Beschikking van de Commissie

van 26 juli 2000

overeenkomstig Richtlijn 95/46/EG van het Europees Parlement en de Raad, betreffende de gepastheid van de bescherming geboden door de Veiligehavenbeginselen voor de bescherming van de persoonlijke levenssfeer en de daarmee verband houdende Vaak gestelde vragen, die door het ministerie van Handel van de Verenigde Staten zijn gepubliceerd

(Kennisgeving geschied onder nummer C(2000) 2441)

(Voor de EER relevante tekst)

(2000/520/EG)

DE COMMISSIE VAN DE EUROPESE GEMEENSCHAPPEN,

Gelet op het Verdrag tot oprichting van de Europese Gemeenschap,

Gelet op Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens(1), inzonderheid op artikel 25, lid 6,

Overwegende hetgeen volgt:

(1) Overeenkomstig Richtlijn 95/46/EG moeten de lidstaten bepalen dat persoonsgegevens slechts naar een derde land mogen worden doorgegeven indien dat land een passend beschermingsniveau waarborgt en de wetgeving van de lidstaat die is vastgesteld ter uitvoering van de andere bepalingen van deze richtlijn al vóór de doorgifte wordt nageleefd.

(2) De Commissie kan vaststellen dat een derde land waarborgen voor een passend beschermingsniveau biedt. In dat geval kunnen persoonsgegevens zonder aanvullende garanties door de lidstaten worden doorgegeven.

(3) Overeenkomstig Richtlijn 95/46/EG dient het gegevensbeschermingsniveau te worden beoordeeld met inachtneming van alle omstandigheden waarin een gegevensdoorgifte of een categorie gegevensdoorgiften plaatsvindt en wordt in het bijzonder rekening gehouden met een aantal voorwaarden. De bij de richtlijn ingestelde Groep betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens(2) heeft richtsnoeren voor een dergelijke beoordeling vastgesteld(3).

(4) Gezien de verschillende benaderingen van gegevensbescherming in derde landen moeten de beoordeling van de gepastheid en besluiten op grond van artikel 25, lid 6, van Richtlijn 95/46/EG worden uitgevoerd op een wijze die geen willekeurige of onverantwoorde discriminatie tegen of tussen derde landen waar gelijksoortige voorwaarden gelden, noch een verkapte handelsbelemmering vormt, rekening houdend met de huidige internationale verbintenissen van de Gemeenschap.

(5) Het bij deze beschikking erkende passende beschermingsniveau voor de doorgifte van persoonsgegevens van de Gemeenschap naar de Verenigde Staten zou moeten worden bereikt indien organisaties voldoen aan de Veiligehavenbeginselen voor de bescherming van de persoonlijke levenssfeer (Safe Harbor Privacy Principles), hierna "de beginselen" genoemd, en de richtsnoeren van de tenuitvoerlegging van de beginselen, de Vaak gestelde vragen (Frequently Asked Questions), hierna "FAQ's" genoemd, die op 21 juli 2000 door het ministerie van Handel van de Verenigde Staten zijn gepubliceerd. Voorts zouden de organisaties hun beleid inzake de bescherming van de persoonlijke levenssfeer openbaar moeten maken en zich aan de rechtsbevoegdheid van de Federal Trade Commission (FTC) onderwerpen, overeenkomstig sectie 5 van de Federal Trade Commission Act waarin oneerlijke of misleidende handelingen of praktijken in of in verband met de handel worden verboden, dan wel aan die van een andere officiële instantie die de naleving van de overeenkomstig de FAQ's ten uitvoer gelegde beginselen daadwerkelijk garandeert.

(6) Sectoren en/of gegevensverwerking waarvoor niet een in bijlage VII van deze beschikking genoemde overheidsinstanties in de Verenigde Staten bevoegd is, dienen buiten het toepassingsgebied van deze beschikking te vallen.

(7) Voor een juiste toepassing van deze beschikking is het noodzakelijk dat de organisaties die de beginselen en de FAQ's onderschrijven, herkenbaar zijn voor de belanghebbende partijen, zoals de betrokkenen, degenen die gegevens naar het buitenland doorgeven en de gegevensbeschermingsautoriteiten. Hiertoe moet het ministerie van Handel van de Verenigde Staten of een door dit ministerie aangewezen instantie toezeggen een lijst bij te houden en ter beschikking te stellen van organisaties die door zelfcertificering de overeenkomstig de FAQ's ten uitvoer gelegde beginselen onderschrijven en die onder de rechtsbevoegdheid vallen van ten minste een van de in bijlage VII van deze beschikking genoemde overheidsinstanties.

(8) Ter wille van de doorzichtigheid en teneinde te garanderen dat de bevoegde autoriteiten in de lidstaten de personen wier persoonsgegevens worden verwerkt, kunnen beschermen, moet in deze beschikking worden aangegeven in welke buitengewone omstandigheden het gerechtvaardigd is specifieke gegevensstromen op te schorten, ook al is een passend beschermingsniveau vastgesteld.

(9) De door de beginselen en de FAQ's in het leven geroepen en door gevestigde mechanismen uit de overheids- en particuliere sector ondersteunde veilige haven vormt een innovatieve benadering, die eventueel moet worden herzien in het licht van de ervaring, de ontwikkelingen betreffende de bescherming van de persoonlijke levenssfeer in een situatie waarin de technologie de doorgifte en verwerking van persoonsgegevens steeds gemakkelijker maakt, en in het licht van rapporten van de betrokken met de rechtshandhaving belaste instanties over de uitvoering.

(10) De bij artikel 29 van de richtlijn opgerichte Groep betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens heeft over het beschermingsniveau dat door de Veiligehavenbeginselen in de Verenigde Staten wordt geboden, adviezen uitgebracht waarmee bij de voorbereiding van deze beschikking rekening is gehouden(4).

(11) De in deze beschikking vervatte maatregelen zijn in overeenstemming met het advies van het bij artikel 31 van Richtlijn 95/46/EG ingestelde comité,

HEEFT DE VOLGENDE BESCHIKKING GEGEVEN:

Artikel 1

1. Voor de toepassing van artikel 25, lid 2, van Richtlijn 95/46/EG geldt voor alle binnen de werkingssfeer van die richtlijn vallende activiteiten, dat de Veiligehavenbeginselen voor de bescherming van de persoonlijke levenssfeer, hierna "de beginselen" genoemd, zoals vermeld in bijlage I van deze beschikking, ten uitvoer gelegd overeenkomstig de richtsnoeren in de Vaak gestelde vragen, hierna "FAQ's" genoemd, zoals vermeld in bijlage II van de beschikking, die op 21 juli 2000 door het ministerie van Handel van de Verenigde Staten zijn gepubliceerd, worden geacht een passend beschermingsniveau te waarborgen voor de doorgifte van persoonsgegevens van de Gemeenschap naar in de Verenigde Staten gevestigde organisaties, een en ander gelet op de volgende, door het ministerie van Handel van de Verenigde Staten gepubliceerde documenten ten uitvoer gelegd volgens de ter uitvoering van die beginselen gegeven richtsnoeren:

a) een overzicht van de rechtshandhaving inzake de veilige haven, opgenomen in bijlage III;

b) een memorandum over schadevergoeding wegens inbreuken op de persoonlijke levenssfeer en uitdrukkelijke machtigingen in de wetgeving van de Verenigde Staten, opgenomen in bijlage IV;

c) een schrijven van de Federal Trade Commission, opgenomen in bijlage V;

d) een schrijven van het ministerie van Vervoer van de Verenigde Staten, opgenomen in bijlage VI.

2. Met betrekking tot elke doorgifte van gegevens moet aan de volgende voorwaarden zijn voldaan:

a) de organisatie die de gegevens ontvangt, heeft zich op eenduidige wijze en in het openbaar ertoe verbonden de beginselen die in overeenstemming met de FAQ's ten uitvoer worden gelegd, na te leven, en

b) de organisatie is onderworpen aan het wettelijk gezag van een in bijlage VII van deze beschikking vermelde overheidsinstantie in de Verenigde Staten die klachten kan onderzoeken en na oneerlijke en misleidende praktijken herstel kan verkrijgen alsmede schadeloosstelling voor natuurlijke personen, ongeacht het land van hun woonplaats of nationaliteit, indien de overeenkomstig de FAQ's ten uitvoer gelegde beginselen niet zijn nagekomen.

3. Elke organisatie die door zelfcertificering de overeenkomstig de FAQ's ten uitvoer gelegde beginselen onderschrijft, wordt geacht aan de in lid 2 gestelde voorwaarden te voldoen vanaf de datum waarop de organisatie het ministerie van Handel van de Verenigde Staten (of de door dit ministerie aangewezen instantie) in kennis stelt van de openbare bekendmaking van de in lid 2, onder a), bedoelde verbintenis, en van de identiteit van de in lid 2, onder b), bedoelde overheidsinstantie.

Artikel 2

Deze beschikking heeft alleen betrekking op de gepastheid van de bescherming die in de Verenigde Staten overeenkomstig de volgens de FAQ's ten uitvoer gelegde beginselen wordt geboden, teneinde aan de vereisten van artikel 25, lid 1, van Richtlijn 95/46/EG te voldoen en laat de toepassing van andere bepalingen van die richtlijn die op de verwerking van persoonsgegevens in de lidstaten betrekking hebben en met name van artikel 4, onverlet.

Artikel 3

1. Onverminderd hun bevoegdheden om maatregelen te nemen in verband met de naleving van nationale bepalingen die op grond van andere bepalingen dan artikel 25 van Richtlijn 95/46/EG zijn vastgesteld, kunnen de bevoegde autoriteiten in de lidstaten van hun bestaande bevoegdheden gebruikmaken om gegevensstromen naar een organisatie die door zelfcertificering de overeenkomstig de FAQ's ten uitvoer gelegde beginselen heeft onderschreven, op te schorten, teneinde personen ten aanzien van de verwerking van hun persoonsgegevens te beschermen, wanneer:

a) de in bijlage VII genoemde overheidsinstantie van de Verenigde Staten of een onafhankelijk verhaalmechanisme als bedoeld onder a) van het handhavingsbeginsel zoals vermeld in bijlage I van deze beschikking, tot de conclusie is gekomen dat de organisatie de overeenkomstig de FAQ's ten uitvoer gelegde beginselen schendt, of

b) het zeer waarschijnlijk is dat de beginselen worden geschonden; er redelijkerwijs kan worden aangenomen dat het desbetreffende handhavingsmechanisme niet tijdig passende maatregelen neemt of zal nemen om het betrokken probleem op te lossen; zich een risico voordoet dat de betrokkenen ernstige schade wordt toegebracht wanneer verder gegevens worden doorgegeven; en de bevoegde autoriteiten in de lidstaat zich naar omstandigheden redelijke inspanningen hebben getroost om de organisatie van het probleem in kennis te stellen en de gelegenheid te geven te reageren.

De opschorting wordt beëindigd zodra vaststaat dat de overeenkomstig de FAQ's ten uitvoer gelegde beginselen worden nageleefd en de bevoegde autoriteiten in de Gemeenschap hiervan in kennis zijn gesteld.

2. De lidstaten stellen de Commissie onverwijld in kennis wanneer op grond van lid 1 maatregelen worden genomen.

3. De lidstaten stellen de Commissie tevens in kennis van gevallen waarin instanties die voor de naleving van de overeenkomstig de FAQ's ten uitvoer gelegde beginselen in de Verenigde Staten verantwoordelijk zijn, verzuimen een dergelijke naleving te garanderen.

4. Wanneer uit de overeenkomstig de leden 1, 2 en 3 verzamelde informatie mocht blijken dat een instantie die verantwoordelijk is voor de naleving van de overeenkomstig de FAQ's ten uitvoer gelegde beginselen in de Verenigde Staten, haar taak niet naar behoren vervult, stelt de Commissie het ministerie van Handel van de Verenigde Staten hiervan in kennis en stelt zij zo nodig, in overeenstemming met de in artikel 31 van Richtlijn 95/46/EG vastgestelde procedure, ontwerp-maatregelen voor om deze beschikking in te trekken of op te schorten dan wel de werkingssfeer ervan te beperken.

Artikel 4

1. Deze beschikking kan te allen tijde worden aangepast in het licht van de bij de uitvoering ervan opgedane ervaringen en/of indien het door de beginselen en de FAQ's geboden beschermingsniveau door de in de wetgeving van de Verenigde Staten gestelde eisen wordt achterhaald.

In ieder geval evalueert de Commissie op basis van de beschikbare informatie de uitvoering van de beschikking drie jaar nadat de lidstaten ervan in kennis zijn gesteld, en deel zij alle relevante vaststellingen aan het bij artikel 31 van Richtlijn 95/46/EG ingestelde comité mee, inclusief alle gegevens die van invloed kunnen zijn op de overeenkomstig artikel 1 van deze beschikking gedane vaststelling dat het beschermingsniveau passend is in de zin van artikel 25 van Richtlijn 95/46/EG, alsmede alle gegevens waaruit blijkt dat deze beschikking op discriminerende wijze wordt uitgevoerd.

2. De Commissie legt zo nodig overeenkomstig de bij artikel 31 van Richtlijn 95/46/EG vastgestelde procedure een ontwerp van de te nemen maatregelen voor.

Artikel 5

De lidstaten nemen alle nodig maatregelen om uiterlijk negentig dagen na de kennisgeving ervan aan de lidstaten aan deze beschikking te voldoen.

Artikel 6

Deze beschikking is gericht tot de lidstaten.

Gedaan te Brussel, 26 juli 2000.

Voor de Commissie

Frederik Bolkestein

Lid van de Commissie

(1) PB L 281 van 23.11.1995, blz. 31.

(2) Het internetadres van de groep is: http://europa.eu.int/comm/internal_market/en/media/dataprot/wpdocs/index.htm.

(3) WP 12: Doorgifte van persoonsgegevens naar derde landen: toepassing van de artikelen 25 en 26 van de EU-richtlijn betreffende gegevensbescherming, goedgekeurd door de Groep op 24 juli 1998.

(4) WP 15: Advies 1/99 over het niveau van gegevensbescherming in de Verenigde Staten en het lopend overleg tussen de Europese Commissie en de regering van de Verenigde Staten.

WP 19: Advies 2/99 over het passend karakter van de "International Safe Harbor Principles" die op 19 april 1999 door het ministerie van Handel van de Verenigde Staten zijn gepubliceerd.

WP 21: Advies 4/99 over de door het ministerie van Handel van de Verenigde Staten te publiceren Vaak gestelde vragen (FAQ's) met betrekking tot de voorgestelde Veiligehavenbeginselen.

WP 23: Werkdocument over de huidige stand van de lopende beraadslagingen tussen de Europese Commissie en de regering van de Verenigde Staten betreffende de "Internationale veiligehavenbeginselen".

WP 27: Advies 7/99 over het niveau van gegevensbescherming dat door de Veiligehavenbeginselen wordt geboden, die samen met de Vaak gestelde vragen (FAQ's) en andere documenten op 15 en 16 november 1999 door het ministerie van Handel van de Verenigde Staten zijn gepubliceerd.

WP 31: Advies 3/2000 over de dialoog tussen de Europese Unie en de Verenigde Staten over de veiligehavenregeling.

WP 32: Advies 4/2000 over het beschermingsniveau van de Veiligehavenbeginselen.

BIJLAGE I

VEILIGEHAVENBEGINSELEN VOOR DE BESCHERMING VAN DE PERSOONLIJKE LEVENSSFEER

op 21 juli 2000 gepubliceerd door het ministerie van Handel van de Verenigde Staten

De wetgeving van de Europese Unie betreffende de bescherming van de persoonlijke levenssfeer, de gegevensbeschermingsrichtlijn ("de richtlijn"), is op 25 oktober 1998 in werking getreden. Volgens deze richtlijn mogen persoonsgegevens alleen naar niet-EU-lidstaten worden doorgegeven als deze een "passend" beschermingsniveau van de persoonlijke levenssfeer bieden. De Verenigde Staten en de Europese Unie streven beide naar een betere bescherming van de persoonlijke levenssfeer van hun burgers, maar de Verenigde Staten hebben een andere benadering daarvan dan de Europese Unie. De aanpak van de Verenigde Staten is sectoraal en gebaseerd op een combinatie van wetgeving, regulering en zelfregulering. Gezien deze verschillen is bij veel organisaties in de Verenigde Staten onduidelijkheid ontstaan over de gevolgen van de door de Europese Unie geëiste "norm voor een passend beschermingsniveau" voor de doorgifte van persoonsgegevens uit de Europese Unie naar de Verenigde Staten.

Om deze onduidelijkheid te verminderen en een beter voorspelbaar kader voor deze gegevensdoorgifte te bieden publiceert het ministerie van Handel dit document en de Vaak gestelde vragen (FAQ's) ("de beginselen") op grond van zijn wettelijke taak de internationale handel te bevorderen en te ontwikkelen. De beginselen zijn in samenspraak met het bedrijfsleven en het grote publiek opgesteld om de handel tussen de Verenigde Staten en de Europese Unie te vergemakkelijken. Ze zijn uitsluitend bedoeld om te worden gebruikt door organisaties in de Verenigde Staten die persoonsgegevens uit de Europese Unie ontvangen, om zo in aanmerking te komen voor de veilige haven en de hierdoor geboden veronderstelling van een "passend beschermingsniveau". Omdat de beginselen uitsluitend voor dit specifieke doel zijn ontworpen, kunnen ze voor andere doeleinden ongeschikt zijn. De beginselen kunnen de nationale bepalingen ter uitvoering van de richtlijn, die van toepassing zijn op de verwerking van persoonsgegevens in de lidstaten, niet vervangen.

Organisaties besluiten geheel vrijwillig of zij voor de veilige haven in aanmerking willen komen; zij kunnen dit op verschillende manieren doen. Organisaties die hiertoe besluiten, moeten de beginselen naleven om de voordelen van de veilige haven te krijgen en te behouden, en in het openbaar verklaren dat zij dit doen. Een organisatie die deelneemt aan een zelfreguleringsprogramma op het gebied van de bescherming van de persoonlijke levenssfeer dat de beginselen naleeft, komt er dan ook voor in aanmerking. Organisaties kunnen ook in aanmerking komen door een eigen zelfreguleringsbeleid terzake te ontwikkelen, dat zij met de beginselen in overeenstemming brengen. Indien een organisatie zich voor de naleving van de beginselen volledig of gedeeltelijk op zelfregulering baseert, maar de zelf vastgestelde regels niet naleeft, moet tegen haar vervolging kunnen worden ingesteld overeenkomstig sectie 5 van de Federal Trade Commission Act, die oneerlijke en misleidende handelingen verbiedt, dan wel ingevolge een andere wet of regeling die dergelijke praktijken verbiedt (zie de bijlage voor de lijst van door de Europese Unie erkende officiële instanties in de Verenigde Staten). Bovendien kunnen organisaties waarop wettelijke of bestuursrechtelijke bepalingen met betrekking tot een effectieve bescherming van persoonsgegevens van toepassing zijn, eveneens voor de voordelen van de veilige haven in aanmerking komen. De voordelen van de veilige haven gelden vanaf de datum dat de organisatie die hiervoor in aanmerking wil komen bij het ministerie van Handel (of een door dit ministerie aangewezen instantie) meldt dat zij de beginselen naleeft (zelfcertificering) overeenkomstig de richtsnoeren die in de Vaak gestelde vragen over zelfcertificering zijn uiteengezet.

De naleving van de beginselen kan worden beperkt a) voorzover dit nodig is om aan de eisen van de nationale veiligheid, het algemeen belang en rechtshandhaving te voldoen; b) door wettelijke of bestuursrechtelijke bepalingen of rechtspraak die tegenstrijdige verplichtingen of uitdrukkelijke machtigingen scheppen, mits een organisatie die van een dergelijke machtiging gebruikmaakt, kan aantonen dat de niet-naleving van de beginselen beperkt is tot de mate die nodig is om de met de machtiging beoogde hogere legitieme belangen te waarborgen; of c) indien de richtlijn of de wetgeving van de betrokken lidstaat uitzonderingen of afwijkingen toestaat, mits deze ook in vergelijkbare contexten worden toegepast. In overeenstemming met het doel de bescherming van de persoonlijke levenssfeer te verbeteren, moeten organisaties ernaar streven deze beginselen volledig en op doorzichtige wijze toe te passen en in hun beleid inzake de bescherming van de persoonlijke levenssfeer aan te geven op welke gebieden er regelmatig op grond van punt b) uitzonderingen op de beginselen zullen worden toegestaan. Waar de beginselen en/of de wetgeving van de Verenigde Staten organisaties de mogelijkheid tot kiezen bieden, wordt daarom ook van hen verwacht dat zij waar mogelijk voor de hoogste mate van bescherming kiezen.

Organisaties kunnen de beginselen om praktische of andere redenen op iedere verwerking van gegevens toepassen, maar zij zijn hiertoe alleen verplicht nadat zij tot de veilige haven zijn toegetreden. Om voor de veilige haven in aanmerking te komen zijn organisaties niet verplicht de beginselen toe te passen op persoonlijke informatie in handmatig bijgehouden gegevensbestanden. Organisaties die van de veilige haven gebruik willen maken om informatie in handmatig bijgehouden gegevensbestanden uit de Europese Unie te kunnen ontvangen, moeten de beginselen toepassen op alle informatie die wordt doorgegeven nadat zij tot de veilige haven zijn toegetreden. Als een organisatie wil dat personeelsgegevens bestaande uit persoonlijke informatie, die vanuit de Europese Unie in het kader van een arbeidsverhouding worden doorgegeven, eveneens onder de voordelen van de veilige haven vallen, moet zij dit in haar verklaring aan het ministerie van Handel (of de door dit ministerie aangewezen instantie) aangeven en voldoen aan de vereisten die zijn neergelegd in de FAQ over zelfcertificering. Organisaties kunnen de in artikel 26 van de richtlijn verlangde waarborgen ook bieden wanneer zij in contracten met organisaties die gegevens uit de Europese Unie doorgeven, de beginselen als belangrijke bepalingen over de bescherming van de persoonlijke levenssfeer opnemen, zodra de andere bepalingen voor dergelijke modelcontracten door de Commissie en de lidstaten zijn goedgekeurd.

De wetgeving van de Verenigde Staten is van toepassing op vragen betreffende de interpretatie en naleving van de Veiligehavenbeginselen (inclusief de Vaak gestelde vragen) en het desbetreffende beleid van veiligehavenorganisaties inzake de bescherming van de persoonlijke levenssfeer, behalve als deze organisaties zich ertoe verplicht hebben om met de Europese gegevensbeschermingsautoriteiten samen te werken. Tenzij anders vermeld zijn in voorkomend geval alle bepalingen van de Veiligehavenbeginselen en de Vaak gestelde vragen van toepassing.

Persoonsgegevens en persoonlijke informatie zijn gegevens over een specifieke of een identificeerbare persoon die onder het toepassingsgebied van de richtlijn vallen, vanuit de Europese Unie door een organisatie in de Verenigde Staten worden ontvangen en in de een of andere vorm zijn vastgelegd.

KENNISGEVING

Een organisatie moet particulieren in kennis stellen van de doeleinden waarvoor zij informatie over hen verzamelt en gebruikt, hoe particulieren voor vragen of klachten contact met de organisatie kunnen opnemen, aan welke derden de informatie bekend wordt gemaakt en welke keuzemogelijkheden en middelen de organisatie hen biedt om het gebruik en de bekendmaking van deze informatie te beperken. Deze kennisgeving moet in duidelijke en ondubbelzinnige bewoordingen worden gedaan als de betrokkenen voor de eerste keer wordt gevraagd de organisatie persoonlijke informatie te verstrekken of zo spoedig mogelijk daarna, maar in ieder geval voordat de organisatie dergelijke informatie gebruikt voor een ander doel dan waarvoor deze oorspronkelijk is verzameld of door de doorgevende organisatie is verwerkt, of voor de eerste keer aan een derde bekendmaakt(1).

KEUZE

Een organisatie moet personen de mogelijkheid geven te kiezen of (zich ertegen te verzetten dat (opt-out)) hun persoonlijke informatie a) aan derden bekend zal worden gemaakt(2) of b) zal worden gebruikt voor een doel dat onverenigbaar is met het (de) doel(en) waarvoor deze informatie oorspronkelijk is verzameld of waarvoor de betrokkene achteraf zijn toestemming heeft gegeven. Aan de betrokkene moeten duidelijke en opvallende, direct beschikbare en betaalbare mechanismen worden geboden om deze keuze te maken.

Voor gevoelige informatie (d.w.z. persoonlijke informatie over de gezondheid, raciale of etnische afkomst, politieke opvattingen, godsdienstige of filosofische overtuigingen, lidmaatschap van een vakbond of informatie over het seksleven van de betrokkene) moet de betrokkene positief of expliciet de mogelijkheid krijgen ervoor te kiezen (toestemming te geven (opt-in)) dat de informatie aan een derde bekend wordt gemaakt of zal worden gebruikt voor een ander doel dan waarvoor deze oorspronkelijk is verzameld of waarvoor de betrokkene achteraf zijn toestemming heeft gegeven. Een organisatie moet in ieder geval alle informatie die zij van een derde ontvangt en die deze derde als gevoelig aanmerkt en behandelt, als gevoelig behandelen.

VERDERE DOORGIFTE

Wanneer een organisatie informatie bekendmaakt aan een derde, moet zij het kennisgevings- en het keuzebeginsel toepassen. Wanneer zij informatie wil doorgeven aan een derde die als haar vertegenwoordiger optreedt, zoals in de eindnoot wordt beschreven, mag dit indien zij zich er eerst van vergewist dat deze derde de Veiligehavenbeginselen onderschrijft, dan wel of de richtlijn of een andere vaststelling van gepastheid op hem van toepassing is, of indien zij een schriftelijke overeenkomst met deze derde aangaat waarin zij eist dat deze derde ten minste dezelfde bescherming van de persoonlijke levenssfeer biedt als de desbetreffende Veiligehavenbeginselen bieden. Indien de organisatie aan deze eisen voldoet, zal zij niet aansprakelijk worden gehouden (tenzij door de organisatie anders wordt overeengekomen) indien een derde partij waaraan de informatie is doorgegeven, deze verwerkt op een manier die strijdig is met eventuele restricties of verklaringen, tenzij de organisatie wist of had moeten weten dat de derde partij de informatie op een dergelijke manier zou verwerken, maar geen redelijke maatregelen heeft genomen om deze verwerking te voorkomen of stop te zetten.

BEVEILIGING

Organisaties die persoonlijke informatie verzamelen, bijhouden, gebruiken of verspreiden, moeten redelijke voorzorgsmaatregelen nemen om deze te beschermen tegen verlies, misbruik en ongeoorloofde toegang, bekendmaking, wijziging en vernietiging.

INTEGRITEIT VAN GEGEVENS

Overeenkomstig de beginselen moet persoonlijke informatie relevant zijn voor de doeleinden waarvoor deze zal worden gebruikt. Een organisatie mag geen persoonlijke informatie verwerken op een wijze die onverenigbaar is met de doeleinden waarvoor deze is verzameld of waarmee de betrokkene achteraf heeft ingestemd. Voorzover dit voor deze doeleinden noodzakelijk is, moet een organisatie redelijke stappen ondernemen om ervoor te zorgen dat de gegevens betrouwbaar zijn voor het beoogde gebruik en dat ze correct, volledig en actueel zijn.

TOEGANG

Particulieren moeten toegang hebben tot de persoonlijke informatie die een organisatie over hen in bezit heeft, en deze informatie, voorzover deze onjuist is, kunnen corrigeren, wijzigen of verwijderen, tenzij de lasten of de kosten voor het verlenen van toegang niet in verhouding staan tot het gevaar voor de persoonlijke levenssfeer van de betrokkene, of tenzij de legitieme rechten van andere personen dan de betrokkene worden geschonden.

RECHTSHANDHAVING

Een doeltreffende bescherming van de persoonlijke levenssfeer moet ook mechanismen omvatten om de naleving van de beginselen te garanderen, alsmede verhaalmogelijkheden voor degenen op wie de gegevens betrekking hebben indien de beginselen niet worden nageleefd, en gevolgen voor een organisatie die zich niet aan de beginselen houdt. Deze mechanismen moeten ten minste het volgende omvatten: a) direct beschikbare en betaalbare onafhankelijke verhaalmechanismen voor het onderzoek en de afhandeling, aan de hand van de beginselen, van klachten en geschillen van particulieren en de toekenning van schadevergoedingen wanneer het toepasselijke recht of de initiatieven van de particuliere sector hierin voorzien; b) vervolgprocedures om na te gaan of de attesten en verklaringen van bedrijven over hun beleid inzake de bescherming van de persoonlijke levenssfeer waar zijn en of het voorgelegde beleid terzake ook ten uitvoer is gebracht zoals het is voorgesteld; en c) verplichtingen om problemen op te lossen die ontstaan doordat de beginselen niet worden nageleefd door organisaties die hebben verklaard deze na te leven en gevolgen voor dergelijke organisaties. De sancties moeten zwaar genoeg zijn om naleving door de organisaties te garanderen.

(1) Er is geen kennisgeving nodig als de informatie wordt bekendgemaakt aan een derde die optreedt als vertegenwoordiger van een organisatie om uit haar naam en in haar opdracht een of meer taken uit te voeren. Op een dergelijke bekendmaking is echter wel het beginsel van verdere doorgifte van toepassing.

(2) Er is geen kennisgeving nodig als de informatie wordt bekendgemaakt aan een derde die optreedt als vertegenwoordiger van een organisatie om uit haar naam en in haar opdracht een of meer taken uit te voeren. Op een dergelijke bekendmaking is echter wel het beginsel van verdere doorgifte van toepassing.

Bijlage

Lijst van door de Europese Unie erkende officiële instanties in de Verenigde Staten

De Europese Unie erkent de volgende overheidsinstanties in de Verenigde Staten als bevoegde instanties die klachten kunnen onderzoeken en na oneerlijke en misleidende praktijken herstel kunnen verkrijgen, alsmede schadeloosstelling voor de betrokkenen, indien de overeenkomstig de FAQ's ten uitvoer gelegde beginselen niet worden nagekomen:

- de Federal Trade Commission, krachtens haar bevoegdheid overeenkomstig sectie 5 van de Federal Trade Commission Act;

- het ministerie van Vervoer, krachtens zijn bevoegdheid overeenkomstig titel 49 van de United States Code, sectie 41712.

BIJLAGE II

VAAK GESTELDE VRAGEN (FAQ'S)

FAQ 1 - Gevoelige gegevens

V: Moet een organisatie altijd toestemming geven voor de verwerking van gevoelige gegevens?

A: Nee, toestemming is niet vereist wanneer de verwerking: 1. van vitaal belang is voor de betrokkene of voor iemand anders; 2. noodzakelijk is om rechtsvorderingen geldend te maken of om zich tegen een rechtsvordering te verweren; 3. noodzakelijk is voor het verstrekken van medische zorg of het stellen van een diagnose; 4. door een stichting, een vereniging of een andere instelling zonder winstoogmerk die op politiek, levensbeschouwelijk, godsdienstig of vakbondsgebied werkzaam is, wordt verricht in het kader van haar rechtmatige activiteiten, mits de verwerking uitsluitend betrekking heeft op de leden van die instelling of op degenen die in verband met haar doelstellingen regelmatig contact met haar onderhouden, en de gegevens niet zonder de toestemming van de betrokkenen aan derden beschikbaar worden gesteld; 5. noodzakelijk is met het oog op de uitvoering van de arbeidsrechtelijke verplichtingen van de organisatie; of 6. betrekking heeft op gegevens waarvan duidelijk is dat ze door de betrokkene zelf openbaar zijn gemaakt.

FAQ 2 - Uitzonderingen voor journalistieke doeleinden

V: Gelden, gezien de in de grondwet van de Verenigde Staten neergelegde bescherming van de persvrijheid en de in de richtlijn neergelegde vrijstelling voor journalistiek materiaal, de Veiligehavenbeginselen ook voor persoonlijke informatie die is verzameld, bewaard of verspreid voor journalistieke doeleinden?

A: Wanneer de rechten van een vrije pers, die zijn opgenomen in het eerste amendement op de grondwet van de Verenigde Staten, botsen met de belangen van bescherming van de persoonlijke levenssfeer, moet op grond van het eerste amendement ten aanzien van de activiteiten van burgers of organisaties uit de Verenigde Staten een evenwicht tussen deze belangen worden gevonden. Persoonlijke informatie die wordt verzameld voor publicatie, uitzending of een andere vorm van openbare communicatie van journalistiek materiaal, ook al wordt dit niet gebruikt, en informatie uit eerder gepubliceerd materiaal dat via media-archieven wordt verspreid, is niet onderworpen aan de eisen van de Veiligehavenbeginselen.

FAQ 3 - Secundaire aansprakelijkheid

V: Zijn aanbieders van internetdiensten, telecommunicatiebedrijven of andere organisaties uit hoofde van de Veiligehavenbeginselen aansprakelijk voor informatie die zij namens een andere organisatie enkel overbrengen, routeren, schakelen of opslaan, maar die wellicht in strijd is met hun voorwaarden?

A: Nee. Evenmin als de richtlijn zelf voorziet de veilige haven in secundaire aansprakelijkheid. Wanneer een organisatie van een derde afkomstige informatie alleen doorgeeft, zonder de doeleinden en middelen van de verwerking van persoonlijke informatie vast te stellen, is zij niet aansprakelijk.

FAQ 4 - Investeringsbanken en accountants

V: De activiteiten van accountants en investeringsbankiers kunnen de verwerking van persoonsgegevens met zich brengen zonder dat de betrokkene dit weet of hiervoor toestemming heeft gegeven. Onder welke omstandigheden is dit volgens de beginselen van kennisgeving, keuze en toegang toelaatbaar?

A: Investeringsbankiers en accountants mogen alleen informatie verwerken zonder dat de betrokkene hiervan op de hoogte is voorzover, en gedurende de periode waarin, dit in verband met wettelijke verplichtingen of het openbaar belang noodzakelijk is, alsmede onder omstandigheden waarin toepassing van deze beginselen de legitieme belangen van de organisatie zou schaden. Deze legitieme belangen omvatten het toezicht op de naleving door bedrijven van hun wettelijke verplichtingen en wettelijk toegestane boekhoudactiviteiten, alsmede de noodzakelijke vertrouwelijkheid in verband met mogelijke aankopen, fusies, joint ventures of andere soortgelijke transacties uitgevoerd door investeringsbankiers of accountants.

FAQ 5(1) - De rol van de gegevensbeschermingsautoriteiten

V: Hoe zullen bedrijven die toezeggen met de gegevensbeschermingsautoriteiten uit de Europese Unie te zullen samenwerken, deze toezeggingen doen en hoe zullen deze gestand worden gedaan?

A: In het kader van de veilige haven zijn organisaties uit de Verenigde Staten die persoonsgegevens uit de Europese Unie ontvangen, verplicht effectieve mechanismen aan te wenden om de naleving van de Veiligehavenbeginselen te waarborgen. Preciezer gezegd moeten zij, zoals vastgesteld in het rechtshandhavingsbeginsel, voorzien in a) verhaalmogelijkheden voor degenen op wie de gegevens betrekking hebben, b) vervolgprocedures om na te gaan of de attesten en verklaringen die zij over hun beleid inzake de bescherming van de persoonlijke levenssfeer hebben afgegeven, waar zijn, en c) verplichtingen om problemen op te lossen die ontstaan doordat organisaties de beginselen niet naleven, en consequenties hiervan voor dergelijke organisaties. Organisaties kunnen aan de punten a) en c) van het rechtshandhavingsbeginsel voldoen als zij zich houden aan te vereisten van deze FAQ voor de samenwerking met de gegevensbeschermingsautoriteiten.

Een organisatie kan zich ertoe verplichten met de gegevensbeschermingsautoriteiten samen te werken door in haar certificering voor de veilige haven bij het ministerie van Handel (zie FAQ 6 over zelfcertificering) te verklaren dat zij:

1. ervoor kiest aan de verplichtingen van de punten a) en c) van het rechtshandhavingsbeginsel van de veilige haven te voldoen door te beloven met de gegevensbeschermingsautoriteiten samen te werken;

2. met de gegevensbeschermingsautoriteiten zal samenwerken bij het onderzoek en de oplossing van klachten die in het kader van de veilige haven zijn ingediend; en

3. gevolg zal geven aan elk door de gegevensbeschermingsautoriteiten verstrekt advies als deze van oordeel zijn dat de organisatie specifieke maatregelen moet nemen om aan de Veiligehavenbeginselen te voldoen, daaronder begrepen corrigerende en compenserende maatregelen ten gunste van personen die schade ondervinden door niet-naleving van de beginselen, en de gegevensbeschermingsautoriteiten schriftelijk zal bevestigen dat dergelijke maatregelen zijn genomen.

De gegevensbeschermingsautoriteiten zullen op de volgende wijze hun medewerking verlenen door informatie en advies te geven:

- Het advies van de gegevensbeschermingsautoriteiten zal worden verstrekt via een informeel Europees panel van gegevensbeschermingsautoriteiten, dat onder meer zal helpen een geharmoniseerde en samenhangende aanpak te waarborgen.

- Het panel zal aan de betrokken organisaties uit de Verenigde Staten advies verlenen over onopgeloste klachten van personen over de behandeling van persoonlijke informatie die vanuit de Europese Unie in het kader van de veilige haven is doorgegeven. Dit advies zal zo zijn opgesteld dat ervoor wordt gezorgd dat de Veiligehavenbeginselen correct worden toegepast en het zal de rechtsmiddelen noemen die volgens de gegevensbeschermingsautoriteiten de betrokkene(n) in aanmerking kan (kunnen) nemen.

- Het panel zal dit advies uitbrengen naar aanleiding van verwijzingen door de betrokken organisaties en/of rechtstreeks van personen ontvangen klachten tegen organisaties die zich ertoe verplicht hebben om in het kader van de Veiligehavenbeginselen met de gegevensbeschermingsautoriteiten samen te werken. Het zal deze personen in eerste instantie aanmoedigen gebruik te maken van eventueel door de organisatie aangeboden interne regelingen voor de behandeling van klachten en hen hierbij zo nodig helpen.

- Het panel zal pas advies uitbrengen nadat beide partijen in een geschil een redelijke kans hebben gekregen om commentaar te geven en alle gewenste bewijzen te leveren. Het zal proberen dit advies zo snel te geven als een eerlijke rechtsgang dit toelaat. In de regel zal het panel ernaar streven advies te verstrekken binnen 60 dagen na ontvangst van een klacht of verwijzing en zo mogelijk sneller.

- Het panel zal de resultaten van zijn onderzoek van ingediende klachten openbaar maken als het dit gepast acht.

- Het panel en de afzonderlijke gegevensbeschermingsautoriteiten zijn in generlei opzicht aansprakelijk voor het advies dat het panel geeft.

Organisaties die deze optie voor de oplossing van geschillen kiezen, moeten zich ertoe verplichten gevolg te geven aan het advies van de gegevensbeschermingsautoriteiten. Als een organisatie niet binnen 25 dagen nadat een advies is uitgebracht, gevolg geeft aan dit advies en hiervoor geen bevredigende verklaring geeft, zal het panel kennis geven van zijn voornemen om hetzij - in gevallen van bedrog of onjuiste verklaringen - de zaak voor te leggen aan de Federal Trade Commission of aan een andere instantie op federaal of staatsniveau met wettelijke bevoegdheden om dwangmaatregelen te nemen, hetzij te concluderen dat de samenwerkingsovereenkomst ernstig is geschonden en bijgevolg nietig is. In het laatste geval zal het panel het ministerie van Handel (of de door dit ministerie aangewezen instantie) hiervan op de hoogte brengen zodat de lijst van veiligehavendeelnemers dienovereenkomstig kan worden gewijzigd. Elke niet-nakoming van de verplichting om met de gegevensbeschermingsautoriteiten samen te werken, alsmede elke niet-naleving van de Veiligehavenbeginselen kan op grond van sectie 5 van de FTC-wet of andere soortgelijke wetten als misleidende praktijk worden gevolgd.

Organisaties die deze mogelijkheid kiezen, betalen een jaarlijkse vergoeding ter dekking van de administratieve kosten van het panel. Wanneer het panel verwijzingen of klachten tegen de betrokken organisatie in overweging neemt, kan het bovendien een vergoeding van de kosten van eventueel noodzakelijke vertalingen verlangen. De jaarlijkse vergoeding bedraagt maximaal 500 USD, maar zal lager zijn voor kleinere ondernemingen.

Gedurende een periode van drie jaar krijgen organisaties die tot de veilige haven toetreden de mogelijkheid om met de gegevensbeschermingsautoriteiten samen te werken. Voor afloop van deze periode zullen de gegevensbeschermingsautoriteiten deze regeling opnieuw bekijken als te veel organisaties uit de Verenigde Staten voor deze mogelijkheid kiezen.

FAQ 6 - Zelfcertificering

V: Hoe kan een organisatie zelf een verklaring afleggen (zelfcertificering) dat zij de Veiligehavenbeginselen onderschrijft?

A: De voordelen van de veilige haven zijn gegarandeerd vanaf de datum waarop een organisatie zelf aan het ministerie van Handel (of een door dit ministerie aangewezen instantie) verklaart de beginselen te onderschrijven (zelfcertificering). Hiervoor gelden de volgende richtsnoeren.

Voor zelfcertificering moet een organisatie die tot de veilige haven toetreedt een door een directielid ondertekende brief naar het ministerie van Handel (of de door dit ministerie aangewezen instantie) sturen, die ten minste de volgende informatie bevat:

1. naam van de organisatie, postadres, e-mailadres, telefoon- en faxnummer;

2. beschrijving van de activiteiten van de organisatie met betrekking tot de persoonlijke informatie die zij uit de Europese Unie ontvangt; en

3. beschrijving van het beleid van de organisatie inzake de bescherming van de persoonlijke levenssfeer ten aanzien van dergelijke persoonlijke informatie, waaronder:

a) waar dit door het publiek kan worden geraadpleegd,

b) de datum van inwerkingtreding,

c) een instantie waartoe men zich kan wenden voor de behandeling van klachten, verzoeken om toegang en alle andere kwesties die zich voordoen in het kader van de veilige haven,

d) de officiële instantie die bevoegd is om tegen de organisatie ingediende claims in verband met eventuele oneerlijke of misleidende praktijken en schendingen van wetten of regelingen betreffende de bescherming van de persoonlijke levenssfeer te behandelen (en die wordt vermeld in de bijlage van de beginselen),

e) de naam van programma's ter bescherming van waaraan de organisatie deelneemt,

f) de wijze van controle (bv. intern, door derden)(2), en

g) het onafhankelijke verhaalmechanisme dat onopgeloste klachten kan onderzoeken.

Als een organisatie wil dat personeelsgegevens die vanuit de Europese Unie in het kader van een arbeidsverhouding zijn doorgegeven, eveneens onder de voordelen van de veilige haven vallen, kan zij dit doen indien er een officiële instantie is die bevoegd is tot de behandeling van tegen de organisatie ingebrachte klachten in verband met de in de bijlage van de beginselen vermelde personeelsgegevens. Bovendien moet zij dit in haar brief aangeven en verklaren zich ertoe te verplichten dat ze, waar FAQ 9 en FAQ 5 van toepassing zijn, in overeenstemming met deze FAQ's met de betrokken EU-autoriteit(en) zal samenwerken en dat ze het advies van deze autoriteiten zal naleven.

Het ministerie (of de door het ministerie aangewezen instantie) zal een lijst bijhouden van alle organisaties die dergelijke brieven indienen, en zo in het genot komen van de voordelen van de veilige haven, en de lijst bijwerken aan de hand van de jaarlijkse brieven en kennisgevingen die het ingevolge FAQ 11 ontvangt. Deze zelfcertificeringsbrieven moeten minstens eens per jaar worden ingediend. Anders wordt de organisatie van de lijst verwijderd en zijn de voordelen van de veilige haven niet langer gegarandeerd. Zowel de lijst als de door de organisaties ingediende verklaringen zullen voor het publiek toegankelijk worden gemaakt. Alle organisaties die zelf een verklaring met betrekking tot de veilige haven afleggen, moeten in de verklaringen die zij publiceren over hun beleid inzake de bescherming van de persoonlijke levenssfeer ook aangeven dat zij de Veiligehavenbeginselen onderschrijven.

Voor gegevens die worden ontvangen tijdens de periode waarin de organisatie de voordelen van de veilige haven geniet, is de verplichting de beginselen na te leven niet in de tijd beperkt; deze blijven op die gegevens van toepassing zolang de organisatie ze opslaat, gebruikt of openbaar maakt, zelfs indien de organisatie de veilige haven nadien om enigerlei reden verlaat.

Een organisatie die ten gevolge van een fusie of overname haar rechtspersoonlijkheid als zelfstandige onderneming zal verliezen, moet het ministerie van Handel (of een door dit ministerie aangewezen instantie) hiervan vooraf in kennis stellen. In deze kennisgeving moet ook worden vermeld of de overnemende onderneming of de onderneming die door de fusie ontstaat 1. onder de wetgeving die op de overname of fusie van toepassing is, nog steeds verplicht is zich aan de Veiligehavenbeginselen te houden of 2. verkiest de Veiligehavenbeginselen zelf te onderschrijven of andere garanties biedt, zoals een schriftelijke verklaring dat zij de Veiligehavenbeginselen zal naleven. Als noch 1 noch 2 van toepassing is, moeten alle gegevens die in het kader van de veilige haven zijn verkregen, onmiddellijk worden verwijderd.

Een organisatie hoeft de Veiligehavenbeginselen niet op alle persoonlijke informatie toe te passen, maar moet deze vanaf het moment van toetreding tot de veilige haven wel toepassen op alle uit de Europese Unie ontvangen persoonlijke informatie.

De Federal Trade Commission of een andere bevoegde overheidsinstantie kan actie ondernemen tegen iedere onjuiste verklaring aan het grote publiek met betrekking tot de naleving van de Veiligehavenbeginselen door een organisatie. Bij onjuiste verklaringen tegenover het ministerie van Handel (of de door dit ministerie aangewezen instantie) kan vervolging worden ingesteld op grond van de False Statements Act (18 U.S.C. § 1001).

FAQ 7 - Controle

V: Hoe voorzien organisaties in vervolgprocedures om na te gaan of de attesten en verklaringen die zij over hun beleid inzake de bescherming van de persoonlijke levenssfeer in het kader van de veilige haven afleggen, waar zijn en of dit beleid is uitgevoerd zoals het is voorgesteld en of het beantwoordt aan de Veiligehavenbeginselen?

A: Teneinde aan de controle-eisen van het rechtshandhavingsbeginsel te voldoen kan een organisatie de naleving van dergelijke attesten en verklaringen nagaan door zelfbeoordeling of door externe nalevingscontroles.

Bij de zelfbeoordelingsmethode moet uit de controle blijken dat het beleid van een organisatie inzake de bescherming van de persoonlijke levenssfeer bij uit de Europese Unie ontvangen persoonlijke informatie zorgvuldig en allesomvattend is, duidelijk wordt bekendgemaakt, volledig wordt uitgevoerd en toegankelijk is. Voorts moet blijken dat dit beleid in overeenstemming is met de Veiligehavenbeginselen, dat particulieren in kennis worden gesteld van interne regelingen voor de behandeling van klachten en van de onafhankelijke mechanismen om klachten in te dienen, dat de organisatie haar werknemers opleidt in de uitvoering van het beleid en dat er disciplinaire maatregelen tegen hen worden genomen indien zij dit niet doen, en dat er voorts interne procedures zijn om periodiek objectief na te gaan of het bovenstaande ook wordt nageleefd. Een verklaring ter controle van de zelfbeoordeling moet minstens eens per jaar door een directielid of een andere daartoe bevoegde vertegenwoordiger van de organisatie worden ondertekend en op verzoek aan particulieren of in het kader van een onderzoek of een klacht wegens niet-naleving ter beschikking worden gesteld.

Organisaties moeten hun informatiebestanden over de tenuitvoerlegging van hun beleid inzake de bescherming van de persoonlijke levenssfeer in het kader van de veilige haven bewaren en deze bij een onderzoek of een klacht wegens niet-naleving op verzoek ter beschikking stellen aan het onafhankelijke orgaan dat met het onderzoek van klachten belast is of de instantie die oneerlijke en misleidende praktijken moet onderzoeken.

Indien de organisatie voor een externe controle van de naleving heeft gekozen, moet hieruit blijken dat het beleid inzake de bescherming van de persoonlijke levenssfeer met betrekking tot uit de Europese Unie ontvangen persoonlijke informatie in overeenstemming is met de Veiligehavenbeginselen, dat het beleid wordt nageleefd en dat particulieren in kennis worden gesteld van de mechanismen om klachten in te dienen. De controlemethoden mogen zonder beperking audits, steekproeven, het gebruik van "valstrikken" of het gebruik van technologische middelen omvatten. Een verklaring omtrent de uitvoering van de externe controle moet eens per jaar door de controleur of een directielid of een andere daartoe bevoegde vertegenwoordiger van de organisatie worden ondertekend en op verzoek aan particulieren of in het kader van een onderzoek of een klacht wegens niet-naleving ter beschikking worden gesteld.

FAQ 8 - Toegang

Toegangsbeginsel

Particulieren moeten toegang heben tot de persoonlijke informatie die een organisatie over hen in bezit heeft, en deze informatie, voorzover deze onjuist is, kunnen corrigeren, wijzigen of verwijderen, tenzij de lasten of de kosten voor het verlenen van toegang niet in verhouding staan tot het gevaar voor de persoonlijke levenssfeer van de betrokkene, of tenzij de legitieme rechten van andere personen dan de betrokkene worden geschonden.

V1: Is het recht op toegang absoluut?

A: Nee. Volgens de Veiligehavenbeginselen is het recht op toegang fundamenteel voor de bescherming van de persoonlijke levenssfeer. Met name geeft dit recht de betrokkene de mogelijkheid om de juistheid van de informatie die over hem wordt bijgehouden, na te gaan. Toch is op de verplichting die een organisatie heeft om toegang te verlenen tot de informatie die zij over een persoon in haar bezit heeft, het beginsel van evenredigheid of redelijkheid van toepassing en moet die verplichting daarom in sommige gevallen worden afgezwakt. De toelichting bij de richtsnoeren van de OESO inzake de bescherming van de persoonlijke levenssfeer uit 1980 toont duidelijk aan dat de verplichting tot toegangverlening voor een organisatie niet absoluut is. De verplichting betekent niet dat er een buitengewoon grondig onderzoek kan worden verricht zoals dat bijvoorbeeld het geval is bij een dagvaarding noch dat toegang moet worden verleend tot alle verschillende vormen waarin de informatie door de organisatie kan worden bewaard.

Uit ervaring is gebleken dat organisaties zich bij een verzoek van een particulier om toegang om te beginnen zouden moeten afvragen waarom de betrokkene zijn verzoek heeft ingediend. Indien een verzoek bijvoorbeeld in vage of algemene bewoordingen is gesteld, kan de organisatie beter een dialoog met de betrokkene aangaan om de achterliggende reden voor het verzoek beter te begrijpen, om aldus vast te stellen welke informatie wordt verlangd. De organisatie kan bijvoorbeeld nagaan met welke afdeling(en) van de organisatie de betrokkene contact heeft gehad en/of voor welk soort informatie (of het gebruik ervan) toegang wordt gevraagd. Particulieren behoeven een verzoek om toegang tot hun eigen gegevens echter niet te motiveren.

Kosten en lasten zijn belangrijke factoren die in overweging moeten worden genomen, maar zij kunnen niet de doorslag geven bij een beslissing over de redelijkheid van toegang. Indien de informatie bijvoorbeeld gebruikt wordt voor beslissingen die voor de betrokkene van groot belang zijn (zoals het weigeren of toekennen van belangrijke voordelen, zoals een verzekering, een hypotheek of een baan), dan moet de organisatie, in overeenstemming met de andere bepalingen van deze FAQ's, deze informatie ter beschikking stellen, ook al is dit vrij moeilijk of duur.

Indien de gevraagde informatie niet gevoelig is of niet wordt gebruikt voor beslissingen die voor de betrokkene van groot belang zijn (bv. niet-gevoelige marketinggegevens die worden gebruikt om te beslissen of al dan niet een catalogus naar de betrokkene wordt gestuurd), maar meteen beschikbaar is en zonder dat het veel kost kan worden gegeven, dan moet de organisatie toegang verlenen tot de feitelijke informatie die zij over de betrokkene bewaart. Deze informatie kan feiten omvatten die van de betrokkene zelf zijn verkregen, feiten die tijdens een transactie zijn verzameld of feiten over de betrokkene die van anderen afkomstig zijn.

Gezien het fundamentele karakter van toegang, mogen organisaties de toegang nooit zonder meer beperken. Als bijvoorbeeld bepaalde informatie moet worden beschermd, maar probleemloos kan worden gescheiden van andere informatie waarvoor toegang is gevraagd, moet de organisatie de beschermde informatie bewerken en de andere beschikbaar stellen. Indien een organisatie besluit dat de toegang in een bepaald geval moet worden ontzegd, dient zij de betrokkene uit te leggen waarom zij tot dit besluit is gekomen en een contactadres op te geven waar de betrokkene met vragen terecht kan.

V2: Wat is vertrouwelijke commerciële informatie en kunnen organisaties iemand de toegang ontzeggen om het vertrouwelijke karakter van de informatie te beschermen?

A: Vertrouwelijke commerciële informatie ("confidential commercial information", een term die in de Federal Rules of Civil Procedure gebruikt wordt ten aanzien van de inzage van stukken) is informatie die een organisatie tegen openbaarmaking beschermt, wanneer openbaarmaking concurrenten zou helpen. Het computerprogramma dat een organisatie gebruikt (bv. voor het opstellen van modellen) of de details van dat programma kunnen vertrouwelijke commerciële informatie zijn. Wanneer het mogelijk is vertrouwelijke commerciële informatie probleemloos te scheiden van andere informatie waarvoor toegang is gevraagd, moet de organisatie de vertrouwelijke commerciële informatie bewerken en de niet-vertrouwelijke informatie beschikbaar stellen. Organisaties kunnen iemand de toegang tot de informatie ontzeggen dan wel de toegang beperken wanneer anders hun eigen vertrouwelijke commerciële informatie (volgens bovenstaande definitie), zoals door de organisatie opgestelde marketingconclusies en classificaties, aan de dag zou komen, of de vertrouwelijke commerciële informatie van een andere organisatie voorzover op deze informatie een contractuele geheimhoudingverplichting van toepassing is in situaties waarin een dergelijke geheimhoudingsverplichting normaal wordt aangegaan of opgelegd.

V3: Betekent het verlenen van toegang dat een organisatie aan de betrokkenen hun persoonlijke informatie uit haar gegevensbanken ter beschikking moet stellen of moet de organisatie de betrokkenen toegang tot de gegevensbank zelf verlenen?

A: Toegang verlenen betekent dat de organisatie de betrokkenen de informatie ter beschikking moet stellen, niet dat hen toegang tot de gegevensbank van de organisatie zelf moet worden verleend.

V4: Moet een organisatie haar gegevensbanken zodanig herstructureren dat zij toegang kan verlenen?

A: Een organisatie behoeft alleen toegang tot door haar opgeslagen informatie te verlenen. Het toegangsbeginsel houdt geen verplichting in om bestanden met persoonlijke informatie te bewaren, te onderhouden, te reorganiseren of te herstructureren.

V5: Uit deze antwoorden blijkt dat in sommige omstandigheden de toegang kan worden ontzegd. Onder welke andere omstandigheden kan een organisatie particulieren de toegang tot hun persoonlijke informatie ontzeggen?

A: Dergelijke omstandigheden zijn beperkt en er moeten concrete redenen zijn om iemand de toegang te ontzeggen, bijvoorbeeld wanneer belangrijke openbare belangen, zoals de defensie of de nationale of openbare veiligheid, hiermee in strijd zijn. Indien persoonlijke informatie uitsluitend wordt verwerkt voor statistische of onderzoeksdoeleinden, kan de toegang eveneens worden geweigerd. Andere redenen om de toegang te weigeren of te beperken zijn:

a) belemmering van de uitvoering of de handhaving van de wet, inclusief het voorkomen, onderzoeken of opsporen van misdrijven, of van het recht op een eerlijk proces;

b) belemmering van civielrechtelijke procedures, inclusief het voorkomen of onderzoeken van rechtsvorderingen en opsporingen dienaangaande, of van het recht op een eerlijk proces;

c) openbaarmaking van persoonlijke informatie over derden, die niet kan worden bewerkt;

d) schending van beroepsrechten of -plichten die al dan niet voortvloeien uit de wet;

e) schending van de noodzakelijke geheimhouding van toekomstige of lopende onderhandelingen, bijvoorbeeld over de aankoop van beursgenoteerde ondernemingen;

f) conflict met veiligheidsonderzoeken of klachtenprocedures waarbij werknemers zijn betrokken;

g) aantasting van de geheimhouding die in een bepaalde periode noodzakelijk kan zijn in verband met personeelsbeleid en bedrijfsherstructurering;

h) aantasting van de geheimhouding die noodzakelijk kan zijn voor toezichthoudende of regulerende taken in verband met een gezond economisch of financieel beheer; of

i) andere omstandigheden waarin de lasten of de kosten van het verlenen van toegang in geen verhouding staan tot de hiermee behaalde voordelen of wanneer de gerechtvaardigde rechten en belangen van anderen worden geschaad.

Een organisatie die zich op een uitzondering beroept, moet aantonen dat die uitzondering van toepassing is (zoals normaal het geval is). Zoals hierboven reeds is gezegd, moeten de redenen voor het weigeren of beperken van de toegang aan de betrokkenen worden medegedeeld en moet hun een contactadres worden opgegeven waar zij met verdere vragen terecht kunnen.

V6: Kan een organisatie kosten in rekening brengen voor het verlenen van toegang?

A: Ja. In de richtsnoeren van de OESO wordt dit recht erkend, op voorwaarde dat het tarief niet te hoog is. Organisaties mogen dus voor het verlenen van toegang een redelijk tarief vragen. Dit kan trouwens nuttig zijn om herhaaldelijke en lastige verzoeken tegen te gaan.

Organisaties die openbaar beschikbare informatie verkopen, kunnen dus het voor hun organisatie gebruikelijke tarief in rekening brengen om aan de verzoeken tot toegang te voldoen. Particulieren kunnen echter ook toegang tot hun persoonsgegevens trachten te verkrijgen bij de organisatie die oorspronkelijk de gegevens heeft verzameld.

De toegang kan niet op kostengronden worden geweigerd als de betrokkene bereid is deze kosten te betalen.

V7: Moet een organisatie toegang verlenen tot persoonlijke informatie die uit openbare bestanden komt?

A: Ter verduidelijking, openbare bestanden zijn bestanden die door overheidsdiensten op alle mogelijke niveaus worden bewaard en die voor iedereen toegankelijk zijn. Het is niet nodig het toegangsbeginsel op deze informatie toe te passen, voorzover deze niet wordt gecombineerd met andere persoonlijke informatie, tenzij het hierbij gaat om kleine stukjes informatie uit niet-openbare bestanden die worden gebruikt om informatie uit openbare bestanden te indexeren of te organiseren. De voorwaarden die de bevoegde instanties voor raadpleging stellen, moeten evenwel worden nageleefd. Wanneer informatie uit openbare bestanden wordt gecombineerd met andere informatie uit niet-openbare bestanden (afgezien van bovengenoemd specifiek geval), dan moet een organisatie wel toegang tot al deze informatie verlenen, voorzover niet andere toegestane uitzonderingen op deze informatie van toepassing zijn.

V8: Moet het toegangsbeginsel worden toegepast op openbaar beschikbare persoonlijke informatie?

A: Net als voor informatie uit openbare bestanden (zie V 7) is het niet nodig toegang te verlenen tot informatie die reeds voor iedereen beschikbaar is, voorzover deze niet wordt gecombineerd met niet-openbaar beschikbare informatie.

V9: Hoe kan een organisatie zich tegen herhaaldelijke of lastige verzoeken om toegang beschermen?

A: Een organisatie hoeft op dergelijke verzoeken niet in te gaan. Organisaties kunnen daartoe een redelijk tarief in rekening brengen en het aantal keren dat binnen een bepaalde periode aan verzoeken van een bepaalde persoon gevolg wordt gegeven, binnen redelijke grenzen beperken. Bij het vaststellen van deze beperkingen moet een organisatie rekening houden met factoren zoals de frequentie waarmee de informatie wordt bijgewerkt, het doel waarvoor de gegevens worden gebruikt en de aard van de informatie.

V10: Hoe kan een organisatie zich beschermen tegen frauduleuze verzoeken om toegang?

A: Een organisatie behoeft alleen toegang te verlenen wanneer het verzoek gepaard gaat met voldoende informatie om haar in staat te stellen de identiteit van de verzoeker vast te stellen.

V11: Is er een termijn waarbinnen een organisatie op verzoeken om toegang moet reageren?

A: Ja, organisaties moeten zonder buitensporige vertraging en binnen een redelijke termijn antwoord geven. Aan deze eis kan op verschillende manieren worden voldaan, zoals in de toelichting bij de richtsnoeren inzake de bescherming van de persoonlijke levenssfeer van de OESO uit 1980 is beschreven. De voor de verwerking verantwoordelijke die op regelmatige tijdstippen informatie aan de betrokkenen verstrekt, kan worden vrijgesteld van de verplichting meteen op elk verzoek te reageren.

FAQ 9 - Personeel

V1: Valt de overdracht van persoonlijke informatie die in het kader van een arbeidsverhouding is verzameld, van de Europese Unie naar de Verenigde Staten onder de veilige haven?

A: Ja, wanneer een EU-bedrijf persoonlijke informatie over zijn (voormalige of huidige) werknemers, die het in het kader van een arbeidsverhouding heeft verzameld, doorgeeft aan een moederbedrijf, dochterbedrijf of een niet-geaffilieerde dienstverlener in de Verenigde Staten die aan de veilige haven deelneemt, zijn de Veiligehavenbeginselen op deze doorgifte van toepassing. In deze gevallen was de nationale wetgeving van het EU-land waar de informatie werd verzameld, van toepassing op het verzamelen en verwerken van de doorgegeven informatie, zodat alle voorwaarden voor of restricties op de doorgifte die deze wetgeving stelt, in acht moeten worden genomen.

De Veiligehavenbeginselen zijn alleen van toepassing wanneer bestanden over individueel bepaalde personen worden doorgegeven of toegankelijk worden gemaakt. Statistische informatie die berust op geaggregeerde personeelsgegevens en/of gegevens die zijn geanonimiseerd of waarbij gebruik is gemaakt van pseudoniemen, geven geen aanleiding tot problemen in verband met de bescherming van de persoonlijke levenssfeer.

V2: Hoe zijn de kennisgevings- en keuzebeginselen op dergelijke informatie van toepassing?

A: Een organisatie in de Verenigde Staten die in het kader van de veilige haven personeelsgegevens uit de Europese Unie heeft ontvangen, mag deze informatie alleen in overeenstemming met het kennisgevings- en het keuzebeginsel aan derden bekend maken en/of voor andere doeleinden gebruiken. Wanneer een organisatie in de Verenigde Staten bijvoorbeeld van plan is persoonlijke informatie die in het kader van een arbeidsverhouding is verzameld, te gebruiken voor doeleinden die niet met de arbeidsrelatie te maken hebben, zoals commerciële mededelingen, moet zij de betrokkenen vooraf de keuze laten, tenzij dezen al toestemming hadden gegeven om de informatie voor dergelijke doeleinden te gebruiken. Bovendien mag hun keuze niet van invloed zijn op de carrièremogelijkheden van de werknemers noch mag deze straf tot gevolg hebben.

Voor sommige lidstaten geldt dat bepaalde algemeen geldende voorwaarden voor doorgifte een ander gebruik van dergelijke informatie uitsluit, zelfs wanneer de informatie naar een land buiten de Europese Unie is doorgegeven. Dergelijke voorwaarden moeten worden nageleefd.

Voorts moeten werkgevers zich redelijkerwijs inspannen om aan de wensen van hun werknemers inzake de bescherming van hun persoonlijke levenssfeer tegemoet te komen. Zij kunnen bijvoorbeeld de toegang tot gegevens beperken, sommige gegevens anonimiseren of codes of pseudoniemen gebruiken wanneer de echte namen in het onderhavige geval niet nodig zijn voor beleidsdoeleinden.

Voorzover en zolang het noodzakelijk is de legitieme belangen van een organisatie te beschermen in verband met bevorderingen, benoemingen of andere besluiten ten aanzien van de werknemers, hoeft een organisatie het kennis- en het keuzebeginsel niet toe te passen.

V3: Hoe wordt het toegangsbeginsel toegepast?

A: De FAQ's over toegang verschaffen richtsnoeren ten aanzien van de redenen op grond waarvan verzoeken om toegang tot personeelsgegevens kunnen worden afgewezen dan wel de toegang tot deze gegevens kan worden beperkt. Het spreekt vanzelf dat werkgevers in de Europese Unie er overeenkomstig de wetgeving van hun land voor moeten zorgen dat hun werknemers in de Europese Unie toegang hebben tot dergelijke informatie, ongeacht de plaats waar de gegevens worden verwerkt en opgeslagen. Overeenkomstig de Veiligehavenbeginselen moet een organisatie die dergelijke gegevens in de Verenigde Staten verwerkt, deze toegang direct of via de werkgever in de Europese Unie verlenen.

V4: Hoe werkt de rechtshandhaving voor personeelsgegevens in het kader van de Veiligehavenbeginselen?

A: Voorzover informatie alleen in het kader van een arbeidsverhouding wordt gebruikt, ligt de primaire verantwoordelijkheid voor de gegevens ten opzichte van de werknemer bij de onderneming in de Europese Unie. Hieruit volgt dat Europese werknemers die over schending van hun rechten inzake gegevensbescherming klagen en niet tevreden zijn met de resultaten van interne controle-, klachten- en beroepsprocedures (of elke andere toepasselijke klachtenprocedure in het kader van een overeenkomst met een vakbond), zich moeten wenden tot de bevoegde nationale gegevensbeschermingsautoriteit of arbeidsrechtbank. Dit geldt ook voor gevallen waarin het beweerde misbruik van de persoonlijke informatie in de Verenigde Staten heeft plaatsgehad en onder de verantwoordelijkheid valt van de organisatie uit de Verenigde Staten die de informatie van de werkgever heeft ontvangen, en niet onder die van de werkgever zelf. In dergelijke gevallen gaat het dus om een schending van de Veiligehavenbeginselen en niet van de nationale wetgeving tot uitvoering van de richtlijn. Dit is de efficiëntste manier om een oplossing te vinden voor de elkaar vaak overlappende rechten en verplichtingen uit hoofde van de lokale arbeidswetgeving en arbeidsovereenkomsten en de wetgeving ter bescherming van de persoonlijke levenssfeer.

Een aan de veilige haven deelnemende organisatie in de Verenigde Staten die gebruikmaakt van in het kader van een arbeidsverhouding vanuit de Europese Unie doorgegeven gegevens over het personeel in de Europese Unie en die wil dat dergelijke doorgiften onder de veilige haven vallen, moet zich er dus toe verplichten mee te werken aan onderzoeken van de bevoegde autoriteiten in de Europese Unie en hun advies in dergelijke gevallen op te volgen. De gegevensbeschermingsautoriteiten die met een dergelijke samenwerking instemmen, moeten de Europese Commissie en het ministerie van Handel hiervan in kennis stellen. Als een organisatie uit de Verenigde Staten die aan de veilige haven deelneemt, personeelsgegevens wil doorgeven vanuit een lidstaat waarvan de gegevensbeschermingsautoriteit niet met dergelijke doorgiften instemt, zijn de bepalingen van FAQ 5 van toepassing.

FAQ 10 - Artikel 17 - contracten

V: Is er een contract vereist wanneer gegevens alleen om ze te laten verwerken uit de Europese Unie naar de Verenigde Staten worden doorgegeven, ongeacht het feit of de verwerker al dan niet aan de veilige haven deelneemt?

A: Ja. De voor de verwerking verantwoordelijken in Europa moeten altijd een contract sluiten wanneer gegevens alleen voor verwerking worden doorgegeven, ongeacht of dit binnen de Europese Unie of daarbuiten gebeurt. De bedoeling van een contract is de bescherming van de belangen van de voor de verwerking verantwoordelijke, d.w.z. de persoon of de instantie die het doel van en de middelen voor de gegevensverwerking vaststelt en die jegens de betrokkene(n) de volle verantwoordelijkheid voor de gegevens draagt. In het contract worden dus behalve de uit te voeren verwerking de maatregelen gespecificeerd die noodzakelijk zijn om te garanderen dat de gegevens veilig zijn.

Een organisatie in de Verenigde Staten die aan de veilige haven deelneemt en persoonlijke informatie uit Europa alleen voor verwerking ontvangt, behoeft derhalve niet de beginselen op deze informatie toe te passen, omdat overeenkomstig de desbetreffende EU-regeling (die strenger kan zijn dan de overeenkomstige Veiligehavenbeginselen) de voor de gegevens verantwoordelijke in de Europese Unie hiervoor tegenover de betrokkene verantwoordelijk blijft.

Aangezien door de veiligehavendeelnemers passende bescherming wordt verleend, is er voor contracten met veiligehavendeelnemers, die alleen de verwerking van gegevens ten doel hebben, geen voorafgaande toestemming nodig (of deze toestemming wordt automatisch door de lidstaten verleend), hetgeen voor contracten met ontvangers die niet aan de veilige haven deelnemen of die geen passende bescherming bieden, wel vereist is.

FAQ 11 - Afhandeling van geschillen en rechtshandhaving

V: Hoe moet aan de in het rechtshandhavingsbeginsel gestelde eisen inzake de afhandeling van geschillen worden voldaan en hoe zal een organisatie in geval van permanente niet-naleving van de beginselen worden aangepakt?

A: Het rechtshandhavingsbeginsel stelt de eisen vast waaraan handhaving van de Veiligehavenbeginselen moet voldoen. Hoe aan de eisen van punt b) van het beginsel moet worden voldaan, wordt in FAQ 7 (Controle) uiteengezet. Deze FAQ 11 handelt over de punten a) en c), die beide onafhankelijke verhaalmechanismen vereisen. Deze mechanismen kunnen verschillende vormen hebben, maar moeten aan de eisen van het rechtshandhavingsbeginsel voldoen. Organisaties kunnen op de volgende wijze aan deze eisen voldoen: 1. door naleving van programma's van de particuliere sector inzake de bescherming van de persoonlijke levenssfeer, die de Veiligehavenbeginselen in hun voorschriften integreren en doeltreffende handhavingsmechanismen omvatten zoals die welke in het rechtshandhavingsbeginsel worden beschreven; 2. door zich te onderwerpen aan wettelijke of regulerende toezichthoudende autoriteiten die individuele klachten behandelen en geschillen afhandelen; of 3. door zich ertoe te verbinden met de gegevensbeschermingsautoriteiten in de Europese Gemeenschap of hun gemachtigde vertegenwoordigers samen te werken. Deze lijst is bedoeld ter illustratie en is niet uitputtend. De particuliere sector kan andere handhavingsmechanismen ontwikkelen mits deze aan de eisen van het rechtshandhavingsbeginsel en van de FAQ's voldoen. Er zij op gewezen dat de eisen van het rechtshandhavingsbeginsel een aanvulling zijn op de eis die is geformuleerd in de derde alinea van de inleiding op de beginselen, namelijk dat bepalingen die het resultaat zijn van zelfregulering moeten kunnen worden gehandhaafd op grond van sectie 5 van de Federal Trade Commission Act of een soortgelijke wet.

Verhaalmechanismen

De consumenten moeten worden aangemoedigd eventuele klachten met de desbetreffende organisatie te bespreken alvorens een beroep te doen op onafhankelijke verhaalmechanismen. De onafhankelijkheid van een verhaalmechanisme kan op verschillende wijzen worden aangetoond, bijvoorbeeld door een transparante samenstelling en financiering of door de gebleken ervaring. Zoals in het rechtshandhavingsbeginsel wordt geëist, moet het verhaalmechanisme voor particulieren direct beschikbaar en betaalbaar zijn. Instanties die geschillen afhandelen, moeten alle klachten van particulieren onderzoeken tenzij deze duidelijk ongegrond of onbeduidend zijn. Dit sluit niet uit dat de organisatie waar men verhaal moet halen, acceptatiecriteria vaststelt, maar deze moeten transparant en gerechtvaardigd zijn (bijvoorbeeld om klachten uit te sluiten die buiten het toepassingsgebied van het programma vallen of door een andere instantie moeten worden behandeld) en mogen er niet toe leiden dat de verplichting om gegronde klachten te onderzoeken, wordt ondermijnd. Bovendien moeten verhaalmechanismen particulieren die een klacht indienen, complete en direct beschikbare informatie verstrekken over de wijze waarop de procedure verloopt. Deze informatie moet ook betrekking hebben op de door het mechanisme overeenkomstig de Veiligehavenbeginselen toegepaste praktijken inzake de bescherming van de persoonlijke levenssfeer(3). Zij moeten ook meewerken bij de ontwikkeling van hulpmiddelen als gestandaardiseerde klachtenformulieren om de klachtenafhandelingsprocedure te vergemakkelijken.

Rechtsmiddelen en sancties

De rechtsmiddelen die de geschillenafhandelingsinstantie biedt, moeten ertoe leiden dat de gevolgen van de niet-naleving door de organisatie, voorzover mogelijk, ongedaan worden gemaakt of worden hersteld, dat de organisatie gegevens in de toekomst conform de beginselen zal verwerken en dat, waar nodig, de verwerking van de persoonsgegevens van de klager wordt stopgezet. De sancties moeten zwaar genoeg zijn om de naleving van de beginselen door de organisatie te waarborgen. Aan de hand van een scala van lichte tot zware sancties zullen geschillenafhandelingsinstanties op passende wijze kunnen reageren op in ernst variërende gevallen van niet-naleving. Tot de sancties moeten behoren bekendmaking van geconstateerde gevallen van niet-naleving en de eis gegevens in bepaalde omstandigheden te wissen(4). Andere mogelijke sancties zijn de opschorting en intrekking van een keurmerk, schadeloosstelling van personen voor verliezen die ze als gevolg van niet-naleving hebben geleden, en dwangmaatregelen. Particuliere geschillenafhandelingsinstanties en zelfregulerende instanties moeten in voorkomend geval de rechter of de terzake bevoegde overheidsinstantie in kennis stellen van de niet-inachtneming van hun uitspraken door veiligehavenorganisaties, en het ministerie van Handel (of de door dit ministerie aangewezen instantie) daarvan op de hoogte stellen.

Actie van de FTC

De FTC zal prioriteit geven aan zaken die haar door zelfregulerende organisaties voor de bescherming van de persoonlijke levenssfeer, zoals BBBOnline en TRUSTe, en de lidstaten van de Europese Unie in verband met niet-naleving van de Veiligehavenbeginselen worden voorgelegd, om na te gaan of er sprake is van schending van sectie 5 van de FTC Act, die oneerlijke of bedrieglijke handelspraktijken verbiedt. Als de FTC reden(en) heeft om aan te nemen dat sectie 5 werd geschonden, kan zij de zaak oplossen door een administratief verbod van de aangeklaagde praktijken te laten uitvaardigen, of door bij een federale rechtbank een klacht in te dienen, die als deze wordt aanvaard, kan resulteren in een uitspraak die hetzelfde effect sorteert. De FTC kan civielrechtelijk optreden wegens overtreding van een administratief verbod, dan wel civiel- of strafrechtelijk wegens niet-naleving van een uitspraak van een federale rechtbank. De FTC zal het ministerie van Handel van dergelijke acties in kennis stellen. Dit ministerie moedigt andere overheidsinstanties ertoe aan hem van het uiteindelijke resultaat van dergelijke verwijzingen of andere uitspraken in verband met de naleving van de Veiligehavenbeginselen in kennis te stellen.

Permanente niet-naleving

Als een organisatie voortdurend de beginselen overtreedt, komt ze niet langer in aanmerking voor de voordelen van de veilige haven. Er is sprake van permanente niet-naleving indien een organisatie die bij het ministerie van Handel (of de door dit ministerie aangewezen instantie) een zelfcertificeringsverklaring heeft ingediend, weigert zich te conformeren aan een definitieve uitspraak van een zelfregulerende of overheidsinstantie of indien een dergelijke instantie constateert dat een organisatie zich vaak niet aan de beginselen houdt en haar verklaring deze te zullen naleven niet langer geloofwaardig is. De organisatie moet het ministerie van Handel (of de door dit ministerie aangewezen instantie) daarvan dan onverwijld in kennis stellen. Als zij dit niet doet, kan op grond van de False Statements Act vervolging tegen deze organisatie worden ingesteld.

Indien het ministerie (of de door dit ministerie aangewezen instantie) ervan in kennis wordt gesteld dat een organisatie de beginselen voortdurend overtreedt, ongeacht of deze kennisgeving uitgaat van de organisatie zelf, van een zelfregulerende instantie of van een overheidsinstantie, zal het dit vermelden op de openbare lijst van organisaties die zelf hebben verklaard de veilige haven in acht te zullen nemen, evenwel met dien verstande dat het de organisatie die de beginselen niet heeft nageleefd, daarvan 30 dagen van tevoren in kennis heeft gesteld en de kans heeft gegeven om te reageren. Uit deze door het ministerie van Handel (of de door dit ministerie aangewezen instantie) bijgehouden openbare lijst blijkt dan ook welke organisaties verder voor de voordelen van de veilige haven in aanmerking komen en welke niet.

Een organisatie die zich bij een zelfregulerende instantie aansluit om opnieuw voor de veilige haven in aanmerking te komen, moet deze instantie volledige informatie over haar vroegere deelneming aan de veilige haven verstrekken.

FAQ 12 - Keuze - Tijdstip van verzet (opt-out)

V: Houdt het keuzebeginsel in dat een persoon zijn keuzerecht alleen aan het begin van een relatie kan uitoefenen of kan hij dit te allen tijde?

A: Het keuzebeginsel heeft ten doel ervoor te zorgen dat persoonlijke informatie wordt gebruikt en bekend wordt gemaakt op een manier die tegemoetkomt aan de verwachtingen en de keuzes van de betrokkene. Daarom moet deze te allen tijde de mogelijkheid hebben zich tegen het gebruik van zijn persoonlijke informatie voor direct marketing te verzetten; hij dient dit wel te doen binnen door de organisatie vastgestelde, redelijke termijnen, zodat de organisatie de tijd heeft gevolg aan de keuze te geven. Een organisatie kan ook eisen dat haar voldoende informatie wordt verstrekt ter bevestiging van de identiteit van de persoon die zich verzet. In de Verenigde Staten kunnen particulieren dit recht uitoefenen via een centraal verzetprogramma zoals de Direct Marketing Association's Mail Preference Service. Organisaties die hieraan deelnemen, moeten de beschikbaarheid van deze dienst voor consumenten die geen commerciële informatie wensen te ontvangen, bevorderen. In ieder geval moet de betrokkene een beroep kunnen doen op een direct beschikbaar en betaalbaar mechanisme om dit keuzerecht uit te oefenen.

Een organisatie kan ook informatie voor sommige direct-marketingactiviteiten gebruiken wanneer het praktisch onmogelijk is om de betrokkene de gelegenheid te geven verzet aan te tekenen voordat de informatie wordt gebruikt, op voorwaarde dat de organisatie de betrokkene meteen daarna (en op verzoek altijd) de mogelijkheid biedt om verdere ontvangst van direct-marketingmededelingen te weigeren (zonder dat dit voor de consument kosten met zich brengt) en op voorwaarde dat de organisatie tegemoetkomt aan de wensen van de betrokkene.

FAQ 13 - Reisinformatie

V: Wanneer mag informatie over boekingen van luchtvaartpassagiers en andere reisinformatie, bijvoorbeeld over bonusregelingen voor vaste klanten of hotelreserveringen, en speciale behandelingen, zoals aan religieuze vereisten aangepaste maaltijden of fysieke bijstand, aan organisaties buiten de Europese Unie worden doorgegeven?

A: Dergelijke informatie mag onder verschillende omstandigheden worden doorgegeven. Ingevolge artikel 26 van de richtlijn mogen persoonsgegevens "naar een derde land dat geen waarborgen voor een passend beschermingsniveau in de zin van artikel 25, lid 2, biedt" worden doorgegeven op voorwaarde dat 1. dit noodzakelijk is om de door de passagier gevraagde diensten te leveren of voor de uitvoering van de vervoersovereenkomst, zoals een bonusregeling; of 2. de passagier op ondubbelzinnige wijze met de doorgifte heeft ingestemd. Organisaties in de Verenigde Staten die aan de veilige haven deelnemen, zorgen voor een adequate bescherming van persoonsgegevens en kunnen daarom gegevens vanuit de Europese Unie ontvangen zonder te voldoen aan deze voorwaarden of aan andere in artikel 26 van de richtlijn genoemde voorwaarden. Aangezien de veilige haven specifieke regels voor gevoelige informatie omvat, kan dergelijke informatie (die soms moet worden verzameld, bijvoorbeeld omdat een passagier fysieke bijstand nodig heeft) naar deelnemers aan de veilige haven worden doorgegeven. In alle gevallen moet de organisatie die de informatie doorgeeft, zich echter houden aan de wet van de EU-lidstaat waar zij actief is; deze kan onder meer bijzondere voorwaarden aan de behandeling van gevoelige gegevens stellen.

FAQ 14 - Farmaceutische en medische producten

V1: Zijn op persoonsgegevens die in de Europese Unie zijn verzameld en voor farmaceutisch onderzoek en/of voor andere doeleinden naar de Verenigde Staten zijn doorgegeven, de wetten van de lidstaten of de Veiligehavenbeginselen van toepassing?

A: De wetgeving van de lidstaten is van toepassing op de verzameling van de persoonsgegevens, alsmede op de verwerking voorzover die plaatsvindt vóór de doorgifte aan de Verenigde Staten. De Veiligehavenbeginselen zijn op de gegevens van toepassing vanaf het moment dat zij naar de Verenigde Staten zijn doorgegeven. Gegevens die voor farmaceutisch onderzoek en andere doeleinden worden gebruikt, moeten indien nodig worden geanonimiseerd.

V2: Persoonsgegevens uit specifiek medisch of farmaceutisch onderzoek spelen veelal een belangrijke rol bij later wetenschappelijk onderzoek. Als de voor een bepaald onderzoek verzamelde persoonsgegevens worden doorgegeven aan een veiligehavendeelnemer in de Verenigde Staten, mag deze de gegevens dan gebruiken voor nieuw wetenschappelijk onderzoek?

A: Ja, mits de betrokkene hiervan in eerste instantie op de juiste wijze van in kennis was gesteld en hij een keuzemogelijkheid had. Deze kennisgeving moet informatie bevatten over ieder specifiek gebruik van de gegevens in de toekomst, zoals periodieke follow-up, verwante studies of verkoopactiviteiten. Het spreekt voor zich dat niet ieder toekomstig gebruik van de gegevens kan worden voorzien, aangezien het nieuwe onderzoek waarvoor de gegevens zullen worden gebruikt, kan voortvloeien uit op grond van de oorspronkelijke gegevens verworven nieuwe inzichten, nieuwe medische ontdekkingen en vorderingen en de ontwikkeling van de volksgezondheid en regelgeving. In voorkomende gevallen moet de kennisgeving dan ook een toelichting bevatten waarin is aangegeven dat de persoonsgegevens voor toekomstig, nog niet te voorzien medisch en farmaceutisch onderzoek kunnen worden gebruikt. Als dit gebruik afwijkt van de algemene onderzoeksdoelstelling(en) waarvoor de gegevens oorspronkelijk zijn verzameld of waarvoor het individu later toestemming heeft gegeven, is opnieuw toestemming vereist.

V3: Wat gebeurt er met de gegevens van een deelnemer aan een klinische proef die zelf of op verzoek van de opdrachtgever zijn medewerking aan de proef opzegt?

A: Deelnemers kunnen op ieder moment hun medewerking aan een klinische proef opzeggen, of hiertoe worden verzocht. Alle gegevens die voorafgaand aan deze terugtrekking zijn verzameld, mogen toch, samen met de overige verzamelde gegevens, in de klinische proef worden verwerkt, mits de deelnemer hiervan op het moment dat hij in deelname toestemde, in kennis is gesteld.

V4: Producenten van geneesmiddelen en medische apparatuur mogen persoonsgegevens uit in de Europese Unie uitgevoerde klinische proeven met het oog op regelgeving en toezicht doorgeven aan instanties in de Verenigde Staten. Is een soortgelijke doorgifte ook toegestaan aan anderen, zoals ondernemingen en andere onderzoekers?

A: Ja, mits dit in overeenstemming is met de beginselen van kennisgeving en keuze.

V5: Met het oog op de objectiviteit mogen deelnemers, en vaak ook onderzoekers, bij veel klinische proeven niet weten welke behandeling iedere deelnemer ondergaat. Als dit wel het geval was, zouden de validiteit van het onderzoek en de resultaten in gevaar komen. Kunnen de deelnemers aan zulke klinische proeven (aangeduid als "blinde" tests) tijdens de proef toegang krijgen tot de gegevens over hun behandeling?

A: Nee, de deelnemer hoeft geen toegang tot deze gegevens te krijgen indien deze beperking is aangegeven toen de deelnemer toestemde in deelname aan de proef en bekendmaking van dergelijke informatie de validiteit van het onderzoek in gevaar brengt. Toestemming in deelname aan de proef onder deze voorwaarden geldt als het afzien van het recht op toegang tot deze informatie. Na de voltooiing van de proef en de analyse van de resultaten, moeten de deelnemers desgewenst toegang tot hun gegevens krijgen. Zij moeten zich hiervoor in eerste instantie wenden tot de arts of andere zorgverstrekker door wie hij in het kader van de medische proef is behandeld en in tweede instantie tot de opdrachtgever van de proef.

V6: Moeten producenten van geneesmiddelen en medische apparatuur de Veiligehavenbeginselen met betrekking tot kennisgeving, keuze, verdere doorgifte en toegang in acht nemen wanneer zij maatregelen in verband met de controle op de veiligheid en doeltreffendheid van hun producten nemen, zoals rapportage van incidenten en het volgen van patiënten/proefpersonen die bepaalde geneesmiddelen of medische apparatuur (bv. een pacemaker) gebruiken?

A: Nee, voorzover de naleving van de beginselen samenvalt met de naleving van de wettelijke voorschriften. Dit geldt zowel voor de rapportage door bijvoorbeeld zorgverstrekkers aan producenten van geneesmiddelen en medische apparatuur als voor de rapportage door producenten van geneesmiddelen en medische apparatuur aan overheidsinstanties, zoals de Food and Drug Administration.

V7: De hoofdonderzoeker voorziet de onderzoeksgegevens altijd al bij de bron van een unieke code, zodat de identiteit van de individuen waarop de gegevens betrekking hebben geheim blijft. De farmaceutische bedrijven die de opdracht voor het onderzoek hebben gegeven, krijgen niet de beschikking over de sleutel. Deze is uitsluitend bij de onderzoeker bekend, zodat hij onder bepaalde omstandigheden (bv. als achteraf nog medische zorg nodig is) de betrokkene kan identificeren. Is een doorgifte van dusdanig gecodeerde gegevens van de Europese Unie naar de Verenigde Staten een doorgifte van persoonsgegevens waarop de Veiligehavenbeginselen van toepassing zijn?

A: Nee. Dit geldt niet als een doorgifte van persoonsgegevens waarop de beginselen van toepassing zijn.

FAQ 15 - Informatie uit openbare bestanden of openbaar beschikbare informatie

V: Moeten de beginselen van kennisgeving, keuze en verdere doorgifte worden toegepast op informatie uit openbare bestanden of openbaar beschikbare informatie?

A: Het is niet nodig de beginselen van kennisgeving, keuze en verdere doorgifte toe te passen op informatie uit openbare bestanden, op voorwaarde dat deze informatie niet is gecombineerd met informatie uit niet-openbare bestanden en alle voorwaarden die de bevoegde instanties voor raadpleging stellen, worden nageleefd.

In het algemeen is het evenmin nodig de beginselen van kennisgeving, keuze en verdere doorgifte toe te passen op openbaar beschikbare informatie, tenzij de Europese organisatie die de informatie doorgeeft, aangeeft dat voor deze informatie restricties gelden, op grond waarvan die beginselen in verband met het gebruik dat zij van de informatie wil maken door de organisatie moeten worden toegepast. Organisaties zijn niet aansprakelijk voor de manier waarop dergelijke informatie wordt gebruikt door degenen die de informatie uit gepubliceerd materiaal hebben verkregen.

Indien wordt geconstateerd dat een organisatie persoonlijke informatie opzettelijk in strijd met de beginselen openbaar heeft gemaakt, zodat zij of anderen van deze uitzonderingen kunnen profiteren, komt zij niet langer voor de veilige haven in aanmerking.

(1) De opneming van deze FAQ in het pakket hangt af van de goedkeuring van de gegevensbeschermingsautoriteiten. Zij hebben de huidige tekst in de Groep van artikel 29 besproken en de meerderheid vindt deze aanvaardbaar, maar zij wensen slechts een definitief standpunt in te nemen in het kader van het algemene advies dat de Groep over het uiteindelijke pakket zal uitbrengen.

(2) Zie FAQ 7 over controle.

(3) Geschillenafhandelingsinstanties hoeven het rechtshandhavingsbeginsel niet in acht te nemen. Zij kunnen ook van de beginselen afwijken in geval van strijdige verplichtingen of een uitdrukkelijke machtiging bij de uitvoering van hun specifieke taken.

(4) Geschillenafhandelingsinstanties moeten een discretionaire bevoegdheid hebben ten aanzien van de omstandigheden waarin zij deze sancties opleggen. Bij een eis gegevens te wissen moet onder meer rekening worden gehouden met de gevoeligheid van de gegevens en met het feit of een organisatie flagrant in strijd met de beginselen gegevens heeft verzameld of gebruikt, dan wel openbaar heeft gemaakt.

BIJLAGE III

Veilige haven: overzicht rechtshandhaving

Bevoegdheden van de centrale overheid en de staten op het gebied van oneerlijke en misleidende praktijken en de bescherming van de persoonlijke levenssfeer

In dit memorandum wordt een beeld gegeven van de bevoegdheden van de Federal Trade Commission (FTC) in het kader van sectie 5 van de Federal Trade Commission Act (15 U.S.C. §§ 41-58, zoals gewijzigd) om maatregelen te nemen tegen organisaties die persoonlijke informatie niet beschermen, ondanks hun verklaringen en/of verplichtingen dat wel te doen. Ook wordt aandacht besteed aan de uitzonderingen op deze bevoegdheden en aan andere instanties van de centrale overheid of de staten die maatregelen kunnen nemen wanneer de FTC daartoe niet bevoegd is(1).

De bevoegdheid van de FTC bij oneerlijke en misleidende praktijken

Volgens sectie 5 van de Federal Trade Commission Act zijn "oneerlijke of misleidende handelingen of praktijken in of in verband met de handel" illegaal. 15 U.S.C. § 45(a)(1). Sectie 5 verleent de FTC volmacht om dergelijke handelingen en praktijken te voorkomen. 15 U.S.C. § 45(a)(2). De FTC kan na een formele behandeling van de zaak het laakbare gedrag verbieden. 15 U.S.C. § 45(b). In het openbaar belang kan de FTC eventueel ook bij een districtsrechtbank vragen om een tijdelijke beperking of een tijdelijk of permanent verbod. 15 U.S.C. § 53(b). In gevallen waarin de oneerlijke of misleidende handelingen of praktijken wijdverbreid zijn, of wanneer zij terzake al een verbod heeft uitgevaardigd, kan zij een administratieve beslissing afkondigen om dergelijke handelingen of praktijken in het algemeen te verbieden. 15 U.S.C. § 57a.

Niet-naleving van een voorschrift van de FTC kan bestraft worden met een civielrechtelijke boete van maximaal 11000 USD, waarbij iedere dag dat de overtreding voortduurt een afzonderlijke overtreding vormt(2), 15 U.S.C. § 45(1). Ook degene die bewust een beslissing van de FTC overtreedt, kan voor iedere overtreding worden bestraft met een boete van 11000 USD. 15 U.S.C § 45(m). Handhaving kan worden afgedwongen door het ministerie van Justitie of, indien dit weigert, de FTC. 15 U.S.C. § 56.

De bevoegdheden van de FTC op het gebied van de bescherming van de persoonlijke levenssfeer

Wanneer de FTC haar bevoegdheden uit hoofde van sectie 5 uitoefent, neemt zij het standpunt in dat een onjuiste verklaring over de reden waarom informatie bij klanten wordt verzameld of hoe de informatie zal worden gebruikt een misleidende praktijk is(3). Zo heeft de FTC in 1998 een klacht tegen GeoCities ingediend omdat dit bedrijf, ondanks verklaringen van het tegendeel, informatie die het op zijn website had verzameld aan derden bekendmaakte, zodat dezen de consument zonder diens voorafgaande toestemming met reclame konden bestoken(4). FTC-medewerkers hebben ook verklaard dat het verzamelen van persoonlijke informatie bij kinderen en de verkoop en bekendmaking van deze informatie zonder de toestemming van de ouders waarschijnlijk een oneerlijke praktijk is(5).

De voorzitter van de FTC, Robert Pitofsky, wees er in zijn brief van 23 september 1998 aan de heer John Mogg, directeur-generaal bij de Europese Commissie, op dat de bevoegdheid van de FTC om de persoonlijke levenssfeer te beschermen beperkt is wanneer er geen onjuiste verklaring (of in het geheel geen verklaring) is gegeven over de wijze waarop de verzamelde informatie zal worden gebruikt. Bedrijven die van de voorgestelde veilige haven willen profiteren, zullen evenwel moeten verklaren dat zij de door hen verzamelde informatie overeenkomstig de voorgeschreven richtsnoeren zullen beschermen. Wanneer een bedrijf verklaart dat het de privacy van de informatie zal waarborgen en dat vervolgens niet doet, is er dan ook sprake van een onjuiste verklaring en een "misleidende praktijk" in de zin van sectie 5.

Aangezien de bevoegdheden van de FTC alleen betrekking hebben op oneerlijke of misleidende handelingen of praktijken "in of in verband met de handel", is zij niet bevoegd ten aanzien van de verzameling en het gebruik van persoonlijke informatie voor niet-commerciële doeleinden, zoals de inzameling van fondsen voor charitatieve doeleinden. Zie brief Pitofsky, blz. 3. Anders is het gesteld bij het gebruik van persoonlijke informatie bij commerciële transacties. Wanneer een werkgever bijvoorbeeld persoonlijke informatie over zijn werknemers aan een direct-marketingbedrijf verkoopt, valt deze transactie wel onder sectie 5.

Uitzonderingen op sectie 5

Sectie 5 noemt uitzonderingen op de bevoegdheden van de FTC over oneerlijke of misleidende handelingen of praktijken met betrekking tot:

- financiële instellingen (banken, spaarbanken, kredietinstellingen);

- telecommunicatiebedrijven en algemene binnenlandsvervoerbedrijven;

- luchtvaartmaatschappijen; en

- de vee- en vleeshandel.

Zie 15 U.S.C, § 45(a)(2). Hieronder bespreken we iedere uitzondering, met de regulerende autoriteit die in de plaats van de FTC treedt.

Financiële instellingen(6)

De eerste uitzondering heeft betrekking op "banken en spaarbanken zoals gedefinieerd in sectie 18(f)(3) [15 U.S.C. § 57a(f)(3)]" en "federale kredietinstellingen zoals gedefinieerd in sectie 18(f)(4) [15 U.S.C. § 57a(f)(4)]"(7). Deze financiële instellingen vallen in plaats daarvan onder regelingen van respectivelijk de Federal Reserve Board, het Office of Thrift Supervision(8) en de National Credit Union Administration Board. Zie 15 U.S.C. § 57a(f). Deze regulerende instanties moeten voorschriften geven die nodig zijn om oneerlijke of misleidende praktijken van deze financiële instellingen te voorkomen(9) en moeten een afzonderlijke afdeling oprichten voor de behandeling van klachten van consumenten. 15 U.S.C. § 57a(f)(1). Ten slotte vloeien bevoegdheden op het gebied van de rechtshandhaving voort uit sectie 8 van de Federal Deposit Insurance Act (12 U.S.C. § 1818) voor banken en spaarbanken en uit de secties 120 en 206 van de Federal Credit Union Act voor federale kredietinstellingen. 15 U.S.C. §§ 57a(f)(2)-(4).

Hoewel het verzekeringswezen in de lijst van uitzonderingen in sectie 5 niet specifiek wordt genoemd, laat de McCarran-Ferguson Act (15 U.S.C. § 1011 e.v.) de regulering van het verzekeringswezen in het algemeen over aan de afzonderlijke staten(10). Ingevolge sectie 2(b) van de McCarran-Ferguson Act kan federaal recht een regulering van een staat niet buiten werking stellen, hieraan geen afbreuk doen, noch in de plaats van een dergelijke regeling treden "tenzij die federale wet specifiek betrekking heeft op het verzekeringswezen". 15 U.S.C. § 1012(b). De bepalingen van de FTC Act hebben evenwel betrekking op het verzekeringswezen "voorzover dit niet in de wet van een staat is geregeld". Id. De McCarran-Ferguson Act voegt zich alleen naar de wetgeving van de staten met betrekking tot "het verzekeringswezen". De FTC behoudt dus nog bevoegdheden over oneerlijke of misleidende praktijken van verzekeringsmaatschappijen wanneer dit niet op het verzekeringswezen betrekking heeft. Dit is bijvoorbeeld het geval wanneer verzekeraars persoonlijke informatie over hun polishouders verkopen aan direct-marketingbedrijven voor andere dan verzekeringsproducten(11).

Algemene vervoerbedrijven

De tweede uitzondering van sectie 5 betreft algemene vervoerbedrijven waarop de wetgeving ter regulering van de handel van toepassing is. 15 U.S.C. § 45(a)(2). In dit geval gaat het hierbij om subtitel IV van titel 49 van de United States Code en om de Communications Act van 1934 (47 U.S.C. § 151 e.v.) (de Communications Act). Zie 15 U.S.C. § 44.

49 U.S.C. subtitel IV (Interstate Transportation) heeft betrekking op het vervoer per spoor, over de weg en over water en op makelaars, expeditiebedrijven en exploitanten van pijpleidingen. 49 U.S.C. § 10101 e.v. Al deze algemene vervoerbedrijven worden gereguleerd door de Surface Transportation Board, een onafhankelijk agentschap binnen het ministerie van Vervoer. 49 U.S.C. §§ 10501, 13501 en 15301. In ieder geval mag het vervoerbedrijf geen informatie openbaar maken over de aard, de bestemming en andere aspecten van zijn vracht, die ten koste van de verzender zou kunnen worden gebruikt. Zie 49 U.S.C. §§ 11904, 14908 en 16103. Deze bepalingen hebben betrekking op informatie over de vracht en dus niet over persoonlijke informatie over de verzender die geen verband houdt met de vracht.

In de Communications Act wordt bepaald dat de nationale en internationale handel in draadgebonden en draadloze communicatie wordt geregeld door de Federal Communications Commission (FCC). Zie 47 U.S.C. §§ 151 en 152. De Communications Act heeft niet alleen betrekking op algemene telecommunicatiemaatschappijen, maar ook op radio-, televisie- en kabelbedrijven die niet algemeen zijn en als zodanig niet in aanmerking komen voor de uitzondering van sectie 5 van de FTC Act. De FTC is derhalve bevoegd onderzoek te doen naar oneerlijke en misleidende praktijken van deze maatschappijen, terwijl de FCC tegelijkertijd zijn eigen onafhankelijke bevoegdheden terzake kan uitoefenen.

Krachtens de Communications Act is iedere telecommunicatiemaatschappij, waaronder ook lokale telefooncentrales, verplicht informatie over hun klanten vertrouwelijk te behandelen(12). 47 U.S.C. § 222(a). Afgezien van deze algemene bevoegdheden ter bescherming van de persoonlijke levenssfeer werd de Communications Act gewijzigd bij de Cable Communications Policy Act van 1984 (de Cable Act), 47 U.S.C. § 521 e.v., om kabelexploitanten te verplichten tot een vertrouwelijke behandeling van "persoonlijk identificeerbare informatie" over kabelabonnees. 47 U.S.C. § 551(13). De Cable Act beperkt het verzamelen van persoonlijke informatie door kabelexploitanten en verplicht hen hun abonnees in kennis te stellen van de aard van de verzamelde informatie en van de wijze waarop deze wordt gebruikt. De Cable Act geeft de abonnees recht op toegang tot informatie over zichzelf en eist van de kabelexploitanten dat deze informatie die niet langer nodig is, vernietigt.

De Communications Act machtigt de FCC deze twee privacybepalingen te handhaven, hetzij op eigen initiatief, hetzij naar aanleiding van een klacht(14). 47 U.S.C. §§ 205, 403; id. § 208. Indien de FCC vaststelt dat een telecommunicatiemaatschappij (of een kabelexploitant) de privacybepalingen van sectie 222 of sectie 551 heeft geschonden, heeft zij in wezen de keus uit drie mogelijke acties. In de eerste plaats kan de FCC, na de partijen te hebben gehoord en de overtreding te hebben vastgesteld, de maatschappij verplichten tot een schadevergoeding(15). 47 U.S.C. § 209. Zij kan de maatschappij echter ook opdragen op te houden met de laakbare praktijken of omissies. 47 U.S.C. § 205(a). Ten slotte kan de Commissie de betrokken maatschappij ertoe verplichten iedere regeling of praktijk die de FCC mocht voorschrijven in acht te nemen en na te leven. Id.

Particulieren die van mening zijn dat een telecommunicatiemaatschappij of kabelexploitant de desbetreffende bepalingen van de Communications Act of de Cable Act heeft overtreden, kunnen een klacht bij de FCC indienen of een zaak direct aan een federale districtsrechtbank voorleggen. 47 U.S.C. § 207. Een klager die in een zaak tegen een telecommunciatiemaatschappij over het niet-beschermen van informatie over klanten in het kader van de ruimere sectie 222 van de Communications Act van een federaal gerecht gelijk krijgt, kan een schadevergoeding krijgen en ook kunnen zijn advocaatkosten worden vergoed. 47 U.S.C. § 206. Een klager die in het kader van de speciaal op kabelexploitanten van toepassing zijnde sectie 551 van de Cable Act wegens een vermeende inbreuk op de privacy een rechtsvordering indient, kan behalve een vergoeding van de feitelijke schade en van zijn advocaat