UITVOERINGSVERORDENING (EU) 2021/1772 VAN DE COMMISSIE

van 28 juni 2021

overeenkomstig Verordening (EU) 2016/679 van het Europees Parlement en de Raad betreffende de passende bescherming van persoonsgegevens door het Verenigd Koninkrijk

(Kennisgeving geschied onder nummer C(2021) 4800)

(Voor de EER relevante tekst)

DE EUROPESE COMMISSIE,

Gezien het Verdrag betreffende de werking van de Europese Unie,

Gezien Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) (1), en met name artikel 45, lid 3,

Overwegende hetgeen volgt:

1. INLEIDING

(1) Bij Verordening (EU) 2016/679 zijn de voorschriften vastgesteld voor de doorgifte van persoonsgegevens door verwerkingsverantwoordelijken of verwerkers in de Europese Unie aan derde landen en internationale organisaties, voor zover die doorgiften onder het toepassingsgebied ervan vallen. De voorschriften inzake internationale doorgiften van gegevens zijn vastgelegd in hoofdstuk V van die verordening, dat wil zeggen in de artikelen 44 tot en met 50. Hoewel het verkeer van persoonsgegevens van en naar landen buiten de Europese Unie noodzakelijk is voor de ontwikkeling van de internationale samenwerking en het grensoverschrijdende handelsverkeer, mogen doorgiften aan derde landen niet ten koste gaan van het niveau van de bescherming van de persoonsgegevens in de Europese Unie (2).

(2) Op grond van artikel 45, lid 3, van Verordening (EU) 2016/679 kan de Commissie door middel van een uitvoeringshandeling besluiten dat een derde land, een gebied of één of meerdere nader bepaalde sectoren in een derde land, of een internationale organisatie een passend beschermingsniveau waarborgt. Onder deze voorwaarde kan de doorgifte van persoonsgegevens aan een derde land plaatsvinden zonder dat verdere toestemming noodzakelijk is, zoals bepaald in artikel 45, lid 1, en overweging 103 van die verordening.

(3) Zoals bepaald in artikel 45, lid 2, van Verordening (EU) 2016/679 moet de vaststelling van een adequaatheidsbesluit berusten op een grondige analyse van de rechtsorde van het derde land, die zowel de voorschriften betreft die gelden voor de importeurs van gegevens en de beperkingen en waarborgen, als de toegang van overheidsinstanties tot persoonsgegevens. Bij haar beoordeling moet de Commissie nagaan of het betrokken derde land een beschermingsniveau waarborgt dat “in feite overeenkomend” is met het niveau dat in de Europese Unie wordt verzekerd (overweging 104 van Verordening (EU) 2016/679). De norm aan de hand waarvan wordt beoordeeld of het niveau “in feite overeenkomend” is, is de norm die in de Uniewetgeving, en met name in Verordening (EU) 2016/679, en de jurisprudentie van het Hof van Justitie van de Europese Unie is vastgesteld (3). In dit verband is ook de adequaatheidsreferentie van het Europees Comité voor gegevensbescherming (EDPB) van belang (4).

(4) Zoals het Hof van Justitie van de Europese Unie heeft verklaard, is hiervoor niet noodzakelijk dat hetzelfde beschermingsniveau wordt geboden (5). Met name mogen de middelen die het derde land in kwestie voor de bescherming van de persoonsgegevens tot zijn beschikking heeft, anders zijn dan de middelen die binnen de Europese Unie worden ingezet, zolang zij in de praktijk doeltreffend genoeg blijken om een passend beschermingsniveau te bieden (6). De adequaatheidsnorm vereist daarom niet dat de voorschriften van de Unie integraal worden overgenomen. Het gaat er veeleer om of het betreffende buitenlandse systeem als geheel het vereiste beschermingsniveau biedt, door de invulling van het recht op gegevensbescherming, de doeltreffende toepassing en afdwingbaarheid daarvan en het toezicht dat wordt uitgeoefend (7).

(5) De Commissie heeft het recht en de rechtspraktijk van het Verenigd Koninkrijk zorgvuldig geanalyseerd. Op basis van de bevindingen in de overwegingen (8) tot en met (270) concludeert de Commissie dat het Verenigd Koninkrijk een passend beschermingsniveau waarborgt voor persoonsgegevens die binnen het toepassingsgebied van Verordening (EU) 2016/679 worden doorgegeven van de Europese Unie aan het Verenigd Koninkrijk.

(6) Deze conclusie heeft geen betrekking op persoonsgegevens die worden doorgegeven voor controle van de immigratie door het Verenigd Koninkrijk of die anderszins vallen binnen de omvang van de vrijstelling van bepaalde rechten van de betrokkene met het oog op instandhouding van doeltreffende controle van de immigratie (de “uitzondering voor immigratie”) overeenkomstig paragraaf 4, punt 1, van bijlage 2 bij de Data Protection Act (de Britse wet gegevensbescherming, hierna “DPA” genoemd). De geldigheid en interpretatie van de vrijstelling voor immigratie op grond van het Britse recht zijn niet vastgesteld na een besluit van de rechter in tweede aanleg in civiele zaken van Engeland en Wales van 26 mei 2021. Hoewel de rechter in tweede aanleg in civiele zaken erkent dat de rechten van de betrokkene met het oog op controle van de immigratie in beginsel kunnen worden beperkt tot “een belangrijk aspect van het algemeen belang”, is hij tot de bevinding gekomen dat de uitzondering voor immigratie, in zijn huidige vorm, niet verenigbaar is met het Britse recht, aangezien de wettelijke maatregel geen specifieke bepalingen bevat waarin de in artikel 23, lid 2, van de United Kingdom General Data Protection Regulation (algemene verordening gegevensbescherming van het Verenigd Koninkrijk (UK GDPR)) (8) genoemde waarborgen uiteen worden gezet. Onder deze voorwaarden moet de doorgifte van persoonsgegevens uit de Unie naar het Verenigd Koninkrijk waarop de uitzondering voor immigratie kan worden toegepast worden uitgesloten van de reikwijdte van dit besluit (9). Wanneer de onverenigbaarheid met het Britse recht is opgelost, moet de uitzondering voor immigratie opnieuw worden beoordeeld, alsook de noodzaak om de beperking van de reikwijdte van dit besluit te handhaven.

(7) Dit besluit heeft geen gevolgen voor de rechtstreekse toepassing van Verordening (EU) 2016/679 op in het Verenigd Koninkrijk gevestigde organisaties in gevallen waarin is voldaan aan de voorwaarden inzake het territoriaal toepassingsgebied van die verordening, zoals vastgesteld in artikel 3 ervan.

2. VOORSCHRIFTEN DIE VAN TOEPASSING ZIJN OP DE VERWERKING VAN PERSOONSGEGEVENS

2.1. Het grondwettelijk kader

(8) Het Verenigd Koninkrijk is een parlementaire democratie met een constitutioneel vorst als staatshoofd. Het heeft een soeverein parlement, dat boven alle andere overheidsinstellingen staat, een uitvoerende macht die is samengesteld uit leden van het parlement en aan het parlement verantwoording moet afleggen, en een onafhankelijke rechterlijke macht. Het gezag van de uitvoerende macht berust op het vertrouwen dat zij kan afdwingen van het gekozen Lagerhuis en de uitvoerende macht moet verantwoording afleggen aan beide kamers van het parlement, die verantwoordelijk zijn voor het uitoefenen van toezicht op de regering en het bespreken en goedkeuren van wetten.

(9) Het Verenigd Koninkrijk parlement heeft bevoegdheden gedelegeerd aan het Schotse parlement, het parlement van Wales (Senedd Cymru) en de Noord-Ierse Assemblee om wetgeving vast te stellen met betrekking tot interne kwesties in Schotland, Wales en Noord-Ierland, die het Britse parlement niet aan zichzelf heeft voorbehouden. Hoewel gegevensbescherming een voorbehouden kwestie is, wat betekent dat in het gehele land dezelfde wetgeving geldt, zijn andere beleidsgebieden die relevant zijn voor dit besluit gedelegeerd. Het strafrechtelijk systeem, met inbegrip van de politie, van Schotland en Noord-Ierland is bijvoorbeeld gedelegeerd aan respectievelijk het Schotse parlement en de Noord-Ierse Assemblee. Het Verenigd Koninkrijk heeft geen gecodificeerde grondwet in de zin van een vast constitutief document. De grondwettelijke beginselen zijn mettertijd ontstaan, met name op basis van de jurisprudentie en gebruiken. De grondwettelijke waarde van bepaalde statuten, zoals de Magna Carta, de Bill of Rights 1689 en de Human Rights Act 1998, is door de rechters erkend. De grondrechten van personen zijn, als onderdeel van de grondwet, ontwikkeld door middel van gewoonterecht, dit geschreven recht en internationale verdragen, en met name het Europees Verdrag voor de rechten van de mens, dat het Verenigd Koninkrijk in 1951 heeft geratificeerd. Het Verenigd Koninkrijk heeft in 1987 ook het Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens van de Raad van Europa (Verdrag 108) geratificeerd (10).

(10) Bij de Human Rights Act 1998 worden de rechten van het Europees Verdrag voor de rechten van de mens opgenomen in het recht van het Verenigd Koninkrijk. De Human Rights Act verleent alle personen de grondrechten en fundamentele vrijheden van de artikelen 2 tot en met 12 en 14 van het Europees Verdrag voor de rechten van de mens, de artikelen 1, 2 en 3 van het eerste protocol en artikel 1 van het dertiende protocol bij dit verdrag, gelezen in samenhang met de artikelen 16, 17 en 18 van dat verdrag. Dit omvat het recht op eerbiediging van het privéleven en van het familie- en gezinsleven (en het recht op gegevensbescherming als onderdeel van dat recht) en het recht op een eerlijk proces (11). Overeenkomstig artikel 8 van dit verdrag is inmenging van een overheidsinstantie in het recht op privacy slechts toegestaan voor zover bij de wet bepaald en voor zover noodzakelijk in een democratische samenleving in het belang van de nationale veiligheid, de openbare veiligheid of het economisch welzijn van het land, het voorkomen van ordeverstoring en strafbare feiten, de bescherming van de gezondheid of de goede zeden of voor de bescherming van de rechten en vrijheden van anderen.

(11) Krachtens de Human Rights Act 1998 moet elk optreden van overheidsinstanties verenigbaar zijn met de rechten van het verdrag (12). Daarnaast moet de primaire en afgeleide wetgeving op een wijze worden gelezen en uitgevoerd die verenigbaar is met de rechten van het verdrag (13).

2.2. Het kader voor gegevensbescherming van het Verenigd Koninkrijk

(12) Het Verenigd Koninkrijk heeft zich op 31 januari 2020 teruggetrokken uit de Europese Unie. Op basis van het Akkoord inzake de terugtrekking van het Verenigd Koninkrijk van Groot-Brittannië en Noord-Ierland uit de Europese Unie en de Europese Gemeenschap voor Atoomenergie (14) bleef het Unierecht tijdens de overgangsperiode tot 31 december 2020 van toepassing op en in het Verenigd Koninkrijk. Vóór de terugtrekking en tijdens de overgangsperiode bestond het wettelijk kader inzake de bescherming van de persoonsgegevens in het Verenigd Koninkrijk uit de desbetreffende EU-wetgeving (en met name Verordening (EU) 2016/679 en Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad (15)) en interne wetgeving (en met name de Data Protection Act 2018 (16) (de Britse wet gegevensbescherming van 2018, hierna “DPA 2018” genoemd), waarin nationale regels waren vastgesteld, waar toegestaan op grond van Verordening (EU) 2016/679, om de toepassing van de regels van Verordening (EU) 2016/679 te specificeren en beperken, en waarbij Richtlijn (EU) 2016/680 werd omgezet.

(13) Ter voorbereiding van de terugtrekking uit de Europese Unie heeft de regering van het Verenigd Koninkrijk de European Union (Withdrawal) Act 2018 (17) (de Britse wet inzake de terugtrekking uit de Europese Unie van 2018) aangenomen, waarbij rechtstreeks toepasselijke Uniewetgeving wordt opgenomen in het recht van het Verenigd Koninkrijk (18). Dit “gehandhaafde” Unierecht omvat Verordening (EU) 2016/679 in haar geheel (met inbegrip van de overwegingen hiervan) (19). Overeenkomstig deze wet moet het ongewijzigde, gehandhaafde Unierecht door de rechters van het Verenigd Koninkrijk worden uitgelegd in overeenstemming met de desbetreffende jurisprudentie van het Europees Hof van Justitie en de algemene beginselen van het Unierecht, zoals deze wetgeving direct vóór het einde van de overgangsperiode van kracht is (respectievelijk de “gehandhaafde jurisprudentie van de EU” en de “gehandhaafde algemene beginselen van het Unierecht”) (20).

(14) Op grond van de European Union (Withdrawal) Act 2018 hebben de ministers van het Verenigd Koninkrijk de bevoegdheid om door middel van wettelijke instrumenten secundaire wetgeving in te voeren teneinde in gehandhaafd Unierecht de noodzakelijke wijzigingen aan te brengen die voortvloeien uit de terugtrekking van het Verenigd Koninkrijk uit de Europese Unie. Zij oefenden die bevoegdheid uit door de Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019 (de Britse regelingen betreffende gegevensbescherming, privacy en elektronische communicatie (wijzigingen enz.) (terugtrekking EU) van 2019, hierna “DPPEC Regulations” genoemd) (21) aan te nemen. Bij de DPPEC Regulations wordt Verordening (EU) 2016/679, zoals ingevoerd in het Britse recht bij de European Union (Withdrawal) Act 2018, de DPA 2018 en overige wetgeving inzake gegevensbescherming, gewijzigd om aan te sluiten op de binnenlandse context (22).

(15) Dienovereenkomstig bestaat het rechtskader inzake de bescherming van persoonsgegevens in het Verenigd Koninkrijk na het einde van de overgangsperiode uit: — De UK GDPR, zoals opgenomen in het recht van het Verenigd Koninkrijk bij de European Union (Withdrawal) Act 2018 en gewijzigd bij de DPPEC Regulations (23); en — de DPA 2018 (24), zoals gewijzigd bij de DPPEC Regulations.

(16) Omdat de UK GDPR gebaseerd is op EU-wetgeving, sluiten veel aspecten van de voorschriften inzake gegevensbescherming in het Verenigd Koninkrijk nauw aan op de overeenkomstige voorschriften die in de Europese Unie van toepassing zijn.

(17) Naast de bevoegdheden die bij de European Union (Withdrawal) Act 2018 aan de Secretary of State werden toegekend, verlenen verschillende bepalingen van de DPA 2018 bevoegdheden aan de Secretary of State om secundaire wetgeving vast te stellen om sommige bepalingen van de Act te wijzigen of te voorzien in aanvullende voorschriften (25). De Secretary of State heeft tot dusverre van de bevoegdheid op grond van artikel 137 van de DPA 2018 slechts gebruikgemaakt om de Data Protection (Charges and Information) (Amendment) Regulations 2019 vast te stellen, de Britse regelingen gegevensbescherming (bijdragen en informatie) (wijziging) van 2019, waarin de omstandigheden uiteen worden gezet waarin verwerkingsverantwoordelijken een jaarlijkse bijdrage moeten betalen aan de onafhankelijke autoriteit voor gegevensbescherming van het Verenigd Koninkrijk, de Information Commissioner (de Britse toezichthouder voor informatie).

(18) Tot slot wordt in de praktijkcodes en andere richtsnoeren die zijn vastgesteld door de Information Commissioner voorzien in verdere richtsnoeren met betrekking tot de wetgeving inzake gegevensbescherming van het Verenigd Koninkrijk. Hoewel zij formeel niet juridisch bindend zijn, zijn deze richtsnoeren van belang voor de uitlegging en tonen zij aan hoe de wetgeving inzake gegevensbescherming van toepassing is en door de Commissioner in de praktijk wordt gehandhaafd. De artikelen 121 tot en met 125 van de DPA 2018 in het bijzonder leggen aan de Commissioner de verplichting op om praktijkcodes op te stellen met betrekking tot het delen van gegevens, direct marketing, ontwerpen en gegevensbescherming die zijn aangepast aan de leeftijd en journalistiek.

(19) Het Britse rechtskader dat van toepassing is op gegevens die in het kader van dit besluit worden doorgegeven, is wat de structuur en belangrijkste onderdelen ervan betreft dus in grote mate hetzelfde als het kader dat in de Europese Unie van toepassing is. Dit omvat het feit dat dit kader niet alleen is gebaseerd op verplichtingen die in het nationale recht zijn vastgesteld, die zijn gevormd door het Unierecht, maar ook op verplichtingen die zijn verankerd in het internationaal recht, met name doordat het Verenigd Koninkrijk partij is bij het EVRM en Verdrag 108 en is onderworpen aan de bevoegdheid van het Europees Hof voor de Rechten van de Mens. Deze verplichtingen die voortvloeien uit juridisch bindende internationale instrumenten, met name met betrekking tot de bescherming van persoonsgegevens, vormen derhalve een bijzonder belangrijk element van het rechtskader dat in dit besluit wordt beoordeeld.

2.3. Materieel en territoriaal toepassingsgebied

(20) Net zoals Verordening (EU) 2016/679 is de UK GDPR van toepassing op geheel of gedeeltelijk geautomatiseerde verwerking, alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen (26). De definities van “persoonsgegevens”, “betrokkene” en “verwerking” van de UK GDPR zijn identiek aan de definities van Verordening (EU) 2016/679 (27). De UK GDPR is daarnaast van toepassing op de handmatige, ongestructureerde verwerking van persoonsgegevens (28) die in het bezit zijn van bepaalde overheidsinstanties van het Verenigd Koninkrijk (29), hoewel de beginselen en rechten van de UK GDPR die niet relevant zijn voor dergelijke persoonsgegevens hierop op grond van de artikelen 24 en 25 van de DPA 2018 niet worden toegepast. De UK GDPR is, net zoals Verordening (EU) 2016/679, niet van toepassing op de verwerking van persoonsgegevens door een natuurlijke persoon bij de uitoefening van een zuiver persoonlijke of huishoudelijke activiteit (30).

(21) De UK GDPR is ook van toepassing op de verwerking in het kader van een activiteit die, onmiddellijk vóór het einde van de overgangsperiode, niet onder het toepassingsgebied van het Unierecht viel (bv. nationale veiligheid) (31) of die onder titel 5, hoofdstuk 2, van het Verdrag betreffende de Europese Unie (activiteiten in het kader van het gemeenschappelijk buitenlands en veiligheidsbeleid) viel (32). Net als het systeem van de Europese Unie is de UK GDPR niet van toepassing op de verwerking van persoonsgegevens door een bevoegde autoriteit met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de uitvoering van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid (zogeheten “rechtshandhavingsdoeleinden”) (een dergelijke verwerking valt in plaats daarvan onder artikel 3 van de DPA 2018, zoals het geval is voor Richtlijn (EU) 2016/680 in het kader van het Unierecht) of de verwerking van persoonsgegevens door inlichtingendiensten (de Security Service, de Secret Intelligence Service en de Government Communications Headquarters), die onder artikel 4 van de DPA 2018 valt (33).

(22) Het territoriale toepassingsgebied van de UK GDPR wordt beschreven in artikel 3 van de UK GDPR (34) en omvat de verwerking van persoonsgegevens (ongeacht waar deze plaatsvindt) in het kader van de activiteiten van een vestiging van een verwerkingsverantwoordelijke of een verwerker in het Verenigd Koninkrijk, evenals de verwerking van persoonsgegevens van betrokkenen die zich in het Verenigd Koninkrijk bevinden wanneer de verwerking verband houdt met het aanbieden van goederen of diensten aan deze betrokkenen of het monitoren van hun gedrag (35). Hiermee wordt de benadering van artikel 3 van Verordening (EU) 2016/679 gevolgd.

2.4. Definities van persoonsgegevens en de concepten van verwerkingsverantwoordelijke en verwerker

(23) De definities van persoonsgegevens, verwerking, verwerkingsverantwoordelijke, verwerker en pseudonimisering, zoals vastgesteld in Verordening (EU) 2016/679, zijn zonder materiële wijzigingen gehandhaafd in de UK GDPR (36). Bovendien zijn in artikel 9, lid 1, van de UK GDPR bijzondere categorieën gegevens gedefinieerd, op dezelfde wijze als in Verordening (EU) 2016/679 (“persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid”). In artikel 205 van de DPA 2018 is voorzien in de definitie van “biometrische gegevens” (37), “gegevens over gezondheid” (38) en “genetische gegevens” (39).

2.5. Waarborgen, rechten en verplichtingen

2.5.1. Rechtmatigheid en behoorlijkheid van de verwerking

(24) Persoonsgegevens moeten op rechtmatige en behoorlijke wijze worden verwerkt.

(25) De beginselen van rechtmatigheid, behoorlijkheid en transparantie en de gronden voor de rechtmatige verwerking worden gewaarborgd in het recht van het Verenigd Koninkrijk door middel van artikel 5, lid 1, en artikel 6, lid 1, van de UK GDPR, die identiek zijn aan de respectievelijke bepalingen van Verordening (EU) 2016/679 (40). Artikel 6, lid 1, punt e), wordt aangevuld door artikel 8 van de DPA 2018, waarin is bepaald dat de verwerking van persoonsgegevens op grond van artikel 6, lid 1, punt e), van de UK GDPR (noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen) de verwerking van persoonsgegevens omvat die noodzakelijk is voor de rechtsbedeling, de vervulling van een taak van een van de kamers van het parlement, de uitoefening van een functie die door middel van de uitvoering van het recht of een rechtsregel aan een persoon is toegekend, de uitoefening van een functie van de kroon, een minister van de kroon of een ministerie of een activiteit aan de hand waarvan de betrokkenheid bij de democratie wordt gesteund of bevorderd.

(26) Wat betreft toestemming (een van de gronden voor rechtmatige verwerking), zijn in de UK GDPR ook de voorwaarden van artikel 7 van Verordening (EU) 2016/679 ongewijzigd gehandhaafd, dat wil zeggen dat de verwerkingsverantwoordelijke moet kunnen aantonen dat de betrokkene toestemming heeft gegeven, dat een schriftelijke verklaring in duidelijke en eenvoudige taal moet worden gepresenteerd, dat de betrokkene het recht heeft zijn toestemming te allen tijde in te trekken en dat bij de beoordeling van de vraag of de toestemming vrijelijk kan worden gegeven rekening moet worden gehouden met de vraag of voor de uitvoering van de overeenkomst toestemming vereist is voor een verwerking van persoonsgegevens die niet noodzakelijk is voor de uitvoering van die overeenkomst. Op grond van artikel 8 van de UK GDPR is de toestemming van een kind met betrekking tot diensten van de informatiemaatschappij bovendien slechts rechtmatig wanneer het kind ten minste 13 jaar is. Dit valt binnen de leeftijdsgroep die in artikel 8 van Verordening (EU) 2016/679 is vastgesteld.

2.5.2. Verwerking van bijzondere categorieën van persoonsgegevens

(27) Wanneer “bijzondere categorieën” gegevens worden verwerkt, moet worden voorzien in bijzondere waarborgen.

(28) De UK GDPR en de DPA 2018 bevatten specifieke regels met betrekking tot de verwerking van bijzondere categorieën persoonsgegevens, die in artikel 9, lid 1, van de UK GDPR op dezelfde wijze uiteen zijn gezet als in Verordening (EU) 2016/679 (zie overweging (23)). Overeenkomstig artikel 9 van de UK GDPR is de verwerking van bijzondere categorieën gegevens in principe verboden, tenzij een specifieke uitzondering van toepassing is.

(29) Deze uitzonderingen (die zijn opgenomen in artikel 9, leden 2 en 3, van de UK GDPR) verschillen inhoudelijk niet van de uitzonderingen van artikel 9, leden 2 en 3, van Verordening (EU) 2016/679. Tenzij de betrokkene uitdrukkelijke toestemming heeft gegeven voor de verwerking van die persoonsgegevens, is de verwerking van bijzondere categorieën persoonsgegevens slechts toegestaan in specifieke en beperkte omstandigheden. In de meeste gevallen moet de verwerking van gevoelige gegevens noodzakelijk zijn voor een specifiek doel dat in de desbetreffende bepaling (zie artikel 9, lid 2, punten b), c), f), g), h), i) en j)) is gedefinieerd.

(30) Voor gevallen waarin een uitzondering uit hoofde van artikel 9, lid 2, van de UK GDPR wettelijke toestemming vereist of naar het algemeen belang verwijst, worden in artikel 10 van de DPA 2018 en in bijlage 1 bij de DPA 2018 de voorwaarden verder uiteengezet waaraan moet worden voldaan om de uitzonderingen te mogen toepassen. Voor de verwerking van gevoelige gegevens voor de bescherming van de “volksgezondheid” (artikel 9, lid 2, punt i), van de UK GDPR) wordt in bijlage 1, deel 1, punt 3, b), naast de uitvoering van een noodzakelijkheidstoets bijvoorbeeld vereist dat een dergelijke verwerking wordt uitgevoerd door of onder de verantwoordelijkheid van een gezondheidswerker of door een andere persoon die op grond van de uitvoering van het recht of een rechtsregel een geheimhoudingsplicht heeft, waaronder in het kader van de gevestigde geheimhoudingsplicht volgens het gewoonterecht.

(31) Voor gevallen waarin gevoelige gegevens worden verwerkt om redenen van zwaarwegend algemeen belang (artikel 9, lid 2, punt g), van de UK GDPR), is in bijlage 1, deel 2, van de DPA 2018 voorzien in een uitputtende lijst van doeleinden die als zwaarwegend algemeen belang kunnen worden beschouwd, evenals, voor elk van deze doeleinden, specifieke aanvullende voorwaarden. De bevordering van raciale en etnische diversiteit op leidinggevende niveaus van organisaties wordt bijvoorbeeld erkend als zwaarwegend algemeen belang. Voor de verwerking van gevoelige gegevens voor dit specifieke doel gelden gedetailleerde vereisten, waaronder dat de verwerking moet worden uitgevoerd als onderdeel van een proces van het identificeren van geschikte personen voor leidinggevende functies, noodzakelijk moet zijn voor de bevordering van de raciale en etnische diversiteit en geen waarschijnlijke aanzienlijke schade of aanzienlijke nood voor de betrokkene mag veroorzaken.

(32) In artikel 11, lid 1, van de DPA 2018 worden de voorwaarden uiteengezet voor de verwerking van persoonsgegevens in de in artikel 9, lid 3, van de UK GDPR omschreven omstandigheden in verband met de geheimhoudingsplicht. Dit omvat omstandigheden waarin de verwerking wordt uitgevoerd door of onder de verantwoordelijkheid van een gezondheidswerker of sociaal werker of door een andere persoon die op grond van de uitvoering van het recht of een rechtsregel in deze omstandigheden een geheimhoudingsplicht heeft.

(33) Daarnaast vereist de toepassing van veel van de in artikel 9, lid 2, van de UK GDPR opgenomen uitzonderingen passende en specifieke waarborgen. Afhankelijk van de aard van de verwerking en het niveau van risico voor de rechten en vrijheden van betrokkenen zijn in de voorwaarden voor de verwerking van bijlage 1 bij de DPA 2018 verschillende waarborgen vastgesteld. In bijlage 1 zijn vervolgens de voorwaarden voor elke verwerkingssituatie vastgesteld.

(34) Voor sommige gevallen is het soort gevoelige gegevens dat mag worden verwerkt om te voldoen aan een specifieke wettelijke basis, in de DPA 2018 geregeld en beperkt. In bijlage 1, punt 8, wordt bijvoorbeeld de verwerking van gevoelige gegevens voor de bevordering van gelijke kansen en een gelijke behandeling toegestaan. Deze voorwaarde voor de verwerking kan alleen worden gebruikt als uit de gegevens de raciale of etnische afkomst, religieuze of levensbeschouwelijke overtuiging of seksuele gerichtheid blijkt of als de gegevens gezondheidsgegevens zijn.

(35) Voor sommige gevallen beperkt de DPA 2018 het type verwerkingsverantwoordelijke dat gebruik mag maken van de voorwaarde voor verwerking. In bijlage 1, punt 23, wordt bijvoorbeeld de verwerking van gevoelige gegevens geregeld in verband met de antwoorden van gekozen vertegenwoordigers aan het publiek. Deze voorwaarde voor de verwerking kan alleen worden gebruikt als de verwerkingsverantwoordelijke een gekozen vertegenwoordiger is of onder het gezag van een gekozen vertegenwoordiger handelt.

(36) Voor sommige andere gevallen zijn in de DPA 2018 beperkingen vastgesteld voor de categorieën betrokkenen ten aanzien waarvan gebruik kan worden gemaakt van de voorwaarde voor de verwerking. In bijlage 1, punt 21, wordt bijvoorbeeld de verwerking van gevoelige gegevens voor bedrijfspensioenregelingen geregeld. Deze voorwaarde kan slechts worden gebruikt wanneer de betrokkene in kwestie een broer of zus, ouder, grootouder of overgrootouder van de deelnemer aan de regeling is.

(37) Daarnaast moet de verwerkingsverantwoordelijke, wanneer hij gebruikmaakt van de uitzonderingen van artikel 9, lid 2, van de UK GDPR, die verder uiteengezet worden in artikel 10 van de DPA 2018 en in bijlage 1 bij de DPA 2018, in de meeste gevallen een document inzake passend beleid opstellen. Hierin moeten de procedures van de verwerkingsverantwoordelijke voor het waarborgen van de naleving van de beginselen van artikel 5 van de UK GDPR worden gespecificeerd. Daarnaast moet het beleid voor het bewaren en wissen, met een indicatie van de waarschijnlijke opslagtermijn, uiteengezet worden. Verwerkingsverantwoordelijken moeten dit document waar passend herzien en bijwerken. De verwerkingsverantwoordelijke moet het beleidsdocument voor een periode van zes maanden na afronding van de verwerking bewaren en het op verzoek ter beschikking stellen van de Information Commissioner (41).

(38) Overeenkomstig punt 41 van bijlage 1 bij de DPA 2018 moet het beleidsdocument altijd vergezeld gaan van een aangevuld verwerkingsdossier. In dit dossier moeten de toezeggingen van het beleidsdocument, dat wil zeggen of gegevens worden gewist of bewaard in overeenstemming met het beleid, worden gevolgd. Wanneer het beleid niet is gevolgd, moeten de redenen hiervoor in het dossier worden opgenomen. In het dossier moet bovendien worden beschreven hoe bij de verwerking wordt voldaan aan artikel 6 van de UK GDPR (rechtmatigheid van de verwerking) en aan de specifieke voorwaarde van bijlage 1 bij de DPA 2018 waarvan gebruik wordt gemaakt.

(39) Tot slot voorziet de UK GDPR, net zoals Verordening (EU) 2016/679, in algemene waarborgen voor bepaalde verwerkingsactiviteiten voor bijzondere categorieën gegevens. Artikel 35 van de UK GDPR vereist dat een gegevensbeschermingseffectbeoordeling wordt uitgevoerd wanneer bijzondere categorieën gegevens op grote schaal worden verwerkt. Overeenkomstig artikel 37 van de UK GDPR moet een verwerkingsverantwoordelijke of verwerker een functionaris voor gegevensbescherming aanwijzen wanneer hij hoofdzakelijk belast is met de grootschalige verwerking van bijzondere categorieën gegevens.

(40) Wat persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten betreft, is artikel 10 van de UK GDPR identiek aan artikel 10 van Verordening (EU) 2016/679. In dit artikel is bepaald dat de verwerking van persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten alleen is toegestaan onder toezicht van de overheid of indien de verwerking is toegestaan bij nationaal recht dat passende waarborgen voor de rechten en vrijheden van de betrokkenen biedt.

(41) Voor gevallen waarin de verwerking van gegevens betreffende strafrechtelijke veroordelingen en strafbare feiten niet onder toezicht van een overheid plaatsvindt, is in artikel 10, lid 5, van de DPA 2018 bepaald dat een dergelijke verwerking slechts mag plaatsvinden voor de specifieke doeleinden/in de specifieke situaties die zijn uiteengezet in de delen 1, 2 en 3, van bijlage 1 bij de DPA 2018 en dat hiervoor specifieke vereisten gelden die voor elk van deze doeleinden/situaties zijn vastgesteld. Gegevens betreffende strafrechtelijke veroordelingen mogen bijvoorbeeld worden verwerkt door non-profitorganisaties, mits de verwerking plaatsvindt a) in het kader van hun gerechtvaardigde activiteiten door een stichting, vereniging of andere non-profitorganisatie met een politiek, filosofisch, religieus of vakbondsdoel en b) op voorwaarde dat i) de verwerking uitsluitend verband houdt met de leden of voormalige leden van de organisatie of met personen die regelmatig contact met de organisatie hebben in verband met haar doeleinden en ii) de persoonsgegevens niet zonder toestemming van de betrokkenen buiten die organisatie worden meegedeeld.

(42) Daarnaast zijn in deel 3 van bijlage 1 bij de DPA 2018 aanvullende omstandigheden vastgesteld waarin gegevens betreffende strafrechtelijke veroordelingen mogen worden gebruikt, die overeenkomen met de wettelijke gronden voor de verwerking van gevoelige gegevens van artikel 9, lid 2, van Verordening (EU) 2016/679 en de UK GDPR (bv. toestemming van de betrokkene, vitale belangen van een persoon indien de betrokkene fysiek of juridisch niet in staat is zijn toestemming te geven, wanneer de gegevens kennelijk reeds door de betrokkene openbaar zijn gemaakt, wanneer de verwerking noodzakelijk is voor de instelling, uitoefening of onderbouwing van een rechtsvordering enz.).

2.5.3. Doelbinding, juistheid, minimale gegevensverwerking, opslagbeperking en gegevensbeveiliging

(43) Persoonsgegevens moeten worden verwerkt voor een specifiek doel en mogen vervolgens uitsluitend worden gebruikt voor doeleinden die niet onverenigbaar zijn met het doel van de verwerking.

(44) Dit beginsel is opgenomen in artikel 5, lid 1, punt b), van Verordening (EU) 2016/679 en is onveranderd gehandhaafd in artikel 5, lid 1, punt b), van de UK GDPR. De voorwaarden voor een verdere verenigbare verwerking overeenkomstig artikel 6, lid 4, van Verordening (EU) 2016/679 zijn ook zonder materiële wijzigingen overgenomen in artikel 6, lid 4, punten a) tot en met e), van de UK GDPR.

(45) De gegevens moeten bovendien juist zijn en zo nodig worden geactualiseerd. Ze moeten ook toereikend en ter zake dienend zijn en beperkt blijven tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt en mogen in principe niet langer worden bewaard dan noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt.

(46) Deze beginselen van minimale gegevensverwerking, juistheid en opslagbeperking zijn uiteengezet in artikel 5, lid 1, punten c) tot en met e), van Verordening (EU) 2016/679 en zijn ongewijzigd gehandhaafd in artikel 5, lid 1, punten c) tot en met e), van de UK GDPR.

(47) Persoonsgegevens moeten ook op een dusdanige manier worden verwerkt dat de beveiliging ervan gewaarborgd is, en dat zij onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging. Daartoe moeten bedrijfsexploitanten passende technische of organisatorische maatregelen treffen om de persoonsgegevens te beschermen tegen mogelijke bedreigingen. Bij de beoordeling van die maatregelen moet rekening worden gehouden met de stand van de techniek en de ermee gemoeide kosten.

(48) De gegevensbeveiliging is verankerd in de Britse wet in de vorm van het beginsel van integriteit en vertrouwelijkheid in artikel 5, lid 1, punt f), van de UK GDPR en in artikel 32 van de UK GDPR inzake de beveiliging van de verwerking. Deze bepalingen zijn identiek aan de respectievelijke bepalingen van Verordening (EU) 2016/679. De UK GDPR vereist bovendien onder dezelfde voorwaarden als die van de artikelen 33 en 34 van Verordening (EU) 2016/679 dat melding wordt gemaakt van een inbreuk in verband met persoonsgegevens bij de toezichthoudende autoriteit (artikel 33 UK GDPR) en dat een inbreuk in verband met de persoonsgegevens wordt meegedeeld aan de betrokkene (artikel 34 UK GDPR).

2.5.4 Transparantie

(49) Betrokkenen moeten worden ingelicht over de belangrijkste kenmerken van de verwerking van hun persoonsgegevens.

(50) Dit wordt gewaarborgd door de artikelen 13 en 14 van de UK GDPR, waarin naast het algemene beginsel van transparantie regels zijn opgenomen inzake de informatie die aan de betrokkene moet worden verstrekt (42). De regels van de overeenkomstige artikelen van Verordening (EU) 2016/679 zijn in de UK GDPR niet in wezenlijke mate gewijzigd. Net zoals het geval is voor Verordening (EU) 2016/679, gelden voor de transparantievereisten van deze artikelen verschillende uitzonderingen, die zijn vastgesteld in de DPA 2018 (zie de overwegingen (55) tot en met (72)).

2.5.5 Individuele rechten

(51) Betrokkenen moeten bepaalde rechten hebben die kunnen worden afgedwongen ten opzichte van de verwerkingsverantwoordelijke of de verwerker, en met name het recht op inzage van de gegevens, het recht om bezwaar te maken tegen de verwerking en het recht op rectificatie of wissing van de gegevens. Voor deze rechten kunnen tegelijkertijd beperkingen gelden, mits deze noodzakelijk en evenredig zijn met het oog op de bescherming van de openbare veiligheid of andere belangrijke doelstellingen van algemeen belang.

2.5.5.1. De materiële rechten

(52) De UK GDPR biedt personen dezelfde afdwingbare rechten als Verordening (EU) 2016/679. De bepalingen die personen deze rechten verlenen, zijn in de UK GDPR zonder wezenlijke wijzigingen gehandhaafd.

(53) De rechten omvatten het recht op inzage van de betrokkene (artikel 15 UK GDPR), het recht op rectificatie (artikel 16 UK GDPR), het recht op wissing (artikel 17 UK GDPR), het recht op beperking van de verwerking (artikel 18 UK GDPR), een kennisgevingsplicht inzake rectificatie of wissing van persoonsgegevens of verwerkingsbeperking (artikel 19 UK GDPR), het recht op overdraagbaarheid van gegevens (artikel 20 UK GDPR) en het recht van bezwaar (artikel 21 UK GDPR) (43). Het laatstgenoemde recht omvat ook het recht van een betrokkene om bezwaar te maken tegen de verwerking van persoonsgegevens voor direct marketing, waarin is voorzien in artikel 21, leden 2 en 3, van Verordening (EU) 2016/679. Op grond van artikel 122 van de DPA 2018 moet de Information Commissioner bovendien een praktijkcode (Code of Practice) opstellen in verband met activiteiten voor direct marketing in overeenstemming met de vereisten van de wetgeving inzake gegevensbescherming (en de Privacy and Electronic Communications (EC Directive) Regulations 2003 (de Britse regelingen betreffende privacy en elektronische communicatie (EG-richtlijn) van 2003)) en dergelijke andere richtsnoeren ter bevordering van goede praktijken op het gebied van direct marketing die de Commissioner passend acht. Het bureau van de Information Commissioner (ICO) werkt momenteel aan de code voor direct marketing (44).

(54) Het recht van betrokkenen om niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking gebaseerd besluit waaraan voor hen rechtsgevolgen zijn verbonden of dat hen anderszins in aanmerkelijke mate treft, waarin is voorzien in artikel 22 AVG,, is ook zonder belangrijke wijzigingen overgenomen in de UK GDPR. Hieraan is echter een nieuw lid 3A toegevoegd dat aangeeft dat in artikel 14 van de DPA 2018 waarborgen zijn vastgesteld voor de rechten, vrijheden en legitieme belangen van betrokkenen voor gevallen waarin de verwerking plaatsvindt in het kader van artikel 22, lid 2, punt b), van de UK GDPR. Dit geldt slechts wanneer de basis voor een dergelijk besluit een machtiging of vereiste op grond van het Britse recht is en niet wanneer het besluit noodzakelijk is op grond van een overeenkomst of is genomen met uitdrukkelijke toestemming van de betrokkene. Wanneer artikel 14 van de DPA 2018 van toepassing is, moet de verwerkingsverantwoordelijke de betrokkene zo snel als redelijkerwijs mogelijk schriftelijk meedelen dat een uitsluitend op geautomatiseerde verwerking gebaseerd besluit is genomen. De betrokkene heeft het recht de verwerkingsverantwoordelijke te verzoeken om — binnen één maand na ontvangst van de kennisgeving — het besluit te heroverwegen of een nieuw besluit te nemen dat niet uitsluitend op geautomatiseerde verwerking is gebaseerd. De Secretary of State is bevoegd om aanvullende waarborgen met betrekking tot de geautomatiseerde besluitvorming vast te stellen. Van deze bevoegdheid is nog geen gebruik gemaakt.

2.5.5.2. Beperkingen van de individuele rechten en overige bepalingen

(55) De DPA 2018 voorziet in verschillende beperkingen van de individuele rechten die passen binnen het kader van artikel 23 van de UK GDPR. Binnen dit kader zijn geen beperkingen ingevoerd met betrekking tot het recht om bezwaar te maken tegen direct marketing, als bedoeld in artikel 21, leden 2 en 3, van de UK GDPR, of van het recht om niet te worden onderworpen aan geautomatiseerde besluitvorming, als bedoeld in artikel 22 van de UK GDPR.

(56) De beperkingen zijn uitvoerig beschreven in de bijlagen 2 tot en met 4 bij de DPA 2018. De Britse autoriteiten hebben uitgelegd dat zij hierbij worden geleid door twee beginselen: het beginsel van specificiteit (waarbij een granulaire benadering wordt toegepast en brede beperkingen worden opgesplitst in meerdere specifiekere bepalingen) en het beginsel van voorwaardelijkheid (elke bepaling wordt aangevuld met waarborgen in de vorm van beperkingen of voorwaarden om misbruik te voorkomen) (45).

(57) De in artikel 23, lid 1, van de UK GDPR beschreven beperkingen zijn ontworpen om ervoor te zorgen dat zij uitsluitend van toepassing zijn in gespecificeerde omstandigheden waarin dat in een democratische samenleving noodzakelijk en evenredig is voor het legitieme belang dat hiermee wordt nagestreefd. Bovendien kan een uitzondering op de regels inzake gegevensbescherming in overeenstemming met de vaste jurisprudentie betreffende de uitlegging van beperkingen, slechts worden toegepast in een specifiek geval wanneer dit noodzakelijk en evenredig is (46). De noodzakelijkheidstoets moet streng zijn en vereisen dat een aantasting van de rechten van betrokkenen evenredig is aan de ernst van de bedreiging van het algemeen belang. Deze oefening omvat derhalve een klassieke evenredigheidsanalyse (47).

(58) De doelen die met deze beperkingen worden nagestreefd komen overeen met de doelen die zijn opgenomen in artikel 23 van Verordening (EU) 2016/679, met uitzondering van de beperkingen voor de nationale veiligheid en defensie, die in plaats daarvan zijn geregeld in artikel 26 van de DPA 2018, maar waarvoor dezelfde vereisten van noodzakelijkheid en evenredigheid gelden (zie de overwegingen (63) tot en met (66)).

(59) Sommige van de beperkingen, bijvoorbeeld die in verband met het voorkomen of opsporen van strafbare feiten, het aanhouden of vervolgen van misdadigers en de beoordeling of inning van belastingen of heffingen (48), staan de beperking van alle individuele rechten en transparantieverplichtingen toe (met uitzondering van de rechten uit hoofde van artikel 21, lid 2, en artikel 22). De omvang van de andere beperkingen is beperkt tot transparantieverplichtingen en het recht op inzage, zoals de beperkingen in verband met het professioneel verschoningsrecht (49), het recht op vrijstelling van een verplichting om informatie te verstrekken die zou leiden tot zelfbeschuldiging (50) en ondernemingsfinanciering, en met name het voorkomen van handel met voorkennis (51). Enkele van de beperkingen staan een beperking van de verplichting van de verwerkingsverantwoordelijke toe om een inbreuk aan een betrokkene te melden en van de beginselen van doelbinding en de rechtmatigheid, behoorlijkheid en transparantie van de verwerking (52).

(60) Enkele van de beperkingen zijn automatisch “volledig” van toepassing op een bepaald soort verwerking van persoonsgegevens (de toepassing van de transparantieverplichtingen en individuele rechten wordt bijvoorbeeld uitgesloten wanneer de persoonsgegevens worden verwerkt om de geschiktheid van een persoon voor een rechterlijk ambt te beoordelen of wanneer persoonsgegevens worden verwerkt door een rechter, administratieve rechtbank of persoon die optreedt in een rechterlijke hoedanigheid).

(61) In de meeste gevallen is in het desbetreffende punt van bijlage 2 bij de DPA 2018 echter bepaald dat de beperking slechts van toepassing is wanneer (en in die mate dat) de toepassing van de bepalingen het legitieme belang dat met die beperking wordt nagestreefd waarschijnlijk zal aantasten: de genoemde bepalingen van de UK GDPR zijn bijvoorbeeld niet van toepassing op persoonsgegevens die worden verwerkt met het oog op het voorkomen of opsporen van strafbare feiten, het aanhouden of vervolgen van misdadigers of de beoordeling of inning van belasting of heffingen voor zover de toepassing van die bepalingen waarschijnlijk nadelig zal zijn voor enige van deze zaken (53).

(62) De norm “waarschijnlijk nadelig zal zijn” is door de Britse rechter consequent uitgelegd als “een zeer aanzienlijke en zwaarwegende kans op aantasting van de vastgestelde algemene belangen” (54). Een aan de nadeligheidstoets onderhevige beperking kan derhalve alleen worden ingeroepen indien en voor zover er geen zeer aanzienlijke en zwaarwegende kans is dat de toekenning van een bepaald recht nadelig zou zijn voor het algemene belang in kwestie. De verwerkingsverantwoordelijke is verantwoordelijk voor de beoordeling per geval van de vraag of aan deze voorwaarden is voldaan (55).

(63) Naast de beperkingen die zijn opgenomen in bijlage 2 bij de DPA 2018, is in artikel 26 van de DPA 2018 een uitzondering opgenomen die op sommige bepalingen van de UK GDPR en de DPA 2018 kan worden toegepast indien deze uitzondering nodig is voor de waarborging van de nationale veiligheid of om redenen van defensie. Deze uitzondering is van toepassing op de beginselen van gegevensbescherming (met uitzondering van het beginsel van rechtmatigheid), de transparantieverplichtingen, de rechten van betrokkenen, de verplichting om een gegevensinbreuk te melden, regels inzake internationale doorgiften, enkele van de taken en bevoegdheden van de Information Commissioner en de regels inzake rechtsmiddelen, aansprakelijkheid en sancties, met uitzondering van de bepaling inzake de algemene voorwaarden voor het opleggen van administratieve geldboeten, zoals uiteengezet in artikel 83 van de UK GDPR, en de bepaling inzake sancties van artikel 84 van de UK GDPR. In artikel 28 van de DPA 2018 is bovendien de toepassing van artikel 9, lid 1, gewijzigd om de verwerking van bijzondere categorieën gegevens in artikel 9, lid 1, van de UK GDPR mogelijk te maken voor zover de verwerking wordt verricht om de nationale veiligheid te beschermen of voor defensiedoeleinden en met passende waarborgen voor de rechten en vrijheden van betrokkenen (56).

(64) De uitzondering kan slechts worden toegepast in de mate die noodzakelijk is om de nationale veiligheid of defensie te waarborgen. Zoals ook het geval is voor de andere uitzonderingen waarin in de DPA 2018 is voorzien, moet deze per geval door de verwerkingsverantwoordelijke worden overwogen en gebruikt. Een toepassing van de uitzondering moet bovendien in overeenstemming zijn met de mensenrechtennormen (geschraagd door de Human Rights Act 1998), volgens welke elke aantasting van het recht op privacy in een democratische samenleving noodzakelijk en evenredig moet zijn (57).

(65) Deze interpretatie van de uitzondering wordt bevestigd door de Information Commissioner, die gedetailleerde richtsnoeren heeft uitgegeven over de toepassing van de uitzondering inzake de nationale veiligheid en defensie, waarbij hij duidelijk heeft gemaakt dat de uitzondering per geval door de verwerkingsverantwoordelijke moet worden overwogen en toegepast (58). In de richtsnoeren wordt met name benadrukt dat „[d]it geen algemene vrijstelling is” en dat het, om hem in te roepen, “niet voldoende is dat de gegevens met het oog op de nationale veiligheid worden verwerkt”. Daarentegen moet de verwerkingsverantwoordelijke die er gebruik van maakt “aantonen dat er een een reële kans van een nadelig effect op de nationale veiligheid bestaat” en wordt, indien nodig, van de verwerkingsverantwoordelijke verwacht dat hij „[de Information Commissioner] bewijs verstrekt over de reden waarom [hij] deze uitzondering heeft gebruikt”. De richtsnoeren bevatten een controlelijst en een reeks voorbeelden om de voorwaarden onder welke deze uitzondering kan worden ingeroepen verder te verduidelijken.

(66) Het feit dat de gegevens worden verwerkt met het oog op de nationale veiligheid of defensie is op zich dus geen toereikende reden voor de toepassing van de uitzondering. Een verwerkingsverantwoordelijke moet de daadwerkelijke gevolgen voor de nationale veiligheid van de naleving van de specifieke bepaling inzake gegevensbescherming in aanmerking nemen. De uitzondering mag slechts worden toegepast voor die specifieke bepalingen waarvan is vastgesteld dat zij het risico veroorzaken en moet zo beperkt mogelijk worden toegepast (59).

(67) Deze benadering is bevestigd door het Information Tribunal (60) (de Britse administratieve rechtbank voor informatie). In de zaak Baker/Secretary of State for the Home Department (hierna: “Baker/Secretary of State” genoemd) oordeelde het Information Tribunal dat het onrechtmatig was om de uitzondering voor de nationale veiligheid als algemene uitzondering toe te passen op verzoeken om inzage die door de inlichtingendiensten werden ontvangen. De uitzondering moest in plaats daarvan per geval worden toegepast, door elk verzoek op zich te bekijken en het recht van personen op de eerbiediging van hun privéleven in overweging te nemen (61).

2.5.6 Beperkingen inzake persoonsgegevens die worden verwerkt voor journalistieke, artistieke, academische en literaire doeleinden, evenals voor archivering en onderzoek

(68) Artikel 85, lid 2, van de UK GDPR staat toe dat voor persoonsgegevens die worden verwerkt voor journalistieke, artistieke, academische en literaire doeleinden, wordt voorzien in een uitzondering op verschillende bepalingen van de UK GDPR. In deel 5 van bijlage 2 bij de DPA 2018 zijn de uitzonderingen met betrekking tot verwerking voor deze doeleinden uiteengezet. Er wordt voorzien in uitzonderingen op de beginselen van de gegevensbescherming (met uitzondering van het beginsel van integriteit en vertrouwelijkheid), de wettelijke gronden voor de verwerking (met inbegrip van bijzondere categorieën gegevens en gegevens betreffende strafrechtelijke veroordelingen enz.), de voorwaarden voor toestemming, de transparantieverplichtingen, de rechten van betrokkenen, de verplichting om inbreuken op gegevens te melden, en de vereiste om de Information Commissioner te raadplegen voorafgaande aan een verwerking met een hoog risico en de regels inzake internationale doorgiften (62). De UK GDPR wijkt in dit opzicht niet in wezenlijke mate af van Verordening (EU) 2016/679, waarin in artikel 85 ook is voorzien in de mogelijkheid om met het oog op de verwerking voor journalistieke doeleinden of ten behoeve van academische, artistieke of literaire uitdrukkingsvormen uitzonderingen vast te stellen op een aantal vereisten van Verordening (EU) 2016/679. De bepalingen van de DPA 2018, en met name van bijlage 2, deel 5, zijn verenigbaar met de UK GDPR.

(69) De kernafweging die in het kader van artikel 85 van de UK GDPR moet worden gemaakt, houdt verband met de vraag of een uitzondering op de regels betreffende gegevensbescherming als genoemd in overweging (68) noodzakelijk is om het recht op de bescherming van de persoonsgegevens te verenigen met de vrijheid van meningsuiting en informatie (63). Volgens bijlage 2, paragraaf 26, punten 2 en 3, bij de DPA 2018 past het Verenigd Koninkrijk een toets van “redelijke overtuiging” toe om deze afweging te maken. Een uitzondering is gerechtvaardigd wanneer de verwerkingsverantwoordelijke er redelijkerwijs van overtuigd is dat i) de bekendmaking in het algemeen belang is; en ii) de toepassing van de desbetreffende GDPR-bepaling onverenigbaar zou zijn met de journalistieke, academische, artistieke of literaire doeleinden. Zoals bevestigd in de jurisprudentie (64) heeft de toets van redelijke overtuiging zowel een subjectieve als een objectieve component: het is niet toereikend wanneer de verwerkingsverantwoordelijke aantoont dat hij zelf van mening was dat de naleving onverenigbaar was. Zijn overtuiging moet redelijk zijn, dat wil zeggen moet kunnen worden gedeeld door een redelijke persoon die op de hoogte is van de desbetreffende feiten. De verwerkingsverantwoordelijke moet zijn overtuiging derhalve zorgvuldig onderbouwen teneinde de redelijkheid ervan te kunnen aantonen. Volgens de uitleg die door de Britse autoriteiten is verstrekt, moet de toets van redelijke overtuiging bij elke uitzondering worden uitgevoerd (65). Wanneer aan de voorwaarden is voldaan, wordt de uitzondering noodzakelijk en evenredig geacht uit hoofde van de Britse wetgeving.

(70) De Information Commissioner moet overeenkomstig artikel 124 van de DPA 2018 een praktijkcode opstellen inzake gegevensbescherming en journalistiek. Hieraan wordt momenteel gewerkt. In het kader van de Data Protection Act 1998 zijn richtsnoeren gegeven over de kwestie, waarin met name wordt benadrukt dat het voor het gebruik van deze uitzondering niet voldoende is om slechts te verklaren dat de naleving journalistieke activiteiten zou belemmeren, maar er een duidelijk argument moet zijn dat de bepaling in kwestie een obstakel vormt voor verantwoorde journalistiek (66). De regelgevende instantie voor telecommunicatie van het Verenigd Koninkrijk, OFCOM, en de BBC (in haar redactionele leidraad) hebben ook richtsnoeren gepubliceerd voor de uitvoering van de toets van het algemeen belang en de afweging van het algemeen belang tegen het belang van een persoon bij privacy (67). In deze richtsnoeren worden met name voorbeelden van informatie gegeven die in het algemeen belang is en wordt de noodzaak uitgelegd om te kunnen aantonen dat het algemeen belang in de specifieke omstandigheden van het geval zwaarder weegt dan het recht op privacy.

(71) Net zoals in artikel 89 AVG is bepaald, kan de verwerking van persoonsgegevens met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden worden vrijgesteld van een aantal genoemde bepalingen van de UK GDPR (68). Wat onderzoek en statistiek betreft, zijn uitzonderingen op de UK GDPR mogelijk in verband met de bevestiging van de verwerking, en de inzage in gegevens en waarborgen voor doorgiften aan derde landen; het recht op rectificatie; de beperking van de verwerking en het maken van bezwaar tegen de verwerking. Wat de archivering in het algemeen belang betreft, zijn ook uitzonderingen mogelijk op de kennisgevingsplicht inzake rectificatie of wissing van persoonsgegevens of beperking van de verwerking en op het recht op overdraagbaarheid van gegevens.

(72) Overeenkomstig punt 27(1) en punt 28(1) van bijlage 2 bij de DPA 2018 zijn de uitzonderingen op de genoemde bepalingen van de UK GDPR mogelijk wanneer de toepassing van de bepalingen het behalen van de doeleinden in kwestie zou verhinderen of ernstig zou schaden (69).

(73) Gezien het belang daarvan voor een doeltreffende uitoefening van individuele rechten, worden relevante ontwikkelingen met betrekking tot de interpretatie en toepassing in de praktijk van de bovengenoemde uitzonderingen (naast die in verband met de instandhouding van een doeltreffende controle van de immigratie, zoals uitgelegd in overweging (6), met inbegrip van eventuele verdere ontwikkelingen in de jurisprudentie en in de richtsnoeren en handhavingsmaatregelen van de Information Commissioner, naar behoren in aanmerking genomen in de context van de voortdurende monitoring van dit besluit (70).

2.5.7 Beperkingen ten aanzien van verdere doorgifte

(74) Het beschermingsniveau dat wordt geboden aan persoonsgegevens die worden doorgegeven vanuit de Europese Unie naar verwerkingsverantwoordelijken of verwerkers in het Verenigd Koninkrijk mag niet worden ondermijnd door verdere doorgifte van dergelijke gegevens aan ontvangers in een derde land. Dergelijke “verdere doorgiften”, die uit het oogpunt van de Britse verwerkingsverantwoordelijke of verwerker internationale doorgiften vanuit het Verenigd Koninkrijk vormen, mogen slechts worden toegestaan wanneer de verdere ontvanger buiten het Verenigd Koninkrijk zelf is onderworpen aan voorschriften die zorgen voor een beschermingsniveau dat vergelijkbaar is met het beschermingsniveau dat wordt gegarandeerd binnen de Britse rechtsorde. De toepassing van de regels van de UK GDPR en de DPA 2018 inzake internationale doorgiften van persoonsgegevens is derhalve een belangrijke factor om de continuïteit van de bescherming te waarborgen in gevallen waarin persoonsgegevens vanuit de Europese Unie naar het Verenigd Koninkrijk worden doorgegeven uit hoofde van dit besluit.

(75) De regeling inzake internationale doorgiften van persoonsgegevens vanuit het Verenigd Koninkrijk is vervat in de artikelen 44 tot en met 49 van de UK GDPR, aangevuld door de DPA 2018, en is in wezen identiek aan de voorschriften van hoofdstuk V van Verordening (EU) 2016/679 (71). Doorgiften van persoonsgegevens aan een derde land of internationale organisatie mogen slechts plaatsvinden op basis van een adequaatheidsbepaling (de Britse versie van een adequaatheidsbesluit in het kader van Verordening (EU) 2016/679), of, bij het ontbreken van een adequaatheidsbepaling,, wanneer de verwerkingsverantwoordelijke of verwerker heeft voorzien in passende waarborgen in overeenstemming met artikel 46 van de UK GDPR. Indien adequaatheidsbepalingen of passende waarborgen ontbreken, kan een doorgifte slechts plaatsvinden op basis van afwijkingen zoals vastgesteld in artikel 49 van de UK GDPR.

(76) In de adequaatheidsbepalingen van de Secretary of State kan worden bepaald dat een derde land (of een gebied of sector in een derde land), een internationale organisatie, of een beschrijving (72) van een dergelijk land of gebied of dergelijke sector of organisatie een toereikend niveau van bescherming van persoonsgegevens waarborgt. Bij de beoordeling van de adequaatheid van het beschermingsniveau moet de Secretary of State rekening houden met precies dezelfde elementen als die welke de Commissie moet beoordelen uit hoofde van artikel 45, lid 2, punten a) tot en met c), van Verordening (EU) 2016/679, uitgelegd in combinatie met overweging 104 van Verordening (EU) 2016/679 en de gehandhaafde jurisprudentie van de EU. Dit betekent dat de relevante norm bij de beoordeling van het adequate beschermingsniveau van een derde land de vraag is of dat derde land in kwestie een niveau van bescherming waarborgt dat “in feite overeenkomend” is met het niveau dat in het Verenigd Koninkrijk wordt verzekerd.

(77) Wat de procedure betreft, vallen adequaatheidsbepalingen onder de “algemene” procedurele vereisten van artikel 182 van de DPA 2018. In het kader van deze procedure moet de Secretary of State de Information Commissioner raadplegen wanneer hij voorstelt om Britse adequaatheidsbepalingen vast te stellen (73). Zodra deze bepalingen zijn vastgesteld door de Secretary of State, worden zij voorgelegd aan het parlement volgens de zogeheten negative resolution procedure, waarbij beide kamers van het parlement de bepalingen kunnen bestuderen en binnen veertig dagen een motie kunnen aannemen om de bepalingen nietig te verklaren (74).

(78) Volgens artikel 17B, lid 1, van de DPA 2018 moeten de adequaatheidsbepalingen met tussenpozen van maximaal vier jaar worden herzien en moet de Secretary of State doorlopend toezicht houden op ontwikkelingen in derde landen en binnen internationale organisaties die mogelijk gevolgen hebben voor besluiten om adequaatheidsbepalingen op te stellen, te wijzigen of in te trekken. Wanneer de Secretary of State vaststelt dat een bepaald land of een bepaalde organisatie niet langer een passend niveau van bescherming van persoonsgegevens waarborgt, moet hij, voor zover noodzakelijk, de bepalingen wijzigen of intrekken en in overleg gaan met het betrokken derde land of de betrokken internationale organisatie om het gebrek aan een passend beschermingsniveau te verhelpen. Deze procedurele aspecten weerspiegelen ook de dienovereenkomstige vereisten van Verordening (EU) 2016/679.

(79) Zijn er geen adequaatheidsbepalingen vastgesteld, dan kunnen internationale doorgiften plaatsvinden wanneer de verwerkingsverantwoordelijke of verwerker heeft voorzien in passende waarborgen in overeenstemming met artikel 46 van de UK GDPR. Deze waarborgen zijn vergelijkbaar met de waarborgen van artikel 46 van Verordening (EU) 2016/679. Zij omvatten juridisch bindende en afdwingbare instrumenten tussen overheidsinstanties of -organen, bindende bedrijfsvoorschriften (75), standaardbepalingen inzake gegevensbescherming, goedgekeurde gedragscodes, goedgekeurde certificeringsmechanismen en, onder voorbehoud van toestemming van de Information Commissioner, contractbepalingen tussen verwerkingsverantwoordelijken (of verwerkers) of administratieve regelingen tussen overheidsinstanties. De regels zijn, wat de procedurele aspecten betreft, echter gewijzigd om ze aan te passen aan het kader van het Verenigd Koninkrijk: de standaardbepalingen inzake gegevensbescherming kunnen in overeenstemming met de DPA 2018 worden vastgesteld door de Secretary of State (artikel 17C) of de Information Commissioner (artikel 119A).

(80) Indien adequaatheidsbepalingen of passende waarborgen ontbreken, kan een doorgifte slechts plaatsvinden op basis van afwijkingen zoals vastgesteld in artikel 49 van de UK GDPR (76). De afwijkingen zijn in vergelijking met de regels van de desbetreffende artikelen van Verordening (EU) 2016/679 niet in wezenlijke mate gewijzigd in de UK GDPR. Op grond van de UK GDPR kunnen bepaalde afwijkingen, net zoals op grond van Verordening (EU) 2016/679, slechts worden gebruikt wanneer de doorgifte incidenteel is (77). Het ICO heeft in zijn richtsnoeren over internationale doorgiften bovendien verduidelijkt dat: deze afwijkingen alleen mogen worden gebruikt als echte uitzonderingen op de algemene regel dat een beperkte doorgifte niet dient te worden verricht, tenzij deze onder een adequaatheidsbesluit valt of in passende waarborgen is voorzien (78). Met betrekking tot doorgiften die wegens gewichtige redenen van algemeen belang (artikel 49, lid 1, punt d)) noodzakelijk zijn, kan de Secretary of State regelingen vaststellen om de omstandigheden te specificeren waarin een doorgifte van persoonsgegevens aan een derde land of internationale organisatie niet noodzakelijk is wegens gewichtige redenen van algemeen belang. De Secretary of State kan de doorgifte van een categorie persoonsgegevens aan een derde land of internationale organisatie bovendien door middel van een regeling beperken wanneer de doorgifte niet op basis van een adequaatheidsbepaling kan plaatsvinden en de Secretary of State van oordeel is dat de beperking noodzakelijk is wegens gewichtige redenen van algemeen belang. Dergelijke regelingen zijn tot nu toe niet vastgesteld.

(81) Dit kader voor internationale doorgiften is aan het einde van de overgangsperiode van toepassing geworden (79). In punt 4 van bijlage 21 bij de DPA van 2018 (ingevoerd bij de DPPEC Regulations) is echter bepaald dat bepaalde doorgiften van persoonsgegevens vanaf het einde van de overgangsperiode worden behandeld alsof zij zouden zijn gebaseerd op adequaatheidsbepalingen. Deze doorgiften omvatten doorgiften aan EER-landen, het territorium Gibraltar, een instelling, orgaan of instantie van de Unie, opgericht bij of krachtens het VEU, en derde landen die aan het einde van de overgangsperiode onder een adequaatheidsbesluit van de EU vielen. Doorgiften aan deze landen kunnen blijven plaatsvinden zoals vóór de terugtrekking van het Verenigd Koninkrijk uit de EU. Na de overgangsperiode moet de Secretary of State een evaluatie van deze adequaatheidsbevindingen uitvoeren gedurende een periode van vier jaar, dat wil zeggen vóór eind december 2024. Hoewel de Secretary of State vóór eind december 2024 een evaluatie moet uitvoeren, bevatten de overgangsbepalingen volgens de uitleg van de Britse autoriteiten geen beëindigingsbepaling en zal de geldigheid van de desbetreffende overgangsbepalingen niet eindigen wanneer er geen evaluatie is verricht vóór eind december 2024.

(82) Tot slot zal de Commissie met betrekking tot de toekomstige ontwikkeling van de Britse regeling inzake internationale doorgiften — door nieuwe adequaatheidsbepalingen aan te nemen, internationale overeenkomsten te sluiten of andere doorgiftemechanismen te ontwikkelen — de situatie van dichtbij volgen, beoordelen of de verschillende doorgiftemechanismen worden gebruikt op een manier die de continuïteit van de bescherming waarborgt, en, indien noodzakelijk, passende maatregelen nemen om mogelijke nadelige effecten op die continuïteit aan te pakken (zie de overwegingen (278) tot en met (287)). Aangezien de EU en het Verenigd Koninkrijk gelijksoortige voorschriften voor internationale doorgiften hanteren, zouden problematische verschillen naar verwachting ook kunnen worden vermeden door middel van samenwerking en de uitwisseling van informatie en ervaringen, onder andere tussen de Information Commissioner en het EDPB.

2.5.8 Verantwoordingsplicht

(83) Volgens het verantwoordingsbeginsel moeten entiteiten die gegevens verwerken passende technische en organisatorische maatregelen nemen om doeltreffend hun verplichtingen inzake gegevensbescherming te kunnen naleven, en moeten zij de naleving daarvan kunnen aantonen, in het bijzonder ten overstaan van de bevoegde toezichthoudende autoriteit.

(84) Het verantwoordingsbeginsel waarin is voorzien in Verordening (EU) 2016/679 is in artikel 5, lid 2, van de UK GDPR zonder wezenlijke wijzigingen gehandhaafd. Hetzelfde geldt voor artikel 24 inzake de verantwoordelijkheid van de verwerkingsverantwoordelijke, artikel 25 inzake gegevensbescherming door ontwerp en door standaardinstellingen en artikel 30 inzake het register van de verwerkingsactiviteiten. Ook de artikelen 35 en 36 inzake de gegevensbeschermingseffectbeoordeling en voorafgaande raadpleging van de toezichthoudende autoriteit zijn gehandhaafd. De artikelen 37 tot en met 39 van Verordening (EU) 2016/679 inzake de aanwijzing en de taken van de functionaris voor gegevensbescherming zijn ook zonder wezenlijke wijzigingen overgenomen in de UK GDPR. De bepalingen van de artikelen 40 en 42 van Verordening (EU) 2016/679 inzake gedragscodes en certificering zijn tevens gehandhaafd in de UK GDPR (80).

2.6 Toezicht en handhaving

2.6.1 Onafhankelijk toezicht

(85) Om ervoor te zorgen dat in de praktijk een passend niveau van bescherming van persoonsgegevens wordt gewaarborgd, moet er worden voorzien in een onafhankelijke toezichthoudende autoriteit met bevoegdheden tot monitoring en handhaving van de naleving van de gegevensbeschermingsvoorschriften. Deze autoriteit moet bij de uitvoering van haar taken en de uitoefening van haar bevoegdheden volledig onafhankelijk en onpartijdig handelen.

(86) In het Verenigd Koninkrijk worden het toezicht op en de handhaving van de naleving van de UK GDPR en de DPA 2018 uitgevoerd door de Information Commissioner. De Information Commissioner is een “enkele instantie”: een afzonderlijke rechtspersoon die wordt gevormd door één natuurlijke persoon. De werkzaamheden van de Information Commissioner worden ondersteund door een bureau. Op 31 maart 2020 had het bureau van de Information Commissioner 768 vaste personeelsleden (81). De Information Commissioner wordt gefinancierd door het Ministerie voor Digitale Zaken, Cultuur, Media en Sport (82).

(87) De onafhankelijkheid van de Commissioner is uitdrukkelijk vastgesteld in artikel 52 van de UK GDPR, dat niet wezenlijk is gewijzigd in vergelijking met artikel 52, leden 1 tot en met 3 van de AVG. De Commissioner moet bij de uitvoering van zijn taken en de uitoefening van zijn bevoegdheden overeenkomstig de UK GDPR volledig onafhankelijk optreden en vrij blijven van al dan niet rechtstreekse externe invloed in verband met deze taken en bevoegdheden en mag van niemand instructies vragen of aanvaarden. De Commissioner dient zich te onthouden van handelingen die onverenigbaar zijn met zijn taken en mag gedurende zijn ambtstermijn geen al dan niet bezoldigde beroepswerkzaamheden verrichten die onverenigbaar zijn met zijn taken.

(88) De voorwaarden voor de benoeming en het ontslag van de Information Commissioner zijn vervat in bijlage 12 bij de DPA 2018. De Information Commissioner wordt benoemd door Hare Majesteit op voordracht van de regering aan de hand van een eerlijke en open concurrentieprocedure. De kandidaat moet beschikken over passende kwalificaties, vaardigheden en competenties. In overeenstemming met de Governance Code on Public Appointments (83) (de Britse governancecode voor benoemingen in overheidsfuncties) stelt een adviespanel een lijst van geschikte kandidaten op. Voordat de Secretary of State van het Ministerie van Digitale Zaken, Cultuur, Media en Sport een definitief besluit neemt, moet de desbetreffende beperkte commissie van het parlement voorafgaand aan de benoeming een onderzoek uitvoeren. Het standpunt van de commissie wordt openbaar gemaakt (84).

(89) De Information Commissioner wordt voor een termijn van zeven jaar benoemd. Een persoon kan slechts éénmaal tot Information Commissioner worden benoemd. De Information Commissioner kan door Hare Majesteit naar aanleiding van een address van beide kamers van het parlement worden ontslagen (85). Een verzoek om ontslag van de Information Commissioner kan slechts worden voorgelegd aan een kamer van het parlement wanneer een minister een verslag heeft gepresenteerd waarin hij verklaart dat hij het bewezen acht dat de Information Commissioner zich schuldig heeft gemaakt aan ernstig wangedrag en/of niet langer voldoet aan de voorwaarden die vereist zijn voor de uitoefening van diens taken (86).

(90) De financiering van de Information Commissioner is afkomstig uit drie bronnen: i) bijdragen voor gegevensbescherming die door verwerkingsverantwoordelijken worden betaald en die zijn vastgesteld in de regelingen van de Secretary of State (87) (de Data Protection (Charges and Information) Regulations 2018 (de Britse regelingen gegevensbescherming (bijdragen en informatie) van 2018)), en die goed zijn voor 85 tot 90 % van de jaarlijkse begroting van het bureau (88); ii) subsidies die door de regering worden betaald aan de Information Commissioner. Subsidies worden voornamelijk gebruikt om de bedrijfskosten van de Information Commissioner te financieren met betrekking tot taken die geen verband houden met gegevensbescherming (89); en iii) vergoedingen die voor diensten in rekening worden gebracht (90). Dergelijke vergoedingen worden momenteel niet in rekening gebracht.

(91) De algemene taken van de Information Commissioner in verband met de verwerking van persoonsgegevens die vallen onder de UK GDPR zijn vastgesteld in artikel 57 van de UK GDPR en zijn bijna gelijk aan de dienovereenkomstige regels van Verordening (EU) 2016/679. Tot zijn taken behoren de monitoring en handhaving van de UK GDPR, de bevordering van de bekendheid bij het brede publiek, de behandeling van klachten van betrokkenen, de verrichting van onderzoeken enz. Daarnaast zijn in artikel 115 van de DPA 2018 andere algemene taken van de Commissioner uiteengezet, waaronder een verplichting om advies te verlenen aan het parlement, de regering en andere instellingen en organen over wetgevingsinitiatieven en bestuursmaatregelen in verband met de bescherming van de rechten en vrijheden van personen op het gebied van de verwerking van persoonsgegevens, en een bevoegdheid om op eigen initiatief of op verzoek advies uit te brengen aan het parlement, de regering of andere instellingen en organen, alsmede het publiek, over kwesties in verband met de bescherming van persoonsgegevens. Om de onafhankelijkheid van de rechterlijke macht te handhaven, mag de Information Commissioner zijn taken niet uitoefenen in verband met de verwerking van persoonsgegevens van een persoon die optreedt in een rechterlijke hoedanigheid of een rechter of administratieve rechtbank die optreedt in zijn rechterlijke hoedanigheid. Het toezicht op de rechterlijke macht wordt echter gewaarborgd door gespecialiseerde organen (zie de overwegingen (99) tot en met (103)).

2.6.2 Handhaving, met inbegrip van sancties

(92) De bevoegdheden van de Information Commissioner zijn uiteengezet in artikel 58 van de UK GDPR, waarin geen wezenlijke wijzigingen zijn aangebracht ten opzichte van het overeenkomstige artikel van Verordening (EU) 2016/679. In de DPA 2018 zijn aanvullende regels vastgesteld over de manier waarop deze bevoegdheden kunnen worden uitgeoefend. De Commissioner heeft met name de bevoegdheid om: a) de verwerkingsverantwoordelijke en de verwerker (en, in bepaalde omstandigheden, een andere persoon) te gelasten de vereiste informatie te verstrekken door middel van een aanzegging tot informatie (“aanzegging tot informatie”) (91); b) onderzoeken en controles te verrichten in de vorm van een aanzegging tot beoordeling, waarin de verwerkingsverantwoordelijke of verwerker kan worden gelast de Commissioner toegang te verlenen tot gespecificeerde bedrijfsruimten om documenten of uitrusting te inspecteren of onderzoeken, personen te interviewen die namens de verwerkingsverantwoordelijke persoonsgegevens verwerken enz. (“aanzegging tot beoordeling”) (92); c) anderszins toegang te verkrijgen tot documenten enz. van verwerkingsverantwoordelijken en verwerkers, evenals toegang tot hun bedrijfsruimten in overeenstemming met artikel 154 van de DPA 2018 (“toegangs- en inspectiebevoegdheden”); d) zijn corrigerende bevoegdheden uit te oefenen, onder meer door middel van waarschuwingen en berispingen, of opdrachten te geven aan de hand van een sommatie tot nakoming, waarmee verwerkingsverantwoordelijken/verwerkers worden gelast genoemde stappen te nemen of hiervan af te zien, waaronder het gelasten van de verwerkingsverantwoordelijke of verwerker om handelingen uit te voeren die zijn gespecificeerd in artikel 58, lid 2, punten c) tot en met g) en j), van de UK GDPR (“sommatie tot nakoming”) (93); en e) administratieve sancties op de leggen in de vorm van een sanctiebeschikking (“sanctiebeschikking”) (94). Deze laatste kan ook worden opgelegd indien een overheidsinstantie de UK GDPR niet heeft nageleefd (95).

(93) In het Regulatory Action Policy (beleid voor regelgevend optreden) van de Information Commissioner zijn de omstandigheden uiteengezet waarin deze een aanzegging tot informatie, beoordeling, sommatie tot nakoming of sanctiebeschikking vaststelt (96). Met een sommatie tot nakoming die wordt gedaan als reactie op nalaten van een verwerkingsverantwoordelijke of verwerker mogen alleen vereisten worden opgelegd die de Commissioner passend acht om het nalaten te verhelpen. Sommaties tot nakoming en sanctiebeschikkingen mogen aan een verwerkingsverantwoordelijke of verwerker worden afgegeven in verband met inbreuken op hoofdstuk II van de UK GDPR (beginselen inzake verwerking), de artikelen 12 tot en met 22 (rechten van de betrokkene), de artikelen 25 tot en met 39 (verplichtingen van verwerkingsverantwoordelijken en verwerkers) en de artikelen 44 tot en met 49 (internationale doorgiften) van de UK GDPR. Een sommatie tot nakoming kan ook worden afgegeven wanneer een verwerkingsverantwoordelijke de vereiste niet naleeft om een bijdrage te betalen zoals neergelegd in regelingen die op grond van artikel 137 van de DPA 2018 zijn vastgesteld. Er kan daarnaast een sommatie tot nakoming worden afgegeven aan een toezichthoudende autoriteit, zoals bedoeld in artikel 41, of een verlener van certificeringen indien zij hun verplichtingen uit hoofde van de UK GDPR niet nakomen. Een sanctiebeschikking kan ook worden afgegeven aan een persoon die niet heeft voldaan aan een aanzegging tot informatie of beoordeling of een sommatie tot nakoming.

(94) In het geval van een sanctiebeschikking wordt vereist dat de persoon de Information Commissioner een in de beschikking gespecificeerd bedrag betaalt. Bij het bepalen of een sanctiebeschikking aan een persoon moet worden afgegeven en bij het bepalen van de hoogte van de sanctie, moet de Information Commissioner rekening houden met de kwesties die zijn opgenomen in artikel 83, leden 1 en 2, van de UK GDPR, die identiek zijn aan de overeenkomstige regels van Verordening (EU) nr. 2016/679 (97). Overeenkomstig artikel 83, leden 4 en 5, zijn de maximumbedragen van administratieve geldboeten wegens niet-nakoming van de in die bepalingen bedoelde verplichtingen respectievelijk 8 700 000 GBP en 17 500 000 GBP. Betreft het een onderneming, dan kan de Information Commissioner ook geldboeten opleggen als percentage van de wereldwijde jaaromzet, indien deze hoger is. Net zoals in de gelijkwaardige bepalingen van Verordening (EU) 2016/679 zijn deze bedragen vastgesteld op 2 en 4 % in artikel 83, leden 4 en 5. Bij niet-naleving van een aanzegging tot informatie of beoordeling of een sommatie tot nakoming is het maximumbedrag van de sanctie die kan worden opgelegd 17 500 000 GBP of, in het geval van een onderneming, 4 % van de wereldwijde jaaromzet, indien dit cijfer hoger is.

(95) De UK GDPR en de DPA 2018 versterken ook de overige bevoegdheden van de Information Commissioner. De Commissioner kan nu bijvoorbeeld verplichte controles uitvoeren in verband met alle verwerkingsverantwoordelijken en verwerkers aan de hand van aanzeggingen tot beoordeling, terwijl de Commissioner op grond van de eerdere wetgeving, de Data Protection Act 1998, deze bevoegdheid slechts had met betrekking tot organisaties van de centrale overheid en op het gebied van gezondheid en overige organisaties moesten instemmen met een controle.

(96) Sinds de invoering van Verordening (EU) 2016/679 behandelt het ICO jaarlijks ongeveer 40 000 klachten van betrokkenen (98) en voert het daarnaast ambtshalve ongeveer 2 000 onderzoeken (99) uit. De meeste klachten hebben betrekking op het recht van inzage en het recht op mededeling van gegevens. Naar aanleiding van zijn onderzoeken neemt de Commissioner handhavingsmaatregelen in een brede reeks sectoren. Meer specifiek heeft de Information Commissioner volgens zijn meest recente jaarverslag (2019-2020) (100) tijdens de verslagperiode 54 aanzeggingen tot informatie, 8 aanzeggingen tot beoordeling, 7 sommaties tot nakoming, 4 waarschuwingen, 8 vervolgingen en 15 geldboetes opgelegd (101).

(97) Dit omvatte enkele aanzienlijke financiële sancties die op grond van Verordening (EU) 2016/679 en de DPA 2018 werden opgelegd. De Information Commissioner legde in het bijzonder in oktober 2020 een boete van 20 miljoen GBP op aan een Britse luchtvaartmaatschappij voor een inbreuk op gegevens die gevolgen had voor meer dan 400 000 klanten. Eind oktober 2020 werd een geldboete van 18,4 miljoen GBP opgelegd aan een internationale hotelketen omdat deze de persoonsgegevens van miljoenen klanten niet had beveiligd en in november 2020 werd een geldboete van 1,25 miljoen GBP opgelegd aan een Britse dienstverlener die online tickets voor evenementen verkocht omdat deze de betalingsgegevens van klanten niet had beschermd (102).

(98) Naast de in overweging (92) beschreven handhavingsbevoegdheden van de Information Commissioner, vormen bepaalde schendingen van de wetgeving betreffende gegevensbescherming strafbare feiten en kunnen hiervoor derhalve strafrechtelijke sancties worden opgelegd (artikel 196 van de DPA 2018). Dit geldt bijvoorbeeld voor het opzettelijk of door onachtzaamheid verkrijgen of meedelen van persoonsgegevens zonder de toestemming van de verwerkingsverantwoordelijke (103), het bewerkstelligen van de bekendmaking van persoonsgegevens aan een andere persoon zonder toestemming van de verwerkingsverantwoordelijke, het ongedaan maken van de anonimisering van persoonsgegevens (104) zonder toestemming van de verwerkingsverantwoordelijke die hiervoor verantwoordelijk is, het opzettelijk belemmeren van de bevoegdheid van de Commissioner om zijn bevoegdheden uit te oefenen in verband met de inspectie van persoonsgegevens in overeenstemming met internationale verplichtingen (105), het afleggen van valse verklaringen in reactie op een aanzegging tot informatie of het vernietigen van informatie in verband met aanzeggingen tot informatie en beoordeling (106).

2.6.3 Toezicht op de rechterlijke macht

(99) Het toezicht op de verwerking van persoonsgegevens door rechters en de rechtelijke macht is tweeledig. Wanneer gerechtsambtenaren of rechters niet optreden in een rechterlijke hoedanigheid, wordt het toezicht verricht door het ICO. Wanneer de verwerkingsverantwoordelijke optreedt in een rechterlijke hoedanigheid, kan het ICO zijn toezichtstaken (107) niet uitoefenen en wordt het toezicht verricht door speciale organen. Hiermee wordt de benadering van Verordening (EU) 2016/679 (artikel 55, lid 3) gevolgd.

(100) In het tweede scenario wordt dit toezicht op de rechters van Engeland en Wales en de First-tier en Upper Tribunals (administratieve rechtbanken van eerste aanleg en hogere administratieve rechtbanken) van Engeland en Wales uitgeoefend door het Judicial Data Protection Panel (gerechtelijk panel voor gegevensbescherming) (108). Daarnaast hebben de Lord Chief Justice (hoogste rechter) en de Senior President of Tribunals (eerste voorzitter van de administratieve rechtbanken) een privacyverklaring (109) bekendgemaakt, waarin uiteen is gezet hoe de rechters in Engeland en Wales persoonsgegevens verwerken voor de uitoefening van gerechtelijke taken. De Noord-Ierse (110) en Schotse rechterlijke macht (111) hebben een vergelijkbare verklaring afgegeven.

(101) In Noord-Ierland heeft de Lord Chief Justice van Noord-Ierland bovendien een rechter van de High Court aangewezen als Data Supervisory Judge (rechter voor gegevenstoezicht, hierna “DSJ” genoemd) (112). Hij heeft voor de Noord-Ierse rechterlijke macht ook richtsnoeren uitgevaardigd voor wat er moet worden gedaan in het geval dat gegevens verloren gaan of mogelijk verloren gaan en voor het omgaan met problemen die hieruit voortvloeien (113).

(102) In Schotland heeft de Lord President een DSJ aangewezen voor het onderzoeken van klachten op grond van de gegevensbescherming. Dit is uiteengezet in de regels betreffende gerechtelijke klachten, die overeenkomen met de regels die voor Engeland en Wales zijn vastgesteld (114).

(103) Tot slot wordt binnen de Supreme Court (hoogste Britse rechterlijke instantie) een van de rechters van de Supreme Court aangewezen om toezicht te houden op de gegevensbescherming.

2.6.4 Verhaalmogelijkheden

(104) Om een passende bescherming en vooral handhaving van individuele rechten te waarborgen, moeten aan de betrokkene doeltreffende administratieve en gerechtelijke rechtsmiddelen worden toegekend, met inbegrip van een recht op schadeloosstelling.

(105) Ten eerste hebben betrokkenen het recht om een klacht in te dienen bij de Information Commissioner wanneer zij van mening zijn dat sprake is van een inbreuk op de UK GDPR (115) in verband met persoonsgegevens die hen betreffen. In de UK GDPR zijn de regels van artikel 77 van Verordening (EU) 2016/679 inzake dat recht zonder wezenlijke wijzigingen overgenomen. Hetzelfde geldt voor artikel 57, lid 1, punt f), en artikel 57, lid 2, waarin de taken van de Commissioner in verband met de behandeling van klachten zijn vastgesteld. Zoals beschreven in de overwegingen (92) tot en met (98), is de Information Commissioner bevoegd om de naleving van de UK GDPR en de DPA 2018 door de verwerkingsverantwoordelijke en de verwerker te beoordelen, om hen te gelasten in het geval van niet-naleving de noodzakelijke stappen te nemen of hiervan af te zien en om geldboetes op te leggen.

(106) Ten tweede bieden de UK GDPR en de DPA 2018 het recht om een voorziening in rechte in te stellen tegen de Information Commissioner. Overeenkomstig artikel 78, lid 1, van de UK GDPR hebben personen het recht om een doeltreffende voorziening in rechte in te stellen tegen een hen betreffend juridisch bindend besluit van de Commissioner. In het kader van de rechterlijke toetsing onderzoekt de rechter het besluit dat in de vordering wordt aangevochten en stelt hij vast of de Information Commissioner rechtmatig heeft gehandeld. De klager heeft op grond van artikel 78, lid 2, van de UK GDPR bovendien recht om een voorziening in rechte in te stellen wanneer de Commissioner een klacht van de betrokkene niet naar behoren behandelt (116). De klager kan een procedure instellen bij een First Tier Tribunal om de Commissioner te gelasten de passende maatregelen te nemen om op de klacht te reageren of de klager te informeren over de voortgang ten aanzien van de ingediende klacht (117). Daarnaast kan een persoon die een van de bovengenoemde kennisgevingen (aanzegging tot informatie, beoordeling, sommatie tot nakoming of sanctiebeschikking) van de Commissioner ontvangt, beroep aantekenen bij een First Tier Tribunal (118). Als het Tribunal oordeelt dat het besluit van de Commissioner niet in overeenstemming is met de wet of dat de Information Commissioner zijn bevoegdheid op een andere wijze had moeten uitoefenen, moet het Tribunal het ingestelde beroep toestaan of de aanzegging/sommatie/beschikking of het besluit vervangen door een andere aanzegging/sommatie/beschikking of een ander besluit die/dat door de Information Commissioner had kunnen worden afgegeven of genomen.

(107) Ten derde kunnen personen op grond van artikel 79 van de UK GDPR en artikel 167 van de DPA 2018 rechtstreeks voor de rechter een voorziening in rechte instellen tegen verwerkingsverantwoordelijken en verwerkers. Als een rechter het met betrekking tot een verzoek van een betrokkene bewezen acht dat er sprake is geweest van een inbreuk op de rechten van de betrokkene op grond van de wetgeving betreffende gegevensbescherming, kan de rechter de verwerkingsverantwoordelijke, of een verwerker die namens die verwerkingsverantwoordelijke optreedt, met betrekking tot de verwerking gelasten de in het bevel genoemde stappen te nemen of af te zien van de in het bevel genoemde stappen.

(108) Een persoon die materiële of immateriële schade heeft geleden als gevolg van een inbreuk op de UK GDPR, heeft bovendien op grond van artikel 82 UK GDPR en artikel 168 van de DPA 2018 recht op een vergoeding van de verwerkingsverantwoordelijke of de verwerker voor de geleden schade. De regels inzake de vergoeding en aansprakelijkheid van artikel 82, leden 1 tot en met 5, van de UK GDPR zijn identiek aan de overeenkomstige regels van Verordening (EU) 2016/679. Op grond van artikel 168 van de DPA 2018 valt nood ook onder immateriële schade. Op grond van artikel 80 van de UK GDPR heeft de betrokkene ook een recht om een vertegenwoordigend orgaan of vertegenwoordigende organisatie opdracht te geven de klacht namens hem in te dienen bij de Commissioner (op grond van artikel 77 van de UK GDPR) en om de in de artikelen 78 (recht om een doeltreffende voorziening in rechte in te stellen tegen de Commissioner), 79 (recht om een doeltreffende voorziening in rechte in te stellen tegen een verwerkingsverantwoordelijke of verwerker) en 82 (recht op schadevergoeding en aansprakelijkheid) van de UK GDPR namens hem uit te oefenen.

(109) Ten vierde kunnen personen die van mening zijn dat hun rechten, met inbegrip van het recht op privacy en gegevensbescherming, door overheidsinstanties zijn geschonden niet alleen middels een hierboven genoemde voorziening in rechte, maar ook voor de Britse rechter op grond van de Human Right Act 1998 (119) een schadeloosstelling verkrijgen. Een persoon die stelt dat een overheidsinstantie op een wijze heeft gehandeld (of voorstelt te handelen) die onverenigbaar is met een verdragsrecht en die dienovereenkomstig onrechtmatig is op grond van artikel 6, lid 1, van de Human Rights Act 1998, kan een procedure tegen de instantie instellen bij de passende rechter of administratieve rechtbank of de desbetreffende rechten in een juridische procedure inroepen wanneer hij het slachtoffer is (of zou zijn) van de onrechtmatige handeling.

(110) Indien de rechter oordeelt dat een handeling van een overheidsinstantie onrechtmatig is, kent hij, binnen zijn bevoegdheden en zoals hij billijk en passend acht, een dergelijke schadeloosstelling of voorziening toe of geeft hij hiertoe opdracht (120). De rechter kan ook een bepaling van de primaire wetgeving onverenigbaar verklaren met een verdragsrecht.

(111) Tot slot kan een persoon, nadat alle nationale rechtsmiddelen zijn uitgeput, een voorziening instellen bij het Europees Hof voor de Rechten van de Mens in verband met schendingen van de rechten die door het Europees Verdrag voor de rechten van de mens worden gewaarborgd.

3. TOEGANG TOT EN GEBRUIK VAN UIT DE EUROPESE UNIE DOORGEGEVEN PERSOONSGEGEVENS DOOR OVERHEIDSINSTANTIES IN HET VERENIGD KONINKRIJK

(112) De Commissie heeft ook het rechtskader van het Verenigd Koninkrijk beoordeeld inzake de verzameling en het daaropvolgende gebruik van persoonsgegevens die door Britse overheidsinstanties in het algemeen belang, met name de handhaving van het strafrecht en nationale veiligheid, worden doorgegeven aan bedrijfsexploitanten in het Verenigd Koninkrijk (hierna “overheidstoegang” genoemd). Bij de beoordeling van de vraag of de voorwaarden waaronder overheidstoegang tot gegevens die op grond van dit besluit aan het Verenigd Koninkrijk worden doorgegeven “in feite overeenkomend” zijn met artikel 45, lid 1, van Verordening (EU) 2016/679 (de “AVG”), zoals uitgelegd door het Hof van Justitie van de Europese Unie (het “HvJ-EU”) in het licht van het Handvest van de grondrechten, heeft de Commissie met name rekening gehouden met de volgende criteria.

(113) Ten eerste moet elke beperking van het recht op bescherming van persoonsgegevens bij wet worden geregeld en moet de rechtsgrondslag die de aantasting van een dergelijk recht mogelijk maakt, zelf de reikwijdte van de beperking op de uitoefening van het betrokken recht bepalen (121).

(114) Ten tweede moet, om te voldoen aan het evenredigheidsvereiste, dat inhoudt dat afwijkingen en beperkingen van de bescherming van persoonsgegevens slechts van toepassing mogen zijn voor zover zulks in een democratische samenleving strikt noodzakelijk is om specifieke doelstellingen van algemeen belang te verwezenlijken die gelijkwaardig zijn aan die welke door de Unie worden erkend, de wetgeving van het betrokken derde land die de inmenging toestaat, duidelijke en nauwkeurige regels betreffende de werkingssfeer en de toepassing van de betrokken maatregelen vaststellen en minimumwaarborgen opleggen, opdat de personen wier gegevens zijn doorgegeven, over voldoende waarborgen beschikken om hun persoonsgegevens doeltreffend te beschermen tegen het risico van misbruik (122) De wetgeving moet met name aangeven in welke omstandigheden en onder welke voorwaarden een maatregel kan worden genomen (123) die voorziet in de verwerking van dergelijke gegevens, en moet de naleving van dergelijke vereisten aan onafhankelijk toezicht onderwerpen (124).

(115) Ten derde moet die wetgeving volgens het nationale recht juridisch bindend zijn en moeten die wettelijke voorschriften niet alleen bindend zijn voor de autoriteiten, maar ook voor de rechterlijke instantie afdwingbaar zijn tegenover de autoriteiten van het betrokken derde land (125). Betrokkenen moeten met name de mogelijkheid hebben een rechtsvordering in te stellen bij een onafhankelijke en onpartijdige rechterlijke instantie om inzage te krijgen in hun persoonsgegevens of om deze gegevens te laten corrigeren of wissen (126).

3.1 Algemeen rechtskader

(116) Als bevoegdheidsuitoefening door een overheidsinstantie moet overheidstoegang in het Verenigd Koninkrijk plaatsvinden met volledige inachtneming van de wet. Het Verenigd Koninkrijk heeft het Europees Verdrag tot bescherming van de rechten van de mens geratificeerd (zie overweging (9)) en alle Britse overheidsinstanties zijn verplicht te handelen in overeenstemming met dat verdrag (127). Artikel 8 van het verdrag bepaalt dat inmenging in de persoonlijke levenssfeer in overeenstemming moet zijn met de wet, in het belang van een van de in artikel 8, lid 2, genoemde doelstellingen, en evenredig moet zijn in het licht van die doelstelling. Artikel 8 vereist ook dat de inmenging “voorzienbaar” is, d.w.z. een duidelijke, toegankelijke grondslag in de wet heeft, en dat de wet passende waarborgen bevat om misbruik te voorkomen.

(117) Bovendien heeft het Europees Hof voor de Rechten van de Mens in zijn rechtspraak gespecificeerd dat elke aantasting van het recht op privacy en gegevensbescherming onderworpen moet zijn aan een doeltreffend, onafhankelijk en onpartijdig toezichtsysteem, dat ofwel door een rechter, ofwel door een ander onafhankelijk orgaan (128) (bijvoorbeeld een administratieve autoriteit of een parlementair orgaan) moet worden ingesteld.

(118) Bovendien moeten personen over een doeltreffend rechtsmiddel beschikken, en het Europees Hof voor de Rechten van de Mens heeft verduidelijkt dat dit rechtsmiddel moet worden geboden door een onafhankelijk en onpartijdig orgaan dat zijn eigen reglement van orde heeft vastgesteld, dat bestaat uit leden die een hoge rechterlijke functie bekleden of hebben bekleed of ervaren advocaten zijn, en dat er geen bewijslast mag zijn die moet worden overwonnen om een verzoek bij het Europees Hof voor de Rechten van de Mens in te dienen. Bij het onderzoek van klachten van individuen moet het onafhankelijke en onpartijdige orgaan toegang hebben tot alle relevante informatie, met inbegrip van vertrouwelijk materiaal. Ten slotte moet het de bevoegdheid hebben om niet-naleving te corrigeren (129).

(119) Het Verenigd Koninkrijk heeft ook het Verdrag van de Raad van Europa tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens (ETS nr. 108, “Verdrag 108”) geratificeerd, en heeft in 2018 het Protocol tot wijziging van het Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens (bekend als ETS nr. 108+, “Verdrag 108+”) ondertekend (130). Artikel 9 van Verdrag 108 bepaalt dat afwijkingen van de algemene beginselen inzake gegevensbescherming (artikel 5, Hoedanigheid van de gegevens), van de voorschriften betreffende bijzondere categorieën gegevens (artikel 6, Bijzondere categorieën gegevens) en van de rechten van de betrokkene (artikel 8, Bijkomende waarborgen voor de betrokkene) alleen zijn toegestaan wanneer de wetgeving van de partij in een dergelijke afwijking voorziet en het gaat om een maatregel die in een democratische samenleving noodzakelijk is ter bescherming van de staatsveiligheid, de openbare veiligheid of de monetaire belangen van de staat, ter bestrijding van strafbare feiten, of ter bescherming van de betrokkene of van de rechten en vrijheden van anderen (131).

(120) Door zijn lidmaatschap van de Raad van Europa, zijn toetreding tot het Europees Verdrag tot bescherming van de rechten van de mens en zijn onderwerping aan de jurisdictie van het EHRM, is het Verenigd Koninkrijk derhalve onderworpen aan een aantal in het internationaal recht verankerde verplichtingen, die zijn systeem van overheidstoegang inkaderen op basis van beginselen, waarborgen en individuele rechten die vergelijkbaar zijn met die welke door het EU-recht worden gewaarborgd en op de lidstaten van toepassing zijn. Zoals in overweging (19) wordt benadrukt, is de blijvende naleving van dergelijke instrumenten dan ook een bijzonder belangrijk element van de beoordeling waarop dit besluit is gebaseerd.

(121) Bovendien worden in de DPA 2018 specifieke waarborgen en rechten inzake gegevensbescherming gegarandeerd wanneer gegevens worden verwerkt door overheidsinstanties, met inbegrip van rechtshandhavingsinstanties en nationale veiligheidsdiensten.

(122) Met name is de regeling voor de verwerking van persoonsgegevens in het kader van de strafrechtelijke wetshandhaving opgenomen in deel 3 van de DPA 2018, die is vastgesteld ter omzetting van Richtlijn (EU) 2016/680. Deel 3 van de DPA 2018 is van toepassing op de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten of de uitvoering van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid (132).

(123) Het concept „bevoegde autoriteit”wordt in artikel 30 van de DPA gedefinieerd als een in bijlage 7 bij de DPA 2018 vermelde persoon alsook elke andere persoon, voor zover de persoon wettelijke taken uitoefent voor een van de rechtshandhavingsdoeleinden (133). Zoals hierboven uitgelegd (zie overweging (139)), mogen bepaalde bevoegde autoriteiten (zoals het National Crime Agency (Nationaal agentschap voor criminaliteitsbestrijding)) onder bepaalde voorwaarden gebruikmaken van de bevoegdheden uit hoofde van de Investigatory Powers Act 2016 (Wet op de onderzoeksbevoegdheden, IPA 2016). In dit geval zijn de waarborgen uit hoofde van de IPA 2016 van toepassing, naast de waarborgen van deel 3 van de DPA 2018. De inlichtingendiensten (Secret Intelligence Service, Security Service en de Government Communications Headquarters) zijn geen onder deel 3 van de DPA 2018 vallende “bevoegde autoriteiten” (134) en derhalve zijn de daarin vervatten voorschriften niet op hun activiteiten van toepassing. Een specifiek deel van de DPA 2018 (deel 4) behelst de verwerking van persoonsgegevens door inlichtingendiensten (zie voor meer details overweging (125)).

(124) Net als in Richtlijn (EU) 2016/680 worden in deel 3 van de DPA 2018 de beginselen van rechtmatigheid en behoorlijkheid (135), doelbinding (136), minimale gegevensverwerking (137), nauwkeurigheid (138), opslagbeperking (139) en gegevensbeveiliging (140) uiteengezet. De wetgeving legt specifieke transparantieverplichtingen (141) op en verleent personen het recht op inzage (142), rectificatie en wissing (143) en het recht om niet aan geautomatiseerde besluitvorming (144) te worden onderworpen. De bevoegde autoriteiten zijn ook verplicht gegevensbescherming door ontwerp en door standaardinstellingen toe te passen, een register van verwerkingsactiviteiten bij te houden en voor bepaalde verwerkingsactiviteiten een privacyeffectbeoordeling uit te voeren en de Information Commissioner vooraf te raadplegen (145). Krachtens artikel 56 van de DPA 2018 moeten zij de naleving aantonen. Bovendien moeten zij passende maatregelen nemen om de beveiliging van de verwerking (146) te waarborgen en gelden voor hen specifieke verplichtingen in geval van een inbreuk in verband met gegevens, waaronder kennisgeving van dergelijke inbreuken aan de Information Commissioner en de betrokkenen (147). Zoals tevens het geval is in Richtlijn (EU) 2016/680, is een verwerkingsverantwoordelijke (tenzij het gaat om een rechter of een andere rechterlijke instantie die in een justitiële hoedanigheid optreedt) verplicht om een functionaris voor gegevensbescherming (148) aan te wijzen, die de verwerkingsverantwoordelijke bijstaat bij het nakomen van zijn verplichtingen en bij het toezicht op die nakoming (149). Bovendien stelt de wetgeving specifieke eisen aan de internationale doorgifte van persoonsgegevens voor rechtshandhavingsdoeleinden aan derde landen of internationale organisaties, teneinde de continuïteit van de bescherming te waarborgen (150). Op dezelfde datum als dit besluit heeft de Commissie een adequaatheidsbesluit [vastgesteld] op grond van artikel 36, lid 3, van Richtlijn (EU) 2016/680, waarin wordt bepaald dat de gegevensbeschermingsregeling die van toepassing is op de verwerking door de Britse strafrechtelijke wetshandhavingsinstanties een beschermingsniveau waarborgt dat in feite overeenkomend is met het niveau dat door Richtlijn (EU) 2016/680 wordt gewaarborgd.

(125) Deel 4 van de DPA 2018 is van toepassing op alle verwerking door of namens de inlichtingendiensten. Het beschrijft met name de belangrijkste beginselen inzake gegevensbescherming (rechtmatigheid, behoorlijkheid en trans