyschildlijst zijn verwijderd, met inbegrip van de organisaties die werden verwijderd wegens permanente niet-naleving van de Beginselen. Het ministerie zal de redenen opgeven waarom een organisatie werd verwijderd.

Daarnaast verbindt het ministerie zich ertoe het beheer en het toezicht inzake het privacyschild te versterken. In het bijzonder zal het ministerie:

Aanvullende informatie over de privacyschildwebsite verstrekken — de privacyschildlijst bijhouden, evenals een overzicht van de organisaties die voorheen een zelfcertificeringsverklaring indienden met betrekking tot de naleving van de Beginselen, maar die niet meer verzekerd zijn van de voordelen van het privacyschild; — op een prominente plaats een toelichting opnemen waarin duidelijk wordt gemaakt dat alle organisaties die van de privacyschildlijst zijn verwijderd niet meer verzekerd zijn van de voordelen van het privacyschild, maar desalniettemin de Beginselen moeten blijven toepassen op de persoonsgegevens die zij ontvingen toen zij deelnamen aan het privacyschild zolang zij deze gegevens bewaren; en — een link verschaffen naar de lijst van privacyschildgerelateerde FTC-zaken die wordt bijgehouden op de FTC-website.

De inachtneming van de vereisten inzake zelfcertificering controleren — Voorafgaand aan de afronding van de zelfcertificering (of jaarlijkse hercertificering) van een organisatie en het plaatsen van een organisatie op de privacyschildlijst, wordt gecontroleerd of de organisatie: — — de benodigde contactgegevens van de organisatie heeft verstrekt; — de activiteiten van de organisatie heeft beschreven met betrekking tot de uit de EU ontvangen persoonsgegevens; — heeft aangegeven op welke persoonsgegevens haar zelfcertificering betrekking heeft; — indien zij een publiek toegankelijke website heeft, het internetadres waar het privacybeleid beschikbaar is, heeft verstrekt, en of het privacybeleid toegankelijk is op het verstrekte webadres, of als een organisatie geen publiek toegankelijke website heeft, zij heeft aangegeven waar het publiek het privacybeleid kan inzien; — in haar desbetreffende privacybeleid een verklaring dat zij de Beginselen naleeft en, als het privacybeleid online beschikbaar is, een hyperlink naar de privacyschildwebsite van het ministerie heeft opgenomen; — de officiële instantie heeft aanwezen die bevoegd is om tegen de organisatie ingediende claims in verband met eventuele oneerlijke of misleidende praktijken en schendingen van wetten of regelingen betreffende de privacybescherming te behandelen (en die is opgenomen in de Beginselen of een toekomstige bijlage bij de Beginselen); — indien zij ervoor kiest om de eisen in de punten (a)(i) en (a)(iii) van het Beginsel inzake verhaal, handhaving en aansprakelijkheid na te leven door zich te verplichten om met de bevoegde EU-gegevensbeschermingsautoriteiten samen te werken, heeft aangegeven dat zij de intentie heeft om samen te werken met de gegevensbeschermingsautoriteiten bij het onderzoek en de oplossing van klachten die in het kader van de privacyschild zijn ingediend en met name om te reageren op vragen van EU-betrokkenen wanneer zij hun klachten rechtstreeks bij hun nationale gegevensbeschermingsautoriteiten hebben ingediend; — een privacyprogramma heeft aangewezen waarvan de organisatie lid is; — de wijze heeft aangegeven waarop wordt gecontroleerd of de Beginselen daadwerkelijk worden nageleefd (bv. intern, door derden); — zowel in haar zelfcertificeringsverklaring als in haar privacybeleid het onafhankelijke verhaalsmechanisme heeft aangegeven waarmee klachten kunnen worden onderzocht en opgelost; — in haar desbetreffende privacybeleid, indien dat beleid online beschikbaar is, een hyperlink heeft opgenomen naar de website of het klachtenformulier van het onafhankelijke verhaalsmechanisme dat beschikbaar is om onopgeloste klachten te onderzoeken; en — indien zij heeft aangegeven dat zij voornemens is personeelsbeheersinformatie te ontvangen die vanuit de EU is doorgegeven voor gebruik in het kader van de arbeidsverhouding, zich ertoe heeft verplicht samen te werken met en zich te schikken naar de gegevensbeschermingautoriteiten teneinde klachten op te lossen over haar activiteiten met betrekking tot dergelijke gegevens, aan het ministerie een kopie van haar privacybeleid inzake personeelsbeheersinformatie heeft verstrekt en heeft vermeld waar het privacybeleid beschikbaar is voor inzage door haar werknemers die het aangaat. — Gebruik maken van onafhankelijke verhaalsmechanismen om te controleren of de organisaties daadwerkelijk geregistreerd zijn bij het desbetreffende mechanisme dat in hun zelfcertificeringsverklaring is aangegeven, wanneer een dergelijke registratie is vereist.

De inspanningen opvoeren om organisaties te blijven volgen die van de privacyschildlijst zijn verwijderd — organisaties die vanwege „permanente niet-naleving” van de privacyschildlijst zijn verwijderd, ervan in kennis stellen dat zij de informatie die in het kader van het privacyschild is verzameld niet mogen bewaren; en — vragenlijsten toesturen aan organisaties waarvan de zelfcertificering verloopt, of die zich vrijwillig uit het privacyschild hebben teruggetrokken teneinde na te gaan of de organisatie de tijdens haar deelname aan het privacyschild ontvangen persoonsgegevens zal terugbezorgen of wissen, of de privacybeginselen hierop zal blijven toepassen en, indien de persoonsgegevens worden bewaard, na te gaan wie binnen de organisatie het blijvende contactpunt is voor aangelegenheden die met het privacyschild te maken hebben.

Valse beweringen van deelname opsporen en aanpakken — het privacybeleid herzien van de organisaties die eerder aan het privacyschildprogramma hebben deelgenomen, maar die van de privacyschildlijst zijn verwijderd teneinde de eventuele valsheid van beweringen van deelname aan het privacyschild aan te tonen; — op een permanente basis, wanneer een organisatie: (a) niet langer deelneemt aan het privacyschild, (b) haar naleving van de Beginselen niet opnieuw certificeert of (c) vanwege met name „permanente niet-naleving” als deelnemer aan het privacyschild wordt verwijderd, ambtshalve controleren of de organisatie alle verwijzingen naar het privacyschild uit het relevante gepubliceerde privacybeleid heeft verwijderd die zouden impliceren dat de organisatie actief blijft deelnemen aan het privacyschild en recht heft op de voordelen ervan. Indien het ministerie vaststelt dat dergelijke verwijzingen niet zijn verwijderd, zal het ministerie de organisatie waarschuwen dat, waar nodig, de zaak naar de desbetreffende autoriteit zal worden verwezen voor eventuele handhavingsmaatregelen als de organisatie blijft verkondigen een privacyschildcertificering te hebben. Als de organisatie noch de verwijzingen verwijdert noch tot een verklaring van zelfcertificering inzake haar naleving in het kader van het privacyschild overgaat, zal het ministerie de zaak ambtshalve verwijzen naar de FTC, minsterie van Handel, of een andere gepaste handhavende instantie of, in voorkomend geval, actie nemen om het privacyschildkeurmerk te handhaven; — andere inspanningen ondernemen om de valsheid van beweringen inzake deelname aan het privacyschild en oneigenlijk gebruik van het privacyschildkeurmerk vast te stellen, onder meer door middel van zoekopdrachten op internet om vast te stellen waar beelden van het privacyschildkeurmerk worden getoond en in het privacybeleid van organisaties naar het privacyschild wordt verwezen; — onverwijld eventuele problemen aanpakken die worden vastgesteld bij onze ambtshalve controles inzake valse beweringen van deelname en misbruik van het keurmerk, onder meer door het waarschuwen van organisaties die een verkeerde voorstelling geven van hun deelname aan het privacyschildprogramma zoals hierboven beschreven; — andere passende corrigerende maatregelen nemen, met inbegrip van eventuele gerechtelijke stappen die het ministerie bevoegd is te nemen en de verwijzing van zaken naar de FTC, het ministerie van Handel, of een andere passende handhavende instelling; en — klachten over valse beweringen van deelname die worden ontvangen, snel onderzoeken en oplossen. Het ministerie zal het privacybeleid van organisaties herzien zodat valse beweringen van deelname aan het privacyschild beter kunnen worden aangetoond en aangepakt. Meer bepaald zal het ministerie het privacybeleid herzien van organisaties waarvan de zelfcertificering is vervallen omdat zij hun naleving van de Beginselen niet opnieuw hebben gecertificeerd. Het ministerie zal dit soort onderzoek uitvoeren om te controleren of dergelijke organisaties alle verwijzingen uit hun desbetreffende gepubliceerde privacybeleid hebben verwijderd die impliceren dat de organisatie actief blijft deelnemen aan het privacyschild. Naar aanleiding van dit soort onderzoeken stellen wij vast welke organisaties dergelijke verwijzingen niet hebben verwijderd. Deze organisaties ontvangen een brief van het Office of General Counsel van het ministerie met een waarschuwing dat eventueel handhavend zal worden opgetreden als de verwijzingen niet worden verwijderd. Het ministerie zal vervolgmaatregelen nemen om ervoor te zorgen dat de organisaties de ongepaste verwijzingen verwijderen of hun naleving van de Beginselen opnieuw certificeren. Daarnaast zal het ministerie inspanningen leveren om valsheid aan te tonen van beweringen inzake deelname aan het privacyschild door organisaties die nooit hebben deelgenomen aan het privacyschildprogramma, en zal het met betrekking tot dergelijke organisaties vergelijkbare corrigerende maatregelen nemen.

Periodiek ambtshalve nalevingscontroles en evaluaties van het programma uitvoeren — voortdurend de effectieve naleving monitoren, onder meer door gedetailleerde vragenlijsten aan deelnemende organisaties toe te sturen om de problemen vast te stellen die vervolgmaatregelen kunnen rechtvaardigen. In het bijzonder zullen deze nalevingscontroles plaatsvinden wanneer: a) het ministerie specifieke serieuze klachten heeft ontvangen over de naleving door een organisatie van de Beginselen, b) een organisatie niet afdoende reageert op het verzoek van het ministerie om informatie over het privacyschild, of c) er geloofwaardige aanwijzingen zijn dat een organisatie niet voldoet aan haar verplichtingen in het kader van het privacyschild. Het ministerie zal, waar nodig, in overleg treden met de bevoegde gegevensbeschermingsautoriteiten over dergelijke nalevingscontroles; en — periodiek het beheer en toezicht inzake het privacyschildprogramma beoordelen om te waarborgen dat de controle-inspanningen geschikt zijn om nieuwe problemen aan te pakken wanneer die zich voordoen. Het ministerie heeft de middelen uitgebreid die aan het beheer van en toezicht op het privacyschildprogramma worden besteed, met inbegrip van een verdubbeling van het aantal personeelsleden dat belast is met dat beheer en toezicht. We zullen de nodige middelen blijven toekennen voor dergelijke inspanningen om effectief toezicht op en beheer van het programma te verzekeren.

De privacyschildwebsite aanpassen aan specifieke doelgroepen Het ministerie zal de privacyschildwebsite aanpassen aan drie doelgroepen: EU-burgers, EU-ondernemingen en Amerikaanse bedrijven. Het opnemen van materiaal dat rechtstreeks is gericht aan EU-burgers en EU-bedrijven zal de transparantie op een aantal manieren bevorderen. Voor EU-burgers wordt duidelijk uitgelegd: 1) welke rechten het privacyschild EU-burgers biedt; 2) welke verhaalsmechanismen beschikbaar zijn voor EU-burgers wanneer ze van mening zijn dat een organisatie haar verplichting om aan de Beginselen te voldoen, heeft geschonden; en 3) hoe ze informatie over de zelfcertificering van een organisatie met betrekking tot het privacyschild kunnen vinden. Voor EU-ondernemingen zal het gemakkelijker zijn om te controleren: 1) of een organisatie verzekerd is van de voordelen van het privacyschild; 2) op welke soort informatie de zelfcertificering inzake het privacyschild van een organisatie van toepassing is; 3) welk privacybeleid van toepassing is op de desbetreffende informatie; en 4) welke methode de organisatie gebruikt om haar naleving van de Beginselen te controleren.

De samenwerking met de gegevensbeschermingsautoriteiten opvoeren Om de mogelijkheden voor samenwerking met de gegevensbeschermingsautoriteiten te verhogen, zal het ministerie een speciale contactpersoon instellen om op te treden als tussenpersoon voor de gegevensbeschermingsautoriteiten. In gevallen waarin een gegevensbeschermingsautoriteit, onder meer naar aanleiding van een klacht van een EU-burger, van mening is dat een organisatie de Beginselen niet naleeft, kan zij contact opnemen met de speciale contactpersoon bij het ministerie om de organisatie nader te laten beoordelen. De contactpersoon zal ook meldingen ontvangen met betrekking tot organisaties die ten onrechte beweren dat ze deelnemen aan het privacyschild, terwijl ze nooit door zelfcertificering de Beginselen hebben onderschreven. De contactpersoon zal de gegevensbeschermingsautoriteiten helpen informatie te zoeken over de zelfcertificering of eerdere deelname aan het programma van een bepaalde organisatie, en de contactpersoon zal vragen van de gegevensbeschermingautoriteit beantwoorden over de naleving van specifieke privacyschildvereisten. Ten tweede zal het ministerie de gegevensbeschermingsautoriteiten voorzien van materiaal met betrekking tot het privacyschild, dat zij op hun eigen websites kunnen plaatsen om de transparantie voor EU-burgers en EU-ondernemingen te vergroten. Het toegenomen bewustzijn ten aanzien van het privacyschild en de rechten en plichten die het creëert moet het gemakkelijker maken bepaalde kwesties in een vroeg stadium te constateren, zodat ze op de juiste wijze kunnen worden aangepakt.

De afhandeling van klachten over niet-naleving vereenvoudigen De klachten over de niet-naleving door een privacyschildorganisatie van de Beginselen ontvangt het ministerie via de vaste contactpersoon naar wie de gegevensbeschermingsautoriteit de klacht heeft doorverwezen. Het ministerie zal zijn uiterste best doen om de afhandeling van de klacht bij de privacyschildorganisatie te bevorderen. Binnen 90 dagen na ontvangst van de klacht verstrekt het ministerie een update aan de gegevensbeschermingsautoriteit. Om de indiening van dergelijke klachten te vereenvoudigen, voert het ministerie een standaardformulier in dat de gegevensbeschermingautoriteiten bij de daartoe aangewezen contactpersoon van het ministerie kunnen indienen. De speciale contactpersoon houdt zich op de hoogte van alle zaken die de gegevensbeschermingsautoriteiten naar het ministerie hebben verwezen, en het ministerie verstrekt in het hieronder beschreven jaarlijkse evaluatie een verslag met een analyse van alle klachten die zij in het betreffende jaar heeft ontvangen.

In overleg met de Commissie arbitrageprocedures vaststellen en arbiters selecteren Het ministerie komt zijn verplichtingen op grond van bijlage I na en publiceert de procedures nadat overeenstemming is bereikt.

Gezamenlijk mechanisme voor de evaluatie van het functioneren van het privacyschild Het ministerie van Handel, de FTC en andere instanties zullen in voorkomend geval jaarlijkse vergaderingen houden met de Commissie, belanghebbende gegevensbeschermingsautoriteiten en de desbetreffende vertegenwoordigers van de Artikel 29-werkgroep, waar het ministerie updates over het privacyschildprogramma zal verstrekken. Tijdens de jaarlijkse vergaderingen wordt onder meer gesproken over actuele kwesties inzake het functioneren, de uitvoering, en de handhaving van en het toezicht op het privacyschild, met inbegrip van de verwijzingen die het ministerie van de autoriteiten voor gegevensbescherming heeft ontvangen, en de resultaten van de ambtshalve uitgevoerde nalevingsbeoordelingen, en eventueel ook over relevante veranderingen van de wetgeving. De eerste jaarlijkse evaluatie en de daarop volgende evaluaties zullen in voorkomend geval een dialoog over andere onderwerpen bevatten, zoals op het gebied van geautomatiseerde besluitvorming, met inbegrip van aspecten inzake de overeenkomsten en de verschillen in benadering tussen de EU en de VS.

Actualisering van wetgeving Het ministerie zal zich redelijke inspanningen getroosten om de Commissie te informeren over de materiële ontwikkelingen in de Amerikaanse wetgeving voor zover deze relevant zijn voor het privacyschild op het gebied van gegevensbescherming en de beperkingen en waarborgen die van toepassing zijn op de toegang van de Amerikaanse autoriteiten tot persoonsgegevens en het daaropvolgend gebruik van die gegevens.

Uitzondering inzake de nationale veiligheid Met betrekking tot de beperkingen op de naleving van de privacyschildbeginselen inzake de nationale veiligheid heeft de General Counsel van het bureau van de Director of National Intelligence, Robert Litt, ook twee brieven gestuurd aan Justin Antonipillai en Ted Dean van het ministerie van Handel, die ook aan u zijn doorgestuurd. In deze brieven worden onder andere uitvoerig het beleid, de waarborgen en de beperkingen besproken die van toepassing zijn op activiteiten van de VS op het gebied van signals intelligence. Daarnaast wordt in deze brieven de transparantie beschreven die de inlichtingendiensten over deze zaken bieden. Bij haar beoordeling van de privacyschildkaderregeling kan de Commissie aan de informatie uit deze brieven de zekerheid ontlenen om te kunnen concluderen dat het privacyschildregeling naar behoren, in overeenstemming met de daarin vervatte Beginselen, zal functioneren. Wij gaan ervan uit dat u bij de jaarlijkse evaluatie van de privacyschildkaderregeling in de toekomst, naast andere informatie, gebruik zult maken van de informatie die door de inlichtingendiensten openbaar is gemaakt. Op grond van de Beginselen van het privacyschild en de begeleidende brieven en documenten, waaronder de toezeggingen van het ministerie inzake het beheer van en het toezicht op de privacyschildkaderregeling, verwachten wij dat de Commissie zal vaststellen dat de EU-VS-privacyschildkaderregeling voldoende bescherming biedt met het oog op de EU-wetgeving en dat de doorgifte van gegevens uit de Europese Unie naar organisaties die deelnemen aan het privacyschild zal worden voortgezet.

Met vriendelijke groet,

Ken Hyatt









Bijlage 2

Arbitrage-model









BIJLAGE I

Deze bijlage I beschrijft wanneer privacyschildorganisaties verplicht zijn klachten op grond van het Beginsel inzake verhaal, handhaving en aansprakelijkheid aan arbitrage te onderwerpen. De hieronder omschreven bindende arbitrage-optie geldt voor bepaalde „resterende” klachten in verband met gegevens die onder het EU-VS-privacyschild vallen. Het doel van deze optie is een snel, onafhankelijk en eerlijk mechanisme te bieden, waarvan de betrokken personen desgewenst gebruik kunnen maken in geval van een geschil over schendingen van de Beginselen dat niet via een van de andere privacyschildmechanismen werden beslecht.

A. Toepassingsgebied

Deze arbitrage-optie staat ter beschikking van natuurlijke personen en maakt het mogelijk om ten aanzien van nog niet anderszins opgeloste klachten te bepalen of een privacyschildorganisatie haar verplichtingen in het kader van de Beginselen tegenover iemand heeft geschonden, en of een dergelijke schending volledig of gedeeltelijk niet werd verholpen. Deze optie is alleen beschikbaar voor deze doeleinden. Deze optie is bijvoorbeeld niet beschikbaar met betrekking tot de uitzonderingen op de Beginselen ( 2 ) of met betrekking tot een bewering over het passend karakter van het privacyschild.

B. Beschikbare Rechtsmiddelen

In het kader van deze arbitrage-optie is het privacyschildpanel (bestaande uit één of drie arbiters, zoals overeengekomen door de partijen) bevoegd om een individuele, specifieke, niet-geldelijke, billijke voorziening vast te stellen (zoals toegang, correctie, wissen of teruggave van de betrokken gegevens van de persoon) die nodig is om de schending van de Beginselen in verband met enkel deze persoon te verhelpen. Dit zijn de enige bevoegdheden van het arbitragepanel qua voorzieningen. Bij het overwegen van voorzieningen moet het arbitragepanel voorzieningen in overweging nemen die reeds door andere mechanismen werden vastgesteld in het kader van het privacyschild. Schadevergoeding of vergoeding van kosten of honoraria of andere voorzieningen zijn niet mogelijk. Elke partij betaalt de honoraria van zijn eigen advocaat.

C. Aan abritrage voorafgaande vereisten

Een persoon die beslist een beroep te doen op deze arbitrage-optie, moet alvorens een arbitrageverzoek te doen de volgende stappen ondernemen: 1) rechtstreeks bij de organisatie bezwaar tegen de beweerde schending maken en de organisatie de gelegenheid bieden om de kwestie binnen de in sectie III, punt 11, onder (d) (i), van de Beginselen bepaalde termijn op te lossen; 2) gebruikmaken van het onafhankelijk verhaalsmechanisme in het kader van de Beginselen, dat voor de betrokken persoon gratis is; en 3) de zaak via de betreffende gegevensbeschermingsautoriteit aankaarten bij het ministerie van Handel en dit ministerie de mogelijkheid bieden zijn uiterste best te doen om het probleem op de lossen binnen de termijnen die voorzien zijn in de Brief van de International Trade Administration van het ministerie van Handel. Hieraan zijn voor de betrokken persoon geen kosten verbonden.

Deze arbitrage-optie kan niet worden ingeroepen indien de beweerde schending van de Beginselen 1) reeds eerder was onderworpen aan bindende arbitrage; 2) het voorwerp uitmaakt van een onherroepelijk vonnis dat is gegeven in het kader van een gerechtelijke procedure waarbij de betrokkene partij was; of 3) reeds eerder door de partijen werd geregeld. Bovendien kan deze optie niet worden ingeroepen als een EU-gegevensbeschermingsautoriteit 1) bevoegd is krachtens de secties III.5 of III.9 van de Beginselen, of 2) de bevoegdheid heeft om inzake de beweerde schending rechtstreeks met de organisatie tot een oplossing te komen. De bevoegdheid van een gegevensbeschermingsautoriteit om een klacht jegens een EU-verwerkingsverantwoordelijke af te handelen, sluit op zich niet de mogelijkheid uit om inzake dezelfde klacht van deze arbitrage-optie gebruik te maken jegens een andere juridische entiteit waarover de gegevensbeschermingsautoriteit geen bevoegdheid heeft.

D. Bindend karakter van beslissingen

De beslissing van een persoon om deze bindende arbitrage-optie in te roepen is volledig vrijwillig. Arbitragebeslissingen zijn bindend voor alle partijen bij de arbitrage. Wanneer de betrokken persoon deze optie eenmaal heeft ingeroepen, doet hij afstand van de mogelijkheid om de zaak aan een andere forum voor te leggen, zij het dat wanneer de niet-geldelijke, billijke schadevergoeding de beweerde schending niet volledig vergoed, de keuze voor de arbitrage de betrokkene niet belet om eventueel bij de rechter een vordering tot schadevergoeding in te stellen.

E. Rechterlijke toetsing en tenuitvoerlegging

Particulieren en privacyschildorganisaties kunnen op grond van de Federal Arbitration Act de rechterlijke toetsing en tenuitvoerlegging van de arbitragebeslissingen vorderen krachtens Amerikaans recht ( 3 ). In dergelijke gevallen moet een zaak worden ingeleid bij het federal district court dat bevoegd is met betrekking tot de hoofdzetel van de privacyschildorganisatie.

Deze arbitrage-optie beoogt individuele geschillen te beslechten; het is niet de bedoeling dat arbitragebesluiten fungeren als een overtuigend of bindend precedent in zaken waarbij andere partijen betrokken zijn, met inbegrip van toekomstige arbitrages of in procedures voor rechtbanken in de EU of de VS, of FTC-procedures.

F. Het arbitragepanel

De partijen zullen de arbiters selecteren uit de hieronder besproken lijst van arbiters.

In overeenstemming met het toepasselijke recht zullen het ministerie van Handel van de Verenigde Staten en de Europese Commissie een lijst opstellen van ten minste 20 arbiters, geselecteerd op basis van onafhankelijkheid, integriteit en expertise. Het volgende is van toepassing in het kader van deze procedure:

Arbiters:

1) blijven op de lijst staan gedurende een periode van 3 jaar, behoudens buitengewone omstandigheden of dwingende redenen, welke periode met 3 jaar kan worden verlengd;

2) zijn niet onderworpen aan enige instructie van, of gelieerd aan een partij, of een privacyschildorganisatie, of de VS, EU, of een EU-lidstaat of een andere regeringsinstantie, overheidsinstantie, of handhavingsautoriteit; en

3) dienen toegelaten te zijn als advocaat in de Verenigde Staten en deskundige te zijn op het gebied van VS-wetgeving inzake privacybescherming, en deskundigheid te hebben op het gebied van EU-wetgeving inzake gegevensbescherming.

G. Arbitrageprocedures

In overeenstemming met het toepasselijke recht, moeten het ministerie van Handel en de Europese Commissie binnen zes maanden na de vaststelling van het adequaatheidsbesluit overeenstemming bereiken over de goedkeuring van een bestaande, beproefde reeks van VS-arbitrageprocedures (zoals AAA of JAMS) die worden toegepast op de procedures voor het privacyschildpanel, met inachtneming van de volgende onverwegingen:

1. Een natuurlijk persoon kan tot bindende arbitrage overgaan, met inachtneming van de bovenvermelde bepaling inzake aan de arbitrage voorafgaande vereisten, via afgifte van een „kennisgeving” aan de organisatie. De kennisgeving bevat een samenvatting van de stappen die zijn genomen op grond van Punt C om de klacht op te lossen, een beschrijving van de beweerde schending en, naar keuze van de natuurlijke persoon, de bewijsstukken en de documenten en/of een uiteenzetting van de wetgeving met betrekking tot de klacht.

2. Er zullen procedures worden ontwikkeld om ervoor te zorgen dat één en dezelfde beweerde schending niet meermaals wordt verholpen of behandeld.

3. FTC-maatregelen kunnen parallel met arbitrage worden genomen.

4. Vertegenwoordigers van de VS, de EU, een EU-lidstaat of een andere regeringsinstantie, overheidsinstantie, of uitvoerende autoriteit mogen niet deelnemen aan deze arbitrages, zij het dat EU-gegevensbeschermingsautoriteiten op verzoek van een EU-burger bijstand mogen verlenen bij de voorbereiding van enkel de kennisgeving, zonder echter toegang te hebben tot bekendmakings- of andere documenten met betrekking tot deze arbitrages.

5. De arbitrage zal plaatsvinden in de Verenigde Staten en de betrokken persoon kan opteren voor deelname per video of telefoon, zonder dat voor die persoon aan die deelname kosten zijn verbonden. Fysieke aanwezigheid wordt niet vereist.

6. De arbitrage vindt plaats in de Engelse taal, tenzij door partijen anders is overeengekomen. Op gemotiveerd verzoek, en in aanmerking nemend of de betrokken persoon door een advocaat wordt vertegenwoordigd, zal tijdens de arbitragezitting ten behoeve van de betrokken persoon voor kosteloze vertolking en kosteloze vertaling van de abitragestukken worden gezorgd, tenzij het panel van oordeel is dat dit gelet op de specifieke omstandigheden van de arbitrage in kwestie zou leiden tot ongerechtvaardigde of buitensporige kosten.

7. Stukken die aan de scheidsrechters worden voorgelegd, moeten vertrouwelijk behandeld worden en mogen alleen worden gebruikt in het kader van de arbitrage.

8. Individuele specifieke openbaarmaking kan worden toegestaan indien nodig, en een dergelijke openbaarmaking moet vertrouwelijk worden behandeld door de partijen en mag alleen worden gebruikt in verband met de arbitrage.

9. Arbitrages moeten worden voltooid binnen 90 dagen na de afgifte van de kennisgeving aan de betrokken organisatie, tenzij door partijen anders overeengekomen is.

H. Kosten

Arbiters moeten redelijke maatregelen treffen om de kosten of vergoedingen inzake de arbitrages zo laag mogelijk te houden.

In overeenstemming met het toepasselijke recht zal het ministerie van Handel de oprichting van een fonds bevorderen waaraan de privacyschildorganisaties een jaarlijkse bijdrage zullen moeten betalen, welke deels gebaseerd is op de omvang van de organisatie, om de kosten van de arbitrage, inclusief de honoraria van de scheidsrechters, te dekken, ten belope van maximumbedragen („caps”), na overleg met de Europese Commissie. Het Fonds zal worden beheerd door een derde partij, die regelmatig verslag uitbrengt over de werkzaamheden van het Fonds. Bij de jaarlijkse evaluatie zullen het ministerie van Handel en de Europese Commissie de werking van het fonds evalueren, inclusief de vraag of het bedrag van de bijdragen of van de caps moet worden aangepast, en zullen zij onder andere het aantal arbitrages en de kosten en timing van de arbitrages in aanmerking nemen, waarbij er onderling van wordt uitgegaan dat aan de privacyschildorganisaties geen buitensporige financiële lasten zullen worden opgelegd. Honoraria voor advocaten vallen niet onder deze bepaling en worden ook niet gedekt door enig fonds uit hoofde van deze bepaling.









BIJLAGE II

BEGINSELEN INZAKE HET EU-VS-PRIVACYSCHILDKADER OPGESTELD DOOR HET AMERIKAANSE MINISTERIE VAN HANDEL

I. OVERZICHT

1. Terwijl de Verenigde Staten en de Europese Unie beide de privacybescherming willen verbeteren, benaderen de Verenigde Staten privacy anders dan de Europese Unie. De Verenigde Staten hebben een sectorale aanpak die is gebaseerd op een mix van wetgeving, regelgeving en zelfregulering. Gezien deze verschillen en teneinde organisaties in de Verenigde Staten een betrouwbaar mechanisme te bieden om persoonsgegevens vanuit de Europese Unie naar de Verenigde Staten door te geven, waarbij gewaarborgd wordt dat de betrokkenen in de EU blijven profiteren van effectieve waarborgen en bescherming zoals vereist door de Europese wetgeving ten aanzien van de verwerking van hun persoonsgegevens die zijn doorgegeven aan derde landen, heeft het ministerie van Handel deze Beginselen inzake het privacyschild opgesteld, met inbegrip van de aanvullende Beginselen (gezamenlijk „de Beginselen” genoemd) in het kader van zijn wettelijke bevoegdheid om de internationale handel te bevorderen en te ontwikkelen (15 U.S.C. § 1512). De Beginselen zijn ontwikkeld in overleg met de Europese Commissie, het bedrijfsleven en andere belanghebbenden om de handel tussen de Verenigde Staten en de Europese Unie te bevorderen. Ze zijn uitsluitend bestemd voor gebruik door organisaties in de Verenigde Staten die persoonsgegevens uit de Europese Unie ontvangen om in aanmerking te kunnen komen voor het privacyschild en aldus te profiteren van het adequaatheidsbesluit van de Europese Commissie ( 4 ). De Beginselen hebben geen invloed op de toepassing van de nationale bepalingen ter uitvoering van Richtlijn 95/46/EG („de richtlijn”) die van toepassing zijn op de verwerking van persoonsgegevens in de lidstaten. Evenmin vormen de Beginselen een beperking van de privacyverplichtingen die voor het overige van toepassing zijn krachtens de Amerikaanse wet.

2. Om erop te kunnen vertrouwen dat in het kader van het privacyschild de doorgifte van persoonsgegevens uit de EU wordt geëffectueerd, moet een organisatie tegenover het ministerie van Handel (of de door deze aangewezen instantie) („het ministerie”) verklaren dat zij door middel van zelfcertificering de Beginselen onderschrijft. Hoewel de beslissingen van organisaties om aldus deel te nemen aan het privacyschild geheel vrijwillig zijn, is de effectieve naleving ervan verplicht: organisaties die een zelfcertificeringsverklaring indienen bij het ministerie en in het openbaar verklaren de verplichting aan te gaan om zich aan de Beginselen te houden, moeten de beginselen volledig in acht nemen. Teneinde deel te kunnen nemen aan het privacyschild moet een organisatie a) onderworpen zijn aan de onderzoeks- en handhavingsbevoegdheden van de Federal Trade Commission (de „FTC”), het ministerie van Vervoer of een andere officiële instantie die de effectieve naleving van de Beginselen zal waarborgen (andere Amerikaanse officiële instanties organen die door de EU zijn erkend kunnen in de toekomst in bijlage worden opgenomen); b) in het openbaar verklaren de verplichting aan te gaan om zich aan de Beginselen te houden; c) haar privacybeleid overeenkomstig deze Beginselen openbaar maken; en d) dit beleid volledig uitvoeren. Wanneer een organisatie een en ander niet naleeft, kan handhavend worden opgetreden grond van artikel 5 van de Federal Trade Commission Act die oneerlijke en misleidende handelingen verbiedt op het gebied van of met invloed op de handel (15 U.S.C. § 45(a)) of op grond van andere wet- of regelgeving die dergelijke handelingen verbiedt.

3. Het ministerie van Handel zal een gezaghebbende lijst bijhouden en ter beschikking van het publiek stellen, van Amerikaanse organisaties die bij het ministerie een zelfcertificeringsverklaring hebben ingediend en die hebben verklaard de Beginselen te onderschrijven („de privacyschildlijst”). De voordelen van het privacyschild zijn gegarandeerd vanaf de datum dat het ministerie de organisatie op de privacyschildlijst plaatst. Het ministerie zal een organisatie van de privacyschildlijst verwijderen als zij zich vrijwillig terugtrekt uit het privacyschild of als ze nalaat haar jaarlijkse hercertificering bij het ministerie in te dienen. De verwijdering van een organisatie van de privacyschildlijst betekent dat zij niet langer kan profiteren van het adequaatheidsbesluit van de Europese Commissie om persoonsgegevens uit de EU te ontvangen. De organisatie moet de Beginselen blijven toepassen op de persoonsgegevens die zij heeft ontvangen toen zij aan het privacyschild deelnam, en elk jaar bij het ministerie opnieuw bevestigen dat zij dit zal blijven doen zolang zij dergelijke gegevens bewaart; anders moet de organisatie de gegevens teruggeven, verwijderen of „passende” bescherming van de informatie bieden met andere erkende middelen. Het ministerie zal ook de organisaties van de privacyschildlijst verwijderen die permanent nalaten om zich aan de Beginselen te houden; deze organisaties komen niet in aanmerking voor de privacyschildvoordelen en moeten de persoonsgegevens die zij op grond van het privacyschild hebben ontvangen, terugsturen of verwijderen.

4. Het ministerie zal tevens een gezaghebbende lijst bijhouden en ter beschikking van het publiek stellen van Amerikaanse organisaties die eerder wel bij het ministerie een zelfcertificeringsverklaring hadden ingediend, maar die van de privacyschildlijst zijn verwijderd. Het ministerie zal een duidelijke waarschuwing verstrekken dat deze organisaties geen deelnemer aan het privacyschild zijn, dat verwijdering van de privacyschildlijst betekent dat deze organisaties niet mogen beweren dat ze aan het privacyschild voldoen en zich moeten onthouden van alle verklaringen of misleidende praktijken waarmee wordt geïmpliceerd dat zij deelnemen aan het privacyschild, en dat dergelijke organisaties niet langer gerechtigd zijn om te profiteren van het adequaatheidsbesluit van de Europese Commissie dat die organisaties in staat zou stellen om persoonsgegevens uit de EU te ontvangen. Een organisatie die blijft beweren dat zij deelneemt aan het privacyschild of een andere aan het privacyschild gerelateerde verkeerde voorstellingen van zaken geeft nadat zij van de privacyschildlijst is verwijderd, kan worden onderworpen aan handhavend optreden van de FTC, het ministerie van Vervoer of andere handhavingsinstanties.

5. De onderschrijving van deze Beginselen kan worden beperkt: a) voor zover nodig om te voldoen aan vereisten inzake nationale veiligheid, het algemeen belang of rechtshandhaving; b) op grond van de wet, overheidsreglementering of jurisprudentie die tegenstrijdige verplichtingen of uitdrukkelijke bevoegdheden creëert, op voorwaarde dat een organisatie bij het uitoefenen van een dergelijke bevoegdheid kan aantonen dat haar niet-naleving van de Beginselen niet verder gaat dan nodig is om te voldoen aan de dwingende legitieme belangen die door een dergelijke bevoegdheid worden bevorderd; of c) indien met de richtlijn of de wetgeving van de lidstaat wordt beoogd uitzonderingen of afwijkingen toe te staan, mits deze uitzonderingen of afwijkingen in vergelijkbare situaties worden toegepast. In overeenstemming met het doel de privacybescherming te verbeteren, moeten organisaties ernaar streven om deze Beginselen volledig en op transparante wijze uit te voeren, en daarbij in hun privacybeleid vermelden in welke gevallen uitzonderingen op de Beginselen als toegestaan onder b) hierboven, regelmatig van toepassing zullen zijn. Om dezelfde reden wordt, wanneer deze optie is toegestaan krachtens de Beginselen en/of de Amerikaanse wet, van organisaties verwacht dat zij waar mogelijk kiezen voor de hogere mate van bescherming.

6. Organisaties zijn verplicht om de Beginselen toe te passen op alle persoonsgegevens die op basis van het privacyschild zijn doorgegeven nadat zij zich voor het privacyschild hebben laten registreren. Een organisatie die ervoor kiest om de voordelen van het privacyschild uit te breiden naar personeelsbeheersinformatie die vanuit de EU wordt doorgegeven voor gebruik in het kader van een arbeidsverhouding, moet dit aangeven wanneer ze een zelfcertificeringsverklaring indient bij het ministerie en dient aan de in het aanvullende beginsel inzake zelfcertificering gestelde vereisten te voldoen.

7. De Amerikaanse wetgeving zal van toepassing zijn op kwesties inzake de interpretatie en naleving van de Beginselen en het relevante privacybeleid door de privacyschildorganisaties, behalve wanneer deze organisaties hebben toegezegd om samen te werken met de Europese gegevensbeschermingsautoriteiten. Tenzij anders aangegeven, zijn alle bepalingen van de Beginselen van toepassing waar deze relevant zijn.

8. Definities:

a) „Persoonsgegevens” en „persoonlijke informatie” : de gegevens over een geïdentificeerde of identificeerbare natuurlijke persoon die binnen het toepassingsgebied van de richtlijn vallen en door een organisatie in de Verenigde Staten vanuit de Europese Unie worden ontvangen, en in welke vorm dan ook worden vastgelegd.

b) „Verwerking” van persoonsgegevens : elke bewerking of elk geheel van bewerkingen met betrekking tot persoonsgegevens, al dan niet uitgevoerd met behulp van geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, bewaren, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken of verspreiden en wissen of vernietigen.

c) „Verwerkingsverantwoordelijke” : een persoon of organisatie die, alleen of samen met anderen, het doel van en middelen voor de verwerking van persoonsgegevens bepaalt.

9. De datum van inwerkingtreding van de Beginselen is de datum van de definitieve goedkeuring van het adequaatheidsbesluit van de Europese Commissie.

II. BEGINSELEN

1. Kennisgeving

a) Een organisatie moet particulieren informeren over:

i) haar deelname aan het privacyschild en een link verstrekken naar, of het webadres vermelden van, de privacyschildlijst,

ii) de aard van de verzamelde persoonsgegevens en, indien van toepassing, de entiteiten of dochterondernemingen van de organisatie die de Beginselen ook onderschrijven,

iii) haar inzet om de Beginselen toe te passen op alle persoonsgegevens die in vertrouwen op het privacyschild vanuit Europa zijn ontvangen.

iv) het doel waarvoor zij persoonlijke informatie over hen verzamelt en gebruikt,

v) de wijze waarop in geval van vragen of klachten contact kan worden opgenomen met de organisatie, met inbegrip van elke relevante vestiging in de EU die kan reageren op dergelijke vragen of klachten,

vi) het soort of de identiteit van derden aan wie zij persoonsgegevens meedeelt, en het doel waarvoor zij dat doet,

vii) het recht van personen van toegang tot hun persoonsgegevens,

viii) de keuzes en de middelen die de organisatie aan particulieren aanbiedt ter beperking van het gebruik en de openbaarmaking van hun persoonsgegevens,

ix) het onafhankelijke orgaan voor geschillenbeslechting dat is aangewezen om klachten te behandelen en te voorzien in passende, kosteloze verhaalmogelijkheden voor de betrokken persoon, en of dat: 1) het panel is dat door gegevensbeschermingsautoriteiten is opgericht, 2) een alternatieve geschillenbeslechtingsinstantie is die in de EU gevestigd is, of 3) een alternatieve geschillenbeslechtingsinstantie in de Verenigde Staten is,

x) het onderworpen zijn aan de onderzoeks-en handhavingsbevoegdheden van de FTC, het ministerie van Vervoer of een andere gemachtigde VS overheidsinstantie,

xi) de mogelijkheid voor de natuurlijke persoon om onder bepaalde voorwaarden een beroep op bindende arbitrage te doen,

xii) de verplichting om persoonlijke informatie bekend te maken als reactie op een gerechtvaardigd verzoek van openbare instanties, onder meer ter voldoening aan de eisen in verband met veiligheid of rechtshandhaving, en

xiii) haar aansprakelijkheid in geval van verdere doorgifte aan derde partijen.

b) Deze kennisgeving moet in duidelijke en ondubbelzinnige bewoordingen worden gedaan als de betrokkenen voor de eerste keer wordt gevraagd de organisatie persoonlijke informatie te verstrekken of zo spoedig mogelijk daarna, maar in ieder geval voordat de organisatie dergelijke informatie gebruikt voor een ander doel dan waarvoor deze oorspronkelijk is verzameld of door de doorgevende organisatie is verwerkt, of voor de eerste keer aan een derde bekendmaak.

2. Keuzemogelijkheden

a) Een organisatie moet betrokkenen de mogelijkheid geven zich ertegen te verzetten (opt-out) dat hun persoonlijke informatie i) aan derden bekend zal worden gemaakt of ii) zal worden gebruikt voor een doel dat materieel verschilt van het (de) doel(en) waarvoor deze informatie oorspronkelijk is verzameld of waarvoor de betrokkene achteraf zijn toestemming heeft gegeven. Aan de betrokkene moeten duidelijke en opvallende, direct beschikbare mechanismen worden geboden om deze keuze te maken.

b) In afwijking van de vorige paragraaf is het niet nodig om een keuze te bieden als de informatie wordt bekendgemaakt aan een derde die optreedt als vertegenwoordiger van een organisatie om uit haar naam en in haar opdracht een of meer taken uit te voeren. Een organisatie moet echter altijd een overeenkomst met de vertegenwoordiger sluiten.

c) Voor gevoelige informatie (d.w.z. persoonlijke informatie over de gezondheid, raciale of etnische afkomst, politieke opvattingen, godsdienstige of filosofische overtuigingen, lidmaatschap van een vakbond of informatie over het seksleven van de betrokkene) moeten organisaties van de betrokkene positieve, expliciete toestemming (opt-in) krijgen, wil dergelijke informatie i) aan een derde bekend kunnen worden gemaakt of ii) kunnen worden gebruikt voor een ander doel dan waarvoor deze oorspronkelijk is verzameld of waarvoor de betrokkene achteraf zijn toestemming heeft gegeven via de uitoefening van zijn keuze voor opt-in. Bovendien moet een organisatie alle informatie die zij van een derde ontvangt en die deze derde als gevoelig aanmerkt en behandelt, als gevoelig behandelen.

3. Verantwoording voor de verdere doorgifte

a) Wanneer een organisatie persoonlijke informatie doorgeeft aan een derde die optreedt als verwerkingsverantwoordelijke, moet zij het kennisgevingsbeginsel en het keuzebeginsel in acht nemen. Organisaties moeten ook een overeenkomst sluiten met de derde verwerkingsverantwoordelijke waarin wordt bepaald dat dergelijke gegevens uitsluitend mogen worden verwerkt voor beperkte en welomschreven doeleinden die stroken met de door de betrokkene gegeven toestemming en dat de ontvanger hetzelfde beschermingsniveau zal bieden als de Beginselen en, wanneer hij vaststelt niet langer aan deze verplichting te kunnen voldoen, de organisatie daarvan in kennis stelt. In de overeenkomst wordt bepaald dat wanneer een dergelijke vaststelling plaatsvindt de derde verwerkingsverantwoordelijke de verwerking staakt of andere redelijke en passende stappen neemt om tot een oplossing te komen.

b) In geval van doorgifte van persoonsgegevens aan een derde partij die als vertegenwoordiger handelt, mogen organisaties: i) deze gegevens uitsluitend voor beperkte en specifieke doeleinden doorgeven, en moeten zij: ii) zich ervan vergewissen dat de vertegenwoordiger verplicht is om ten minste hetzelfde niveau van privacybescherming te bieden als de Beginselen voorschrijven; iii) redelijke en passende maatregelen nemen om ervoor te zorgen dat de vertegenwoordiger de doorgegeven persoonlijke informatie daadwerkelijk verwerkt op een manier die strookt met de verplichtingen van de organisatie krachtens de Beginselen; iv) de vertegenwoordiger ertoe verplichten de organisatie in kennis te stellen van het feit dat hij vaststelt niet langer te kunnen voldoen aan de verplichting hetzelfde niveau van privacybescherming te bieden als de Beginselen voorschrijven; v) na kennisgeving, onder meer in de zin van punt iv), redelijke en passende maatregelen nemen om de niet toegestane verwerking te stoppen en te herstellen; en vi) aan het ministerie op verzoek een samenvatting of een betrouwbare copie overleggen van de relevante privacybepalingen van de overeenkomst met die vertegenwoordiger.

4. Beveiliging

a) Organisaties die persoonlijke informatie creëren, bewaren, gebruiken of verspreiden moeten redelijke en passende maatregelen nemen om deze te beschermen tegen verlies, misbruik en onbevoegde toegang, bekendmaking, wijziging of vernietiging, daarbij rekening houdend met de specifieke risico's in verband met de verwerking van en de aard van persoonlijke informatie.

5. Integriteit van gegevens en doelbinding

a) Overeenkomstig de Beginselen moet persoonlijke informatie worden beperkt tot de informatie die relevant is voor de doeleinden van verwerking ( 5 ). Een organisatie mag geen persoonlijke informatie verwerken op een wijze die onverenigbaar is met de doeleinden waarvoor deze is verzameld of waarmee de betrokkene achteraf heeft ingestemd. Voor zover dit voor deze doeleinden noodzakelijk is, moet een organisatie redelijke stappen ondernemen om ervoor te zorgen dat de persoonsgegevens betrouwbaar zijn voor het beoogde gebruik en correct, volledig en actueel zijn. Zolang zij dergelijke informatie bewaart, moet een organisatie de Beginselen in acht nemen.

b) Informatie mag worden bewaard in een vorm die het individu slechts zolang identificeert of indentificeerbaar maakt ( 6 ) als dienstig is voor het doel van verwerking in de zin van punt 5, onder a). Deze verplichting belet organisaties niet om persoonlijke informatie gedurende langere perioden te verwerken voor zolang en voor zover deze verwerking dienstig is ten behoeve van het archiveren in het algemeen belang, journalistiek, literatuur en kunst, wetenschappelijk of historisch onderzoek en statistische analyse. In deze gevallen zijn op deze verwerking de andere Beginselen en bepalingen van het kader van toepassing. Organisaties moeten redelijke en passende maatregelen nemen om aan deze bepaling te voldoen.

6. Toegang

a) Particulieren moeten toegang hebben tot de persoonlijke informatie die een organisatie over hen in bezit heeft, en deze informatie, voor zover deze onjuist is of werd verwerkt in strijd met de Beginselen, kunnen corrigeren, wijzigen of verwijderen, tenzij de lasten of de kosten voor het verlenen van toegang niet in verhouding staan tot het risico voor de persoonlijke levenssfeer van de betrokkene, of de rechten van andere personen dan de betrokkene worden geschonden.

7. Verhaal, handhaving en aansprakelijkheid

a) Een doeltreffende privacybescherming moet ook krachtige mechanismen omvatten om de naleving van de Beginselen te garanderen, alsmede verhaalsmogelijkheden voor degenen die nadeel ondervinden van de niet-naleving van de Beginselen, en consquenties voor een organisatie die zich niet aan de Beginselen houdt. Deze mechanismen moeten ten minste het volgende omvatten:

i) direct beschikbare, onafhankelijke en kosteloze verhaalsmechanismen voor het onderzoek en de snelle afhandeling, aan de hand van de Beginselen, van klachten en geschillen van particulieren en de toekenning van schadevergoedingen wanneer het toepasselijke recht of initiatieven van de particuliere sector hierin voorzien;

ii) vervolgprocedures om na te gaan of de attesten en verklaringen van organisaties over hun privacybeleid waar zijn en of het voorgelegde beleid ter zake ook ten uitvoer is gebracht zoals is voorgesteld, met name met betrekking tot gevallen van niet-naleving; en

iii) verplichtingen om problemen op te lossen die ontstaan doordat de Beginselen niet worden nageleefd door organisaties die hebben verklaard deze na te leven en consequenties voor dergelijke organisaties. De sancties moeten zwaar genoeg zijn om naleving door de organisaties te garanderen.

b) Organisaties en hun geselecteerde onafhankelijke verhaalmechanismen zullen onmiddellijk reageren op vragen en informatieverzoeken van het ministerie van Handel in verband met het privacyschild. Alle organisaties moeten snel reageren op klachten over de naleving van de Beginselen die door de autoriteiten van de EU-lidstaten via het ministerie worden ingediend. Organisaties die hebben besloten om samen te werken met de gegevensbeschermingsautoriteiten, met inbegrip van organisaties die personeelsgegevens verwerken, moeten dergelijke autoriteiten direct antwoorden wanneer het om het onderzoek en de afwikkeling van klachten gaat.

c) Organisaties zijn verplicht klachten aan arbitrage te onderwerpen en de voorwaarden zoals uiteengezet in bijlage I na te leven, op voorwaarde dat de betrokkene door een kennisgeving aan betrokken organisatie en in overeenstemming met de procedures en de voorwaarden van bijlage I een beroep heeft gedaan op bindende arbitrage.

d) In het kader van een verdere doorgifte is de privacyschildorganisatie verantwoordelijk voor de verwerking van de persoonlijke informatie die zij ontvangt in het kader van het privacyschild en vervolgens doorgeeft aan een derde partij die in haar naam als vertegenwoordiger optreedt. De privacyschildorganisatie blijft aansprakelijk op grond van de Beginselen wanneer haar vertegenwoordiger dergelijke persoonlijke informatie verwerkt op een manier die niet verenigbaar is met de Beginselen, tenzij de organisatie bewijst dat zij niet verantwoordelijk is voor de gebeurtenis die de schade veroorzaakt.

e) Wanneer jegens een organisatie een FTC- of een rechterlijke beslissing wordt genomen op grond van een niet-naleving, moet de organisatie alle relevante op het privacyschild betrekking hebbende passages in een bij de FTC ingediend nalevings-of beoordelingsverslag openbaar maken, voor zover dat strookt met de vereisten van vertrouwelijkheid. Het ministerie heeft een speciaal contactpunt voor gegevensbeschermingsautoriteiten opgericht voor problemen inzake naleving door privacyschildorganisaties. Het FTC zal verwijzingen inzake niet-naleving van de Beginselen door het ministerie en autoriteiten van EU-lidstaten bij voorrang in overweging nemen, en tijdig informatie over de verwijzing uitwisselen met de autoriteiten van de verwijzende staat, met inachtneming van de bestaande beperkingen inzake vertrouwelijkheid.

III. AANVULLENDE BEGINSELEN

1. Gevoelige gegevens

a) Een organisatie is niet verplicht om de uitdrukkelijke bevestigende toestemming (opt in) te verkrijgen voor gevoelige gegevens, wanneer de verwerking:

i) van vitaal belang is voor de betrokkene of voor iemand anders;

ii) noodzakelijk is om rechtsvorderingen geldend te maken of om zich tegen een rechtsvordering te verweren;

iii) noodzakelijk is voor het verstrekken van medische zorg of het stellen van een diagnose;

iv) door een stichting, een vereniging of een andere instelling zonder winstoogmerk die op politiek, levensbeschouwelijk, godsdienstig of vakbondsgebied werkzaam is, wordt verricht in het kader van haar rechtmatige activiteiten, mits de verwerking uitsluitend betrekking heeft op de leden van die instelling of op degenen die in verband met haar doelstellingen regelmatig contact met haar onderhouden, en de gegevens niet zonder de toestemming van de betrokkenen aan derden beschikbaar worden gesteld;

v) noodzakelijk is met het oog op de uitvoering van de arbeidsrechtelijke verplichtingen van de organisatie; of

vi) betrekking heeft op gegevens waarvan duidelijk is dat ze door de betrokkene zelf openbaar zijn gemaakt.

2. Uitzonderingen voor journalistieke doeleinden

a) Gezien de in de grondwet van de Verenigde Staten neergelegde bescherming van de persvrijheid en de in de richtlijn neergelegde vrijstelling voor journalistiek materiaal moet, wanneer de rechten van een vrije pers, die zijn opgenomen in het eerste amendement op de grondwet van de Verenigde Staten, botsen met de belangen inzake de privacybescherming, op grond van het eerste amendement ten aanzien van de activiteiten van burgers of organisaties uit de Verenigde Staten een evenwicht tussen deze belangen worden gevonden.

b) Persoonlijke informatie die wordt verzameld voor publicatie, uitzending of een andere vorm van openbare communicatie van journalistiek materiaal, ook al wordt dit niet gebruikt, en informatie uit eerder gepubliceerd materiaal dat via media-archieven wordt verspreid, is niet onderworpen aan de eisen van de privacyschildbeginselen.

3. Secundaire aansprakelijkheid

a) Aanbieders van internetdiensten, telecommunicatiebedrijven of andere organisaties zijn niet aansprakelijk uit hoofde van de privacybeginselen wanneer zij namens een andere organisatie informatie enkel overbrengen, routeren, schakelen of opslaan. Evenmin als de richtlijn zelf voorziet het privacyschild in secundaire aansprakelijkheid. Voor zover een organisatie enkel fungeert als doorgeefluik voor door derde partijen doorgegeven gegevens, zonder de doeleinden van en middelen voor de verwerking van die persoonsgegevens vast te stellen, is zij niet aansprakelijk.

4. Uitvoeren van due diligence-onderzoek en audits

a) De activiteiten van accountants en investeringsbankiers kunnen de verwerking van persoonsgegevens met zich brengen zonder dat de betrokkene dit weet of hiervoor toestemming heeft gegeven. Onder de hieronder beschreven omstandigheden is dit volgens de Beginselen van kennisgeving, keuze en toegang toelaatbaar.

b) Naamloze en besloten vennootschappen, met inbegrip van privacyschildorganisaties, worden regelmatig aan audits onderworpen. Dergelijke audits, met name die waarbij naar mogelijke onrechtmatigheden wordt gezocht, kunnen in gevaar komen als zij voortijdig bekendgemaakt worden. Zo zal ook een privacyschildorganisatie die betrokken is bij een mogelijke fusie of overname een „due diligence”-onderzoek moeten uitvoeren of ondergaan. Dit zal vaak leiden tot de verzameling en verwerking van persoonsgegevens, zoals informatie over het hoger management en ander belangrijk personeel. Een te vroege bekendmaking zou de transactie kunnen belemmeren of zelfs toepasselijke effectenregelgeving kunnen schenden. Investeringsbankiers en advocaten die zich bezighouden met diligence, of accountants die een audit uitvoeren, mogen alleen informatie verwerken zonder dat de betrokkene hiervan op de hoogte is voor zover, en gedurende de periode waarin, dit in verband met wettelijke verplichtingen of het openbaar belang noodzakelijk is, alsmede onder omstandigheden waarin toepassing van deze Beginselen de legitieme belangen van de organisatie zou schaden. Deze legitieme belangen omvatten het toezicht op de naleving door organisaties van hun wettelijke verplichtingen en wettelijk toegestane boekhoudactiviteiten, alsmede de noodzakelijke vertrouwelijkheid in verband met mogelijke aankopen, fusies, joint ventures of andere soortgelijke transacties uitgevoerd door investeringsbankiers of accountants.

5. De rol van de gegevensbeschermingsautoriteiten

a) Organisaties zullen hun toezeggingen om met de gegevensbeschermingsautoriteiten van de Europese Unie samen te werken zoals hieronder beschreven gestand doen. In het kader van het privacyschild zijn organisaties uit de Verenigde Staten die persoonsgegevens uit de Europese Unie ontvangen, verplicht effectieve mechanismen aan te wenden om de naleving van de privacyschildbeginselen te waarborgen. Meer bepaald moeten de deelnemende organisaties, zoals uiteengezet in het Beginsel inzake verhaal, handhaving en aansprakelijkheid voorzien in: (a)(i) verhaalsmogelijkheden voor degenen op wie de gegevens betrekking hebben; (a)(ii) vervolgprocedures om na te gaan of de attesten en verklaringen die zij over hun beleid inzake de privacybescherming hebben afgegeven, waar zijn; en (a)(iii) verplichtingen om problemen op te lossen die ontstaan doordat organisaties de Beginselen niet naleven, en consequenties hiervan voor dergelijke organisaties. Een organisatie kan aan de punten (a)(i) en (a)(iii), van het Beginsel inzake verhaal, handhaving en aansprakelijkheid voldoen, indien zij zich houdt aan de hier genoemde vereisten voor de samenwerking met de gegevensbeschermingsautoriteiten.

b) Een organisatie verplicht zich ertoe met de gegevensbeschermingsautoriteiten samen te werken door bij de indiening van haar zelfcertificering inzake het privacyschild bij het ministerie van Handel te verklaren (zie het aanvullend Beginsel inzake zelfcertificering) dat zij:

i) ervoor kiest aan de verplichtingen van de punten (a)(i) en (a)(iii), van het privacyschildbeginsel inzake verhaal, handhaving en aansprakelijkheid te voldoen door te beloven met de gegevensbeschermingsautoriteiten samen te werken;

ii) met de gegevensbeschermingsautoriteiten zal samenwerken bij het onderzoek en de oplossing van klachten die in het kader van het privacyschild worden ingediend; en

iii) gevolg zal geven aan elk door de gegevensbeschermingsautoriteiten verstrekt advies als deze van oordeel zijn dat de organisatie specifieke maatregelen moet nemen om aan de privacyschildbeginselen te voldoen, daaronder begrepen corrigerende en compenserende maatregelen ten gunste van personen die schade ondervinden door niet-naleving van de Beginselen, en de gegevensbeschermingsautoriteiten schriftelijk zal bevestigen dat dergelijke maatregelen zijn genomen.

c) Functioneren van panels van gegevensbeschermingsautoriteiten

i) De gegevensbeschermingsautoriteiten zullen op de volgende wijze hun medewerking verlenen in de vorm van informatie en advies:

1. Het advies van de gegevensbeschermingsautoriteiten zal worden verstrekt via een informeel Europees panel van gegevensbeschermingsautoriteiten, dat onder meer zal helpen een geharmoniseerde en samenhangende aanpak te waarborgen.

2. Het panel zal aan de betrokken organisaties uit de Verenigde Staten advies uitbrengen over onopgeloste klachten van personen over de behandeling van persoonlijke informatie die vanuit de Europese Unie in het kader van het privacyschild is doorgegeven. Dit advies zal zo zijn opgesteld dat ervoor wordt gezorgd dat de privacyschildbeginselen correct worden toegepast en het zal de rechtsmiddelen voor de betrokkene(n) noemen die volgens de gegevensbeschermingsautoriteiten passend zijn.

3. Het panel zal dit advies uitbrengen naar aanleiding van verwijzingen door de betrokken organisaties en/of van rechtstreeks van personen ontvangen klachten tegen organisaties die zich ertoe verplicht hebben om in het kader van de privacyschilddoelstellingen met de gegevensbeschermingsautoriteiten samen te werken. Het zal deze personen in eerste instantie aanmoedigen gebruik te maken van eventueel door de organisatie aangeboden interne regelingen voor de behandeling van klachten en hen hierbij zo nodig helpen.

4. Het panel zal pas advies uitbrengen nadat beide partijen in een geschil een redelijke kans hebben gekregen om commentaar te geven en alle gewenste bewijzen te leveren. Het zal proberen dit advies zo snel te geven als een eerlijke rechtsgang toelaat. In de regel zal het panel ernaar streven advies te verstrekken binnen 60 dagen na ontvangst van een klacht of verwijzing en zo mogelijk sneller.

5. Het panel zal de resultaten van zijn onderzoek van ingediende klachten openbaar maken als het dit gepast acht.

6. Het panel en de afzonderlijke gegevensbeschermingsautoriteiten zijn in generlei opzicht aansprakelijk voor het advies dat het panel geeft.

ii) Zoals hierboven vermeld, moeten Organisaties die deze optie voor de oplossing van geschillen kiezen, zich ertoe verplichten gevolg te geven aan het advies van de gegevensbeschermingsautoriteiten. Als een organisatie niet binnen 25 dagen nadat een advies is uitgebracht, gevolg geeft aan dit advies en hiervoor geen bevredigende verklaring geeft, zal het panel kennis geven van zijn voornemen om hetzij — in gevallen van bedrog of onjuiste verklaringen — de zaak voor te leggen aan de Federal Trade Commission, het ministerie van Vervoer of een andere instantie op federaal of staatsniveau met wettelijke bevoegdheden om dwangmaatregelen te nemen, hetzij te concluderen dat de samenwerkingsovereenkomst ernstig is geschonden en bijgevolg nietig is. In het laatste geval zal het panel het ministerie van Handel hiervan op de hoogte brengen zodat de privacyschildlijst dienovereenkomstig kan worden gewijzigd. Elke niet-nakoming van de verplichting om met de gegevensbeschermingsautoriteiten samen te werken, alsmede elke niet-naleving van de privacyschildbeginselen kan op grond van sectie 5 van de FTC-wet of andere soortgelijke wetten als misleidende praktijk worden vervolgd.

d) Een organisatie die wil dat haar privacyschildbepalingen van toepassing zijn op personeelsgegevens die vanuit de EU zijn doorgegeven in het kader van een arbeidsverhouding, moet zich ertoe verplichten om met de gegevensbeschermingsautoriteiten samen te werken in verband met dergelijke gegevens (zie het aanvullend Beginsel inzake personeelsgegevens).

e) Organisaties die deze mogelijkheid kiezen, betalen een jaarlijkse vergoeding ter dekking van de administratieve kosten van het panel. Wanneer het panel verwijzingen of klachten tegen de betrokken organisatie in overweging neemt, kan het bovendien een vergoeding van de kosten van eventueel noodzakelijke vertalingen verlangen. De jaarlijkse vergoeding bedraagt maximaal 500 USD, maar zal lager zijn voor kleinere ondernemingen.

6. Zelfcertificering

a) De voordelen van het privacyschild zijn gegarandeerd vanaf de datum waarop het ministerie op de privacyschildlijst heeft vermeld dat de zelfcertificering is ingediend, na te hebben geoordeeld dat de indiening volledig is.

b) Voor zelfcertificering in het kader van het privacyschild moet een organisatie bij het ministerie een zelfcertificering indienen, die door een directielid is ondertekend namens de organisatie die tot het privacyschild toetreedt en die ten minste de volgende informatie bevat:

i) naam van de organisatie, postadres, e-mailadres, telefoon-en fax;

ii) beschrijving van de activiteiten van de organisatie met betrekking tot de persoonslijke informatie die zij uit de EU ontvangt; en

iii) beschrijving van het privacybeleid van de organisatie ten aanzien van dergelijke persoonlijke informatie, waaronder:

1. indien de organisatie een publiek toegankelijke website heeft, het desbetreffende internetadres waar het privacybeleid beschikbaar is, of indien de organisatie geen publiek toegankelijke website heeft, de mededeling waar het publiek het privacybeleid kan inzien;

2. de datum van inwerkingtreding;

3. een instantie waartoe men zich kan wenden voor de behandeling van klachten, verzoeken om toegang en alle andere kwesties die zich voordoen in het kader van het privacyschild;

4. de officiële instantie die bevoegd is om tegen de organisatie ingediende claims in verband met eventuele oneerlijke of misleidende praktijken en schendingen van wetten of regelingen betreffende de privacybescherming te behandelen (en die wordt vermeld in de bijlage van de Beginselen of een toekomstige bijlage van de Beginselen);

5. de naam van privacyprogramma's waaraan de organisatie deelneemt;

6. de wijze van controle (bijv., intern, door derden) (zie het aanvullend Beginsel inzake verificatie); en

7. het onafhankelijk verhaalsmechanisme dat onopgeloste klachten kan onderzoeken.

c) Als een organisatie wil dat personeelsgegevens die vanuit de Europese Unie in het kader van een arbeidsverhouding zijn doorgegeven, eveneens onder de voordelen van het privacyschild vallen, kan zij dit bewerkstelligen indien een in de bijlage of toekomstige bijlage van de Beginselen vermelde officiële instantie bevoegd is om tegen de organisatie ingebrachte klachten in verband met de verwerking van personeelsgegevens te behandelen. Bovendien moet de organisatie dit bij de indiening van haar zelfcertificering aangeven en verklaren zich ertoe te verplichten samen te werken met de EU-autoriteiten of de betrokken autoriteiten in overeenstemming met de aanvullende Beginselen inzake personeelsgegevens en de rol van de gegevensbeschermingsautoriteiten, waar van toepassing, en dat zij de adviezen van deze autoriteiten zal naleven. De organisatie moet het ministerie ook een kopie verstrekken van haar privacybeleid inzake personeelsbeheer en meedelen waar het privacybeleid door de betrokken werknemers kan worden ingezien.

d) Het ministerie zal een privacyschildlijst bijhouden van organisaties die volledige zelfcertificeringen hebben ingediend en zo in het genot komen van de voordelen van het privacyschild, en de lijst bijwerken aan de hand van jaarlijkse hercertificeringen en kennisgevingen die worden ontvangen ingevolge het aanvullend Beginsel inzake geschillenbeslechting en handhaving. Dergelijke zelfcertificeringen moeten minstens een keer per jaar worden ingediend; zo niet dan wordt de organisatie van de privacyschildlijst verwijderd en zijn de voordelen van het privacyschild niet langer gegarandeerd. Zowel de privacylijst als de door de organisaties ingediende zelfcertificeringen zullen voor het publiek toegankelijk worden gemaakt. Alle organisaties die door het ministerie op de privacyschildlijst zijn geplaatst, moeten in de verklaringen die zij publiceren over hun privacybeleid ook aangeven dat zij de privacyschildbeginselen onderschrijven. In het privacybeleid van een organisatie moet, indien dat online beschikbaar is, een link staan naar de privacywebsite van het ministerie en een link naar de website of het klachtenformulier van het onafhankelijke verhaalsmechanisme dat beschikbaar is voor het onderzoeken van onopgeloste klachten.

e) De privacybeginselen zijn onmiddellijk na de certificering van toepassing. Gelet op het feit dat de Beginselen invloed zullen hebben op de commerciële betrekkingen met derde partijen, moeten organisaties die door middel van certificering aan het privacyschildkader deelnemen in de eerste twee maanden na de datum van inwerkingtreding van het kader de bestaande commerciële relaties met derde partijen in overeenstemming brengen met het Beginsel van de aansprakelijkheid voor verdere doorgifte, en dat zo spoedig mogelijk en in elk geval uiterlijk negen maanden na de datum waarop zij door middel van certificering aan het privacyschild deelnemen. In die tussenliggende periode moeten organisaties wanneer zij gegevens aan een derde doorgeven i) het kennisbeginsel en het keuzebeginsel toepassen, en ii), wanneer persoonsgegevens worden doorgegeven aan een derde die als vertegenwoordiger optreedt, zich ervan vergewissen dat de vertegenwoordiger verplicht is ten minste hetzelfde beschermingsniveau te bieden als door de Beginselen wordt vereist.

f) Een organisatie moet op alle vanuit de EU op basis van het privacyschild ontvangen persoonsgegevens de privacyschildbeginselen toepassen. Voor persoonsgegevens die worden ontvangen tijdens de periode waarin de organisatie de voordelen van het privacyschild geniet, is de verplichting de privacyschildbeginselen na te leven niet in de tijd beperkt. Deze Beginselen blijven op die gegevens van toepassing zolang de organisatie ze opslaat, gebruikt of openbaar maakt, zelfs indien de organisatie nadien om enigerlei reden niet langer aan het privacyschild deelneemt. Een organisatie die niet langer deelneemt aan het privacyschild, maar dergelijke gegevens wenst te behouden, moet jaarlijks aan het ministerie bevestigen dat zij zich ertoe verbindt de Beginselen te zullen blijven naleven of op een andere geautoriseerde wijze „passende” bescherming voor de informatie bieden (bijvoorbeeld met behulp van een overeenkomst die de voorschriften van de door de Commissie vastgestelde relevante modelcontractbepalingen volledig weergeeft); anders moet de organisatie de informatie terugsturen of wissen. Een organisatie die niet langer deelneemt aan het privacyschild moet waar relevant, in haar privacybeleid alle verwijzingen naar het privacyschild verwijderen die de indruk wekken dat ze nog steeds actief deelneemt aan privacyschild en recht heeft op de voordelen ervan.

g) Een organisatie die ten gevolge van een fusie of overname haar rechtspersoonlijkheid als zelfstandige onderneming zal verliezen, moet het ministerie hiervan vooraf in kennis stellen. In deze kennisgeving moet ook worden vermeld of de overnemende onderneming of de onderneming die door de fusie ontstaat i) op grond van de wetgeving die op de overname of fusie van toepassing is, nog steeds verplicht is zich aan de privacyschildbeginselen te houden of ii) verkiest de privacyschildbeginselen zelf te onderschrijven of andere garanties biedt, zoals een schriftelijke verklaring dat zij de privacyschildbeginselen zal naleven. Als noch i), noch ii) van toepassing is, moeten alle persoonsgegevens die in het kader van het privacyschild zijn verkregen, onmiddellijk worden verwijderd.

h) Wanneer een organisatie om welke reden dan ook niet langer aan het privacyschild deelneemt, moet zij alle verklaringen verwijderen waarmee wordt gesuggereerd dat zij aan het privacyschild blijft deelnemen of recht heeft op de voordelen ervan. Het EU-VS-privacyschildkeurmerk, indien gebruikt, moeten eveneens worden geschrapt. De FTC of een andere bevoegde overheidsinstantie kan actie ondernemen tegen iedere onjuiste verklaring aan het grote publiek met betrekking tot de naleving van de privacybeginselen door een organisatie. In geval van onjuiste verklaringen tegenover het ministerie kan vervolging worden ingesteld op grond van de False Statements Act (18 U.S.C. § 1001).

7. Controle

a) Organisaties moeten in vervolgprocedures voorzien om na te gaan of de attesten en verklaringen die zij over hun beleid inzake privacybescherming in het kader van het privacyschild afleggen, waar zijn en of dit beleid is uitgevoerd zoals het is voorgesteld en of het beantwoordt aan de privacyschildbeginselen.

b) Teneinde aan de controle-eisen van het Beginsel inzake verhaal, handhaving en aansprakelijkheid te voldoen, moet een organisatie de naleving van dergelijke attesten en verklaringen door middel van zelfbeoordeling of door externe nalevingscontroles nagaan.

c) Bij de zelfbeoordelingsmethode moet uit de controle blijken dat het gepubliceerde privacybeleid van een organisatie inzake uit de Europese Unie ontvangen persoonlijke informatie zorgvuldig en allesomvattend is, duidelijk wordt bekendgemaakt, volledig wordt uitgevoerd en toegankelijk is. Voorts moet blijken dat dit beleid in overeenstemming is met de privacyschildbeginselen, dat particulieren in kennis worden gesteld van interne regelingen voor de behandeling van klachten en van de onafhankelijke mechanismen om klachten in te dienen, dat de organisatie haar werknemers opleidt op het gebied van de uitvoering van het beleid en dat er disciplinaire maatregelen tegen hen worden genomen indien zij dit beleid niet volgen, en dat er voorts interne procedures zijn om periodiek objectief na te gaan of het bovenstaande ook wordt nageleefd. Een verklaring ter controle van de zelfbeoordeling moet minstens eens per jaar door een directielid of een andere daartoe bevoegde vertegenwoordiger van de organisatie worden ondertekend en op verzoek aan particulieren of in het kader van een onderzoek of een klacht wegens niet-naleving ter beschikking worden gesteld.

d) Indien de organisatie voor een externe controle van de naleving heeft gekozen, moet hieruit blijken dat het beleid inzake privacybescherming met betrekking tot uit de Europese Unie ontvangen persoonlijke informatie in overeenstemming is met de privacyschildbeginselen, dat het beleid wordt nageleefd en dat particulieren in kennis worden gesteld van de mechanismen om klachten in te dienen. De controlemethoden mogen zonder beperking audits, steekproeven, het gebruik van „valstrikken” of het gebruik van technologische middelen omvatten. Een verklaring omtrent de uitvoering van de externe controle moet eens per jaar door de controleur of een directielid of een andere daartoe bevoegde vertegenwoordiger van de organisatie worden ondertekend en op verzoek aan particulieren of in het kader van een onderzoek of een klacht wegens niet-naleving ter beschikking worden gesteld.

e) Organisaties moeten hun informatiebestanden over de tenuitvoerlegging van hun beleid inzake de bescherming van de privacy in het kader van het privacyschild bewaren en deze bij een onderzoek of een klacht wegens niet-naleving op verzoek ter beschikking stellen aan het onafhankelijke orgaan dat met het onderzoek van klachten belast is of aan de instantie die oneerlijke en misleidende praktijken moet onderzoeken. Ook moeten organisaties onmiddellijk reageren op vragen en andere informatieverzoeken van het ministerie in verband met de onderschrijving door de organisatie van de Beginselen.

8. Toegang

a) Het Beginsel van toegang in de praktijk

i) Volgens de privacyschildbeginselen is het recht van toegang fundamenteel voor de privacybescherming. Met name geeft dit recht de betrokkene de mogelijkheid om de juistheid van de informatie die over hem wordt bijgehouden, na te gaan. Het Beginsel van toegang houdt in dat natuurlijke personen het recht hebben om:

1. van een organisatie een bevestiging te ontvangen of de organisatie al dan niet persoonsgegevens verwerkt die op hen betrekking hebben ( 7 );

2. dergelijke gegevens aan hen te doen meedelen opdat zij kunnen controleren of zij nauwkeurig zijn en de verwerking ervan rechtmatig is; en

3. de gegevens te laten corrigeren, wijzigen of schrappen wanneer ze niet nauwkeurig zijn of werden verwerkt in strijd met de Beginselen.

ii) Particulieren behoeven een verzoek om toegang tot hun eigen gegevens niet te motiveren. Organisaties moeten zich bij hun reactie op een verzoek van een particulier om toegang om te beginnen afvragen waarom de betrokkene zijn verzoek heeft ingediend. Indien een verzoek bijvoorbeeld in vage of algemene bewoordingen is gesteld, kan de organisatie beter een dialoog met de betrokkene aangaan om de achterliggende reden voor het verzoek beter te begrijpen, om aldus vast te stellen welke informatie relevant is. De organisatie kan bijvoorbeeld nagaan met welke afdeling(en) van de organisatie de betrokkene contact heeft gehad of voor welk soort informatie of gebruik daarvan toegang wordt gevraagd.

iii) Gezien het fundamentele karakter van toegang, mogen organisaties de toegang nooit zonder meer beperken. Als bijvoorbeeld bepaalde informatie moet worden beschermd, maar probleemloos kan worden gescheiden van andere persoonlijke informatie waarvoor toegang is gevraagd, moet de organisatie de beschermde informatie bewerken en de andere informatie beschikbaar stellen. Indien een organisatie besluit dat de toegang in een bepaald geval moet worden beperkt, dient zij de betrokkene die om toegang verzoekt uit te leggen waarom zij tot dit besluit is gekomen en een contactadres op te geven waar de betrokkene met vragen terecht kan.

b) Lasten of kosten inzake het verschaffen van toegang

i) Het recht op toegang tot persoonsgegevens kan in uitzonderlijke omstandigheden worden beperkt en wel indien de wettelijke rechten van andere personen dan de betrokkene zouden worden geschonden of wanneer de aan het verschaffen van toegang verbonden lasten en kosten onevenredig zouden zijn gelet op de risico's in de zaak in kwestie voor de privacy van de betrokkene. Kosten en lasten zijn belangrijke factoren die in overweging moeten worden genomen, maar zij zijn geen doorslaggevende factoren bij een beslissing over de redelijkheid van toegang.

ii) Indien de persoonlijke informatie bijvoorbeeld gebruikt wordt voor beslissingen die voor de betrokkene van groot belang zijn (zoals het weigeren of toekennen van belangrijke voordelen, zoals een verzekering, een hypotheek of een baan), dan moet de organisatie, in overeenstemming met de andere bepalingen van deze aanvullende Beginselen, deze informatie ter beschikking stellen, ook al is dit vrij moeilijk of duur. Indien de gevraagde persoonlijke informatie niet gevoelig is of niet wordt gebruikt voor beslissingen die voor de betrokkene van groot belang zijn, maar meteen beschikbaar is en zonder noemenswaardige kosten kan worden gegeven, dan moet de organisatie toegang tot dergelijke informatie verlenen.

c) Vertrouwelijke commerciële informatie

i) Vertrouwelijke commerciële informatie is informatie die door een organisatie tegen openbaarmaking wordt beschermd en waarvan de openbaarmaking concurrenten op de markt zou helpen. Organisaties kunnen de toegang tot informatie ontzeggen of beperken voor zover het verlenen van volledige toegang zou leiden tot onthulling van hun eigen vertrouwelijke commerciële informatie, zoals door de organisatie opgestelde marketingconclusies of classificaties, of van de vertrouwelijke commerciële informatie van een andere organisatie waarop een contractuele geheimhoudingsplicht van toepassing is.

ii) Wanneer het mogelijk is vertrouwelijke commerciële informatie probleemloos te scheiden van andere persoonlijke informatie waarvoor toegang is gevraagd, moet de organisatie de vertrouwelijke commerciële informatie bewerken en de niet-vertrouwelijke informatie beschikbaar stellen.

d) Organisatie van databanken

i) Toegang kan worden verleend doordat een organisatie de betrokken persoon de betreffende persoonlijke informatie ter beschikking stelt en vereist niet dat de betrokken persoon toegang krijgt tot de databank van een organisatie.

ii) Een organisatie behoeft alleen toegang tot door haar opgeslagen persoonlijke informatie te verlenen. Het toegangsbeginsel houdt geen verplichting in om bestanden met persoonlijke informatie te bewaren, te onderhouden, te reorganiseren of te herstructureren.

e) Wanneer kan de toegang worden beperkt

i) Aangezien organisaties zich altijd te goeder trouw moeten inspannen om natuurlijke personen toegang tot hun persoonsgegevens te geven, is er maar een bepaald aantal situaties waarin zij een dergelijke toegang mogen beperken en moeten er concrete redenen voor een dergelijke beperking zijn. Net zoals in het kader van de richtlijn kan een organisatie toegang tot informatie beperken, wanneer belangrijke openbare belangen, zoals de nationale of openbare veiligheid, of de defensie hiermee in strijd zijn. Indien persoonlijke informatie uitsluitend wordt verwerkt voor statistische of onderzoeksdoeleinden kan de toegang eveneens worden geweigerd. Andere redenen om de toegang te weigeren of te beperken zijn:

1. de openbaarmaking belemmert de uitvoering of de handhaving van de wet of van civielrechtelijke procedures, inclusief het voorkomen, onderzoeken of opsporen van misdrijven, of van het recht op een eerlijk proces;

2. de openbaarmaking schendt de legitieme rechten of gewichtige belangen van anderen;

3. de openbaarmaking schendt beroepsrechten of -plichten die al dan niet voortvloeien uit de wet;

4. de openbaarmaking conflicteert met veiligheidsonderzoeken of klachtenprocedures waarbij werknemers zijn betrokken of in verband met personeelsbeleid en bedrijfsherstructureringen; of

5. aantasting van de geheimhouding die noodzakelijk is voor toezichthoudende of regulerende taken in verband met een gezond beheer of bij toekomstige of lopende onderhandelingen met betrekking tot de organisatie.

ii) Een organisatie die zich op een uitzondering beroept, moet aantonen dat die uitzondering noodzakelijk is en aan betrokkenen de redenen voor het beperken van de toegang meedelen alsook een contactadres opgeven waar zij met verdere vragen terecht kunnen.

f) Het recht om een bevestiging te krijgen en de kosten in rekening te brengen voor het verlenen van toegang

i) Een natuurlijk persoon heeft het recht om een bevestiging te verkrijgen of een organisatie al of niet persoonsgegevens over hem heeft. Een natuurlijk persoon heeft er eveneens recht op dat haar of hem de haar of hem betreffende persoonsgegevens worden meegedeeld. Een organisatie mag alleen een vergoeding vragen die niet buitensporig is.

ii) Het vragen van een vergoeding kan bijvoorbeeld gerechtvaardigd zijn wanneer verzoeken om toegang kennelijk buitensporig zijn, met name vanwege hun repetitief karakter.

iii) De toegang kan niet op grond van de kosten worden geweigerd als de betrokkene aanbiedt deze kosten te betalen.

g) Repetitieve of vexatoire verzoeken om toegang

Een organisatie kan het aantal keren dat binnen een bepaalde periode aan verzoeken van een bepaalde persoon gevolg wordt gegeven, binnen redelijke grenzen beperken. Bij het vaststellen van deze beperkingen moet een organisatie rekening houden met factoren als de frequentie waarmee de informatie wordt bijgewerkt, het doel waarvoor de gegevens worden gebruikt en de aard van de informatie.

h) Frauduleuze verzoeken om toegang

Een organisatie behoeft alleen toegang te verlenen wanneer het verzoek gepaard gaat met voldoende informatie om haar in staat te stellen de identiteit van de verzoeker vast te stellen.

i) Tijdschema voor reacties

Op verzoeken om toegang moeten organisaties reageren binnen een redelijke termijn, op een redelijke wijze en in een vorm die voor de betrokken eenvoudig te begrijpen is. Een organisatie die met regelmaat informatie aan de betrokkenen verstrekt, kan aan een individueel verzoek om toegang voldoen via deze regelmatige openbaarmaking mits dat geen buitensporige vertraging met zich brengt.

9. Personeelsgegevens

a) Dekking door het privacyschild

i) Wanneer een organisatie in de EU persoonlijke informatie over zijn (voormalige of huidige) werknemers, die zij in het kader van een arbeidsverhouding he