NL Publicatieblad van de Europese Unie C 190/2

Advies van de Europese Toezichthouder voor gegevensbescherming over het voorstel voor een besluit van de Raad betreffende het standpunt van de Europese Unie in het Gemengd Comité Douanesamenwerking EU-Japan betreffende de wederzijdse erkenning van AEO-programma’s in de Europese Unie en in Japan

2010/C 190/02

DE EUROPESE TOEZICHTHOUDER VOOR GEGEVENSBESCHERMING,

Gelet op het Verdrag betreffende de werking van de Europese Unie, en met name op artikel 16,

Gelet of het Handvest van de grondrechten van de Europese Unie, en met name op artikel 8,

Gelet op Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (1),

Gelet op Verordening (EG) nr. 45/2001 van het Europees Parlement en de Raad van 18 december 2000 inzake de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de communautaire instellingen en organen en betreffende het vrije verkeer van die gegevens (2), met name op artikel 41,

BRENGT HET VOLGENDE ADVIES UIT:

I. INLEIDING

1. De Commissie heeft op 19 februari 2010 een voorstel voor een besluit van de Raad betreffende het standpunt van de Europese Unie in het Gemengd Comité Douanesamenwerking EU-Japan betreffende de wederzijdse erkenning van AEO-programma’s in de Europese Unie en in Japan aangenomen (3).

2. De Europese Toezichthouder voor gegevensbescherming (EDPS) is niet geraadpleegd overeenkomstig artikel 28, lid 2, van Verordening (EG) nr. 45/2001. Het onderhavige advies is derhalve gebaseerd op artikel 41, lid 2, van diezelfde verordening. De EDPS beveelt aan in de preambule van het besluit naar dit advies te verwijzen.

3. De EDPS heeft enkele tekortkomingen en een gebrek aan duidelijkheid vastgesteld met betrekking tot de bescherming van persoonsgegevens. Na een beschrijving van de context en achtergrond van het voorstel in hoofdstuk III, zullen deze opmerkingen in hoofdstuk IV worden uitgewerkt.

II. RAADPLEGING VAN DE EDPS

4. De EDPS heeft een beleidsnota uitgebracht waarin zijn raadplegende rol wordt beschreven: „De EDPS als adviseur van de communautaire instellingen voor wetgevingsvoorstellen en documenten die daarmee verband houden” (4). Deze raadplegende rol stoelt op artikel 28, lid 2, en artikel 41 van Verordening (EG) nr. 45/2001. Verder staat er in overweging 17 van de verordening: „De bescherming van personen ten aanzien van de verwerking van persoonsgegevens in de Unie kan alleen dan doeltreffend zijn, als er samenhang is tussen de regels en procedures voor werkzaamheden die binnen verschillende juridische kaders vallen”. Samenhang moet worden gezien als een onontbeerlijk element voor de verwezenlijking van een hoog niveau van gegevensbescherming op Europees niveau, ook bij het externe optreden van de EU.

5. Deze brede verantwoordelijkheid van de EDPS is erkend door de Europese Commissie en het is vaste praktijk dat de EDPS door de Commissie wordt geraadpleegd over alle relevante voorstellen, wetgevende en niet-wetgevende instrumenten. De reikwijdte van de adviestaak van de EDPS behelst „aangelegenheden betreffende de verwerking van persoonsgegevens”. Dit houdt in dat er moet worden geraadpleegd over alle wetgeving met bepalingen betreffende de verwerking van persoonsgegevens of bepalingen die een (potentieel) effect hebben op een dergelijke verwerking. Hetzelfde geldt voor alle instrumenten die onder de externe bevoegdheid van de EU vallen.

6. In de beleidsnota wordt ook het tijdschema van de raadpleging beschreven. Door overleg in een vroeg stadium in het wetgevingsproces kan de EDPS doeltreffend optreden en tekstwijzigingen voorstellen. De ontwerptekst wordt door de daartoe verantwoordelijke dienst van de Commissie voor informele raadpleging aan de EDPS gezonden, indien passend voordat het officiële voorstel wordt aangenomen. Na de aanneming van het voorstel volgt de formele raadpleging als tweede stap. In dit stadium wordt het advies van de EDPS bekendgemaakt in het Publicatieblad (C-reeks).

7. In het geval van het onderhavige voorstel heeft de EDPS, zoals eerder vermeld, noch het ontwerpvoorstel noch het aangenomen voorstel ontvangen voor advies. De EDPS betreurt deze gang van zaken zeer, aangezien zijn betrokkenheid, zoals hierna wordt uitgelegd, een ideale gelegenheid zou hebben geboden om waarde aan het voorstel toe te voegen.

III. CONTEXT EN ACHTERGROND VAN HET VOORSTEL

8. Het doel van het voorstel is de programma’s voor gecertificeerde bedrijven (AEO’s — Authorised Economic Operators) van de EU en Japan wederzijds te erkennen als met elkaar verenigbaar en gelijkwaardig en de daarmee overeenstemmende AEO-status van bedrijven wederzijds te aanvaarden.

9. De betrekkingen tussen de EU en Japan op douanegebied zijn gebaseerd op de overeenkomst betreffende samenwerking en wederzijdse administratieve bijstand in douanezaken (hierna „de overeenkomst” genoemd) die op 1 februari 2008 in werking is getreden (5). Volgens de overeenkomst heeft de douanesamenwerking betrekking op alle aangelegenheden in verband met de toepassing van de dounanewetgeving. De EU en Japan hebben zich er bij de overeenkomst ook toe verbonden samen te werken ten behoeve van handelsfacilitering op douanegebied overeenkomstig internationale normen (6). De wederzijdse erkenning van AEO-programma’s en van veiligheidsmaatregelen is bevorderlijk voor de veiligheid van de toeleveringsketen en vergemakkelijkt het handelsverkeer.

10. In het voorstel staat ook dat de douaneautoriteiten onder meer toezien op de verenigbaarheid van de programma’s en dat elke douaneautoriteit de bedrijven met AEO-status vergelijkbare voordelen verleent. Er wordt tevens uiteengezet dat de douaneautoriteiten de communicatie moeten verbeteren en informatie moeten uitwisselen. Het voorstel geeft een opsomming van de over AEO’s uit te wisselen gegevens.

IV. ANALYSE VAN HET VOORSTEL

IV.1. Toepasselijkheid van de wetgeving inzake persoonsgegevensbescherming

11. Artikel IV in de bijlage van het voorstel handelt over informatieuitwisseling en communicatie. Er wordt gespecificeerd dat inlichtingen en daarmee verband houdende gegevens, met name over de deelnemers aan de programma’s, systematisch elektronisch worden uitgewisseld. Voorts wordt melding gemaakt van de uit te wisselen gegevens over de in het kader van de AEO-programma’s gecertificeerde bedrijven, waaronder de naam van het bedrijf met de AEO-status en het adres van het betrokken bedrijf.

12. De regeling voor AEO’s wordt vastgesteld in artikel 5 bis van Verordening (EG) nr. 648/2005 van het Europees Parlement en de Raad (7). Hierin wordt het volgende gespecificeerd: „1. (…). Een „geautoriseerde marktdeelnemer” komt in aanmerking voor faciliteiten met betrekking tot veiligheidsgerelateerde douanecontroles en/of voor in de douanewetgeving vastgelegde vereenvoudigingen. (…)”.

13. Een „marktdeelnemer” wordt in artikel 1, punt 12, van Verordening (EG) nr. 1875/2006 gedefinieerd als „een persoon die zich in het kader van zijn bedrijf bezighoudt met activiteiten waarop de douanewetgeving betrekking heeft” (8). Een marktdeelnemer zou derhalve een natuurlijke persoon of rechtspersoon kunnen zijn. Het begrip „marktdeelnemer” omvat AEO’s als bedoeld in lid 9. De informatie over sommige AEO’s zou dus kunnen worden beschouwd als „persoonsgegevens” als gedefinieerd in artikel 2, onder a), van Verordening (EG) nr. 45/2001 en Richtlijn 95/46/EG, althans de informatie over AEO’s die natuurlijke personen zijn. Zelfs de informatie over AEO’s die rechtspersonen zijn, zou in sommige gevallen als persoonsgegevens kunnen worden beschouwd. In deze gevallen is de bepalende factor of het al dan niet gaat om informatie „betreffende” een „identificeerbare” natuurlijke persoon (9). Het lijdt bijgevolg geen twijfel dat er persoonsgegevens zouden kunnen worden uitgewisseld in het kader van het voorstel in kwestie.

14. De persoonsgegevens zullen door douaneautoriteiten worden verwerkt. In artikel I, lid 2, in de bijlage van het voorstel wordt bepaald: „De in artikel 1, onder c), van de overeenkomst omschreven douaneautoriteiten (…) zijn verantwoordelijk voor de uitvoering van dit besluit”. De definitie waarnaar verwezen wordt, is „ „douane(autoriteiten)”: (…), in de Gemeenschap, de voor douanezaken bevoegde diensten van de Commissie van de Europese Gemeenschappen en de douaneautoriteiten van de lidstaten van de Gemeenschap”. Daarom zal zowel Verordening (EG) nr. 45/2001 als Richtlijn 95/46/EG van toepassing zijn op het onderhavige kader (10). Verordening (EG) nr. 45/2001 is van toepassing op de verwerking door de Commissie, Richtlijn 95/46/EG is van toepassing op de verwerking door de nationale douaneautoriteiten.

IV.2. Internationale doorgifte van persoonsgegevens

15. De richtlijn en de verordening voorzien in soortgelijke regels voor het grensoverschrijdend verkeer van persoonsgegevens in de artikelen 25 en 26, respectievelijk artikel 9. Het hierin vastgelegde beginsel houdt in dat persoonsgegevens niet vanuit een lidstaat naar een derde land mogen worden doorgegeven, tenzij het derde land een passend beschermingsniveau waarborgt (of tenzij er voldoende waarborgen worden geboden of een van de voorziene afwijkingen van toepassing is).

Verklaring in het voorstel dat het geboden beschermingsniveau passend is

16. De toelichting bevat een punt over gegevensbescherming (punt 5). In punt 5.1 wordt verklaard dat de Japanse regeling voor gegevensbescherming een passend beschermingsniveau in de zin van artikel 9 van Verordening (EG) nr. 45/2001 biedt. Artikel 9 behandelt de regels die in acht moeten worden genomen in het geval van de doorgifte van persoonsgegevens aan ontvangers die geen communautaire instelling of orgaan zijn en niet onder Richtlijn 95/46/EG vallen, zoals in het geval van derde landen als Japan.

17. In artikel 9, lid 1, van de verordening wordt het volgende bepaald: „[p]ersoonsgegevens worden slechts doorgegeven aan ontvangers die geen communautaire instelling of orgaan zijn en niet vallen onder de nationale wetgeving ter uitvoering van Richtlijn 95/46/EG, indien in het land van de ontvanger of in de ontvangende internationale organisatie een passend beschermingsniveau wordt gewaarborgd, en de gegevens strikt binnen het raam van de onder de bevoegdheid van de verantwoordelijke voor de verwerking vallende taken worden doorgegeven”.

18. Artikel 9, lid 2, vermeldt dat het door een derde land of internationale organisatie geboden beschermingsniveau wordt beoordeeld in het licht van „alle omstandigheden rond een doorgifte van gegevens of van een geheel van gegevens”. Verder geeft het enkele voorbeelden van aspecten waarmee rekening moet worden gehouden bij de beoordeling: „(…) in het bijzonder wordt aandacht geschonken aan de aard van de gegevens, aan het doel en de duur van de voorgenomen verwerking(en), aan het derde land of de internationale organisatie waarvoor de gegevens uiteindelijk bestemd zijn, aan de zowel algemene als sectorale rechtsregels die in het betrokken derde land of bij de betrokken internationale organisatie gelden en aan de voorschriften inzake beroepsethiek en geheimhouding die in het betrokken derde land of bij de betrokken internationale organisatie worden nageleefd”. Deze lijst is niet limitatief; andere elementen zouden eveneens relevant kunnen zijn, afhankelijk van het concrete geval.

19. Artikel 9 van de verordening moet tegen de achtergrond van de artikelen 25 en 26 van Richtlijn 95/46/EG worden uitgelegd. In artikel 25, lid 6, van de richtlijn wordt bepaald: „De Commissie kan volgens de procedure van artikel 31, lid 2, constateren dat een derde land, op grond van zijn nationale wetgeving of zijn internationale verbintenissen, (…) waarborgen voor een passend beschermingsniveau in de zin van lid 2 biedt (…)”. De procedure van artikel 31, lid 2, van de richtlijn — een comitologieprocedure — moet derhalve in acht worden genomen om te verklaren dat een derde land een „passend” beschermingsniveau biedt.

20. In verband met het onderhavige voorstel is deze procedure niet in acht genomen; bijgevolg is de verklaring in punt 5.1 dat de Japanse regeling voor gegevensbescherming een passend beschermingsniveau biedt, in strijd met artikel 25, lid 6, van de richtlijn. De EDPS beveelt daarom met klem aan deze verklaring te schrappen.

21. De EDPS erkent dat in artikel IV, lid 5, in de bijlage bij het voorstel het volgende wordt bepaald: „De douaneautoriteiten garanderen de bescherming van de gegevens in overeenstemming met de overeenkomst, en met name artikel 16”. Artikel 16 heeft betrekking op „Gegevensuitwisseling en geheimhouding” en in lid 2 hiervan wordt bepaald: „Persoonsgegevens kunnen uitsluitend worden uitgewisseld indien de overeenkomstsluitende partij die ze ontvangt, zich ertoe verbindt deze gegevens ten minste de bescherming te verlenen die ze zouden krijgen in de overeenkomstsluitende partij die ze verstrekt. De overeenkomstsluitende partij die de informatie kan verstrekken, stelt hiervoor geen eisen die strenger zijn dan die welke in haar eigen rechtsgebied gelden”.

22. De EDPS zou echter willen benadrukken dat, zoals hierboven beschreven, bij analyse van het beschermingsniveau van een derde land wordt gekeken naar het „passend karakter” en niet naar „gelijkwaardigheid” (in overeenstemming met de huidige internationale verbintenissen van de EU) (11). Artikel 16 lijkt in ieder geval een declaratoir karakter te hebben, aangezien er in de overeenkomst geen bewijs wordt geleverd voor een daadwerkelijke „gelijkwaardigheid”. Bovendien wordt er geen melding gemaakt van een analyse van de „gelijkwaardigheid” of zelfs maar van het „passend karakter” die is uitgevoerd. Daarom kan de simpele verklaring in artikel 16 niet als beslissende factor worden beschouwd bij een beoordeling of een passend beschermingsniveau wordt geboden en kan zij niet de basis vormen voor de verklaring in punt 5.1 van de toelichting.

Een breder perspectief met oog voor het specifieke karakter van de zaak

23. Er zij opgemerkt dat de beoordeling van het beschermingsniveau in een bepaald land op verschillende niveaus en met verschillende rechtsgevolgen door de Europese Commissie, door gegevensbeschermingsautoriteiten en door verantwoordelijken voor de verwerking van gegevens kan worden uitgevoerd. Wanneer de Europese Commissie op basis van artikel 25, lid 6, van Richtlijn 95/46/EG constateert dat waarborgen voor een passend beschermingsniveau worden geboden, is deze vaststelling bindend voor de lidstaten. Dit geldt krachtens artikel 9, lid 5, van de verordening ook voor instellingen en organen van de Europese Unie. Wanneer een dergelijk besluit ontbreekt, wordt de beoordeling of een passend beschermingsniveau wordt geboden in veel lidstaten toevertrouwd aan gegevensbeschermingsautoriteiten en in andere lidstaten aan verantwoordelijken voor de verwerking van gegevens, onder toezicht van gegevensbeschermingsautoriteiten. Artikel 9 van de verordening volgt duidelijk dit laatste model.

24. Dit betekent dat zelfs indien er, na de procedure vermeld in artikel 25, lid 6, van de richtlijn, niet is verklaard dat een land, als geheel, waarborgen voor een „passend” beschermingsniveau biedt, de wettelijke regeling voor gegevensbescherming die op een doorgifte of een categorie doorgiften van toepassing is door de verantwoordelijke voor de verwerking als „passend” kan worden beschouwd (in de hierna uitgelegde context).

25. De verantwoordelijke voor de verwerking moet alle omstandigheden rond een doorgifte van gegevens of van een geheel van gegevens beoordelen in het licht van artikel 9, lid 2, van de verordening (alsook artikel 25, lid 2, van de richtlijn). De analyse moet concreet worden uitgevoerd, rekening houdend met de specifieke kenmerken (waarborgen en/of risico’s) van de doorgifte of de categorie doorgiften in kwestie. Deze beoordeling leidt tot een conclusie over het bestaande beschermingsniveau voor een specifieke doorgifte of categorie doorgiften en beperkt zich tot de doeleinden waarmee door de verantwoordelijke voor de verwerking van gegevens rekening wordt gehouden en de ontvangers in het land van bestemming. In dat geval neemt de verantwoordelijke voor de verwerking de verantwoordelijkheid op zich om te verifiëren of er aan de voorwaarden voor een passend beschermingsniveau wordt voldaan. Wanneer de analyse wordt uitgevoerd door de verantwoordelijke voor de verwerking van gegevens is de conclusie onderhevig aan toezicht van de gegevensbeschermingsautoriteit.

26. In punt 5.1 van de toelichting wordt vermeld dat de Japanse regeling in kwestie is opgenomen in de Japanse douanewet (artikel 108, lid 2), in de Wet Internationale bijstand bij opsporingen en verwante zaken (artikelen 1 en 3), de Wet Overheidsdiensten (artikel 100), de Wet Bescherming van persoonsgegevens in het bezit van bestuursorganen (artikel 8) en de Wet toegang tot informatie door bestuursorganen (artikel 5).

27. De EDPS heeft geen bewijs dat deze regeling is beoordeeld in het licht van het werkdocument van de Artikel 29-werkgroep Gegevensbescherming (WP12) „Doorgifte van persoonsgegevens naar derde landen: toepassing van de artikelen 25 en 26 van de EU-richtlijn betreffende gegevensbescherming”, met inachtneming van de hierin vastgelegde beginselen (12).

28. Verder moet in gedachten worden gehouden dat de methode waarbij wordt gekeken naar het passend karakter van het beschermingsniveau met zich brengt dat zowel de letter van de wet als de toepassing in de praktijk in aanmerking moet worden genomen (objectieve en functionele benadering). De overweging van deze wettelijke regeling op zichzelf levert derhalve niet voldoende bewijs op voor de toepassing van de regels hiervan in de praktijk.

29. Dit betekent dat de doeltreffende tenuitvoerlegging en toepassing van deze regels in de praktijk moeten worden geverifieerd, voordat kan worden vastgesteld of er op doeltreffende wijze waarborgen worden geboden voor een passend beschermingsniveau voor de doorgifte van gegevens of van een geheel van gegevens in kwestie; in dit geval voor de uitwisseling van informatie in het kader van de AEO-programma’s.

30. In dit verband moeten de verantwoordelijken voor de verwerking van gegevens (in dit geval de voor douanezaken bevoegde diensten van de Europese Commissie en de douaneautoriteiten van de lidstaten van de EU) overgaan tot een beoordeling of een land van bestemming (in dit geval Japan) op doeltreffende wijze voorziet in een passend beschermingsniveau voor de specifieke doorgiften in kwestie, beperkt tot de specifieke doeleinden en ontvangers in dat land (namelijk de uitwisseling van gegevens voor de tenuitvoerlegging van de AEO-programma’s) (13). Een dergelijke beoordeling is evenwel niet uitgevoerd.

31. Het voorstel had deze aanpak kunnen volgen, als alternatief voor de procedure voor de beoordeling van het „passend karakter” van het beschermingsniveau van Japan, zoals eerder beschreven.

Alternatieven

32. Het voorstel had ook kunnen onderzoeken of de verantwoordelijken voor de verwerking andere typen van „voldoende waarborgen” konden bieden, zoals bepaald in artikel 9, lid 7, van de verordening en artikel 26, lid 2, van de richtlijn, en of er een van de afwijkingen vermeld in artikel 9, lid 6, van de verordening of artikel 26, lid 1, van de richtlijn van toepassing was (14).

IV.3. Aanvullende eisen van de wetgeving inzake gegevensbescherming

Kwaliteit van de gegevens

33. Het beginsel betreffende de kwaliteit van de gegevens wordt beschreven in artikel 4 van de verordening. Hierin staan onder meer de eisen: „persoonsgegevens: (…) (c) moeten, uitgaande van de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, adequaat, ter zake dienend en niet buitensporig zijn; (…)”. De gegevenscategorieën vermeld in artikel IV, lid 4, lijken dit beginsel te eerbiedigen.

34. Voorts wordt in artikel 4 van de verordening bepaald: „persoonsgegevens: (…) (e) mogen in een vorm die het mogelijk maakt de betrokkenen te identificeren, niet langer worden bewaard dan noodzakelijk is voor de verwezenlijking van de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt. (…)”. Daarom zal er een bewaartermijn voor de te verwerken persoonsgegevens moeten worden vastgesteld.

Rechten van de betrokkene

35. De Commissie zal moeten zorgen voor mechanismen om de uitoefening van de rechten van de betrokkene te garanderen, zoals het recht van toegang en van rectificatie (artikelen 13 en 14 van de verordening).

Verplichting tot het meedelen van informatie

36. In de artikelen 11 en 12 van de verordening wordt bepaald dat er informatie aan de betrokkene moet worden meegedeeld en wanneer deze informatie moet worden verstrekt. De Commissie zal de te volgen procedure moeten vaststellen, waarbij bijvoorbeeld moet worden bepaald of de informatie op het moment van de verzameling van de gegevens zal worden verstrekt (door het derde land of) door de Commissie zelf.

V. CONCLUSIES EN AANBEVELINGEN

37. De EDPS betreurt het dat de overlegprocedure zoals beschreven in hoofdstuk II niet in acht is genomen.

38. De EDPS doet de aanbeveling de verklaring in punt 5.1 van de toelichting dat de Japanse regeling een passend beschermingsniveau biedt te schrappen, aangezien deze verklaring niet voldoet aan de vereisten van Verordening (EG) nr. 45/2001 en Richtlijn 95/46/EG. Hij beveelt verder aan de verschillende mogelijkheden die door de verordening en de richtlijn worden geboden, te onderzoeken om ervoor te zorgen dat de regels voor de internationale doorgifte in acht worden genomen.

39. De EDPS beveelt ook aan dat de Commissie: — een bewaartermijn voor de te verwerken persoonsgegevens vaststelt; — voorziet in mechanismen om de uitoefening van de rechten van de betrokkene te waarborgen; — een procedure vaststelt voor het verstrekken van informatie aan de betrokkenen.

Gedaan te Brussel, 12 maart 2010. Peter HUSTINX Europese Toezichthouder voor gegevensbescherming

(1) PB L 281 van 23.11.1995, blz. 31.

(2) PB L 8 van 12.1.2001, blz. 1.

(3) COM(2010) 55 def.

(4) De beleidsnota is beschikbaar op: http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/EDPS/Publications/Papers/PolicyP/05-03-18_PP_EDPSadvisor_NL.pdf

(5) PB L 62 van 6.3.2008, blz. 24.

(6) Artikel 4 van de overeenkomst.

(7) PB L 117 van 4.5.2005, blz. 13.

(8) PB L 360 van 19.12.2006, blz. 64.

(9) Zie Groep Gegevensbescherming Artikel 29, Advies nr. 4/2007 over het begrip persoonsgegeven, WP 136, beschikbaar op: http://ec.europa.eu/justice_home/fsj/privacy/docs/wpdocs/2007/wp136_nl.pdf, met name bladzijden 23 en 24.

(10) Artikel 3, lid 1, van Verordening (EG) nr. 45/2001 en van Richtlijn 95/46/EG.

(11) Zie artikel XIV van de GATS: „Onder voorbehoud dat de hieronder bedoelde maatregelen niet zodanig worden toegepast dat zij een middel vormen tot willekeurige of ongerechtvaardigde discriminatie tussen landen waar gelijksoortige omstandigheden heersen of tot een verkapte beperking van de handel in diensten, wordt geen bepaling in deze Overeenkomst uitgelegd als een beletsel voor het vaststellen of toepassen door een lid van maatregelen: (…) (c) die noodzakelijk zijn voor de handhaving van wetten of voorschriften die niet strijdig zijn met de bepalingen van deze Overeenkomst, met inbegrip van die welke betrekking hebben op: (…) (ii) de bescherming van de persoonlijke levenssfeer in verband met de verwerking en verspreiding van persoonsgegevens en de bescherming van vertrouwelijke aard van persoonlijke dossiers en rekeningen; (…)”.

(12) Artikel 29-werkgroep Gegevensbescherming, werkdocument „Doorgifte van persoonsgegevens naar derde landen: toepassing van de artikelen 25 en 26 van de EU-richtlijn betreffende gegevensbescherming”, beschikbaar op: http://ec.europa.eu/justice_home/fsj/privacy/docs/wpdocs/1998/wp12_nl.pdf

(13) De EDPS heeft een soortgelijke interpretatie gegeven in het kader van een raadpleging die is ontvangen van OLAF over „Transfers of personal data to third countries: „adequacy” of signatories to Council of Europe Convention 108 (case 2009-0333)”, beschikbaar op: http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Supervision/Adminmeasures/2009/09-07-02_OLAF_transfer_third_countries_EN.pdf

(14) Wat artikel 26, lid 1, van de richtlijn betreft zie: Artikel 29-werkgroep Gegevensbescherming, werkdocument over een gemeenschappelijke interpretatie van artikel 26, lid 1, van Richtlijn 95/46/EG, WP114, beschikbaar op: http://ec.europa.eu/justice_home/fsj/privacy/docs/wpdocs/2005/wp114_nl.pdf