EUROPESE COMMISSIE Brussel, 24.7.2019 COM(2019) 374 final MEDEDELING VAN DE COMMISSIE AAN HET EUROPEES PARLEMENT EN DE RAAD Gegevensbeschermingsregels als basis voor vertrouwen in de EU en daarbuiten - een inventarisatie























Mededeling van de Commissie aan het Europees Parlement en de Raad Gegevensbeschermingsregels als basis voor vertrouwen in de EU en daarbuiten – een inventarisatie I.Inleiding De algemene verordening gegevensbescherming (hierna te noemen “de verordening”) is sinds meer dan een jaar van toepassing in de hele Europese Unie. Zij vormt het hart van een coherent en gemoderniseerd gegevensbeschermingslandschap van de EU, dat ook de richtlijn gegevensbescherming bij wetshandhaving en de verordening gegevensbescherming voor EU-instellingen en -organen omvat. Dit kader wordt gecompleteerd door de e-privacyverordening, die op dit moment het wetgevingsproces doorloopt. Krachtige gegevensbeschermingsregels zijn essentieel voor het waarborgen van het grondrecht op bescherming van persoonsgegevens, zijn van groot belang voor een democratische maatschappij en vormen een belangrijk onderdeel van een steeds grotere data-economie. De EU streeft ernaar de vele mogelijkheden van digitalisering op het gebied van diensten, banen en innovatie te benutten en tegelijkertijd de uitdagingen die deze met zich meebrengen, aan te gaan. Identiteitsdiefstal, het lekken van gevoelige gegevens, discriminatie van personen, ingebouwde vooroordelen, het delen van illegale content en de ontwikkeling van inbreuk makende bewakingssystemen zijn slechts enkele voorbeelden van kwesties die steeds vaker het onderwerp vormen van publiek debat en waarbij duidelijk is dat mensen verwachten dat hun gegevens worden beschermd. Gegevensbescherming is een waarlijk wereldwijd fenomeen geworden, omdat mensen uit de hele wereld de bescherming en beveiliging van hun gegevens steeds meer waarderen. Veel landen hebben uitgebreide gegevensbeschermingsregels vastgesteld of zijn bezig met de procedure hiervoor op basis van beginselen die vergelijkbaar zijn met die uit de verordening, wat leidt tot de wereldwijde convergentie van gegevensbeschermingsregels. Hierdoor ontstaan nieuwe mogelijkheden om gegevensstromen tussen commerciële marktdeelnemers of overheidsautoriteiten te vergemakkelijken en tegelijkertijd het beschermingsniveau van de persoonsgegevens in de EU en wereldwijd te verhogen. Mensen nemen gegevensbescherming serieuzer dan ooit tevoren, wat veel gevolgen heeft voor verschillende belanghebbenden en sectoren. De Commissie is vastbesloten om de EU naar een succesvolle uitvoering van het nieuwe stelsel voor gegevensbescherming te leiden en ervoor te zorgen dat alle aspecten ervan volledig operationeel worden. Met deze mededeling inventariseert de Commissie de resultaten die tot op heden zijn behaald in verband met de consistente uitvoering van de gegevensbeschermingsregels in de hele EU, de werking van het nieuwe beheerssysteem, de gevolgen voor burgers en ondernemingen en de inspanningen van de EU om de wereldwijde convergentie van gegevensbeschermingsstelsels te bevorderen. Deze mededeling volgt op de mededeling van de Commissie voor de toepassing van de verordening van januari 2018 en is gebaseerd op informatie uit de werkzaamheden van de groep van diverse belanghebbenden, met name haar bijdrage aan de inventarisatie na een jaar en de discussies die zijn gehouden tijdens het evenement dat de Commissie op 13 juni 2019 heeft georganiseerd. Deze mededeling is bovendien een bijdrage aan de toetsing die de Commissie uiterlijk in mei 2020 wil uitvoeren. Het wetgevingskader voor gegevensbescherming van de EU is een hoeksteen van de Europese mensgerichte benadering van innovatie. Het wordt onderdeel van de regelgeving waar steeds meer beleidsmaatregelen op steunen, waaronder gezondheid en onderzoek, kunstmatige intelligentie, vervoer, energie, mededinging en wetshandhaving. De Commissie heeft consequent benadrukt hoe belangrijk de gedegen uitvoering en handhaving van de nieuwe gegevensbeschermingsregels zijn, zoals is aangegeven in haar mededeling voor de toepassing van de verordening uit januari 2018 en haar richtsnoeren voor het gebruik van persoonsgegevens in het kader van verkiezingen uit september 2018. Op het moment van deze mededeling is er veel vooruitgang geboekt met betrekking tot dit doel, hoewel er zeker meer werk moet worden verzet voordat de verordening volledig operationeel is. II.Eén aanpak voor de gehele EU: het kader voor gegevensbescherming is in werking in de lidstaten Eén van de hoofddoelen van de verordening was om een einde te maken aan het gefragmenteerde landschap met 28 verschillende nationale wetgevingen onder de vorige richtlijn gegevensbescherming en het bieden van rechtszekerheid aan natuurlijke personen en ondernemingen in de hele EU. Dat doel is grotendeels behaald. De harmonisatie van het rechtskader Hoewel de verordening rechtstreeks toepasselijk is in de lidstaten, moest op nationaal niveau een aantal wettelijke maatregelen worden getroffen om nationale autoriteiten op het gebied van gegevensbescherming op te zetten en hen bevoegdheden toe te wijzen, regels over specifieke kwesties vast te stellen, bijvoorbeeld over het in overeenstemming brengen van de bescherming van persoonsgegevens met de vrijheid van meningsuiting en informatie, en sectorale wetgeving met gegevensbeschermingsaspecten te wijzigen of in te trekken. Op het moment van deze mededeling hadden alle lidstaten op drie na hun nationale gegevensbeschermingswetgeving geactualiseerd. Aan de aanpassing van sectorale wetgeving wordt op nationaal niveau nog altijd gewerkt. Sinds de verordening is opgenomen in de Overeenkomst betreffende de Europese Economische Ruimte, is zij ook van toepassing op Noorwegen, IJsland en Liechtenstein, die ook hun nationale gegevensbeschermingswetgeving hebben vastgesteld. Door belanghebbenden wordt echter opgeroepen om sommige gebieden nog verder te harmoniseren. De verordening geeft de lidstaten inderdaad wat ruimte om de toepassing op bepaalde gebieden nader te specificeren, zoals de leeftijd voor toestemming door kinderen voor onlinediensten of de verwerking van persoonsgegevens op het gebied van bijvoorbeeld geneeskunde en volksgezondheid. In dit geval gelden voor de maatregelen van de lidstaten twee elementen als kader: I)elke nader bepalende nationale wetgeving moet voldoen aan de vereisten van het Handvest van de grondrechten van de Europese Unie (en aan de beperkingen uit de verordening die voortbouwt op het Handvest); II)de wetgeving mag geen afbreuk doen aan het vrije verkeer van persoonsgegevens binnen de EU. In sommige gevallen hebben lidstaten voornamelijk door middel van sectorale wetgeving nationale eisen ingevoerd boven op de verordening, wat leidt tot fragmentatie en onnodige lasten. Eén voorbeeld van een extra eis die lidstaten boven op de verordening hebben ingevoerd, is de verplichting in Duitsland om in ondernemingen met ten minste twintig werknemers een functionaris voor gegevensbescherming aan te wijzen die zich permanent bezighoudt met de geautomatiseerde verwerking van persoonsgegevens. Aanhoudende inspanningen voor meer harmonisatie De Commissie houdt bilaterale dialogen met nationale autoriteiten, waarbij zij in het bijzonder aandacht besteedt aan de nationale maatregelen met betrekking tot:

·de daadwerkelijke onafhankelijkheid van gegevensbeschermingsautoriteiten, onder andere dankzij passende financiële, personele en technische middelen; ·de wijze waarop de nationale wetgeving de rechten van betrokkenen beperkt; ·het feit dat er in de nationale wetgeving geen vereisten, zoals aanvullende verwerkingsvoorwaarden, zouden moeten staan boven op de verordening als er geen ruimte voor specificatie is; ·de naleving van de verplichting om het recht op bescherming van persoonsgegevens in overeenstemming te brengen met de vrijheid van meningsuiting en informatie, met dien verstande dat deze verplichting niet mag worden misbruikt om journalistiek werk te ontmoedigen. Het werk van de gegevensbeschermingsautoriteiten, die samenwerken in het kader van het Europees Comité voor gegevensbescherming (“het Comité”), is essentieel voor de consequente toepassing van de nieuwe regels: handhavingsmaatregelen die betrekking hebben op meerdere lidstaten, verlopen via het mechanisme voor samenwerking en coherentie van het Comité en de door het Comité vastgestelde richtsnoeren dragen bij aan de geharmoniseerde interpretatie van de verordening. De belanghebbenden verwachten echter van de gegevensbeschermingsautoriteiten dat zij verder gaan in deze richting. Het werk van de nationale gerechten en het Hof van Justitie van de Europese Unie helpt ook bij het creëren van een consistente interpretatie van de gegevensbeschermingsregels. Nationale gerechten hebben onlangs bepalingen in de nationale wetgeving die afwijken van de verordening, ongeldig verklaard. III.Alle stukjes van het nieuwe beheerssysteem vallen op hun plaats Met de verordening is een nieuwe beheersstructuur gecreëerd, waarin de onafhankelijke nationale gegevensbeschermingsautoriteiten centraal staan als de handhavers van de verordening en het eerste contactpunt voor belanghebbenden. Hoewel de meeste gegevensbeschermingsautoriteiten het afgelopen jaar steeds meer middelen tot hun beschikking hebben gekregen, zijn er nog altijd grote verschillen tussen de lidstaten. Gegevensbeschermingsautoriteiten gebruiken hun nieuwe bevoegdheden Op grond van de verordening hebben gegevensbeschermingsautoriteiten krachtigere handhavingsbevoegdheden gekregen. Ondanks de zorgen die enkele belanghebbenden vóór mei 2018 hebben geuit, gebruiken de nationale gegevensbeschermingsautoriteiten hun handhavingsbevoegdheden evenwichtig. Zij hebben de nadruk gelegd op de dialoog en niet op sancties, voornamelijk voor de kleinste marktdeelnemers voor wie de verwerking van persoonsgegevens geen hoofdactiviteit is. Tegelijkertijd deinsden zij er niet voor terug om hun nieuwe bevoegdheden waar nodig doeltreffend te gebruiken, onder andere door onderzoek te doen op het gebied van sociale media en administratieve geldboeten op te leggen die variëren van enkele duizenden tot enkele miljoenen euro’s, afhankelijk van de ernst van de inbreuk op de gegevensbeschermingsregels. Voorbeelden van boeten die door gegevensbeschermingsautoriteiten zijn opgelegd: ·5 000 EUR voor een café voor sportweddenschappen in Oostenrijk vanwege onrechtmatige videobewaking; ·220 000 EUR voor een gegevensmakelaar in Polen, omdat hij had verzuimd mensen ervan in kennis te stellen dat hun gegevens werden verwerkt; ·250 000 EUR voor de Spaanse voetbalcompetitie LaLiga, vanwege onvoldoende transparantie in het ontwerp van een smartphone-applicatie; ·50 miljoen EUR voor Google in Frankrijk, vanwege de voorwaarden voor het verkrijgen van toestemming van gebruikers. Het is essentieel dat gegevensbeschermingsautoriteiten hij het uitvoeren van onderzoeken in vaak complexe dossiers relevant bewijsmateriaal verzamelen, alle procedurele stappen uit hoofde van de nationale wetgeving naleven en een eerlijke rechtsbedeling waarborgen. Hiervoor is tijd en veel werk nodig, wat verklaart waarom de meeste onderzoeken die na de inwerkingtreding van de verordening zijn ingesteld, nog steeds lopen. Dat gezegd hebbende, moet het succes van de verordening niet worden afgemeten aan het aantal opgelegde geldboeten, maar aan de verandering in de cultuur en het gedrag van alle betrokken actoren. In verband hiermee beschikken de gegevensbeschermingsautoriteiten over andere instrumenten, zoals het opleggen van een tijdelijke of definitieve verwerkingsbeperking, waaronder een verwerkingsverbod, of het opschorten van gegevensstromen naar een ontvanger in een derde land. Enkele gegevensbeschermingsautoriteiten hebben nieuwe instrumenten gecreëerd, zoals hulplijnen en toolkits voor ondernemingen, terwijl andere nieuwe benaderingen hebben ontwikkeld, zoals regulatory sandboxes om ondernemingen te helpen bij de naleving van de verordening. Een aantal belanghebbenden, voornamelijk kleine en middelgrote ondernemingen in enkele lidstaten, is echter nog steeds van mening dat het niet voldoende ondersteuning en informatie heeft ontvangen. Om deze situatie te verbeteren, verleent de Commissie subsidies aan gegevensbeschermingsautoriteiten, zodat zij belanghebbenden, met name natuurlijke personen en kleine en middelgrote ondernemingen, kunnen bereiken. Het Europees Comité voor gegevensbescherming is operationeel De gegevensbeschermingsautoriteiten hebben hun werkzaamheden in het Europees Comité voor gegevensbescherming geïntensiveerd. Dankzij deze intensieve werkzaamheden heeft het Comité circa twintig richtsnoeren over belangrijke aspecten van de verordening vastgesteld. De toekomstige werkgebieden van het Comité worden in overeenstemming met de verordening gepresenteerd in een tweejarenprogramma.

In grensoverschrijdende gevallen is elke gegevensbeschermingsautoriteit niet langer slechts een nationale autoriteit, maar onderdeel van een EU-breed proces voor alle stadia, van het onderzoek tot de beslissing. Deze nauwe samenwerking is de dagelijkse praktijk geworden: eind juni 2019 waren er via het samenwerkingsmechanisme 516 grensoverschrijdende zaken beheerd. De Commissie draagt actief bij aan de werkzaamheden van het Comité om de letter en de geest van de verordening uit te dragen en brengt de algemene beginselen van het EU-recht in herinnering. Op naar een EU-cultuur van gegevensbescherming Het potentieel van het nieuwe beheerssysteem is nog niet volledig ontplooid. Het is van belang dat het Comité zijn besluitvorming verder stroomlijnt en een gemeenschappelijke EU-cultuur van gegevensbescherming ontwikkelt onder zijn leden. De mogelijkheden voor gegevensbeschermingsautoriteiten om hun krachten te bundelen voor kwesties waarbij meer dan één lidstaat betrokken is, bijvoorbeeld voor het uitvoeren van gezamenlijke onderzoeken en gezamenlijke handhavingsmaatregelen, kunnen hieraan bijdragen en tegelijkertijd een tegenwicht bieden aan de beperkingen van de middelen. Veel belanghebbenden willen dat de nationale gegevensbeschermingsautoriteiten nog meer samenwerken en een uniforme aanpak hanteren. Zij willen ook dat het advies van de gegevensbeschermingsautoriteiten consistenter is en dat de nationale richtsnoeren en die van het Comité volledig op elkaar aansluiten. Sommige belanghebbenden verwachten ook meer opheldering over belangrijke concepten uit de verordening, zoals de op risico’s gebaseerde aanpak, met speciale aandacht voor de zorgen van kleine en middelgrote ondernemingen. In dit verband is het essentieel om belanghebbenden een grotere bijlage te laten leveren aan de werkzaamheden van het Comité. Daarom is de Commissie ingenomen met de systematische openbare raadpleging over richtsnoeren van het Comité. Dit gebruik zou samen met de organisatie van workshops voor belanghebbenden over gerichte onderwerpen in een vroeg stadium van de discussie moeten worden voortgezet en uitgebreid, zodat de werkzaamheden van het Comité transparant, inclusief en relevant zijn. IV.Personen maken gebruik van hun rechten, maar de voorlichting moet doorgaan Een ander hoofddoel van de verordening was het versterken van de rechten van personen. Burgerrechten- en consumentenorganisaties beschouwen de verordening als een belangrijke bijdrage aan een eerlijke digitale maatschappij die is gebaseerd op wederzijds vertrouwen. Meer bekendheid van gegevensbeschermingsrechten In de EU zijn steeds meer mensen op de hoogte van de gegevensbeschermingsregels en van hun rechten: 67 % van de respondenten van een Eurobarometer uit mei 2019 is op de hoogte van de verordening en 57 % weet dat er een nationale gegevensbeschermingsautoriteit is tot wie zij zich kunnen wenden voor informatie of om een klacht in te dienen. 73 % van hen heeft wel eens gehoord van ten minste één van de rechten die hun bij de verordening zijn toegekend. Een aanzienlijk deel van de inwoners van de EU treft echter nog altijd niet actief maatregelen om hun persoonsgegevens online te beschermen. Zo heeft 44 % de standaard-privacyinstellingen op sociale netwerken niet veranderd. Steeds meer mensen oefenen hun rechten uit Deze grotere kennis heeft ertoe geleid dat mensen hun rechten intensiever uitoefenen via klantvragen en door zich vaker tot de gegevensbeschermingsautoriteiten te wenden om te verzoeken om informatie of een klacht in te dienen. In verschillende sectoren, zoals het bankwezen en de telecommunicatie, hebben ondernemingen ook aangegeven dat er meer om toegang tot persoonsgegevens wordt gevraagd. Bovendien hebben mensen hun toestemming vaker ingetrokken en vaker hun recht uitgeoefend om bezwaar te maken tegen commerciële communicatie. Door verschillende marktdeelnemers is echter melding gemaakt van misverstanden over de gegevensbeschermingsregels, zoals het idee dat mensen toestemming moeten geven voor elke verwerking, of dat het recht op wissing absoluut is (terwijl marktdeelnemers persoonsgegevens soms moeten bewaren, bijvoorbeeld op basis van wettelijke verplichtingen). Maatschappelijke organisaties klagen op hun beurt over de lange wachttijd op antwoord van sommige ondernemingen en gegevensbeschermingsautoriteiten. Het is belangrijk om te vermelden dat er na machtiging door personen die gebruikmaken van de nieuwe mogelijkheid uit hoofde van de verordening, meerdere representatieve vorderingen zijn ingediend door non-gouvernementele organisaties. Het zou gemakkelijker zijn geweest om gebruik te maken van representatieve vorderingen als meer lidstaten de mogelijkheid uit de verordening hadden gebruikt om non-gouvernementele organisaties in staat te stellen om zonder machtiging vorderingen in te dienen.



De noodzaak om door te gaan met voorlichting Daarom moet op nationaal en EU-niveau worden doorgegaan met de dialoog en de voorlichtingsinspanningen die zijn gericht op het publiek. Hiervoor heeft de Commissie in juli 2019 een nieuwe onlinecampagne gelanceerd om mensen aan te moedigen om privacyverklaringen te lezen en hun privacyinstellingen te optimaliseren. V.Ondernemingen passen hun werkwijzen aan Met de verordening wordt beoogd om ondernemingen te ondersteunen in de digitale economie door toekomstbestendige oplossingen te bieden. Over het algemeen zijn ondernemingen blij met het verantwoordelijkheidsbeginsel dat anders is dan de vorige, tijdrovende ex ante-aanpak (schrappen van kennisgevingsverplichtingen, schaalbaarheid van verplichtingen en flexibiliteit van het beginsel van gegevensbescherming door ontwerp en door standaardinstellingen waardoor mededinging op basis van privacyvriendelijke oplossingen mogelijk is). Tegelijkertijd vragen sommige ondernemingen om meer rechtszekerheid en aanvullende of duidelijkere richtsnoeren van gegevensbeschermingsautoriteiten. Gedegen gegevensbeheer

Door ondernemingen wordt een aantal uitdagingen gemeld waar zij bij de aanpassing aan de regels mee te maken hebben. Anderzijds wordt door veel ondernemingen benadrukt dat het ook een gelegenheid was om gegevensbescherming onder de aandacht van de raad van bestuur te brengen, orde op zaken te stellen met betrekking tot de gegevens die zij bezitten, de veiligheid te verbeteren, beter voorbereid te zijn op incidenten, de blootstelling aan onnodige risico’s te verlagen en relaties op basis van vertrouwen op te bouwen met hun klanten en commerciële partners. Wat betreft transparantie melden bedrijfs- en maatschappelijke organisaties dat het soms lastig is om een balans te vinden tussen het verstrekken van alle informatie waarom uit hoofde van de verordening is gevraagd en tegelijkertijd duidelijk en helder taalgebruik en een vorm te hanteren die mensen begrijpen. Hiervoor worden door de marktdeelnemers innovatieve oplossingen ontwikkeld. Ondernemingen gaven doorgaans aan dat zij de nieuwe rechten voor betrokkenen konden invoeren, hoewel het soms een uitdaging was om de deadlines te halen vanwege het gestegen aantal verzoeken en de meer uiteenlopende aard ervan, of om de identiteit te controleren van de persoon die het verzoek doet. Gevolgen voor innovatie In de verordening wordt de ontwikkeling van nieuwe technologieën niet alleen toegestaan, maar zelfs aangemoedigd, terwijl het grondrecht op bescherming van persoonsgegevens in acht wordt genomen. Dit is het geval voor gebieden zoals kunstmatige intelligentie. Ondernemingen zijn begonnen met het ontwikkelen van nieuwe, meer privacyvriendelijke diensten. Zo krijgen zoekmachines die gebruikers niet volgen of die niet gedragsgericht adverteren, in sommige lidstaten een steeds groter marktaandeel. Andere ondernemingen ontwikkelen diensten die voortbouwen op nieuwe rechten van personen, zoals de overdraagbaarheid van hun persoonsgegevens. Een groeiend aantal ondernemingen bevordert de inachtneming van persoonsgegevens als aanbeveling om zich te onderscheiden van de concurrentie. Deze ontwikkelingen zijn niet beperkt tot de EU, maar gelden ook voor innovatieve buitenlandse economieën. De specifieke situatie van kleine en micro-ondernemingen met een “laag risico” Hoewel de situatie tussen de lidstaten varieert, kwamen de meeste vragen over de toepassing van de verordening onder meer van kleine en micro-ondernemingen waarvoor de verwerking van persoonsgegevens geen hoofdactiviteit is. Hoewel deze vragen gedeeltelijk voortkwamen uit een gebrek aan kennis van de gegevensbeschermingsregels, werden hun zorgen soms ook vergroot door campagnes van bureaus die betaald advies willen leveren, door de verspreiding van onjuiste informatie, bijvoorbeeld over de noodzaak systematisch toestemming te verkrijgen van personen, en door aanvullende voorwaarden op nationaal niveau. In dit verband vragen kleine en micro-ondernemingen om richtsnoeren met praktische informatie die zijn afgestemd op hun specifieke situatie. Sommige gegevensbeschermingsautoriteiten hebben dit op nationaal niveau al gedaan. In aanvulling op nationale initiatieven heeft de Commissie informatiemateriaal verstrekt om deze ondernemingen te helpen om via een reeks praktische stappen aan de nieuwe regels te voldoen. Gebruikmaken van de instrumenten uit de verordening In de verordening worden instrumenten aangeboden om aan te tonen dat de verordening wordt nageleefd, zoals standaardcontractbepalingen, gedragscodes en de nieuwe certificeringsmechanismen. Standaardcontractbepalingen zijn modelbepalingen die vrijwillig kunnen worden opgenomen in een contract, bijvoorbeeld tussen een verwerkingsverantwoordelijke en een verwerker, en waarin de verplichtingen van de contracterende partijen uit hoofde van de verordening staan. Overeenkomstig de verordening kunnen de standaardcontractbepalingen zowel voor internationale doorgiften als binnen de EU worden gebruikt. Op het gebied van internationale doorgiften blijkt uit het wijdverbreide gebruik ervan dat ze erg nuttig zijn voor ondernemingen die de verordening willen naleven en met name voor ondernemingen die niet de middelen hebben om met al hun contractanten die gegevens verwerken, te onderhandelen over individuele contracten. In een aantal sectoren wordt het vaststellen van standaardcontractbepalingen gezien als een nuttige manier om harmonisatie te bevorderen, met name als de Commissie dit doet. De Commissie zal samenwerken met belanghebbenden om gebruik te maken van de mogelijkheden uit de verordening en om bestaande bepalingen te actualiseren. De naleving van gedragscodes is een ander operationeel en praktisch instrument waarover de bedrijfstak beschikt om gemakkelijker aan te tonen dat de verordening wordt nageleefd. Deze codes moeten worden ontwikkeld door brancheverenigingen of organen die categorieën van de verwerkingsverantwoordelijken en verwerkers vertegenwoordigen, en hierin moet worden beschreven hoe de gegevensbeschermingsregels in een bepaalde sector kunnen worden ingevoerd. Doordat deze het ijkpunt vormen van de verplichtingen en de risico’s, zouden ze voor kleine en middelgrote ondernemingen een nuttige en kosteneffectieve manier kunnen zijn om aan hun verplichtingen te voldoen. Ten slotte kan certificering ook een nuttig instrument zijn om aan te tonen dat bepaalde voorwaarden uit de verordening worden nageleefd. Hierdoor kan de rechtszekerheid voor ondernemingen worden vergroot en de verordening wereldwijd worden ondersteund. Met de richtsnoeren voor certificering en accreditatie die het Europees Comité voor gegevensbescherming onlangs heeft vastgesteld, is het mogelijk om in de EU certificeringsregelingen te ontwikkelen. De Commissie houdt deze ontwikkelingen in de gaten en zal indien nodig gebruikmaken van de bevoegdheid uit de verordening om certificeringsvereisten op te stellen. De Commissie heeft ook het recht om voor elementen die relevant zijn voor de verordening, normalisatieverzoeken in te dienen bij de normalisatie-instellingen van de EU. VI.De opwaartse convergentie neemt internationaal toe Niet alleen in de EU wordt er gevraagd om de bescherming van persoonsgegevens. Zoals blijkt uit een recent wereldwijd onderzoek over internetbeveiliging is er over de hele wereld een groeiend gebrek aan vertrouwen, waardoor mensen zich online anders gaan gedragen. Steeds meer bedrijven nemen deze zorgen weg door vrijwillig de rechten die voortkomen uit de verordening, ook toe te kennen aan hun klanten die buiten de EU gevestigd zijn. Nu landen over de hele wereld vergelijkbare uitdagingen steeds meer aanpakken, worden in toenemende mate gegevensbeschermingsregels opgesteld of bestaande regels geactualiseerd. Deze wetten vertonen vaak een aantal overeenkomsten met het stelsel voor gegevensbescherming van de EU, zoals overkoepelende wetgeving in plaats van regels per bedrijfstak, afdwingbare individuele rechten en een onafhankelijke toezichthoudende autoriteit. Deze tendens is echt wereldwijd te zien, van Zuid-Korea tot Brazilië, van Chili tot Thailand en van India tot Indonesië. Het groeiende, wereldwijde lidmaatschap van “Verdrag 108” van de Raad van Europa – dat onlangs is geactualiseerd met een aanzienlijke bijdrage van de Commissie – is een ander duidelijk teken van deze tendens van opwaartse convergentie. Het bevorderen van veilige en vrije gegevensstromen onder andere door middel van adequaatheidsbesluiten Deze groeiende convergentie biedt nieuwe mogelijkheden voor het bevorderen van gegevensstromen, en daarmee ook de handel en samenwerking tussen overheidsautoriteiten, terwijl de gegevens van personen in de EU als deze worden doorgegeven naar het buitenland, tegelijkertijd beter worden beschermd. Bij de uitvoering van de strategie uit haar mededeling uit 2017 betreffende de uitwisseling en bescherming van persoonsgegevens in een geglobaliseerde wereld heeft de Commissie haar overleg met derde landen en andere internationale partners geïntensiveerd, waarbij werd voortgebouwd op de convergentie tussen privacysystemen en deze verder werd ontwikkeld. Dit omvat onder andere het nagaan of er met bepaalde derde landen adequaatheidsvaststellingen kunnen worden gedaan. Dit werk heeft belangrijke resultaten opgeleverd, voornamelijk de inwerkingtreding van de wederzijdse adequaatheidsregeling tussen de EU en Japan in februari 2019, waarmee de grootste ruimte voor vrije en veilige gegevensstromen ter wereld werd gecreëerd. De adequaatheidsonderhandelingen met Zuid-Korea zijn in een gevorderd stadium en er worden verkennende werkzaamheden uitgevoerd met het oog op het voeren van gesprekken over adequaatheid met verschillende Latijns-Amerikaanse landen, zoals Chili of Brazilië, afhankelijk van de voltooiing van lopende wetgevingsprocessen. Er zijn ook veelbelovende ontwikkelingen in enkele delen van Azië, zoals India, Indonesië en Taiwan, en in Oost- en Zuid-Europa, die wellicht leiden tot toekomstige adequaatheidsbesluiten.

Tegelijkertijd is de Commissie ingenomen met het feit dat andere landen die doorgifte-instrumenten hebben ingesteld die vergelijkbaar zijn met de adequaatheid van de verordening, hebben erkend dat de EU en landen die de EU als “adequaat” heeft erkend, het vereiste beschermingsniveau waarborgen. Hierdoor kan mogelijk een netwerk van landen worden gecreëerd waarbinnen vrijelijk gegevens kunnen worden doorgegeven. Bovendien wordt er intensief samengewerkt met andere derde landen, zoals Canada, Nieuw-Zeeland, Argentinië en Israël, om de continuïteit van adequaatheidsbesluiten die zijn vastgesteld op basis van de gegevensbeschermingsrichtlijn uit 1995 onder de verordening te waarborgen. Het is intussen aangetoond dat het EU-VS-privacyschild met meer dan 4 700 deelnemende ondernemingen een nuttig instrument is om trans-Atlantische gegevensstromen een hoog beschermingsniveau te bieden. Dankzij de jaarlijkse toetsing wordt de werking van het kader regelmatig gecontroleerd en kunnen nieuwe problemen tijdig worden aangepakt. Aangezien er geen standaardoplossing voor gegevensstromen bestaat, werkt de Commissie ook samen met belanghebbenden en het Comité om het volledige potentieel van de instrumenten voor internationale doorgiften uit de verordening te benutten. Deze instrumenten zijn onder andere standaardcontractbepalingen, de ontwikkeling van certificeringsregelingen, gedragscodes of administratieve regelingen voor publieke instanties. In dat opzicht is de Commissie geïnteresseerd in de uitwisseling van ervaringen en best practices met andere systemen die mogelijk een specifieke expertise hebben ontwikkeld voor sommige van deze instrumenten. De Commissie zal overwegen gebruik te maken van de bevoegdheden die uit hoofde van de verordening zijn toegekend met betrekking tot die doorgifte-instrumenten, en dan met name de standaardcontractbepalingen. Het zou de moeite waard kunnen zijn om naast puur bilaterale instrumenten te onderzoeken of gelijkgestemde landen op dit gebied een multinationaal kader zouden kunnen vormen, in een tijd waarin gegevensstromen een steeds essentiëler deel van de handel, communicatie en sociale interactie vormen. Met een dergelijk instrument zouden gegevens vrijelijk door de contracterende partijen kunnen worden doorgegeven, waarbij tevens het vereiste beschermingsniveau wordt gewaarborgd op basis van gedeelde waarden en convergerende systemen. Dit zou bijvoorbeeld kunnen worden ontwikkeld op basis van het geactualiseerde Verdrag 108 of het begin dit jaar door Japan gestarte initiatief “Data Free Flow with Trust”. Het ontwikkelen van nieuwe synergieën tussen de handel en gegevensbeschermingsinstrumenten Terwijl de Commissie de convergentie van gegevensbeschermingsnormen op internationaal niveau bevordert, stelt zij ook alles in het werk om digitaal protectionisme te voorkomen. Hiervoor heeft zij specifieke bepalingen over gegevensstromen en gegevensbescherming in handelsovereenkomsten ontwikkeld die zij tijdens bilaterale en multilaterale onderhandelingen, zoals de huidige gesprekken van de WTO over e-handel, systematisch aan de orde stelt. Met deze horizontale bepalingen worden puur protectionistische maatregelen, zoals voorschriften voor verplichte gegevenslokalisatie, uitgesloten, terwijl de partijen de regelgevende autonomie behouden om het grondrecht op gegevensbescherming te beschermen. Hoewel gesprekken over gegevensbescherming en handelsbesprekingen een ander verloop hebben, kunnen ze elkaar aanvullen. De wederzijdse adequaatheidsregeling tussen de EU en Japan is het beste voorbeeld van een dergelijke synergie: hierdoor worden commerciële uitwisselingen vergemakkelijkt, waardoor de voordelen van de economische partnerschapsovereenkomst worden versterkt. Dit soort convergentie, die is gebaseerd op gedeelde waarden en hoge normen en wordt ondersteund door doeltreffende handhaving, zorgt in feite voor de sterkste basis voor de uitwisseling van persoonsgegevens. Steeds meer internationale partners erkennen dit ook. Aangezien ondernemingen steeds vaker grensoverschrijdend actief zijn en bij voorkeur in de hele wereld soortgelijke regels toepassen, draagt een dergelijke convergentie bij aan een klimaat dat bevorderlijk is voor directe investeringen, waardoor de handel wordt vergemakkelijkt en er meer vertrouwen tussen handelspartners bestaat. De uitwisseling van informatie vergemakkelijken om criminaliteit en terrorisme tegen te gaan op basis van passende waarborgen Als gegevensbeschermingsstelsels beter op elkaar zijn afgestemd, wordt de hoognodige uitwisseling van informatie tussen de Europese en buitenlandse regelgevende, politiële en justitiële autoriteiten veel gemakkelijker, waardoor er effectiever en sneller kan worden samengewerkt op het gebied van wetshandhaving. Daarom overweegt de Commissie de mogelijkheid om adequaatheidsbesluiten vast te stellen uit hoofde van de richtlijn wetshandhaving en zo de samenwerking met belangrijke partners voor het bestrijden van criminaliteit en terrorisme te verdiepen. Bovendien kan de “raamovereenkomst” tussen de EU en de VS, die in februari 2017 van kracht is geworden, als model dienen voor vergelijkbare overeenkomsten met andere belangrijke veiligheidspartners. Andere voorbeelden die wijzen op het belang van hoge normen voor gegevensbescherming als basis voor stabiele samenwerking op het gebied van wetshandhaving met derde landen, zijn de overdracht van persoonsgegevens van passagiers (PNR-gegevens) en de uitwisseling van operationele informatie tussen Europol en belangrijke internationale partners. In dit opzicht zijn er momenteel onderhandelingen over internationale overeenkomsten gaande of op het punt van beginnen met verschillende landen van het Zuidelijk Nabuurschap. Sterke waarborgen voor gegevensbescherming zullen ook een essentieel onderdeel zijn van toekomstige overeenkomsten voor grensoverschrijdende toegang tot elektronisch bewijsmateriaal in strafrechtelijke onderzoeken op bilateraal (overeenkomst tussen de EU en de VS) of multilateraal niveau (tweede aanvullend protocol bij het Verdrag van Boedapest van de Raad van Europa inzake cybercriminaliteit). Het bevorderen van samenwerking tussen handhavingsinstanties Nu problemen met de inachtneming van privacy of veiligheidsincidenten gevolgen kunnen hebben voor een groot aantal personen in verschillende rechtsgebieden tegelijk, kunnen nauwere samenwerkingsvormen tussen toezichthoudende autoriteiten op internationaal niveau ervoor zorgen dat individuele rechten doeltreffender worden beschermd en dat er een stabiel klimaat voor ondernemers bestaat. Tegen deze achtergrond en in nauw overleg met het Comité werkt de Commissie aan manieren om samenwerking op het gebied van handhaving en wederzijdse bijstand tussen de Europese en buitenlandse toezichthoudende autoriteiten te vergemakkelijken, onder meer door gebruik te maken van de nieuwe bevoegdheden op grond van de verordening. Daarbij zou het kunnen gaan om verschillende samenwerkingsvormen, variërend van het ontwikkelen van gemeenschappelijke praktische of interpretatiehulpmiddelen tot het uitwisselen van informatie over lopende onderzoeken. Ten slotte is de Commissie ook voornemens om de dialoog met regionale organisaties en netwerken te intensiveren, zoals de Associatie van Zuidoost-Aziatische staten (ASEAN), de Afrikaanse Unie, het Asia Pacific Privacy Authorities forum (APPA) of het Ibero-American Data Protection Network, organisaties die een steeds grotere rol spelen bij het opstellen van gemeenschappelijke normen voor gegevensbescherming, het bevorderen van de uitwisseling van best practices en het stimuleren van de samenwerking tussen handhavingsinstanties. Bovendien zal de Commissie samenwerken met de Organisatie voor Economische Samenwerking en Ontwikkeling en de Asian-Pacific Economic Cooperation Organisation voor meer convergentie met het oog op een hoog niveau van gegevensbescherming. VII.Gegevensbeschermingswetgeving als integraal onderdeel van zeer uiteenlopende beleidsregels De bescherming van persoonsgegevens is in verschillende beleidsregels van de Unie gewaarborgd en opgenomen. Diensten op het gebied van telecommunicatie en elektronische communicatie De Commissie heeft haar voorstel voor een Verordening betreffende privacy en elektronische communicatie in januari 2017 aangenomen. Het doel van het voorstel was het beschermen van de vertrouwelijkheid van communicatie, zoals is vastgesteld in het Handvest van de grondrechten, maar ook om persoonsgegevens te beschermen die onderdeel zijn van communicatie en eindapparatuur van gebruikers. De voorgestelde e-privacyverordening is dankzij de specifieke regels voor de bovenstaande doeleinden een specificatie van en aanvulling op de verordening. De verordening is een modernisering van de huidige e-privacyregels van de EU met het oog op technologische en juridische ontwikkelingen. De privacy van personen wordt verbeterd, omdat de nieuwe regels ook gelden voor over-the-top communicatiediensten, waardoor een gelijk speelveld wordt gecreëerd voor alle elektronische-communicatiediensten. Hoewel het Europees Parlement in oktober 2017 een mandaat heeft vastgesteld om trialogen te beginnen, heeft de Raad nog geen overeenstemming bereikt over een algemene aanpak. De Commissie blijft zich volledig inzetten voor de e-privacyverordening en ondersteunt de medewetgevers bij hun inspanningen om de voorgestelde verordening snel vast te stellen. Gezondheid en onderzoek

Het vergemakkelijken van de uitwisseling van gezondheidsgegevens, die uit hoofde van de verordening gevoelige gegevens zijn, tussen lidstaten is om redenen van algemeen belang steeds belangrijker op het gebied van volksgezondheid. Een aantal van deze redenen zijn het verlenen van gezondheidszorg of behandelingen, bescherming tegen ernstige grensoverschrijdende bedreigingen van de gezondheid en het waarborgen van hoge normen inzake kwaliteit en veiligheid van de gezondheidszorg en van geneesmiddelen of medische hulpmiddelen. In de verordening staan de regels die zorgen voor de wettige en betrouwbare verwerking en uitwisseling van gezondheidsgegevens in de EU. Deze regels zijn ook van toepassing op de toegang tot de medische gegevens van patiënten door derden, met inbegrip van patiëntgegevens, e-recepten en op de lange termijn veelomvattende elektronische medische dossiers, en het gebruik hiervan voor wetenschappelijk onderzoek. Voor klinische proeven heeft de Commissie ook specifieke vragen en antwoorden opgesteld over de wisselwerking tussen de verordening betreffende klinische proeven en de algemene verordening gegevensbescherming:. Kunstmatige intelligentie (“KI”) Omdat KI van steeds groter strategisch belang is, is het noodzakelijk om wereldwijde regels op te stellen voor de ontwikkeling en het gebruik ervan. Bij de bevordering van de ontwikkeling en het gebruik van KI heeft de Commissie gekozen voor een mensgerichte benadering, wat betekent dat KI-toepassingen de grondrechten moeten eerbiedigen. In deze context vormen de regels uit de verordening een algemeen kader met specifieke verplichtingen en rechten die met name relevant zijn voor de verwerking van persoonsgegevens in KI. Zo bevat de verordening het recht om niet te worden onderworpen aan uitsluitend geautomatiseerde besluitvorming, met uitzondering van bepaalde situaties. Bovendien bevat de verordening specifieke voorschriften voor transparantie met betrekking tot het gebruik van geautomatiseerde besluitvorming, te weten de verplichting om kennis te geven van het bestaan van dergelijke besluiten en het verstrekken van nuttige informatie en uitleg over het belang en de verwachte gevolgen van de verwerking voor de betrokkene. De deskundigengroep op hoog niveau inzake KI, de Organisatie voor Economische Samenwerking en Ontwikkeling en de G20 hebben erkend dat de kernbeginselen van de verordening zeer relevant zijn voor het aanpakken van de uitdagingen en mogelijkheden die uit KI voortkomen. Het Europees Comité voor gegevensbescherming heeft KI aangemerkt als één van de mogelijke onderwerpen voor het Werkprogramma voor 2019-2020. Vervoer De ontwikkeling van verbonden voertuigen en intelligente steden is steeds meer afhankelijk van de verwerking en uitwisseling van grote hoeveelheden persoonsgegevens tussen meerdere partijen, waaronder auto’s, autofabrikanten, dienstverleners op het gebied van telematica en overheidsautoriteiten die verantwoordelijk zijn voor de wegeninfrastructuur. Door de betrokkenheid van meerdere partijen is er sprake van een bepaalde complexiteit voor de toekenning van de rollen en verantwoordelijkheden aan de verschillende actoren die betrokken zijn bij de verwerking van persoonsgegevens en voor het waarborgen van de rechtmatigheid van de verwerking door alle actoren. De naleving van de verordening en de e-privacywetgeving zijn essentieel om intelligente vervoerssystemen succesvol in te zetten in alle vervoerswijzen en de verspreiding van digitale hulpmiddelen en diensten waardoor personen en zaken mobieler zijn. Energie De ontwikkeling van digitale oplossingen in de energiesector is steeds meer afhankelijk van de verwerking van persoonsgegevens. De wetgeving die is vastgesteld als onderdeel van het pakket Schone energie voor alle Europeanen, bevat nieuwe bepalingen om de digitalisering van de elektriciteitssector mogelijk te maken en regels over toegang tot gegevens, gegevensbeheer en interoperabiliteit die toestaan dat de realtimegegevens van consumenten worden behandeld met het oog op besparingen en het bevorderen van zelfopwekking en participatie op de energiemarkt. Daarom is het voor de succesvolle uitvoering van deze bepalingen van groot belang dat de gegevensbeschermingsregels worden nageleefd.



Mededinging De verwerking van persoonsgegevens is een element waarmee steeds meer rekening moet worden gehouden in mededingingsbeleid. Aangezien gegevensbeschermingsautoriteiten de enige autoriteiten zijn die een schending van de gegevensbeschermingsregels mogen beoordelen, werken autoriteiten op het gebied van mededinging, consumenten en gegevensbescherming samen op het snijpunt van hun respectieve bevoegdheden. De Commissie stimuleert deze samenwerking en volgt de ontwikkelingen nauwlettend. Verkiezingen In de Richtsnoeren voor het gebruik van persoonsgegevens in het kader van verkiezingen, die in september 2018 zijn gepubliceerd als onderdeel van het verkiezingspakket, heeft de Commissie de aandacht gevestigd op regels die van belang zijn voor de bij verkiezingen betrokken actoren, waaronder problemen in verband met de micro-targeting van kiezers. Deze richtsnoeren komen terug in een verklaring van het Europees Comité voor gegevensbescherming, en door een aantal gegevensbeschermingsautoriteiten zijn op nationaal niveau richtsnoeren gepubliceerd. In het verkiezingspakket worden alle lidstaten bovendien opgeroepen om een nationaal electoraal samenwerkingsnetwerk op te zetten van bevoegde autoriteiten op het gebied van verkiezingskwesties en autoriteiten die verantwoordelijk zijn voor het toezicht op en de handhaving van de regels, zoals gegevensbescherming, voor online activiteiten die relevant zijn voor de verkiezingen. Er zijn tevens nieuwe maatregelen vastgesteld voor het invoeren van sancties voor de overtreding van de gegevensbeschermingsregels door Europese politieke partijen en stichtingen. De Commissie heeft de lidstaten aanbevolen op nationaal niveau dezelfde aanpak te volgen. Ook bij de evaluatie van de verkiezingen voor het Europees Parlement in 2019, die in oktober 2019 wordt gepubliceerd, wordt rekening gehouden met gegevensbeschermingsaspecten. Wetshandhaving Een doeltreffende, echte veiligheidsunie kan uitsluitend worden opgezet op basis van de volledige naleving van de grondrechten die zijn vastgelegd in het EU-handvest en de secundaire EU-wetgeving, met inbegrip van passende gegevensbeschermingswaarborgen om de veilige uitwisseling van persoonsgegevens ten behoeve van de wetshandhaving te garanderen. De noodzaak en evenredigheid van alle beperkingen van het grondrecht op privacy en gegevensbescherming worden streng getoetst.



VIII.Conclusie Op basis van de op dit moment beschikbare informatie en de dialoog met belanghebbenden is de Commissie vooralsnog van oordeel dat de toepassing van de verordening in het eerste jaar over het algemeen positief was. Zoals uit deze mededeling blijkt, moet er op een aantal gebieden echter vooruitgang worden geboekt. Het ten uitvoer leggen en aanvullen van het rechtskader: ·De drie lidstaten die hun nationale gegevensbeschermingswet nog niet hebben geactualiseerd, moeten dit met spoed doen. Alle lidstaten moeten hun sectorale wetgeving volledig afstemmen op de voorschriften van de verordening. ·De Commissie zal alle instrumenten waarover zij beschikt, waaronder inbreukprocedures, gebruiken om ervoor te zorgen dat de lidstaten de verordening naleven en om de fragmentatie van het kader voor gegevensbescherming te beperken.