AANBEVELING VAN DE COMMISSIE

van 1 maart 2011

over richtsnoeren voor de tenuitvoerlegging van de regels inzake gegevensbescherming in het systeem voor samenwerking op het gebied van consumentenbescherming (SSCB)

(2011/136/EU)

DE EUROPESE COMMISSIE,

Gezien het Verdrag betreffende de werking van de Europese Unie, en met name artikel 292,

Overwegende hetgeen volgt:

Verordening (EG) nr. 2006/2004 van het Europees Parlement en de Raad van 27 oktober 2004 betreffende samenwerking tussen de nationale instanties die verantwoordelijk zijn voor handhaving van de wetgeving inzake consumentenbescherming („verordening betreffende samenwerking met betrekking tot consumentenbescherming”) (1) (hierna de „SCB-verordening” genoemd) is gericht op een betere samenwerking bij de handhaving van de wetgeving inzake consumentenbescherming in de interne markt, richt een EU-netwerk van nationale publieke handhavingsinstanties (hierna het „SCB-netwerk” genoemd) op en bepaalt het kader en de algemene voorwaarden voor de samenwerking van de handhavingsinstanties van de lidstaten om de collectieve economische belangen van de consument te beschermen.

Het systeem voor samenwerking op het gebied van consumentenbescherming (hierna het „SSCB” genoemd) heeft tot doel de publieke handhavingsinstanties in staat te stellen in een veilige omgeving informatie uit te wisselen over mogelijke inbreuken op wetgeving inzake consumentenbescherming.

Bij de elektronische uitwisseling van informatie tussen de lidstaten moet worden voldaan aan de regels inzake de bescherming van persoonsgegevens van Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (2) (hierna de „gegevensbeschermingsrichtlijn” genoemd) en van Verordening (EG) nr. 45/2001 van het Europees Parlement en de Raad van 18 december 2000 betreffende de bescherming van natuurlĳke personen in verband met de verwerking van persoonsgegevens door de communautaire instellingen en organen en betreffende het vrĳe verkeer van die gegevens (3) (hierna de „gegevensbeschermingsverordening” genoemd).

Het is wenselijk richtsnoeren voor de tenuitvoerlegging van de regels inzake gegevensbescherming in het SSCB (hierna de „richtsnoeren” genoemd) vast te stellen om ervoor te zorgen dat de regels inzake gegevensbescherming worden nageleefd wanneer gegevens via het SSCB worden verwerkt.

Uiterlijk twee jaar na goedkeuring van deze aanbeveling moet de Commissie feedback worden verstrekt over de tenuitvoerlegging van de richtsnoeren. De Commissie moet vervolgens het gegevensbeschermingsniveau in het SSCB verder beoordelen en nagaan of bijkomende instrumenten, waaronder regelgevende maatregelen, vereist zijn.

HEEFT DE VOLGENDE AANBEVELING VASTGESTELD:

De lidstaten moeten de richtsnoeren in de bijlage volgen.

(1) PB L 364 van 9.12.2004, blz. 1.

(2) PB L 281 van 23.11.1995, blz. 31.

(3) PB L 8 van 12.1.2001, blz. 1.

(4) PB L 32 van 6.2.2007, blz. 192.

(5) Advies nr. 6/2007 over de gegevensbeschermingsaspecten van het systeem voor samenwerking op het gebied van de consumentenbescherming (CPCS) 01910/2007/NL — WP 130 — aangenomen op 21 september 2007.

(6) Advies van de EDPS, ref. 2010-0692.

BIJLAGE

Richtsnoeren voor de tenuitvoerlegging van de regels inzake gegevensbescherming in het systeem voor samenwerking op het gebied van consumentenbescherming, SSCB

1. INLEIDING

Samenwerking tussen de nationale instanties voor consumentenbescherming is van vitaal belang voor een correcte werking van de interne markt. Een gebrek aan doeltreffende handhaving van grensoverschrijdende inbreuken ondermijnt het vertrouwen van de consument in grensoverschrijdende aanbiedingen, en daarmee ook zijn vertrouwen in de interne markt. Bovendien leidt gebrekkige handhaving tot concurrentieverstoringen.

Het SSCB is een in de SCB-verordening voorzien IT-instrument dat een gestructureerd mechanisme biedt voor de uitwisseling van informatie tussen nationale instanties voor consumentenbescherming die tot het SCB-netwerk behoren. Via het SSCB kan een overheidsinstantie bijstand vragen aan andere overheidsinstanties binnen het SCB-netwerk om mogelijke inbreuken op de Europese wetgeving inzake consumentenbescherming te onderzoeken en aan te pakken, en om handhavingsmaatregelen te nemen om een halt toe te roepen aan illegale handelspraktijken van verkopers en leveranciers aan consumenten in andere EU-landen. Verzoeken om informatie en alle communicatie tussen bevoegde overheidsinstanties met betrekking tot de tenuitvoerlegging van de SCB-verordening geschieden via het SSCB.

De SCB-verordening is erop gericht de handhaving van wetgeving inzake consumentenbescherming binnen de interne markt te bevorderen door een EU-netwerk van nationale handhavingsinstanties op te richten. Daarnaast stelt zij de voorwaarden voor de onderlinge samenwerking tussen de lidstaten vast. In de SCB-verordening is vastgesteld dat zulke uitwisselingen van informatie en wederzijdse verzoeken om bijstand tussen nationale handhavingsinstanties via een specifieke databank moeten verlopen. Daarom is het SSCB ontwikkeld om deze administratieve samenwerking en uitwisseling van informatie te vereenvoudigen en de Europese wetgeving inzake consumentenbescherming te kunnen handhaven.

De samenwerking is beperkt tot intracommunautaire inbreuken op de rechtsbesluiten die voorkomen op de lijst in de bijlage van de SCB-verordening waarin de collectieve economische belangen van consumenten worden beschermd.

2. TOEPASSINGSGEBIED EN DOELSTELLING VAN DEZE RICHTSNOEREN

Deze richtsnoeren willen in eerste instantie een evenwicht vinden tussen enerzijds een efficiënte en effectieve handhavingssamenwerking tussen de bevoegde autoriteiten in de lidstaten en anderzijds de eerbiediging van de fundamentele rechten op privacy en bescherming van persoonsgegevens.

Persoonsgegevens worden in de gegevensbeschermingsrichtlijn gedefinieerd (1) als iedere informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon; als identificeerbaar wordt beschouwd een persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificatienummer of van een of meer specifieke elementen die kenmerkend zijn voor zijn of haar fysieke, fysiologische, psychische, economische, culturele of sociale identiteit.

Aangezien het nationale handhavingspersoneel dat het SSCB gebruikt (degenen die de zaken behandelen), niet altijd deskundig is in gegevensbescherming en zich niet altijd voldoende bewust is van de door de eigen nationale wetgeving inzake gegevensbescherming opgelegde vereisten van gegevensbescherming, is het aan te raden om SSCB-gebruikers richtsnoeren aan te reiken. In deze richtsnoeren wordt niet alleen de werking van het SSCB vanuit het praktische oogpunt van gegevensbescherming uitgelegd, maar worden ook de in het systeem ingebouwde beveiligingen en de mogelijke risico’s van het gebruik ervan nauwkeurig beschreven.

De richtsnoeren zijn bedoeld om de belangrijkste kwesties op het gebied van gegevensbescherming in verband met het SSCB te bestrijken en te voorzien in een gebruikersvriendelijke uitleg die alle SSCB-gebruikers kunnen raadplegen. Zij houden echter geen uitputtende analyse in van de consequenties die het SSCB heeft voor de gegevensbescherming.

Het verdient sterk de aanbeveling dat instanties voor gegevensbescherming in de lidstaten ook worden geraadpleegd om te waarborgen dat deze richtsnoeren worden aangevuld met de in de nationale wetgeving inzake gegevensbescherming vastgelegde verplichtingen. SSCB-gebruikers kunnen daarnaast verdere bijstand en sturing krijgen van deze nationale gegevensbeschermingsinstanties zodat aan de vereisten inzake gegevensbescherming wordt voldaan. Een lijst van deze instanties met hun contactgegevens en websites is beschikbaar op:

http://ec.europa.eu/justice_home/fsj/privacy/nationalcomm/#eu

Het moet duidelijk zijn dat de verwerking van persoonsgegevens in overeenstemming met de in de gegevensbeschermingsrichtlijn vastgelegde bijzondere beginselen en voorwaarden moet plaatsvinden. Degenen die de zaken behandelen, hebben binnen de context van de SCB-verordening het recht om via het SSCB gegevens, waaronder persoonsgegevens, uit te wisselen indien dit tot doel heeft een einde te maken aan de inbreuk op de in de bijlage bij de SCB-verordening genoemde Europese consumentenwetgeving. Voordat zulke gegevens worden verwerkt, is echter een nauwkeurige beoordeling nodig om ervoor te zorgen dat de naleving van de beginselen inzake gegevensbescherming wordt gewaarborgd en de verwerking van de gegevens strikt genomen noodzakelijk is om de doelstellingen van de SCB-verordening te verwezenlijken.

Met dit in het achterhoofd moeten degenen die de zaken behandelen en daarbij toegang hebben tot het SSCB, elk geval afzonderlijk beoordelen voordat ze de persoonsgegevens mogen verwerken (2). Deze richtsnoeren hebben tot doel hen met die beoordeling te helpen door enkele uitgangspunten inzake gegevensbescherming aan te reiken die in acht moeten worden genomen.

Daarnaast verduidelijken ze enkele moeilijkheden van de SSCB-architectuur met betrekking tot gezamenlijke verwerking en gedeelde verantwoordelijkheid. Zo beschrijven ze de rol van de Commissie en de rol van de bevoegde autoriteiten van de lidstaten als gezamenlijke verantwoordelijken voor de gegevensuitwisseling via het SSCB.

3. HET SSCB — EEN IT-INSTRUMENT VOOR SAMENWERKING OP HANDHAVINGSGEBIED

Het SSCB is een IT-instrument dat de Commissie samen met de lidstaten heeft ontwikkeld en onderhoudt. Het SSCB is bedoeld om lidstaten bijstand te verlenen bij de praktische tenuitvoerlegging van de Europese wetgeving inzake consumentenbescherming. Het wordt door het SCB-netwerk gebruikt. Dat netwerk bestaat uit overheidsinstanties die door de lidstaten en EER-landen zijn aangewezen om samen te werken en onderling informatie uit te wisselen bij de handhaving van de wetgeving inzake consumentenbescherming, zoals bepaald in de SCB-verordening.

In artikel 10 van de SCB-verordening is het volgende bepaald:

„De Commissie houdt een elektronische databank bij waarin zij de informatie die zij op grond van de artikelen 7, 8 en 9 ontvangt, opslaat en verwerkt. De databank kan alleen door de bevoegde autoriteiten worden geraadpleegd …”.

In artikel 12, lid 3, van de SCB-verordening wordt hier het volgende aan toegevoegd:

„Het indienen van een verzoek om bijstand en het verstrekken van informatie geschiedt altijd schriftelijk aan de hand van een standaardformulier; verzoeken en informatie worden via de in artikel 10 bedoelde databank elektronisch toegezonden.”.

Het SSCB vereenvoudigt de samenwerking en uitwisseling van informatie die beperkt is tot intracommunautaire inbreuken op de in de bijlage bij de SCB-verordening genoemde richtlijnen en verordeningen. Deze bijlage heeft betrekking op uiteenlopende onderwerpen, zoals oneerlijke handelspraktijken, verkoop op afstand, consumentenkrediet, pakketreizen, oneerlijke bedingen in overeenkomsten, timesharing, elektronische handel en andere. Het SSCB kan niet worden gebruikt voor het uitwisselen van informatie op wetgevingsterreinen die niet specifiek in deze bijlage worden vermeld.

Voorbeelden:

I. Een in België gevestigde handelaar hanteert oneerlijke bedingen in zijn betrekkingen met consumenten in Frankrijk en pleegt daarmee inbreuk op de richtlijn inzake oneerlijke bedingen in overeenkomsten. De consumenteninstantie in Frankrijk kan via het SSCB de consumenteninstantie in België vragen alle noodzakelijke en in België beschikbare handhavingsmaatregelen tegen de handelaar te treffen om de intracommunautaire inbreuk onverwijld te beëindigen.

II. De consumenteninstantie in Denemarken ontvangt klachten dat een bepaalde website frauduleuze en misleidende handelspraktijken ten nadele van consumenten gebruikt. De website wordt in Zweden gehost. De Deense consumenteninstantie heeft informatie over de website nodig. Daarom gebruikt zij het SSCB om de Zweedse consumenteninstantie om informatie te vragen. Deze is vervolgens verplicht de gevraagde informatie te verstrekken.

De informatie wordt door de lidstaten geüpload, opgeslagen in het SSCB, opgevraagd door de lidstaten waaraan de informatie is gericht en verwijderd door de Commissie (3). Het SSCB wordt gebruikt als een opslagplaats voor informatie en een middel om via een efficiënt en veilig communicatiesysteem informatie uit te wisselen.

Vanuit het oogpunt van gegevensbescherming brengt de oprichting van een dergelijke databank altijd bepaalde risico’s voor het fundamentele recht op bescherming van persoonsgegevens: meer gegevens uitwisselen dan voor een efficiënte samenwerking strikt noodzakelijk is; gegevens bewaren die zouden moeten zijn verwijderd, en gegevens aanhouden die niet langer accuraat of correct zijn; en verzuimen te waarborgen dat de rechten van de betrokkenen worden geëerbiedigd en de verplichtingen van degenen die verantwoordelijk zijn voor de gegevensverwerking worden nageleefd. Om deze risico’s aan te pakken, moeten de gebruikers van het SSCB goed geïnformeerd en onderricht zijn over de regels inzake gegevensbescherming en moeten zij zorg kunnen dragen voor naleving van de toepasselijke wetgeving inzake gegevensbescherming.

4. HET JURIDISCHE EN TOEZICHTKADER VOOR GEGEVENSBESCHERMING

De Europese Unie beschikt sinds 1995 over een degelijk juridisch kader voor gegevensbescherming: de gegevensbeschermingsrichtlijn (4) die de verwerking van persoonsgegevens door lidstaten regelt, en de gegevensbeschermingsverordening (5) die de verwerking van persoonsgegevens door instellingen en organen van de Europese Unie regelt. De toepassing van de wetgeving op het gebied van gegevensbescherming is op dit moment afhankelijk van de identiteit van de SSCB-actor of -gebruiker.

De verwerking van gegevens door de Commissie wordt geregeld door de gegevensbeschermingsverordening, terwijl de verwerking van gegevens door degenen binnen de bevoegde nationale handhavingsinstanties die de zaken behandelen, wordt geregeld door de nationale wetgeving waarin de gegevensbeschermingsrichtlijn is omgezet.

De Commissie en de aangewezen bevoegde autoriteiten, als medeverantwoordelijken voor de gegevensverwerking, moeten beide als hoofdactoren met een specifieke rol in het SSCB hun respectieve verwerkingshandelingen op voorhand kenbaar maken en ter controle voorleggen aan de desbetreffende toezichthoudende instantie en ervoor zorgen dat de regels inzake gegevensbescherming worden nageleefd. Desalniettemin kunnen er in de nationale wetgeving waarin de gegevensbescherming is omgezet uitzonderingen worden verleend met betrekking tot de voorschriften voor zowel de kennisgeving als de voorafgaande controle.

Met de harmonisering van wetgeving inzake gegevensbescherming wordt beoogd zowel een hoog niveau van gegevensbescherming te waarborgen als de fundamentele rechten van personen te beschermen, en tegelijkertijd het vrij verkeer van persoonsgegevens tussen lidstaten mogelijk te maken. Aangezien nationale uitvoeringsmaatregelen tot verschillende regels kunnen leiden, worden SSCB-gebruikers er ten zeerste toe aangespoord deze richtsnoeren met hun nationale gegevensbeschermingsinstanties te bespreken, om te waarborgen dat de regels inzake gegevensbescherming worden nageleefd. Er kunnen immers andere regels gelden, bijvoorbeeld voor de informatie die aan personen moet worden verstrekt of voor de verplichting om de instantie voor gegevensbescherming te informeren over bepaalde handelingen voor gegevensverwerking.

Een van de belangrijkste kenmerken van het Europese juridisch kader inzake gegevensbescherming is dat het toezicht berust bij onafhankelijke instanties voor gegevensbescherming. Burgers hebben het recht om bij deze instanties hun klachten in te dienen en meteen buiten de rechtbank tot een oplossing te komen voor kwesties op het gebied van gegevensbescherming. De nationale gegevensbeschermingsinstanties houden toezicht op de verwerking van persoonsgegevens op nationaal niveau. De Europese Toezichthouder voor gegevensbescherming (EDPS) (6) houdt toezicht op de verwerking van persoonsgegevens door de Europese instellingen. De Commissie staat dan ook onder toezicht van de EDPS, terwijl andere gebruikers van het SSCB onder toezicht van de nationale gegevensbeschermingsinstanties staan.

5. WIE IS WIE IN HET SSCB? — DE KWESTIE VAN GEZAMENLIJKE VERANTWOORDELIJKHEID

Het SSCB is een duidelijk voorbeeld van gezamenlijke verwerking en gedeelde verantwoordelijkheid. Zo mogen alleen de bevoegde autoriteiten in de lidstaten persoonsgegevens verzamelen, registreren, verstrekken en uitwisselen, maar is de Commissie verantwoordelijk voor het opslaan en verwijderen van deze gegevens op de servers. De Commissie heeft geen toegang tot deze persoonsgegevens, maar wordt beschouwd als de beheerder van het systeem.

Bijgevolg kan de toewijzing van verschillende taken en verantwoordelijkheden aan de Commissie en de lidstaten als volgt worden samengevat:

— iedere bevoegde autoriteit is verantwoordelijk voor haar eigen gegevensverwerkingsactiviteiten;

— de Commissie is geen gebruiker maar beheerder van het systeem en is in de eerste plaats verantwoordelijk voor het onderhoud en de veiligheid van de systeemarchitectuur. De Commissie heeft wel toegang tot de waarschuwingen, feedback en andere relevante informatie over de zaken (7). Deze toegang wordt de Commissie verleend zodat zij toezicht kan houden op de toepassing van de SCB-verordening en de in de bijlage van de SCB-verordening genoemde wetgeving inzake gegevensbescherming, en statische gegevens kan verzamelen in verband met de uitvoering van deze taken. Zij heeft echter geen toegang tot de informatie in verzoeken om wederzijdse bijstand en handhaving, aangezien die uitsluitend gericht zijn aan de bevoegde autoriteiten in de lidstaten die voor de specifieke zaak verantwoordelijk zijn. De SCB-verordening voorziet er daarentegen wel in dat de Commissie de bevoegde autoriteiten bij bepaalde geschillen bijstand kan verlenen (8) en dat zij uitgenodigd kan worden om deel te nemen aan een gecoördineerd onderzoek waarbij meer dan twee lidstaten betrokken zijn (9);

— de SSCB-actoren hebben dezelfde verantwoordelijkheden met betrekking tot de wettigheid van de verwerking, het verstrekken van informatie en rechten van toegang, bezwaar en rectificatie;

— zowel de Commissie als de bevoegde autoriteiten zijn als verantwoordelijke voor de verwerking er afzonderlijk verantwoordelijk voor dat de regels voor hun gegevensverwerkingshandelingen compatibel zijn met de regels inzake gegevensbescherming.

6. ACTOREN EN GEBRUIKERS IN HET SSCB

Er bestaan binnen het SSCB verschillende toegangsprofielen: de toegang tot de databank is beperkt en wordt alleen verstrekt aan een met naam genoemde ambtenaar van de bevoegde autoriteit (erkende gebruiker); deze taak is niet overdraagbaar. Verzoeken om toegang tot het SSCB kunnen alleen worden ingewilligd voor ambtenaren die door de bevoegde autoriteit van de lidstaat aan de Commissie kenbaar zijn gemaakt. Voor toegang tot het systeem is een inlognaam/wachtwoord vereist; deze kunnen worden verkregen via het verbindingsbureau.

Uitsluitend gebruikers bij de aangezochte en verzoekende bevoegde autoriteiten hebben volledig toegang tot de voor een bepaalde zaak uitgewisselde informatie, met inbegrip van alle bijlagen bij het SSCB-bestand. Verbindingsbureaus kunnen alleen de belangrijke informatie over een zaak lezen zodat ze kunnen bepalen aan welke bevoegde autoriteit een verzoek moet worden overgebracht. Zij kunnen vertrouwelijke documenten bij een verzoek of waarschuwing niet lezen.

In handhavingszaken wordt algemene informatie uitgewisseld tussen gebruikers bij alle bevoegde autoriteiten die voor de rechtsbesluiten waarop inbreuk is gepleegd als verantwoordelijke zijn aangemeld. Dat gebeurt aan de hand van kennisgevingen. In deze kennisgevingen moet de zaak in grote lijnen worden beschreven en moet vermelding van persoonsgegevens worden vermeden. Hierop zijn uitzonderingen mogelijk, zoals voor de naam van de verkoper of leverancier (als dit een natuurlijke persoon is).

De Commissie heeft geen toegang tot verzoeken om informatie en handhaving of tot vertrouwelijke documenten, maar zij ontvangt wel kennisgevingen en waarschuwingen.

7. BEGINSELEN INZAKE GEGEVENSBESCHERMING DIE VAN TOEPASSING ZIJN OP DE UITWISSELING VAN INFORMATIE

De SSCB-gebruikers in de lidstaten mogen persoonsgegevens alleen onder bepaalde voorwaarden en alleen in overeenstemming met de in de gegevensbeschermingsrichtlijn neergelegde beginselen verwerken. De verantwoordelijke voor de verwerking van de gegevens moet ervoor zorgen dat de beginselen inzake gegevensbescherming worden nageleefd bij de verwerking van persoonsgegevens in het SSCB.

Er moet tevens worden opgemerkt dat zowel geheimhoudings- als gegevensbeschermingsregels op het SSCB van toepassing zijn. De regels op het gebied van vertrouwelijkheid en beroepsgeheim gelden voor gegevens in het algemeen, terwijl regels inzake gegevensbescherming beperkt zijn tot persoonsgegevens.

Er moet rekening mee worden gehouden dat SSCB-gebruikers in de lidstaten nog voor veel andere verwerkingshandelingen verantwoordelijk zijn en bijgevolg misschien geen deskundigen zijn in gegevensbescherming. Naleving van gegevensbescherming in het SSCB moet niet onnodig complex zijn en mag geen buitensporige administratieve last vormen. Het systeem hoeft ook niet voor alle betrokkenen hetzelfde te zijn. Deze richtsnoeren zijn aanbevelingen voor de behandeling van persoonsgegevens; bovendien zijn niet alle gegevens die binnen het SSCB worden uitgewisseld persoonsgegevens.

Voordat er informatie in het SSCB wordt geüpload, moet het handhavingspersoneel nagaan of de persoonsgegevens in kwestie strikt noodzakelijk zijn voor een efficiënte samenwerking en moet het er rekening mee houden naar wie het de persoonsgegevens stuurt. De handhavingsambtenaar moet zichzelf de vraag stellen of de ontvanger deze informatie werkelijk nodig heeft met het oog op de waarschuwing of het verzoek om wederzijdse bijstand.

De volgende lijst met grondbeginselen van gegevensbescherming helpt het handhavingspersoneel dat toegang heeft tot het SSCB om elke keer dat het persoonsgegevens in het systeem verwerkt, te beoordelen of de regels inzake gegevensbescherming wat betreft de verwerking van persoonsgegevens worden nageleefd. Het handhavingspersoneel moet er ook rekening mee houden dat er op nationaal niveau uitzonderingen en beperkingen kunnen bestaan op de toepassing van onderstaande beginselen inzake gegevensbescherming. Het wordt derhalve aangeraden om de nationale gegevensbeschermingsinstanties te raadplegen (10).

Welke beginselen inzake gegevensbescherming moeten worden nageleefd?

De algemene beginselen inzake gegevensbescherming die vóór de verwerking van persoonsgegevens in aanmerking moeten worden genomen, komen uit de gegevensbeschermingsrichtlijn. Aangezien deze richtlijn in nationale wetgeving is omgezet, moeten degenen die de zaken behandelen hun nationale toezichthoudende instantie voor gegevensbescherming raadplegen over de toepassing van de onderstaande beginselen. Daarnaast moeten ze nagaan of er uitzonderingen of beperkingen op de toepassing ervan bestaan.

Transparantiebeginsel

In de gegevensbeschermingsrichtlijn is bepaald dat betrokkenen het recht hebben te worden ingelicht over de verwerking van hun persoonsgegevens. De voor de verwerking verantwoordelijke moet zijn naam en adres mededelen, alsmede het doel van de verwerking van de gegevens, wie de gegevens zal ontvangen en alle overige informatie die nodig is om een eerlijke verwerking te waarborgen (11).

Gegevens mogen slechts in de volgende gevallen worden verwerkt (12):

— de betrokkene heeft toegestemd in de verwerking;

— de verwerking is noodzakelijk voor de uitvoering of het aangaan van een overeenkomst;

— de verwerking is noodzakelijk voor het nakomen van een wettelijke verplichting;

— de verwerking is noodzakelijk ter vrijwaring van een vitaal belang van de betrokkene;

— de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of die deel uitmaakt van de uitoefening van het openbaar gezag die aan de voor de verwerking verantwoordelijke of de derde aan wie de gegevens worden verstrekt, drager is opgedragen;

— de verwerking is noodzakelijk voor de behartiging van het gerechtvaardigde belang van de voor de verwerking verantwoordelijke of van de derde(n) aan wie de gegevens worden verstrekt.

Rechtmatigheids- en eerlijkheidsbeginsel

Persoonsgegevens mogen niet op oneerlijke of onrechtmatige wijze worden verzameld of verwerkt, en mogen ook niet worden gebruikt voor doeleinden die onverenigbaar zijn met de in de SCB-verordening genoemde doeleinden. De verwerking gebeurt rechtmatig wanneer degenen die de zaken behandelen duidelijke redenen voor de verwerking kunnen aandragen. De gegevens moeten voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verwerkt en mogen vervolgens niet verder worden verwerkt op een wijze die onverenigbaar is met die doeleinden (13). Dat kan alleen in de SCB-verordening worden bepaald.

De verwerking gebeurt eerlijk wanneer de betrokkenen op de hoogte zijn van de doeleinden waarvoor hun gegevens worden verwerkt en van het bestaan van hun recht van toegang, rectificatie en bezwaar.

Beginsel van evenredigheid, nauwkeurigheid en bewaringstermijnen

De gegevens moeten toereikend, adequaat, ter zake dienend en niet bovenmatig zijn in verhouding tot het doel waarvoor zij worden verkregen en/of verder verwerkt. De gegevens moeten nauwkeurig zijn en zo nodig worden bijgewerkt; alle redelijke maatregelen moeten worden getroffen om de gegevens die, uitgaande van de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, onnauwkeurig of onvolledig zijn, te wissen of te corrigeren; persoonsgegevens mogen in een vorm die het mogelijk maakt de betrokkenen te identificeren, niet langer worden bewaard dan noodzakelijk is voor de verwezenlijking van de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt. Er moeten passende waarborgen worden opgenomen voor persoonsgegevens die langer dan hierboven bepaald worden bewaard voor historische, statistische of wetenschappelijke doeleinden.

Degenen die de zaken behandelen, moeten nagaan of de verwerkte informatie strikt noodzakelijk is voor de beoogde doeleinden.

Beginsel van gebruiksbeperking

Persoonsgegevens moeten voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet worden verwerkt op een wijze die onverenigbaar is met die doeleinden. De betrokkene moet ervan op de hoogte worden gebracht. Degenen die de zaken behandelen, mogen persoonsgegevens uitsluitend verwerken wanneer dit een duidelijk doel dient: de juridische grondslagen voor een rechtmatige doorgifte worden in de SCB-verordening bepaald.

Recht van toegang

Krachtens de gegevensbeschermingsrichtlijn (14) hebben betrokkenen het recht te worden ingelicht over de verwerking van hun persoonsgegevens, over de doeleinden van de verwerking, over de ontvangers van de gegevens en over hun specifieke rechten, met name het recht op informatie en rectificatie. De betrokkene heeft het recht op toegang tot alle hem betreffende verwerkte gegevens. De betrokkene heeft tevens het recht te verzoeken om de rectificatie, verwijdering of blokkering van gegevens die incompleet of onnauwkeurig zijn, of die niet overeenkomstig de regels inzake gegevensbescherming zijn verwerkt (15).

Gevoelige gegevens

Het is verboden gegevens te verwerken waaruit zaken kunnen worden afgeleid zoals raciale of etnische afkomst, politieke opvattingen, godsdienstige of levensbeschouwelijke overtuiging, het lidmaatschap van een vakvereniging, alsook gegevens die de gezondheid of het seksuele leven betreffen, of gegevens inzake overtredingen en strafrechtelijke veroordelingen. De gegevensbeschermingsrichtlijn (16) voorziet echter in een aantal uitzonderingen op deze regel waarbij onder bepaalde voorwaarden gevoelige gegevens mogen worden verwerkt (17). Aangezien SSCB-gebruikers zich in een situatie kunnen bevinden waarbij ze gevoelige gegevens verwerken (18), moeten zij daarbij de nodige omzichtigheid aan de dag leggen. SSCB-gebruikers wordt aangeraden hun nationale gegevensbeschermingsinstantie te raadplegen over eventuele vrijstellingen voor de verwerking van gevoelige gegevens.

Uitzonderingen

In het kader van het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten zijn in de gegevensbeschermingsrichtlijn enkele uitzonderingen toegestaan. Degenen die de zaken behandelen, wordt aangeraden de nationale wetgeving te raadplegen om na te gaan of en in welke mate zulke uitzonderingen mogelijk zijn (19). Er wordt aanbevolen eventuele uitzonderingen duidelijk te vermelden in de privacyverklaringen van elke bevoegde autoriteit.

Toepassing van de beginselen inzake gegevensbescherming

Wanneer deze beginselen inzake gegevensbescherming worden toegepast op de werking van het SSCB, gelden de volgende aanbevelingen:

1. Het gebruik van het SSCB moet strikt beperkt zijn tot de in de SCB-verordening genoemde doeleinden. In artikel 13, lid 1, van de SCB-verordening is bepaald dat verstrekte informatie alleen mag worden gebruikt ter waarborging van de naleving van de wetgeving ter bescherming van de belangen van de consument. Deze wetten worden vermeld in de bijlage bij de SCB-verordening.

2. Er wordt aanbevolen dat handhavingspersoneel de uit een verzoek om wederzijdse bijstand of een waarschuwing verkregen informatie alleen gebruikt voor die specifieke zaak en daarbij de wettelijke voorschriften inzake gegevensbescherming strikt naleeft en vooraf beoordeelt of de verwerking noodzakelijk is in het kader van een in het algemeen belang uitgevoerd onderzoek.

3. Wanneer het handhavingspersoneel gegevens doorgeeft, gaat het voor elk geval na wie de te verwerken informatie moet ontvangen.

4. De SSCB-gebruikers moeten hun vragen in het verzoek om wederzijdse bijstand zorgvuldig selecteren en niet meer gegevens vragen dan noodzakelijk. Hiermee worden niet alleen de beginselen betreffende de kwaliteit van de gegevens in acht genomen, maar wordt ook de administratieve last verminderd.

5. De gegevensbeschermingsrichtlijn (20) vereist dat persoonsgegevens nauwkeurig zijn en worden bijgewerkt. Er wordt aanbevolen dat de informatieverstrekkende bevoegde autoriteit ervoor helpt zorgen dat de in het SSCB opgeslagen gegevens nauwkeurig zijn. In het SSCB zijn pop-upberichten toegevoegd om degenen die de zaken behandelen er regelmatig aan te herinneren te controleren of de persoonsgegevens nauwkeurig zijn en worden bijgewerkt.

6. Een uitvoerige privacyverklaring op de website is een praktische manier om betrokkenen op de hoogte te brengen van hun rechten. Er wordt aanbevolen dat elke bevoegde autoriteit een privacyverklaring op haar website plaatst. Elke privacyverklaring moet alle uit hoofde van de gegevensbeschermingsrichtlijn vereiste informatie en een koppeling naar de privacyverklaring van de Commissie bevatten, alsook nadere details betreffende de bevoegde autoriteit in kwestie, waaronder contactgegevens. Alle nationale beperkingen van het toegangs- of informatierecht moeten in de verklaring worden opgenomen. Alle betrokken verantwoordelijken voor de verwerking van de gegevens moeten ervoor zorgen dat privacyverklaringen worden gepubliceerd.

7. De betrokkene kan verzoeken om toegang tot, rectificatie en verwijdering van zijn/haar persoonsgegevens uit meer dan een bron. Hoewel elke bevoegde autoriteit, in haar hoedanigheid van verantwoordelijke voor de verwerking van de gegevens, verantwoordelijk is voor haar eigen verwerkingshandelingen, moet voor verzoeken betreffende grensoverschrijdende zaken naar een gecoördineerde reactie worden gestreefd. Er wordt aanbevolen dat in dergelijke gevallen de bevoegde autoriteiten andere betrokken bevoegde autoriteiten op de hoogte brengen van het ontvangen verzoek. Wanneer een bevoegde autoriteit denkt dat de inwilliging van een verzoek de onderzoeks- of handhavingsprocedure van een andere bevoegde autoriteit kan beïnvloeden, vraagt zij de mening van die laatste vooraleer zij het verzoek inwilligt. De betrokkene kan zich met zijn/haar verzoek ook tot de Commissie richten. De Commissie kan alleen een verzoek inwilligen voor gegevens waartoe zij toegang heeft. Wanneer de Commissie een verzoek ontvangt, moet zij de bevoegde autoriteit die de informatie verstrekte raadplegen. Indien er geen bezwaren zijn of indien de bevoegde autoriteit niet binnen een redelijke termijn antwoordt, mag de Commissie beslissen om op basis van de gegevensbeschermingsverordening het verzoek al dan niet in te willigen. De Commissie moet ook de mening vragen van de bevoegde autoriteiten waarvan de onderzoeks- of handhavingsactiviteiten als gevolg van de inwilliging van het verzoek in het gedrang kunnen komen. De Commissie moet nagaan of dergelijke uitwisselingen vereenvoudigd kunnen worden door extra technische functies in het SSCB op te nemen.

8. Het besluit tot uitvoering van het SCB (Beschikking 2007/76/EG) voorziet in een aantal gegevensvelden in het SSCB voor de namen van bedrijfsleiders. Het handhavingspersoneel moet beoordelen of dit type persoonsgegevens noodzakelijk is om de kwestie op te lossen. Bij elke zaak moet worden nagegaan of het noodzakelijk is de naam van een bedrijfsleider in het daartoe bestemde gegevensveld in te vullen voordat er informatie in het SSCB wordt geüpload en voordat er een waarschuwing of verzoek om wederzijdse bijstand aan een andere bevoegde autoriteit wordt verstuurd.

9. Het besluit tot uitvoering van het SCB (Beschikking 2007/76/EG) vereist dat de bevoegde autoriteiten die informatie- of handhavingsverzoeken of waarschuwingen uploaden, vermelden of de informatie als vertrouwelijk moet worden behandeld. Dit moet per geval gebeuren. Evenzo moet de aangezochte instantie vermelden of de informatie die ze verstrekt, vertrouwelijk moet worden behandeld. Het SSCB bevat standaard een instelling die ervoor zorgt dat de SSCB-gebruikers de toegang tot documenten uitdrukkelijk moeten toestaan door het vinkje bij de vertrouwelijkheidsvlag te verwijderen.

8. SSCB EN GEGEVENSBESCHERMING

Een omgeving waarin gegevens worden beschermd

In het ontwerp van het SSCB is de wetgeving inzake gegevensbescherming voor ogen gehouden:

— het SSCB maakt gebruik van s-TESTA, hetgeen staat voor „secured Trans European Services for Telematics between Administrations” („beveiligde trans-Europese diensten voor telematica tussen overheidsdiensten”). s-TESTA biedt een beheerd, betrouwbaar en veilig pan-Europees communicatieplatform voor Europese en nationale overheden. Het s-TESTA-netwerk is gebaseerd op een speciale eigen infrastructuur die volledig van het internet is afgescheiden. Het ontwerp van het systeem omvat gepaste beveiligingsmaatregelen die een zo goed mogelijke beveiliging van het netwerk waarborgen. Voor het netwerk wordt een veiligheidsaccreditatie uitgevoerd om het geschikt te maken voor de doorgifte van informatie die volgens het niveau „EU Restricted” (vertrouwelijk) is geclassificeerd;

— er is een aantal technische functies ingevoerd: veilige en persoonlijke wachtwoorden voor geïnformeerde bevoegde ambtenaren bij aangewezen instanties, het gebruik van een veilig netwerk (S-TESTA), pop-upberichten om degenen die de zaken behandelen eraan te herinneren dat ze de regels inzake gegevensbescherming moeten naleven wanneer ze persoonsgegevens verwerken, invoering van verschillende gebruikersprofielen die de toegang tot de informatie regelen afhankelijk van de rol van de gebruiker (de bevoegde autoriteit, het verbindingsbureau of de Commissie), de mogelijkheid om de toegang tot documenten te beperken door ze als vertrouwelijk te bestempelen en het bericht op de homepage van het SSCB met verwijzing naar de regels inzake gegevensbescherming;

— er zijn uitvoeringsbepalingen (21) vastgesteld die betrekking hebben op de belangrijkste aspecten van het waarborgen van de gegevensbescherming: duidelijke regels voor de verwijdering van gegevens (welke informatie, hoe en wanneer gegevens verwijderen); beginselen die het soort toegang tot de informatie bepalen (alleen rechtstreeks betrokken bevoegde autoriteiten hebben volledige toegang, terwijl de andere alleen toegang hebben tot algemene informatie);

— er zijn richtsnoeren voor het gebruik (22) vastgesteld die verder verduidelijken waar rekening mee moet worden gehouden bij het invullen van de verschillende gegevensvelden en deze richtsnoeren worden geïntegreerd (23);

— er is voorzien in jaarlijkse beoordelingen om te garanderen dat de bevoegde autoriteiten de nauwkeurigheid van persoonsgegevens controleren (het merken is gepland maar nog niet ingevoerd) en ook dat zaken volgens de regels worden afgesloten en/of verwijderd, zodat ze niet worden vergeten. De Commissie organiseert samen met de lidstaten regelmatig een systematisch onderzoek naar zaken die aanzienlijk langer openstaan dan de tijd die de behandeling van een zaak gemiddeld vergt;

— er is voorzien in het automatisch verwijderen van gevallen van wederzijdse bijstand, vijf jaar nadat de zaak is afgehandeld, zoals door de SCB-verordening voorgeschreven;

— het SSCB is een evoluerende IT-instrument waarin rekening wordt gehouden met de bescherming van gegeven. Er zijn al heel wat beveiligingsfuncties ingebouwd in de hierboven beschreven systeemarchitectuur. De Commissie wil, zo nodig, verdere verbeteringen blijven ontwikkelen.

Enkele extra leidraden

Hoe lang moet een zaak worden bewaard en wanneer moet zij worden afgesloten en verwijderd?

Alleen de Commissie kan informatie uit het SSCB verwijderen (24) en normaal gezien gebeurt dat op verzoek van een bevoegde autoriteit. Wanneer deze bevoegde autoriteit hierom verzoekt, moet zij de redenen voor haar verzoek om verwijdering preciseren. De enige uitzondering wordt gevormd door handhavingsverzoeken. Zij worden vijf jaar na afsluiting van de zaak door de verzoekende instantie automatisch door de Commissie verwijderd.

Er zijn regels met vaste termijnen vastgesteld om ervoor te zorgen dat gegevens die niet langer vereist zijn, die onnauwkeurig zijn, die ongegrond blijken en/of die gedurende een maximumperiode zijn bewaard, worden verwijderd.

Waarom bedraagt de periode om gegevens te bewaren vijf jaar?

De bewaringstermijn is bedoeld om de samenwerking te vereenvoudigen tussen de overheidsinstanties die verantwoordelijk zijn voor de handhaving van de wetgeving ter bescherming van de consumentenbelangen bij intracommunautaire inbreuken, om bij te dragen tot een vlotte werking van de interne markt, tot de kwaliteit en samenhang van de handhaving van de wetgeving ter bescherming van de consumentenbelangen en tot de controle op de bescherming van de economische belangen van de consument, en om een bijdrage te leveren tot een verhoging van de standaard en samenhang van de handhaving. Gedurende de bewaringstermijn mag handhavingspersoneel dat werkt voor de bevoegde autoriteit die een zaak aanvankelijk in behandeling had, de zaak inzien om verbanden te leggen met mogelijk herhaalde inbreuken, wat bijdraagt tot een betere en efficiëntere handhaving.

Welke informatie kan in het discussieforum worden opgenomen?

Het discussieforum is een aanhangsel van het SSCB en is bedoeld voor de uitwisseling van informatie over kwesties zoals nieuwe handhavingsbevoegdheden en beste praktijken. Hoewel het discussieforum sowieso niet frequent door het handhavingspersoneel wordt gebruikt, mag het niet worden gebruikt om met de zaak verband houdende gegevens uit te wisselen en mag het geen verwijzingen naar persoonsgegevens bevatten.

Welk soort gegevens mag in de korte samenvattingen en bijbehorende documenten worden opgenomen?

Het besluit tot uitvoering van het SCB (Beschikking 2007/76/EG) voorziet in het gegevensveld „bijbehorende documenten” in geval van waarschuwingen en informatie- en handhavingsverzoeken. De korte samenvattingen zijn velden waarin de inbreuk wordt beschreven. Er wordt aanbevolen om geen persoonsgegevens in de korte samenvattingen te vermelden, aangezien dit gegevensveld bedoeld is voor een algemene beschrijving van de inbreuk. Niet strikt noodzakelijke persoonsgegevens moeten in bijbehorende documenten onleesbaar worden gemaakt of verwijderd.

Wat wordt er bedoeld met een „redelijk vermoeden” dat een inbreuk heeft plaatsgehad?

Redelijk vermoeden moet volgens de nationale wetgeving worden geïnterpreteerd. Er wordt echter aanbevolen om vermoedelijke inbreuken alleen in het SSCB op te nemen indien er aanwijzingen zijn dat een inbreuk (waarschijnlijk) heeft plaatsgehad.

Hoe zit het met doorgifte naar derde landen?

In de SCB-verordening (25) is bepaald dat een lidstaat de in het kader van de SCB-verordening verstrekte informatie ook aan een instantie van een derde land kan verstrekken uit hoofde van een bilaterale bijstandsovereenkomst met dat derde land, mits de bevoegde autoriteit die de informatie aanvankelijk heeft verstrekt daarmee instemt en mits de bepalingen inzake gegevensbescherming worden nageleefd.

Bij gebrek aan een internationale overeenkomst van de Europese Unie voor samenwerkingsovereenkomsten inzake wederzijdse bijstand (26) met een derde land, wordt aanbevolen ervoor te zorgen dat een bilaterale bijstandsovereenkomst met een bepaald derde land afdoende garanties voor de gegevensbescherming biedt en dat een dergelijke overeenkomst aan de desbetreffende toezichthoudende instantie voor gegevensbescherming kenbaar wordt gemaakt zodat een voorafgaande controle kan worden uitgevoerd, tenzij de Commissie heeft vastgesteld dat het derde land waarborgen biedt voor een adequate bescherming van persoonsgegevens die overeenkomstig artikel 25 van de gegevensbeschermingsrichtlijn vanuit de Unie worden doorgegeven.

(1) Artikel 2, onder a).

(2) Hierbij moet worden opgemerkt dat de beginselen inzake gegevensbescherming van toepassing zijn op gegevens in zowel elektronische als papieren vorm.

(3) Voor specifieke regels inzake verwijderen, zie Beschikking 2007/76/EG en „Het samenwerkingsnetwerk voor consumentenbescherming: Richtsnoeren voor het gebruik”.

(4) Richtlijn 95/46/EG.

(5) Verordening (EG) nr. 45/2001.

(6) http://www.edps.europa.eu/EDPSWEB/edps/EDPS.

(7) Artikelen 8, 9 en 15 van Verordening (EG) nr. 2006/2004.

(8) Artikel 8, lid 5, van Verordening (EG) nr. 2006/2004.

(9) Artikel 9 van Verordening (EG) nr. 2006/2004.

(10) Artikel 11, lid 2, en artikel 13 van Richtlijn 95/46/EG.

(11) De artikelen 10 en 11 van Richtlijn 95/46/EG.

(12) Artikel 7 van Richtlijn 95/46/EG.

(13) Artikel 6, onder b), van Richtlijn 95/46/EG.

(14) De artikelen 10, 11 en 12 van Richtlijn 95/46/EG.

(15) Artikel 12 van Richtlijn 95/46/EG.

(16) Artikel 8, lid 2, van Richtlijn 95/46/EG.

(17) Artikel 8 van Richtlijn 95/46/EG.

(18) Hoofdstuk 4 van de bijlage bij Beschikking 2007/76/EG.

(19) Advies nr. 6/2007 over de gegevensbeschermingsaspecten van het systeem voor samenwerking op het gebied van de consumentenbescherming (CPCS) 01910/2007/NL — WP 130 — aangenomen op 21 september 2007, blz. 24.

(20) Artikel 6, onder d), van Richtlijn 95/46/EG.

(21) Beschikking 2007/76/EG.

(22) Het samenwerkingsnetwerk voor consumentenbescherming: Richtsnoeren voor het gebruik - op 8 juni 2010 door het SCB-comité goedgekeurd.

(23) De inhoud van deze richtsnoeren wordt opgenomen in toekomstige opleidingen over het SSCB.

(24) Artikel 10 van de SCB-verordening (Verordening (EG) nr. 2006/2004) en hoofdstuk 2 van de bijlage bij het besluit tot uitvoering van het SCB (Beschikking 2007/76/EG).

(25) Artikel 14, lid 2, van Verordening (EG) nr. 2006/2004.

(26) Artikel 18 van Verordening (EG) nr. 2006/2004.