EUROPESE COMMISSIE Brussel, 14.10.2022 COM(2022) 530 final MEDEDELING VAN DE COMMISSIE AAN HET EUROPEES PARLEMENT EN DE RAAD Eerste verslag over de toepassing van de verordening gegevensbescherming voor de instellingen, organen en instanties van de Europese Unie (Verordening (EU) 2018/1725)



Inhoud 1 Inleiding 2 Afzonderlijke gegevensbeschermingsregels voor EU-instellingen, -organen en -instanties afgestemd op de EU-wetgeving inzake gegevensbescherming 3 Uitvoering van de EUVG binnen EU-instellingen en -organen 3.1 De rol van EU-instellingen en -organen als verwerkingsverantwoordelijken 3.2 Uitoefening van de rechten van betrokkenen 3.3 Beperking van de rechten van de betrokkene door middel van interne voorschriften 3.4 Functionarissen voor gegevensbescherming 3.5 Gegevensbeschermingseffectbeoordelingen 3.6 Internationale doorgifte van persoonsgegevens 4 Activiteiten van de EDPS 4.1 De EDPS als toezichthoudende autoriteit voor gegevensbescherming voor EU-instellingen en -organen 4.2 De EDPS als adviseur van de EU-wetgever 4.3 Samenwerking tussen de EDPS en de nationale gegevensbeschermingsautoriteiten 4.4 Middelen van de EDPS 5 Gebruik van bevoegdheden door de Commissie om gedelegeerde en uitvoeringshandelingen vast te stellen 6 Gegevensbeschermingsregels voor organen en instanties die zich bezighouden met politiële samenwerking en justitiële samenwerking in strafzaken 6.1 Uitbreiding van de toepassing van het hoofdstuk rechtshandhaving van de EUVG

6.2 Verduidelijking van de toepasselijkheid van bepaalde EUVG-bepalingen op de verwerking van operationele gegevens 6.3 Bevoegdheden van de EDPS bij het toezicht op EU-organen en -instanties 7 Volgende stappen BIJLAGE

1Inleiding De verordening gegevensbescherming voor de instellingen, organen en instanties van de Europese Unie (“EUVG”) is het belangrijkste gegevensbeschermingskader voor de instellingen, organen en instanties van de EU (“EU-instellingen en -organen”) wanneer zij persoonsgegevens verwerken als verwerkingsverantwoordelijken of verwerkers. De verordening is een pijler van goed bestuur en goed administratief gedrag op EU-niveau. Zij is van toepassing sinds 11 december 2018, toen daarbij haar voorganger, Verordening (EG) nr. 45/2001, werd ingetrokken en vervangen. Deze mededeling omvat het eerste verslag over de toepassing van de EUVG, overeenkomstig artikel 97 van de verordening. Ook worden hierin de op basis van de Verdragen vastgestelde rechtshandelingen geëvalueerd, die de verwerking regelen van operationele persoonsgegevens door instellingen, organen of instanties van de EU bij de uitoefening van activiteiten in het kader van politiële samenwerking en justitiële samenwerking in strafzaken, overeenkomstig artikel 98 EUVG. De Commissie heeft informatie verzameld over de toepassing van de EUVG via een in oktober 2021 gelanceerde enquête, waarin de EU-instellingen en -organen werden uitgenodigd hun ervaringen met de toepassing van de EUVG te delen. In totaal hebben 56 EU-instellingen en -organen geantwoord, en de in het verslag gepresenteerde statistieken over de EU-instellingen en -organen zijn gebaseerd op die antwoorden. Een afzonderlijk verzoek om een bijdrage werd toegezonden aan de Europese Toezichthouder voor gegevensbescherming (EDPS) in zijn hoedanigheid van toezichthoudende autoriteit. Tot slot heeft de Commissie een verzoek om input gepubliceerd, zodat ook het publiek opmerkingen kon maken. De kwesties die aan de orde zijn gesteld in de zeer weinige reacties op het verzoek om input, worden in dit verslag behandeld. In dit verslag wordt de EUVG onder ogen genomen in het kader van de EU-wetgeving inzake gegevensbescherming, worden de toepassing ervan door de EU-instellingen en -organen en de activiteiten van de EDPS gepresenteerd, en wordt de toepassing geanalyseerd van het hoofdstuk dat van toepassing is op EU-organen en -instanties die activiteiten uitvoeren in het kader van politiële samenwerking en justitiële samenwerking in strafzaken. Het verslag wordt afgesloten met een beschrijving van de te nemen vervolgstappen. 2Afzonderlijke gegevensbeschermingsregels voor EU-instellingen, -organen en -instanties afgestemd op de EU-wetgeving inzake gegevensbescherming De belangrijkste instrumenten voor gegevensbescherming in de EU zijn de algemene verordening gegevensbescherming (“AVG”), de richtlijn gegevensbescherming bij rechtshandhaving (“richtlijn rechtshandhaving”) en de e-privacyrichtlijn. Zij zijn echter niet van toepassing op de verwerking van persoonsgegevens door EU-instellingen en -organen. Daarom zijn er afzonderlijke, maar hierop afgestemde gegevensbeschermingsregels voor de EU-instellingen en -organen. De EUVG voorziet in die regels. Met het oog op een consequente aanpak van de bescherming van persoonsgegevens en het vrije verkeer ervan in de EU, is de EUVG zoveel mogelijk afgestemd op de gegevensbeschermingsregels die voor de overheidssector zijn vastgesteld in de AVG en de richtlijn rechtshandhaving. Telkens wanneer de EUVG dezelfde beginselen volgt als de AVG, moet zij op dezelfde manier worden geïnterpreteerd, aangezien zij als gelijkwaardig aan de AVG moet worden beschouwd. Hetzelfde kan worden gezegd voor de regels die in overeenstemming met de richtlijn rechtshandhaving zijn. De EUVG is aangepast aan de specifieke context van de EU-instellingen en -organen, zoals in de onderstaande punten wordt beschreven. ·Aangezien de EUVG uitsluitend van toepassing is op de EU-instellingen en -organen als overheidsinstanties, zijn verschillende bepalingen van de AVG die alleen betrekking hebben op de particuliere sector weggelaten. De mogelijkheid om gegevens te verwerken met de “legitieme belangen” van de verwerkingsverantwoordelijke als rechtsgrondslag, bestaat bijvoorbeeld niet in de EUVG. ·Verscheidene bevoegdheden die aan de Commissie worden verleend om uitvoerings- of gedelegeerde handelingen vast te stellen, worden niet als zodanig herhaald, maar in plaats daarvan wordt in de EUVG verwezen naar de AVG of de richtlijn rechtshandhaving. Zo bevat de EUVG geen mechanisme om adequaatheidsbesluiten voor internationale doorgiften vast te stellen, maar kunnen ook de EU-instellingen en -organen zich beroepen op adequaatheidsbesluiten die op grond van de AVG of de richtlijn rechtshandhaving zijn vastgesteld. ·De EUVG stelt ook rechtstreeks de EDPS in en legt de taken, bevoegdheden en benoemingsprocedures ervan vast. In het kader van de AVG en de richtlijn rechtshandhaving worden de respectieve toezichthoudende autoriteiten naar intern recht ingesteld, overeenkomstig de voorschriften van deze twee rechtshandelingen. ·Het hoofdstuk van de EUVG dat van toepassing is op EU-organen en -instanties op het gebied van strafrechtshandhaving is functioneel gezien gelijk aan de richtlijn rechtshandhaving voor die organen en instanties. Als rechtstreeks toepasselijke verordening is zij echter anders geformuleerd. Zij voorziet in algemene regels die waar nodig moeten worden aangevuld met specifieke bepalingen in de oprichtingshandelingen van organen en instanties die op dit gebied actief zijn. Zij voorziet in een op maat gesneden regeling voor de verwerking van operationele persoonsgegevens, waarbij rekening wordt gehouden met de specifieke aard van deze sector, bijvoorbeeld de regels inzake het informeren van de betrokkenen, die waarborgen dat het onderzoek wordt beschermd. 3Uitvoering van de EUVG binnen EU-instellingen en -organen

3.1De rol van EU-instellingen en -organen als verwerkingsverantwoordelijken Uit de algemene feedback van de EU-instellingen en -organen blijkt dat de eerste jaren van toepassing van de EUVG met succes hebben bijgedragen tot de versterking van hun algemene gegevensbeschermingscultuur. In dit verband verklaarde 94 % van de EU-instellingen en -organen dat de inwerkingtreding van de EUVG het bewustzijn van hun organisatie ten aanzien van de gegevensbeschermingsregels in zekere mate of in grote mate heeft vergroot. Over het algemeen gaven de EU-instellingen en -organen aan dat de EUVG een positief effect heeft gehad op hun gegevensbeschermingsbeleid en dat hun personeel zich meer bewust is van de verantwoordingsplicht van hun organisatie als verwerkingsverantwoordelijken en van de voorschriften inzake de verwerking van persoonsgegevens. De EU-instellingen en -organen noemden het uitvoeren van gegevensbeschermingeffectbeoordelingen, het opsporen en aanpakken van inbreuken in verband met persoonsgegeven en het in overweging nemen van gegevensbescherming door ontwerp en door standaardinstellingen als de belangrijkste effecten van de EUVG in vergelijking met de ingetrokken Verordening (EG) nr. 45/2001. De EUVG maakt de mogelijkheid van gezamenlijke verwerkingsverantwoordelijkheid — meerdere organisaties die samen het doel van en de middelen voor de verwerking van persoonsgegevens bepalen — zichtbaarder, net als de AVG dat doet. De EDPS heeft richtsnoeren verstrekt over dit onderwerp en de Commissie heeft interne modellen voor regelingen inzake gezamenlijke verwerkingsverantwoordelijkheid ontwikkeld. Hoewel de aanvullende verantwoordingsvereisten die nodig zijn om de naleving van de EUVG voor EU-instellingen en -organen aan te tonen over het algemeen werden toegejuicht, merkten sommige EU-instellingen en -organen op dat de EUVG-regels tot een hogere werklast hebben geleid. Zij wezen er ook op dat de EUVG relatief complexe regels bevat, die meer deskundigheid vereisen bij de EU-instellingen en -organen, onder meer bij hun functionarissen voor gegevensbescherming, alsook bij de netwerken van coördinatoren voor gegevensbescherming in de EU-instellingen en -organen die over dergelijke netwerken beschikken. Alle EU-instellingen en -organen, op twee na, houden gegevens over verwerkingsactiviteiten bij in een centraal register. Hoewel dit geen specifieke vereiste is uit hoofde van de EUVG, is het wel een goede praktijk die ook door de EDPS wordt aanbevolen. Voorts heeft 72 % van de EU-instellingen en -organen alle aan de functionaris voor gegevensbescherming verzonden kennisgevingen uit hoofde van de vorige verordening in registers opgenomen. De EU-instellingen en organen die deze taak nog niet hebben voltooid, moeten hun documentatie over verwerkingsactiviteiten herzien en bijwerken om ervoor te zorgen dat deze volledig en actueel is. 3.2Uitoefening van de rechten van betrokkenen De EUVG biedt betrokkenen een breed scala aan rechten met betrekking tot de verwerking van hun persoonsgegevens, in overeenstemming met de AVG. De EU-instellingen en -organen hebben als verwerkingsverantwoordelijken een specifieke verplichting om de uitoefening van deze rechten gemakkelijker te maken. Bijgevolg heeft 96 % van de EU-instellingen en -organen aangegeven bewustmakingsactiviteiten te hebben ondernomen, zoals het actualiseren van publiek beschikbare informatie over hun verwerkingsactiviteiten, informatieberichten of richtsnoeren voor betrokkenen. Een aantal EU-instellingen en -organen, zoals de Commissie, de Europese Centrale Bank en de Europese Dienst voor extern optreden, meldden een duidelijke toename van het aantal verzoeken dat zij tussen 2018 en 2021 van natuurlijke personen hadden ontvangen. Voor andere, zoals het Hof van Justitie van de Europese Unie, het Europees Economisch en Sociaal Comité en het Asielagentschap van de Europese Unie, waren de aantallen echter stabiel of schommelden ze zonder een duidelijk waarneembare tendens. Het is nog niet mogelijk een duidelijke tendens te ontwaren in het aantal verzoeken van betrokkenen na de inwerkingtreding van de EUVG, aangezien de registratie van de verschillende soorten verzoeken per instelling, orgaan of instantie verschilt. 3.3Beperking van de rechten van de betrokkene door middel van interne voorschriften Net als de AVG voorziet de EUVG in de mogelijkheid om bepaalde rechten van betrokkenen te beperken. Dit kan gebeuren via wetgevingshandelingen en via interne voorschriften. Voor dergelijke interne voorschriften gelden strenge criteria. Zij moeten duidelijk en nauwkeurig zijn en de toepassing ervan moet voorzienbaar zijn voor de personen waarop zij betrekking hebben. De voorschriften moeten in het Publicatieblad worden bekendgemaakt en moeten voldoen aan de vereisten van het Handvest van de grondrechten en het Europees Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden. De op interne voorschriften gebaseerde beperkingen kunnen alleen betrekking hebben op de werking van de EU-instellingen en -organen. Zij moeten de grondrechten eerbiedigen, in een democratische samenleving noodzakelijke en evenredige maatregelen vormen en tot doel hebben een van de specifiek in de EUVG genoemde doelstellingen te waarborgen. Elke betrokkene wiens rechten zijn beperkt, heeft het recht een klacht in te dienen bij de EDPS. Een grote meerderheid (84 %) van de EU-instellingen en -organen heeft interne voorschriften vastgesteld. Dergelijke voorschriften zijn bijvoorbeeld ingevoerd om het verstrekken van informatie aan een betrokkene in een intern administratief onderzoek uit te stellen. In andere gevallen was het doel van dergelijke voorschriften de voortdurende doeltreffende samenwerking met de lidstaten te waarborgen op die gebieden waar de activiteiten van de EU-instellingen en -organen afhankelijk zijn van informatie die zij van de bevoegde autoriteiten van de lidstaten ontvangen. De interne voorschriften die de Commissie heeft vastgesteld voor de verwerking van persoonsgegevens in het kader van haar activiteiten op het gebied van mededinging, fraudebestrijding en interne audits, voorzien bijvoorbeeld in de mogelijkheid om beperkingen op te leggen aan de rechten van betrokkenen wanneer persoonsgegevens worden verkregen van de bevoegde autoriteiten van de lidstaten. Die voorschriften voorzien in de mogelijkheid om soortgelijke beperkingen op te leggen wanneer nationale autoriteiten beperkingen hebben opgelegd op basis van een wettelijke maatregel die mogelijk is op grond van de AVG of de richtlijn rechtshandhaving. Wanneer EU-instellingen en -organen interne voorschriften hebben vastgesteld die het mogelijk maken de rechten van betrokkenen te beperken, worden deze meestal per geval toegepast, zoals vereist door hun respectieve interne voorschriften. 69 % van de EU-instellingen en -organen die de voorschriften van artikel 25 hebben ingevoerd, meldt echter dergelijke voorschriften nog niet te hebben toegepast. De instellingen en organen die ze wel hebben toegepast, hebben minder dan tien gevallen van beperkingen gemeld, met uitzondering van het Europees Parlement en de Commissie. De behoefte aan beperkingen is vaker gerezen bij de activiteiten van het Europees Bureau voor fraudebestrijding (OLAF), met name voor het uitstellen van informatieverstrekking aan betrokkenen over de verwerking van hun persoonsgegevens wanneer een onderzoek zich nog in een vroeg stadium bevindt, om het verzamelen van bewijsmateriaal niet in gevaar te brengen. OLAF heeft ook verscheidene beperkingen toegepast met betrekking tot verzoeken van betrokkenen om inzage van hun persoonsgegevens, die alleen waren afgewezen om rechten en vrijheden van anderen te beschermen, bv. wanneer het bekendmaken van de gegevens een informant aan het risico van represailles zou blootstellen. Volgens de interne voorschriften van de EU-instellingen en -organen moeten zij hun functionarissen voor gegevensbescherming in kennis stellen van alle toegepaste beperkingen en hun toegang verlenen tot het register en tot alle documenten over die beperkingen. 3.4Functionarissen voor gegevensbescherming De verplichting om in alle EU-instellingen en -organen een functionaris voor gegevensbescherming aan te stellen, was al opgenomen in de vorige Verordening (EG) nr. 45/2001. De EUVG heeft deze rol zichtbaarder gemaakt door het verantwoordingsbeginsel in te voeren. Dit houdt in dat de verwerkingsverantwoordelijke verantwoordelijk is voor de naleving van de gegevensbeschermingsregels en moet kunnen aantonen dat deze worden nageleefd. In 46 % van de EU-instellingen en -organen worden de functionarissen voor gegevensbescherming ondersteund door netwerken van coördinatoren voor gegevensbescherming of soortgelijke structuren. Grotere EU-instellingen en -organen beschikken vaker over dergelijke netwerken, zoals het Europees Parlement, het secretariaat-generaal van de Raad, de Commissie en de Europese Dienst voor extern optreden (EDEO). De EDEO organiseert en onderhoudt ook een netwerk van correspondenten voor gegevensbescherming in de EU-delegaties. Een aantal EU-instellingen en -organen wees op de toename van de verantwoordelijkheden en de werklast van hun functionaris voor gegevensbescherming (en in het verlengde daarvan van de coördinatoren voor gegevensbescherming). Zij erkenden dat de functionarissen (en de coördinatoren) voor gegevensbescherming meer middelen moeten krijgen zodat zij het gegevensbeschermingsbeleid van hun EU-instellingen en -organen doeltreffend kunnen uitvoeren. Ook de noodzaak om de onafhankelijkheid van functionarissen voor gegevensbescherming te waarborgen werd genoemd. In dit verband zijn er twee tendensen: enerzijds legt de EUVG meer nadruk op de verantwoordingsplicht van de verwerkingsverantwoordelijke, bv. door afschaffing van de procedure van voorafgaande controle die bestond onder de vorige Verordening (EG) nr. 45/2001, waardoor de administratieve lasten worden verminderd. Anderzijds vragen de verwerkingsverantwoordelijken om meer richtsnoeren van de functionarissen/coördinatoren voor gegevensbescherming over hoe zij het best aan de EUVG kunnen voldoen. In dit verband werd opgemerkt dat het netwerk van functionarissen voor gegevensbescherming van de EU-instellingen en -organen een belangrijk forum is voor de bespreking en verduidelijking van bepaalde juridische en technische aspecten die specifiek zijn voor gegevensverwerking door EU-instellingen en -organen. Dit netwerk biedt een platform voor uitwisselingen tussen de functionarissen voor gegevensbescherming en de EDPS en tussen die functionarissen onderling. Het werkt op permanente basis samen en komt gewoonlijk tweemaal per jaar bijeen. Meer dan de helft van de EU-instellingen en -organen (54 %) heeft meer middelen uitgetrokken voor hun functionarissen voor gegevensbescherming en meer in het algemeen voor gegevensbeschermingstaken. De meeste EU-instellingen en -organen (84 %) hebben hun interne processen aangepast om ervoor te zorgen dat hun personeel de functionarissen voor gegevensbescherming informeert en raadpleegt over nieuwe verwerkingen van persoonsgegevens. Meestal gebeurt dit door de functionarissen voor gegevensverwerking bijvoorbeeld te betrekken bij veranderingsbeheerprocessen of bij projectstuurgroepen.

3.5Gegevensbeschermingseffectbeoordelingen Het grootste aantal gegevensbeschermingseffectbeoordelingen werd uitgevoerd door de Europese Centrale Bank, de Europese Investeringsbank en de Commissie. In vergelijking met het vorige systeem van “voorafgaande controle” op grond van Verordening (EG) nr. 45/2001, is het aantal zaken dat naar de EDPS werd gestuurd, aanzienlijk gedaald. Dit was het verwachte gevolg van deze wijziging, en de EDPS werd minder vaak geraadpleegd over administratieve verwerkingen, zoals personeelsbeoordelingen. Tabel 1 in de bijlage geeft een overzicht van de gegevensbeschermingseffectbeoordelingen die de EU-instellingen en -organen tussen 2019 en 2021 hebben uitgevoerd. Bijna alle EU-instellingen en -organen (94 %) waren het erover eens dat de EUVG-criteria risicovolle verwerkingen adequaat bestrijken wanneer zij gegevensbeschermingseffectbeoordelingen moeten uitvoeren. Degenen die het hier niet mee eens waren, benadrukten dat de EDPS bij de interpretatie van deze criteria rekening moet houden met technologische ontwikkeling. Cloudcomputing is bijvoorbeeld niet langer een “nieuwe” technologie en hiermee moet rekening worden gehouden bij de vraag of er gegevensbeschermingseffectbeoordelingen moeten worden uitgevoerd. De EU-instellingen en -organen die dit punt aan de orde hebben gesteld, zijn doorgaans van mening dat de wettekst zelf voldoende duidelijk is, en dat dit een kwestie van interpretatie door de EDPS is. De EUVG bevat geen specifieke verplichting om de resultaten van gegevensbeschermingseffectbeoordelingen bekend te maken. Een grote meerderheid van de EU-instellingen en -organen (84 %) maakt de uitgevoerde gegevensbeschermingseffectbeoordelingen niet bekend, terwijl 14 % deze gedeeltelijk of in de vorm van een samenvatting bekendmaakt, waarbij informatie wordt weggelaten die de vastgestelde waarborgen voor de beveiliging in gevaar zou kunnen brengen. Slechts één van de EU-instellingen en -organen heeft aangegeven gegevensbeschermingseffectbeoordelingen volledig bekend te maken. De bekendmaking van gegevensbeschermingseffectbeoordelingen, waar nodig met weglating van informatie die de beveiliging van de verwerkingen in gevaar zou kunnen brengen, verbetert de transparantie met betrekking tot de naleving van de EUVG-voorschriften door de EU-instellingen en -organen en is een goede praktijk die door de EDPS wordt aanbevolen. 3.6Internationale doorgifte van persoonsgegevens Bijna alle EU-instellingen en -organen (91 %) meldden dat hun activiteiten gepaard gaan met internationale doorgiften van persoonsgegevens. Dit omvat zowel doorgiften van persoonsgegevens naar niet-EU-/EER-landen als naar internationale organisaties. Verscheidene EU-instellingen en -organen vermeldden echter dat deze doorgiften zelden voorkomen of slechts betrekking hebben op een beperkte hoeveelheid persoonsgegevens. Wat de gebruikte instrumenten voor doorgifte betreft, verwezen de EU-instellingen en -organen meestal naar adequaatheidsbesluiten (vastgesteld in het kader van de AVG of de richtlijn rechtshandhaving) en contractuele instrumenten, bijvoorbeeld voor gegevensdoorgiften aan particuliere ondernemingen. Voor gegevensdoorgiften aan overheidsinstanties worden ook andere instrumenten gebruikt, zoals juridisch bindende overeenkomsten en administratieve regelingen. Daarnaast merkte 51 % van de EU-instellingen en -organen op dat zij beperkte, incidentele doorgiften verrichten, bijvoorbeeld om opleidingen te organiseren, op basis van de wettelijke gronden voor gegevensdoorgifte (de “afwijkingen”). In de praktijk worden gegevensdoorgiften meestal niet rechtstreeks door EU-instellingen en -organen verricht, maar door de verwerkers (die geen EU-instellingen en -organen zijn) die namens hen optreden. De Commissie heeft daarom specifiek aandacht besteed aan dit scenario in de standaardcontractbepalingen die in juni 2021 in het kader van de AVG zijn vastgesteld om de verwerkingsverantwoordelijken en verwerkers te helpen te voldoen aan de voorschriften van zowel de AVG als de EUVG. Verwerkers in de Europese Economische Ruimte (EER) hebben met name de mogelijkheid om deze standaardcontractbepalingen voor internationale gegevensdoorgiften op te nemen in de overeenkomsten met hun subverwerkers in derde landen. Dit waarborgt de naleving van de EUVG-voorschriften bij de inschakeling van subverwerkers namens EU-instellingen en -organen, zolang de gegevensbeschermingsverplichtingen onderling zijn afgestemd in de overeenkomsten tussen: i) de instelling/het orgaan van de EU en de verwerker; en ii) de verwerker en zijn subverwerker. EU-instellingen en -organen kunnen met name voor een dergelijke afstemming zorgen door gebruik te maken van de standaardcontractbepalingen die door de Commissie zijn vastgesteld voor de betrekkingen tussen verwerkingsverantwoordelijken en verwerkers. Om aanvullende instrumenten te verstrekken die passende waarborgen bieden voor rechtstreekse doorgiften van gegevens door EU-instellingen en -organen aan derde landen (d.w.z. zonder tussenkomst van een EU-/EER-verwerker), ontwikkelt de Commissie momenteel standaardcontractbepalingen op grond van artikel 48, lid 2, punt b), EUVG. Deze bepalingen zullen zoveel mogelijk in overeenstemming worden gebracht met de bestaande bepalingen die in het kader van de AVG zijn vastgesteld. Tot slot ontwikkelt de Commissie, gezien de specifieke vragen die rijzen bij de doorgifte van persoonsgegevens aan internationale organisaties (bijvoorbeeld vanwege de status van internationale organisaties en de toepasselijke voorrechten en immuniteiten), samen met de functionarissen voor gegevensbescherming van de EU-instellingen en -organen specifieke instrumenten (bv. administratieve regelingen) die zijn afgestemd op dergelijke doorgiften. 4Activiteiten van de EDPS 4.1De EDPS als toezichthoudende autoriteit voor gegevensbescherming voor EU-instellingen en -organen De EDPS is de onafhankelijke toezichthoudende autoriteit voor gegevensbescherming voor de EU-instellingen en -organen, en weerspiegelt daarmee de rol van de nationale toezichthoudende autoriteiten voor gegevensbescherming die in de lidstaten zijn ingesteld uit hoofde van de AVG en de richtlijn rechtshandhaving. Tabel 2 in de bijlage geeft een overzicht van de toezichtactiviteiten van de EDPS van 2018 tot en met 2021. Aangezien de EUVG op 11 december 2018 in werking is getreden, vormen de cijfers voor 2018 een basisscenario voor vergelijking met de situatie onder de vorige Verordening (EG) nr. 45/2001. De EDPS constateerde dat de onderwerpen van de raadplegingen die hij van de EU-instellingen en -organen heeft ontvangen sinds de EUVG van toepassing is geworden, zijn verschoven in de richting van hun kerntaken. Dit betekent een verschuiving naar vragen over de verwerking van persoonsgegevens voor de uitvoering van aan de EU-instellingen en -organen toevertrouwde taken van algemeen belang, terwijl vragen over “administratieve” onderwerpen, zoals personeelsbeheer, verminderen. Het aantal niet-ontvankelijke klachten dat de EDPS heeft ontvangen, is tussen 2019 en 2021 gestegen. De meeste niet-ontvankelijk verklaarde klachten waren gericht tegen verwerkingsverantwoordelijken in de lidstaten, die niet onder toezicht staan van de EDPS, maar van hun nationale autoriteiten voor gegevensbescherming. De aantallen voor 2018 waren waarschijnlijk hoger omdat de AVG van toepassing werd. Dit leidde tot een groter bewustzijn van de gegevensbeschermingsregels bij de bevolking, maar ook tot een toename van het aantal niet-ontvankelijke klachten. Ook kan de EDPS ontvankelijke klachten afsluiten wanneer een minnelijke oplossing wordt getroffen. Het aantal inspecties en controles steeg in 2019 ten opzichte van het basisscenario van 2018, gevolgd door een daling in 2020 en 2021. Dit kan worden verklaard doordat de COVID-19-pandemie controles ter plaatse bemoeilijkte en deze werden vervangen door controles op afstand. Aan de hand van risico’s beoordeelt de EDPS welke EU-instellingen en -organen moeten worden geïnspecteerd. Daarbij wordt bijvoorbeeld rekening gehouden met het aantal ingediende raadplegingen, met name wanneer bijzondere categorieën van gegevens worden verwerkt als onderdeel van de kernactiviteiten van een EU-instelling. De EDPS kan ook besluiten op eigen initiatief onderzoeken uit te voeren, bijvoorbeeld naar het gebruik van cloudaanbieders door de EU-instellingen en -organen. Wat inbreuken in verband met persoonsgegevens betreft, meldde de EDPS dat in de meeste gevallen menselijke fouten de onderliggende oorzaak waren, gevolgd door technische fouten en externe aanvallen. De EDPS heeft de meeste van zijn bevoegdheden uit hoofde van de EUVG gebruikt, waaronder het opleggen van tijdelijke verboden op verwerkingen. Hij heeft nog niet gebruikgemaakt van zijn nieuwe bevoegdheid om administratieve geldboeten op te leggen, wat volgens de EUVG een maatregel in laatste instantie is. De EDPS heeft er in zijn bijdrage aan dit verslag ook op gewezen dat hij heeft geïnvesteerd in bewustmakingsactiviteiten, zoals opleidingen, met een piek van naar schatting meer dan 4 600 deelnemers in 2019, na de inwerkingtreding van de EUVG. Hoewel het aantal deelnemers in 2020 en 2021 is gedaald ten opzichte van die piek, is het nog steeds aanzienlijk hoger dan het basisscenario van naar schatting 1 000 deelnemers in 2018.

De EU-instellingen en -organen gaven overwegend positieve feedback over de interacties met en de begeleiding door de EDPS, waarbij 86 % aangaf dat de antwoorden altijd of meestal gemakkelijk te begrijpen waren. Ook spraken de EU-instellingen en -organen hun waardering uit over de toegenomen contacten van de EDPS met het netwerk van functionarissen voor gegevensbescherming. Sommige EU-instellingen en -organen merkten echter op dat het advies van de EDPS soms te laat kwam. Zij benadrukten het belang van voortdurende steun en advies van de EDPS en vroegen om tijdige en praktische begeleiding bij bepaalde kwesties op het gebied van gegevensbescherming, namelijk de toepassing van de risicogebaseerde aanpak voor de verwerkingsverantwoordelijken, internationale doorgiften en de relatie tussen verwerkingsverantwoordelijken (met inbegrip van gezamenlijke verwerkingsverantwoordelijken) en hun verwerkers. 4.2De EDPS als adviseur van de EU-wetgever De Commissie raadpleegt de EDPS op formele wijze, met name over wetgevingsvoorstellen die gevolgen hebben voor de verwerking van persoonsgegevens, nadat deze door het college zijn vastgesteld. De EDPS reageert op deze raadplegingen met adviezen of opmerkingen. De EDPS brengt ook op eigen initiatief adviezen uit, zoals zijn voorlopig advies over de Europese ruimte voor gezondheidsgegevens. Wanneer een voorstel van bijzonder belang is voor gegevensbescherming, kan de Commissie ook het Europees Comité voor gegevensbescherming (EDPB) raadplegen. In dat geval moeten de EDPS en het EDPB een gezamenlijk advies uitbrengen om ervoor te zorgen dat de EU-wetgever een samenhangend advies krijgt. De Commissie raadpleegt de EDPS ook informeel voordat handelingen waarvoor raadplegingsvereisten gelden door het college worden aangenomen. In antwoord op dergelijke raadplegingen verstrekt de EDPS informele opmerkingen aan de Commissie. Deze mogelijkheid helpt ervoor te zorgen dat de handelingen van de Commissie volledig in overeenstemming zijn met de gegevensbeschermingsregels voordat zij worden vastgesteld. Informele raadplegingen worden met name gebruikt bij besluiten die gevoelig zijn of die een grotere impact hebben op gegevensbescherming. De activiteit van de EDPS als adviseur van de EU-wetgever hangt af van het aantal nieuwe voorstellen dat door de Commissie wordt voorbereid. Na lagere aantallen in het laatste jaar van de aftredende Commissie is de duidelijke toename van het aantal formele opmerkingen in 2021 toe te schrijven aan het grotere aantal wetgevingsvoorstellen en aan de inspanningen van de Commissie om de EDPS zoals voorgeschreven consequent te raadplegen. Hieronder vallen ook uitvoering- en gedelegeerde handelingen die betrekking hebben op de verwerking van persoonsgegevens. Na de inwerkingtreding van de EUVG heeft het secretariaat-generaal van de Commissie procedures opgesteld en de diensten bewust gemaakt van de verplichting om de EDPS te raadplegen. Dit heeft geleid tot een meer systematische raadpleging, ook wat betreft uitvoerings- en gedelegeerde handelingen. Met het oog op de planning houden de EDPS en de diensten van de Commissie jaarlijks vergaderingen over het komende werkprogramma en de voorstellen waarover raadpleging zal moeten plaatsvinden. 4.3Samenwerking tussen de EDPS en de nationale gegevensbeschermingsautoriteiten De EDPS is een lid van het EDPB en verzorgt het secretariaat ervan. Hij werkt ook op andere manieren samen met de nationale toezichthoudende autoriteiten bij de uitoefening van hun respectieve taken. Voorbeelden hiervan zijn het doorverwijzen van klachten naar de bevoegde toezichthoudende autoriteit voor gegevensbescherming of zaken waarbij externe dienstverleners zijn betrokken die zowel door EU-instellingen en- organen als door verwerkingsverantwoordelijken in het kader van de AVG worden gebruikt. De EDPS draagt ook actief bij aan de werkzaamheden van het EDPB door bijvoorbeeld als hoofd- of mederapporteur voor richtsnoeren op te treden of anderszins bij te dragen aan de werkzaamheden ervan. Verscheidene grootschalige IT-systemen en agentschappen die uit hoofde van de EU-wetgeving zijn opgericht, vereisen dat de EDPS en de nationale toezichthoudende autoriteiten, elk binnen hun eigen verantwoordelijkheden, actief samenwerken om een gecoördineerd toezicht te waarborgen. In het verleden bevatten de oprichtingshandelingen van elk systeem of agentschap specifieke bepalingen daarvoor. De EUVG creëert een geharmoniseerd systeem voor deze toezichtcoördinatie, waarnaar in andere handelingen kan worden verwezen. Dit is gebeurd voor het Informatiesysteem interne markt, Ecris-TCN, Eurojust en recentelijk voor Europol. Andere systemen hebben nog steeds coördinatiegroepen voor toezicht met gedetailleerde regels in hun oprichtingshandelingen, of gedetailleerde verwijzingen naar vergaderingen als onderdeel van het EDPB. De EDPS draagt ook bij aan het Schengenevaluatiemechanisme dat is ingesteld bij Verordening (EU) nr. 1053/2013 van de Raad. Krachtens die verordening kan de Commissie de EDPS verzoeken een waarnemer aan te wijzen om deel te nemen aan een plaatsbezoek waarbij een gebied uit zijn mandaat wordt geëvalueerd, namelijk evaluaties op het gebied van gegevensbescherming. Dit komt overeen met de mogelijkheid voor Frontex en Europol om waarnemers aan te wijzen voor evaluaties van respectievelijk grensbeheer en politiesamenwerking. De Commissie is van mening dat de deskundigheid van de waarnemers van de EDPS een waardevolle troef is voor de evaluaties inzake gegevensbescherming. 4.4Middelen van de EDPS Het aantal personeelsleden van de EDPS (met inbegrip van het secretariaat van het EDPB) is in de verslagperiode gestaag toegenomen, hetgeen de algemene tendens bij de nationale toezichthoudende autoriteiten voor gegevensbescherming weerspiegelt. De activiteiten van het EDPB-secretariaat zijn in de loop der tijd toegenomen, met een groeiende output van EDPB-richtsnoeren, -aanbevelingen, -adviezen en andere documenten waaraan het secretariaat een bijdrage levert. Het is van essentieel belang dat het EDPB-secretariaat over voldoende middelen beschikt, gezien de grotere rol die het secretariaat naar verwachting zal spelen bij de doeltreffende handhaving van de AVG. Dit heeft in het bijzonder betrekking op de doelstelling van het EDPB om nauwere samenwerking te ontwikkelen op het gebied van strategische werkzaamheden en om nieuwe instrumenten te gebruiken ter ondersteuning van de samenwerking tussen gegevensbeschermingsautoriteiten. In het bijzonder is een sterk en goed uitgerust secretariaat ter ondersteuning van de werkzaamheden van het EDPB van cruciaal belang om ervoor te zorgen dat het EDPB zijn werk naar behoren kan uitvoeren, met name in de context van het coherentiemechanisme, waarvan het gebruik naar verwachting zal blijven toenemen. In zijn bijdrage aan dit verslag was de EDPS met name van mening dat, mocht hij worden belast met extra taken, bijvoorbeeld als markttoezichtautoriteit in het kader van het wetgevingsvoorstel inzake artificiële intelligentie, hij dienovereenkomstige extra middelen moet krijgen. 5Gebruik van bevoegdheden door de Commissie om gedelegeerde en uitvoeringshandelingen vast te stellen De EUVG verleent de Commissie verschillende bevoegdheden om uitvoeringshandelingen en standaardclausules vast te stellen, en bevat kruisverwijzingen naar bevoegdheden uit hoofde van de AVG. De EUVG bevat bepalingen die haar de bevoegdheid geven om standaardcontractbepalingen inzake gegevensbescherming vast te stellen voor overeenkomsten tussen verwerkingsverantwoordelijken en verwerkers, welke bepalingen overeenstemmen met de bevoegdheid in de AVG. De Commissie heeft van deze bevoegdheid gebruikgemaakt en in juni 2021 standaardcontractbepalingen vastgesteld voor betrekkingen tussen verwerkingsverantwoordelijken en verwerkers, die zowel de AVG als de EUVG bestrijken. Deze bepalingen bieden verwerkingsverantwoordelijken gebruiksvriendelijke instrumenten om de betrekkingen met hun verwerkers doeltreffend te beheren. De EUVG geeft de Commissie ook de bevoegdheid om standaardcontractbepalingen inzake gegevensbescherming vast te stellen die passende waarborgen bieden voor de doorgifte van persoonsgegevens buiten de EU/EER. De Commissie werkt momenteel aan dergelijke bepalingen. 6Gegevensbeschermingsregels voor organen en instanties die zich bezighouden met politiële samenwerking en justitiële samenwerking in strafzaken Hoofdstuk IX van de EUVG bevat voorschriften voor EU-instellingen en -organen die operationele persoonsgegevens verwerken bij de uitvoering van activiteiten in het kader van politiële samenwerking en justitiële samenwerking in strafzaken (“hoofdstuk rechtshandhaving”). Het beoogt de versnippering te verminderen: ·tussen de gegevensbeschermingsregelingen die van toepassing zijn op de verwerking van operationele gegevens door EU-instanties op dit gebied;

·ten aanzien van de gegevensbeschermingsregeling die van toepassing is op nationale strafrechtshandhavingsactiviteiten in het kader van de richtlijn rechtshandhaving. Daartoe voorziet het hoofdstuk rechtshandhaving van de EUVG in een reeks horizontale regels op basis van de richtlijn rechtshandhaving. Deze regels kunnen, waar nodig, worden aangevuld met specifieke regels in de oprichtingshandelingen van de instanties, afhankelijk van hun respectieve mandaten en van de specifieke aard van hun taken en gegevensverwerkingsactiviteiten. In de EUVG staat dat moet worden gezorgd voor een eenvormige en consequente bescherming van natuurlijke personen bij de verwerking van hun persoonsgegevens. Daartoe wordt uitdrukkelijk verwezen naar de doelstelling om de toepassing van het hoofdstuk rechtshandhaving van de EUVG uit te breiden tot instanties die ten tijde van de vaststelling van de EUVG afzonderlijke gegevensbeschermingskaders in hun oprichtingshandelingen hadden, namelijk Europol en het Europees Openbaar Ministerie (EOM). Tevens wordt verwezen naar de mogelijke wijziging van het hoofdstuk rechtshandhaving, indien nodig. 6.1Uitbreiding van de toepassing van het hoofdstuk rechtshandhaving van de EUVG Op het moment van opstelling van dit verslag, is het hoofdstuk rechtshandhaving van de EUVG van toepassing op de verwerking van operationele persoonsgegevens door: ·Eurojust, aangevuld met specifieke regels die zijn opgenomen in de Eurojust-verordening; ·Europol, aangevuld met specifieke regels die zijn opgenomen in de Europol-verordening, die sinds de inwerkingtreding van de EUVG is gewijzigd; ·Frontex voor het kleine deel van zijn activiteiten dat valt onder strafrechtshandhaving. Het hoofdstuk rechtshandhaving van de EUVG is echter nog niet van toepassing op het EOM, waarvan de oprichtingsverordening was vastgesteld vóór de EUVG. De EOM-verordening voorziet in een op zichzelf staande regeling voor de verwerking van operationele gegevens. Dit heeft twee gevolgen: Ten eerste verschillen sommige bepalingen in de EOM-verordening inhoudelijk van het hoofdstuk rechtshandhaving van de EUVG, zoals de verwerking van “beperkte” persoonsgegevens. Ten tweede zijn sommige bepalingen van de EOM-verordening, hoewel inhoudelijk vergelijkbaar, anders geformuleerd dan het hoofdstuk rechtshandhaving van de EUVG, hetgeen tot verschillende interpretaties kan leiden. Ter wille van de samenhang en overeenkomstig de algemene doelstelling om de versnippering van de gegevensbeschermingsregels zoveel mogelijk te beperken, moet voor het EOM een soortgelijke aanpak worden gevolgd als voor Eurojust en Europol. Doel is ervoor te zorgen dat het hoofdstuk rechtshandhaving van de EUVG rechtstreeks toepasselijk is op het EOM, waarbij alleen de noodzakelijke specificaties in de EOM-verordening worden aangehouden. Aangezien het EOM pas één jaar operationeel is, moet tegelijkertijd op korte termijn meer inzicht worden verkregen in de praktische toepassing van de gegevensbeschermingsregeling van het EOM. Op die manier kunnen die specificaties nauwkeurig worden vastgesteld, rekening houdend met de aard van het EOM als onafhankelijk openbaar ministerie van de EU. 6.2Verduidelijking van de toepasselijkheid van bepaalde EUVG-bepalingen op de verwerking van operationele gegevens In de EUVG is het volgende bepaald: “Uitsluitend artikel 3 [definities] en hoofdstuk IX [hoofdstuk rechtshandhaving] van deze verordening zijn van toepassing op de verwerking van operationele persoonsgegevens” Het hoofdstuk rechtshandhaving bevat inhoudelijke bepalingen die overeenstemmen met de meeste bepalingen van de hoofdstukken II tot en met V van de EUVG (algemene beginselen, rechten van betrokkenen, bepaalde verplichtingen van verwerkingsverantwoordelijken en verwerkers, internationale doorgifte van gegevens), met enkele verschillen om rekening te houden met de specifieke aard van rechtshandhaving (bv. regels over het informeren van betrokkenen en over hun recht op inzage van hun gegevens). Het is van belang om door middel van een wijziging van de EUVG te verduidelijken dat het hoofdstuk rechtshandhaving alleen specifieke regels bevat voor de overeenkomstige bepalingen van andere hoofdstukken van de EUVG die een direct equivalent hebben in het hoofdstuk rechtshandhaving. Indien de wetgever geen specifieke voorschriften in de oprichtingshandeling van een instantie opneemt, zijn de bepalingen in andere hoofdstukken dan het hoofdstuk rechtshandhaving die geen rechtstreeks equivalent in dat hoofdstuk hebben, van toepassing op de verwerking van operationele gegevens. Deze wijziging zou de rechtszekerheid ten goede komen en een compleet kader bieden (bv. van de positie van functionarissen voor gegevensbescherming, de samenwerking met nationale toezichthoudende autoriteiten voor gegevensbescherming), ook voor eventuele toekomstige instanties op dit gebied. Een dergelijk compleet kader zou ook het risico van versnippering verminderen. 6.3Bevoegdheden van de EDPS bij het toezicht op EU-organen en -instanties Momenteel bevatten de verordeningen tot oprichting van het EOM, Eurojust en Europol specifieke bepalingen over de bevoegdheden van de EDPS. De geactualiseerde Europol-verordening verleent de EDPS bevoegdheden die zijn afgestemd op die van artikel 58 EUVG. Dit is met name het geval voor de bevoegdheid om administratieve boeten op te leggen en de bevoegdheid om de verwerkingsverantwoordelijke of de verwerker te gelasten de verwerking, waar passend, op een bepaalde wijze en binnen een bepaalde termijn met de voorschriften in overeenstemming te brengen. In het geval van het EOM zijn de bevoegdheden van de EDPS echter anders geformuleerd dan in de EUVG. De EDPS beschikt niet over de twee bovengenoemde bevoegdheden. De Frontex-verordening bevat, voor het kleine deel van de activiteiten van Frontex dat onder het hoofdstuk rechtshandhaving valt, geen specifieke bepalingen over de bevoegdheden van de EDPS, hetgeen tot onzekerheid over die bevoegdheden leidt.

Door de volgende twee stappen te volgen kunnen alle in artikel 58 EUVG genoemde bevoegdheden aan de EDPS worden verleend. 1.Verduidelijken dat de EUVG standaard het toezicht op het hoofdstuk rechtshandhaving en de bevoegdheden van artikel 58 EUVG aan de EDPS toevertrouwt. Daartoe moet de EUVG worden gewijzigd, zoals in het vorige punt is voorgesteld. Dit zou ook de leemte in de Frontex-verordening opvullen. 2.Door de bepalingen over de bevoegdheden van de EDPS te schrappen uit de oprichtingsbesluiten van de instanties en organen, zou het volledige scala aan bevoegdheden van de EDPS uit hoofde van de gewijzigde EUVG rechtstreeks van toepassing zijn op Eurojust en het EOM. Doel is deze zoveel mogelijk op elkaar af te stemmen om de versnippering van de gegevensbeschermingsregels te beperken. 7Volgende stappen Over het algemeen functioneert de EUVG goed en is de verordening geschikt voor het beoogde doel. In dit stadium zal de Commissie geen wijzigingen voorstellen voor die delen die gelijkwaardig zijn aan de overeenkomstige regels in de AVG, zodat de EUVG en de AVG zo nauw mogelijk op elkaar blijven aansluiten. De mogelijke wijzigingen die in dit verslag worden overwogen, hebben betrekking op andere delen, met name de verhouding van het hoofdstuk rechtshandhaving van de EUVG tot de andere bepalingen van de verordening. In het voorjaar van 2022 heeft de Commissie regels voorgesteld om de informatiebeveiliging in de EU-instellingen en -organen te versterken, wat een positief effect zal hebben op informatiebeveiliging, inclusief op de bescherming van persoonsgegevens. Dat voorstel is gericht op verdere versterking van de veerkracht van de EU-instellingen en -organen en van hun vermogen om op incidenten te reageren wanneer zij met cyberbeveiligingsdreigingen worden geconfronteerd. De Commissie zal ook de in de onderstaande punten uiteengezette stappen ondernemen: -bij de actualisering van de oprichtingshandelingen voor grootschalige IT-systemen die nog gedetailleerde regels over een model voor gecoördineerd toezicht bevatten, waarborgen dat het model voor gecoördineerd toezicht van de EUVG van toepassing zal zijn om de procedures te stroomlijnen; -wijzigingen in de EUVG overwegen om: ode rechtszekerheid te verbeteren en het kader voor de verwerking van operationele gegevens te voltooien door in artikel 2, lid 2, te verduidelijken dat de algemene bepalingen van de EUVG ook van toepassing zijn op de verwerking van operationele persoonsgegevens, tenzij het hoofdstuk rechtshandhaving specifieke bepalingen bevat (zoals over het recht van inzage). Dit zou ook een kant-en-klaar kader bieden voor eventuele toekomstige instanties op het gebied van justitiële samenwerking in strafzaken en politiële samenwerking; oervoor te zorgen dat de EDPS als waarnemer deelneemt aan alle evaluaties inzake gegevensbescherming in het kader van het Schengenevaluatiemechanisme; -vervolgens overwegen de EOM- en Eurojust-verordeningen bij een toekomstige herziening zo te wijzigen dat de voorschriften inzake de verwerking van operationele persoonsgegevens in de gewijzigde EUVG volledig van toepassing zijn, rekening houdend met de specifieke aard van die organen. Dit zal er ook toe leiden dat de bevoegdheden van de EDPS ten aanzien van deze organen en instanties worden geharmoniseerd met zijn bevoegdheden ten aanzien van de andere EU-instellingen en -organen; -standaardcontractbepalingen voor de internationale doorgiften van persoonsgegevens voor de EU-instellingen en -organen voorstellen; -de nauwe samenwerking met de EDPS (en, in voorkomend geval, het EDPB) voortzetten om te zorgen voor een tijdige en gerichte raadpleging over nieuwe voorstellen, en de EDPS ook informeel blijven raadplegen over belangrijke teksten voordat deze worden aangenomen.



De EDPS wordt verzocht: -aanvullende en tijdige praktische richtsnoeren te verstrekken aan de EU-instellingen en -organen, onder meer over internationale doorgiften van gegevens; -de verwerkingsverantwoordelijken en verwerkers bewust te blijven maken van hun verplichtingen uit hoofde van de EUVG, en de functionarissen voor gegevensbescherming met advies bij te staan;

-de inspanningen op te voeren om de EUVG doeltreffend te handhaven teneinde de volledige bescherming van de betrokkenen te waarborgen. De instellingen, organen en instanties van de EU worden verzocht: -hun inspanningen op het gebied van bewustmaking voort te zetten en, waar nodig, op te voeren om te zorgen voor voldoende interne deskundigheid over de EUVG-voorschriften; -te overwegen de gegevensbeschermingseffectbeoordelingen bekend te maken, zo nodig met uitsluiting van informatie die de vastgestelde waarborgen voor de beveiliging in gevaar zou kunnen brengen; -ervoor te zorgen dat de functionarissen (en de coördinatoren) voor gegevensbescherming over voldoende middelen beschikken en een zodanige positie binnen de EU-instellingen en -organen innemen dat zij hun taken efficiënt en onafhankelijk kunnen uitvoeren; -hun resterende kennisgevingen in het kader van de vorige verordening gegevensbescherming om te zetten in de registers van verwerkingsactiviteiten.



BIJLAGE Tabel 1 — Gegevensbeschermingseffectbeoordelingen en voorafgaande raadplegingen door de EU-instellingen en -organen 2019 2020 2021 Aanvaard restrisico 30 50 77 Voorafgaande raadpleging van de EDPS 3 3 5 Project afgebroken 2 2 0 Tabel 2 — Toezichtactiviteiten van de EDPS 2018 2019 2020 2021 Raadplegingen 50 75 59 52 Voorafgaande raadplegingen 0 0 1 4 Toestemmingen voor doorgifte 0 1 0 4 Ontvangen ontvankelijke klachten 58 59 43 44 Besluiten naar aanleiding van ontvankelijke klachten 23 48 35 22 Ontvangen niet-ontvankelijke klachten 240 151 203 269 Uitgevoerde inspecties/controles 5 9 4 4 Uitgevoerde formele onderzoeken 0 4 1 2



Ontvangen meldingen van inbreuken in verband met persoonsgegevens 7 95 121 82



Tabel 3 — Adviesactiviteiten van de EDPS 2018 2019 2020 2021 Opmerkingen 13 3 19 72 Adviezen 7 6 8 12 Adviezen op eigen initiatief 1 1 2 0 Gezamenlijk adviezen met het EDPB 0 1 0 5 Informele opmerkingen 33 16 13 25