Voorstel voor een VERORDENING VAN HET EUROPEES PARLEMENT EN DE RAAD betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (algemene verordening gegevensbescherming) /* COM/2012/011 final - 2012/0011 (COD) */





TOELICHTING 1. ACHTERGROND VAN HET VOORSTEL In deze toelichting wordt nader ingegaan op het nieuwe EU-rechtskader voor persoonsgegevensbescherming dat wordt voorgesteld in Mededeling COM(2012) 9 definitief[1]. Het voorgestelde rechtskader omvat twee wetgevingsvoorstellen: – een voorstel voor een verordening van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (Algemene verordening gegevensbescherming); en – een voorstel voor een richtlijn van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van strafrechtelijke sancties, en betreffende het vrije verkeer van die gegevens[2]. Deze toelichting heeft betrekking op het wetgevingsvoorstel voor een algemene verordening gegevensbescherming. Richtlijn 95/46/EG[3], de hoeksteen van de huidige EU-wetgeving inzake persoonsgegevensbescherming, werd in 1995 vastgesteld en had twee doelstellingen: het fundamentele recht op gegevensbescherming waarborgen en het vrije verkeer van persoonsgegevens tussen de lidstaten garanderen. De richtlijn werd aangevuld door Kaderbesluit 2008/977/JBZ, een algemeen EU-instrument voor de bescherming van persoonsgegegevens op het gebied van politiële en justitiële samenwerking in strafzaken[4]. Door snelle technologische ontwikkelingen zijn nieuwe uitdagingen voor de bescherming van persoonsgegevens ontstaan. De mate waarin gegevens worden verzameld en gedeeld, is enorm gestegen. Door technologie kunnen bedrijven en overheid bij het uitvoeren van hun activiteiten meer dan ooit tevoren gebruikmaken van persoonsgegevens. Mensen maken hun persoongegevens steeds vaker wereldwijd bekend. Technologie heeft zowel de economie als het maatschappelijke leven ingrijpend veranderd. Het is voor de economische ontwikkeling cruciaal om vertrouwen in de onlineomgeving tot stand te brengen. Een gebrek aan vertrouwen zal consumenten doen aarzelen om online te kopen en nieuwe vormen van dienstverlening te accepteren. Dit zou de ontwikkeling van innovatieve toepassingen van nieuwe technologieën kunnen vertragen. Daarom is de bescherming van persoonsgegevens een kernaspect van de Digitale Agenda voor Europa[5], en draagt het meer in het algemeen bij tot de Europa 2020-strategie[6]. Artikel 16, lid 1, van het Verdrag betreffende de werking van de Europese Unie (VWEU), zoals ingevoerd door het Verdrag van Lissabon, bepaalt dat eenieder recht heeft op bescherming van zijn persoonsgegevens. Bovendien is bij het Verdrag van Lissabon in artikel 16, lid 2, VWEU een specifieke rechtsgrondslag voor de vaststelling van EU-voorschriften inzake gegevensbescherming ingevoerd. Bescherming van persoonsgegevens is als grondrecht verankerd in artikel 8 van het Handvest van de grondrechten van de EU. De Europese Raad heeft de Commissie verzocht om de werking van de EU-instrumenten inzake gegevensbescherming te beoordelen en zo nodig met nadere initiatieven van wetgevende en niet-wetgevende aard te komen[7]. In zijn resolutie over het programma van Stockholm[8] juichte het Europees Parlement een integrale regeling voor de bescherming van persoonsgegevens in de EU toe en drong het onder meer aan op herziening van het kaderbesluit. De Commissie benadrukte in haar actieplan ter uitvoering van het programma van Stockholm[9] dat bescherming van persoonsgegevens een grondrecht is dat consequent bij het gehele EU-beleid moet worden toegepast. In haar mededeling “Een integrale aanpak van de bescherming van persoonsgegevens in de Europese Unie”[10] concludeerde de Commissie dat de EU een meer integraal en coherent beleid inzake het grondrecht op bescherming van persoonsgegevens nodig heeft. Het huidige rechtskader is nog steeds valide wat zijn doelstellingen en beginselen betreft, maar heeft niet voorkomen dat persoonsgegevens in de Unie op gefragmenteerde wijze worden beschermd, er sprake is van rechtsonzekerheid en in brede lagen van de bevolking het beeld bestaat dat met name onlineactiviteit aanzienlijke risico’s inhoudt[11]. Het is dan ook tijd om een krachtiger en coherenter kader voor gegevensbescherming in de EU tot stand te brengen en bovendien scherp toe te zien op de handhaving daarvan, zodat de digitale economie zich op de hele interne markt kan ontwikkelen, burgers zelf bepalen wat er met hun gegevens gebeurt en er meer praktische en rechtszekerheid wordt geboden aan bedrijven en overheden. 2. RESULTATEN VAN DE RAADPLEGING VAN BELANGHEBBENDEN EN EFFECTBEOORDELING Dit initiatief is het resultaat van uitgebreid overleg met alle belangrijke belanghebbenden over een herziening van het huidige rechtskader voor de bescherming van persoonsgegevens. Dit overleg nam meer dan twee jaar in beslag en omvatte een conferentie op hoog niveau in mei 2009[12] en twee fasen van openbare raadpleging: – van 9 juli tot en met 31 december 2009 de raadpleging over het rechtskader voor het grondrecht op bescherming van persoonsgegevens. De Commissie ontving 168 reacties: 127 van particulieren, bedrijfsorganisaties en verenigingen en 12 van overheden[13]; – van 4 november 2010 tot en met 15 januari 2011 de raadpleging over integrale aanpak van de bescherming van persoonsgegevens in de Europese Unie. De Commisie ontving 305 reacties: 54 van burgers, 31 van overheden en 220 van particuliere organisaties, met name bedrijfsorganisaties en ngo’s[14]. Ook is er gericht overleg gevoerd met belangrijke belanghebbenden. In juni en juli 2010 zijn specifieke evenementen georganiseerd met de autoriteiten van de lidstaten en particuliere belanghebbenden, alsook met privacy-, gegevensbeschermings- en consumentenorganisaties[15]. In november 2010 organiseerde vicevoorzitter Reding een rondetafelconferentie over de hervorming. Op 28 januari 2011 (dag van de gegevensbescherming) organiseerden de Europese Commissie en de Raad van Europa samen een conferentie op hoog niveau over de hervorming van het EU-rechtskader en de wereldwijde behoefte aan gemeenschappelijke normen voor gegevensbescherming[16]. Onder het Hongaarse en Poolse voorzitterschap van de Raad werden twee conferenties over gegevensbescherming belegd, op respectievelijk 16-17 juni en 21 september 2011. Verder werden in de loop van 2011 workshops en seminars over specifieke onderwerpen gehouden. In januari organiseerde Enisa[17] een workshop over het melden van inbreuken in verband met persoonsgegevens in Europa[18]. In februari hield de Commissie een workshop met de autoriteiten van de lidstaten over gegevensbeschermingskwesties met betrekking tot de politiële en justitiële samenwerking in strafzaken, waaronder de tenuitvoerlegging van het kaderbesluit, en organiseerde het Bureau voor de grondrechten een bijeenkomst om belanghebbenden te raadplegen over de bescherming van gegevens en de persoonlijke levenssfeer. Op 13 juli 2011 werden de belangrijkste elementen van de hervorming besproken met de nationale gegevensbeschermingsautoriteiten. De mening van de EU-burgers werd gepeild met een Eurobarometerenquête in november-december 2010[19]. Er werd ook opdracht gegeven voor een aantal studies[20]. De Groep gegevensbescherming artikel 29[21] heeft adviezen uitgebracht en nuttige input geleverd aan de Commissie[22]. De Europese Toezichthouder voor gegevensbescherming heeft een breed advies uitgebracht over de problemen die in de mededeling van de Commissie van november 2010 aan de orde waren gesteld[23]. Het Europees Parlement heeft bij zijn resolutie van 6 juli 2011 zijn goedkeuring gehecht aan een verslag waarbij het instemde met de aanpak van de Commissie voor de hervorming van het gegevensbeschermingskader[24]. De Raad van de Europese Unie heeft op 24 februari 2011 conclusies goedgekeurd waarin hij in grote lijnen akkoord ging met het voornemen van de Commissie om het kader voor gegevensbescherming te hervormen en instemt met een groot aantal onderdelen van de aanpak van de Commissie. Ook het Europees Economisch en Sociaal Comité steunde het streven van de Commissie naar een consequentere toepassing van de EU-voorschriften inzake gegevensbescherming[25] door alle lidstaten en een passende herziening van Richtlijn 95/46/EG[26]. Bij de raadplegingen inzake de integrale aanpak was een grote meerderheid van de belanghebbenden het ermee eens dat de algemene beginselen van toepassing blijven. Wel meenden zij dat het huidige kader moet worden aangepast om beter te kunnen inspelen op de uitdagingen die de snelle technologische ontwikkelingen (met name online) en de toenemende globalisering meebrengen. De technologische neutraliteit van het rechtskader zou daarbij moeten worden gehandhaafd. Met name werd door economische actoren zware kritiek geuit op de huidige fragmentatie van de persoonsgegevensbescherming in de Unie. Zij vroegen om meer rechtszekerheid en harmonisering van de regels inzake de bescherming van persoonsgegevens. De ingewikkelde regelgeving inzake internationale doorgiften van persoonsgegevens wordt beschouwd als een aanzienlijke belemmering van hun activiteiten, aangezien zij regelmatig persoonsgegevens vanuit de EU moeten doorgeven naar andere delen van de wereld. Overeenkomstig haar beleid voor betere regelgeving heeft de Commissie een effectbeoordeling van de beleidsalternatieven verricht. De effectbeoordeling werd verricht op basis van drie beleidsdoelen: de internemarktdimensie van gegevensbescherming versterken, personen in staat stellen hun gegevensbeschermingsrechten doeltreffender uit te oefenen en een breed, samenhangend kader tot stand brengen voor alle gebieden die onder de bevoegdheid van de Unie vallen, waaronder politiële samenwerking en justitiële samenwerking in strafzaken. Er zijn drie beleidsopties beoordeeld, die verschillen wat betreft de reikwijdte van het optreden. De eerste optie betrof minimale wijzigingen van de wetgeving en het gebruik van interpretatieve mededelingen en beleidsondersteunende maatregelen zoals financieringsprogramma’s en technische instrumenten. De tweede optie was een pakket wettelijke bepalingen om werk te maken van de punten die uit de analyse naar voren waren gekomen. Bij de derde optie werd de gegevensbescherming op EU-niveau gecentraliseerd door voor alle sectoren precieze en gedetailleerde regels vast te stellen en een EU-agentschap op te richten voor toezicht op en handhaving van de bepalingen. Volgens de gebruikelijke methode van de Commissie is met de steun van een interdepartementale stuurgroep voor elke beleidsoptie beoordeeld welke bijdrage die levert tot de verwezenlijking van de beleidsdoelen, wat de economische gevolgen voor de belanghebbenden (en de gevolgen voor de begroting van de EU-instellingen) zijn, wat de sociale gevolgen zijn en wat de gevolgen zijn voor de grondrechten. Er is niet naar milieugevolgen gekeken. Aan de hand van de algemene effectanalyse is de tweede optie verder uitgewerkt en uitgebreid met een een aantal elementen van de twee andere opties. Dit leidde tot de voorkeursoptie die in dit voorstel is opgenomen. Volgens de effectbeoordeling zal de tenuitvoerlegging onder meer aanzienlijke verbeteringen opleveren wat betreft de rechtszekerheid van de voor de verwerking verantwoordelijken en burgers, verlichting van de administratieve lasten, de consistente handhaving van gegevensbeschermingsregels in de Unie, de mogelijkheid van personen om hun recht op gegevensbescherming binnen de EU uit te oefenen en de efficiëntie van het toezicht op en de handhaving van gegevensbeschermingsregels. De voorkeursoptie zal naar verwachting ook bijdragen tot de doelstelling van de Commissie om de administratieve lasten te vereenvoudigen en te verlichten en tot de verwezenlijking van de doelstellingen van de Digitale Agenda voor Europa, het Stockholm-actieplan en de Europa 2020-strategie. De Raad voor effectbeoordeling heeft op 9 september 2011 advies uitgebracht over deze effectbeoordeling. Naar aanleiding van het advies van de Raad voor effectbeoordeling is de effectbeoordeling als volgt gewijzigd: – de doelstellingen van het huidige wetgevingskader (in welk opzicht deze doelstellingen zijn bereikt en in welk opzicht niet) en de doelstellingen van de voorgenomen hervorming zijn verduidelijkt; – aan de tekst betreffende de probleemstelling zijn meer gegevens en extra verduidelijkingen en uitleg toegevoegd; – er is een punt over evenredigheid toegevoegd; – voor zowel het basisscenario en als de voorkeursoptie zijn de berekeningen en ramingen betreffende de administratieve lasten volledig herzien en bijgesteld, en het verband tussen de kosten van kennisgevingen en de totale kosten van de fragmentatie is verduidelijkt (ook wat bijlage 10 betreft); – er is nauwkeuriger geschetst welke gevolgen met name functionarissen voor gegevensbescherming en privacyeffectbeoordelingen hebben voor micro-, kleine en middelgrote ondernemingen. De effectbeoordeling en de samenvatting worden als bijlage bij de voorstellen gepubliceerd. 3. JURIDISCHE ELEMENTEN VAN HET VOORSTEL 3.1. Rechtsgrondslag Dit voorstel is gebaseerd op artikel 16 VWEU, de nieuwe rechtsgrondslag voor de vaststelling van voorschriften inzake gegevensbescherming, die is ingevoerd bij het Verslag van Lissabon. Op grond van deze bepaling kunnen voorschriften worden vastgesteld betreffende de bescherming van natuurlijke personen ten aanzien van de verwerking van persoonsgegevens door lidstaten bij de uitoefening van activiteiten die binnen het toepassingsgebied van het recht van de Unie vallen. Ook kunnen op grond van dit artikel voorschriften worden vastgesteld betreffende het vrije verkeer van persoonsgegevens, met inbegrip van persoonsgegevens die zijn verwerkt door lidstaten of particuliere instanties. Een verordening wordt beschouwd als het meest geschikte rechtsinstrument voor de vaststelling van het kader voor de bescherming van persoonsgegevens in de EU. Door de rechtstreekse toepasselijkheid krachtens artikel 288 VWEU zal een verordening de juridische fragmentatie verminderen en de rechtszekerheid bevorderen door een geharmoniseerd pakket basisregels in te voeren, de bescherming van de grondrechten van natuurlijke personen te verbeteren en tot de werking van de eengemaakte markt bij te dragen. De verwijzing naar artikel 114, lid 1, van het VWEU strekt alleen tot wijziging van Richtlijn 2002/58/EG, die ook voorziet in de bescherming van de gerechtvaardigde belangen van abonnees die rechtspersonen zijn. 3.2. Subsidiariteit en evenredigheid Volgens het subsidiariteitsbeginsel (artikel 5, lid 3, VEU) dient de Unie slechts op te treden indien en voor zover de doelstellingen van het overwogen optreden niet voldoende door de lidstaten kunnen worden verwezenlijkt, maar vanwege de omvang of de gevolgen van het overwogen optreden beter door de Unie kunnen worden bereikt. In het licht van de hierboven aangekaarte problemen wijst de subsidiariteitsanalyse uit dat om de navolgende redenen actie moet worden ondernomen op EU-niveau. – Het recht op de bescherming van persoonsgegevens, dat is vastgelegd in artikel 8 van het Handvest van de grondrechten van de EU, vereist dat persoonsgegevens in de hele Unie in dezelfde mate worden beschermd. Zonder gemeenschappelijke regels op EU-niveau bestaat het risico dat de lidstaten verschillende niveaus van gegevensbescherming bieden en dat het grensoverschrijdende verkeer van persoonsgegevens tussen lidstaten met verschillende normen wordt belemmerd. – Persoonsgegevens worden steeds vaker en sneller doorgegeven over landsgrenzen heen, zowel over de binnengrenzen als de buitengrenzen. Er doen zich bovendien praktische problemen voor bij de handhaving van de wetgeving inzake gegevensbescherming en de samenwerking tussen de lidstaten en hun autoriteiten. Een en ander moet op EU-niveau worden geregeld om de eenvormige toepassing van het Unierecht te waarborgen. De EU is ook het beste in staat om doeltreffende en consequente garanties te bieden voor een gelijk beschermingsniveau bij de doorgifte van persoonsgegevens naar derde landen. – De problemen met de huidige regeling kunnen niet door de lidstaten afzonderlijk worden verholpen, zeker niet als die problemen te wijten zijn aan de fragmentatie van de nationale wetgevingen. Er is dus een specifieke noodzaak om een geharmoniseerd en samenhangend kader te ontwikkelen waardoor vlotte grensoverschrijdende doorgifte van persoonsgegevens binnen de EU kan plaatsvinden en tegelijkertijd iedereen in de EU doeltreffend wordt beschermd. – Gezien de aard en de omvang van de problemen, die niet beperkt blijven tot één of meer lidstaten, zal de voorgestelde EU-maatregel doeltreffender zijn dan soortgelijke maatregelen die door de lidstaten worden genomen. Overeenkomstig het evenredigheidsbeginsel moet optreden doelgericht zijn en mag het niet verder gaan dan wat noodzakelijk is om de doelstellingen te verwezenlijken. Dit beginsel is gevolgd vanaf de identificatie en evaluatie van alternatieve beleidsopties tot het opstellen van dit wetgevingsvoorstel. 3.3. Samenvatting van eventuele problemen in verband met de grondrechten Het recht op de bescherming van persoonsgegevens is vastgelegd in artikel 8 van het Handvest, artikel 16 VWEU en artikel 8 van het Europees Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden. Zoals het Hof van Justitie van de Europese Unie heeft beklemtoond[27], heeft het recht op bescherming van persoonsgegevens geen absolute gelding, maar moet het in relatie tot de functie ervan in de maatschappij worden beschouwd[28]. Er is een nauw verband tussen gegevensbescherming en de eerbiediging van het privéleven en het familie- en gezinsleven, dat door artikel 7 van het Handvest wordt beschermd. Dat blijkt ook uit artikel 1, lid 1, van Richtlijn 95/46/EG, waarin wordt bepaald dat de lidstaten in verband met de verwerking van persoonsgegevens de bescherming van de grondrechten en fundamentele vrijheden van natuurlijke personen, inzonderheid van het recht op persoonlijke levenssfeer, moeten waarborgen. Andere in het Handvest vastgelegde grondrechten die mogelijk in het geding zijn, zijn de vrijheid van meningsuiting (artikel 11 van het Handvest), de vrijheid van ondernemerschap (artikel 16), het recht op eigendom en met name de bescherming van intellectuele eigendom (artikel 17, lid 2), het verbod op discriminatie op grond van onder meer ras, etnische afkomst, genetische kenmerken, godsdienst of overtuiging, politieke of andere denkbeelden, een handicap of seksuele gerichtheid (artikel 21), de rechten van het kind (artikel 24), het recht op goede gezondheidszorg (artikel 35), het recht van inzage in documenten (artikel 42), het recht op een doeltreffende voorziening in rechte en op een onpartijdig gerecht (artikel 47). 3.4. Nadere uitleg van het voorstel 3.4.1. HOOFDSTUK I - ALGEMENE BEPALINGEN In artikel 1 wordt het onderwerp van de verordening bepaald en worden, evenals in artikel 1 van Richtlijn 95/46/EG, de twee doelstellingen van de verordening geformuleerd. Artikel 2 bepaalt het materiële toepassingsgebied van de verordening. Artikel 3 bepaalt het geografische toepassingsgebied van de verordening. Artikel 4 bevat de definities van de termen die in de verordening worden gebruikt. Hoewel sommige definities volledig zijn overgenomen uit Richtlijn 95/46/EG, zijn andere definities aangepast, aangevuld met extra elementen, of geheel nieuw (“inbreuk in verband met persoonsgegevens”, gebaseerd op artikel 2, lid h), van Richtlijn 2002/58/EG[29] als gewijzigd bij Richtlijn 2009/136/EG[30], “genetische gegevens”, “biometrische gegevens”, “gegevens over gezondheid”, “belangrijkste vestiging”, “vertegenwoordiger”, “onderneming”, “groep van ondernemingen”, “bindende bedrijfsvoorschriften” en “kind”, gebaseerd op het VN-Verdrag inzake de rechten van het kind[31], en “toezichthoudende autoriteit”). In de definitie van “toestemming” is het criterium “uitdrukkelijk” toegevoegd om verwarring met “ondubbelzinnige” toestemming te voorkomen en tot één enkele en consistente definitie van “toestemming” te komen, teneinde te waarborgen dat de betrokkene zich ervan bewust is dat en waarvoor hij toestemming geeft. 3.4.2. HOOFDSTUK II – BEGINSELEN Artikel 5 bevat de beginselen betreffende de verwerking van persoonsgegevens die overeenkomen met die van artikel 6 van Richtlijn 95/46/EG. Nieuw zijn met name het transparantiebeginsel, de verduidelijking van het beginsel van minimale gegevensverwerking en de vaststelling van alomvattende verantwoordelijkheid en aansprakelijkheid van de voor de verwerking verantwoordelijke. In artikel 6, dat gebaseerd is op artikel 7 van Richtlijn 95/46/EG, zijn de criteria voor rechtmatige verwerking vervat. Deze criteria zijn: belangenafweging, naleving van wettelijke verplichtingen en inachtneming van het algemeen belang. In artikel 7 wordt toegelicht onder welke voorwaarden toestemming een geldige grond voor rechtmatige verwerking is. Artikel 8 bevat nadere voorwaarden betreffende de rechtmatigheid van de verwerking van persoonsgegevens van kinderen in het kader van diensten van de informatiemaatschappij die hun rechtstreeks worden aangeboden. Artikel 9, dat is gebaseerd op artikel 8 van Richtlijn 95/46/EG, bevat het algemene verbod op de verwerking van speciale categorieën persoonsgegevens en de uitzonderingen op die algemene regel. In artikel 10 wordt verduidelijkt dat de voor de verwerking verantwoordelijke niet verplicht is, uitsluitend om aan een bepaling van deze verordening te voldoen, aanvullende informatie te verkrijgen ter identificatie van de betrokkene. 3.4.3. HOOFDSTUK III - RECHTEN VAN DE BETROKKENE 3.4.3.1. Afdeling 1 – Transparantie en modaliteiten Artikel 11 houdt in dat voor de verwerking verantwoordelijken transparante, eenvoudig toegankelijke en begrijpelijke informatie moeten verstrekken. Dit artikel is met name ingegeven door de Resolutie van Madrid over internationale normen voor de bescherming van persoonsgegevens en privacy[32]. Krachtens artikel 12 moet de voor de verwerking verantwoordelijke voorzien in procedures en mechanismen voor de uitoefening van de rechten van de betrokkene, met inbegrip van middelen voor elektronische indiening van verzoeken, een termijn voor de beantwoording van verzoeken van betrokkenen en de plicht om weigeringen te motiveren. Artikel 13 verleent rechten aan de ontvangers. Het is gebaseerd op artikel 12, onder c), van Richtlijn 95/46/EG, maar is uitgebreid tot alle ontvangers, met inbegrip van de gezamenlijk voor de verwerking verantwoordelijken en verwerkers. 3.4.3.2. Afdeling 2 – Informatie en toegang tot gegevens In artikel 14 wordt de mededelingsplicht die de voor de verwerking verantwoordelijke heeft ten opzichte van de betrokkene uitgewerkt. Dit artikel is gebaseerd op artikel 11 en 12 van Richtlijn 95/46/EG en bevat aanvullende bepalingen over de informatie die aan de betrokkene moet worden meegedeeld en die onder meer betrekking heeft op de opslagtermijn, het recht een klacht in te dienen, internationale doorgiften en de bron waaruit de gegevens afkomstig zijn. Ook de mogelijke uitzonderingsbepalingen van Richtlijn 95/46/EG zijn overgenomen. Zo is deze verplichting niet van toepassing als de registratie of verstrekking uitdrukkelijk bij wet is voorgeschreven. Dit zou bijvoorbeeld kunnen gelden voor procedures van mededingingsautoriteiten, belasting- of douanediensten en diensten met bevoegdheid op het gebied van de sociale zekerheid. Artikel 15 voorziet in het recht van de betrokkene op toegang tot zijn persoonsgegevens. Dit artikel is gebaseerd op artikel 12, onder a), van Richtlijn 95/46/EG, waaraan nieuwe elementen zijn toegevoegd. Zo moet de betrokkene worden gewezen op de opslagtermijn, het recht van rectificatie, het recht van uitwissing en het recht een klacht in te dienen. 3.4.3.3. Afdeling 3 – Rectificatie en uitwissing Artikel 16 bepaalt het recht van rectificatie van de betrokkene. Het is gebaseerd op artikel 12, onder b), van Richtlijn 95/46/EG. Artikel 17 voorziet in het recht om te worden vergeten en het recht op uitwissing van gegevens. Het is een nadere uitwerking en invulling van het in Richtlijn 95/46/EG vervatte recht van uitwissing en verbindt voorwaarden aan het recht om te worden vergeten. Zo dient de voor de verwerking verantwoordelijke die de persoonsgegevens openbaar heeft gemaakt, derden op de hoogte te stellen van het verzoek van de betrokkene om iedere koppeling naar en kopie of reproductie van die persoonsgegevens uit te wissen. Ook is hierin het recht opgenomen om in bepaalde gevallen de verwerking te laten beperken, waarbij de dubbelzinnige term “afschermen” is vermeden. Bij artikel 18 wordt de betrokkene het recht verleend op gegevensoverdraagbaarheid, dat wil zeggen het recht om gegevens van het ene elektronische verwerkingssysteem naar het andere over te dragen, zonder hiervan door de voor de verwerking verantwoordelijke te worden weerhouden. Teneinde de toegang van natuurlijke personen tot hun persoonsgegevens verder te verbeteren, voorziet het artikel als een absolute voorwaarde in het recht om deze gegevens te ontvangen in een gestructureerd en algemeen gebruikt elektronisch formaat. 3.4.3.4. Afdeling 4 – Recht van bezwaar en profilering Artikel 19 regelt het recht van bezwaar van de betrokkene. Het is gebaseerd op artikel 14 van Richtlijn 95/46/EG. Dat artikel is in een aantal opzichten gewijzigd, onder meer wat betreft de bewijslast en direct marketing. Artikel 20 heeft betrekking op het recht van de betrokkene om niet op basis van profilering aan een maatregel te worden onderworpen. Het artikel bouwt voort op artikel 15, lid 1, van Richtlijn 95/46/EG, over geautomatiseerde individuele besluiten, maar bevat wijzigingen en aanvullende garanties. Verder is rekening gehouden met de aanbeveling over profilering van de Raad van Europa[33]. 3.4.3.5. Afdeling 5 – Beperkingen In artikel 21 wordt toelichting verschaft inzake de bevoegdheid van de Unie en de lidstaten om met betrekking tot de beginselen van artikel 5 en de in de artikelen 11-20 en 32 vervatte rechten van de betrokkene beperkingen te handhaven of in te voeren. Deze bepaling is gebaseerd op artikel 13 van Richtlijn 95/46/EG en op de vereisten die voortvloeien uit het Handvest van de grondrechten en het Europese Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden, zoals geïnterpreteerd door het Hof van Justitie van de EU en het Europees Hof voor de rechten van de mens. 3.4.4. HOOFDSTUK IV - DE VOOR DE VERWERKING VERANTWOORDELIJKE EN DE VERWERKER 3.4.4.1. Afdeling 1 – Algemene verplichtingen In artikel 22 krijgt de discussie over het verantwoordingsbegingsel zijn beslag en wordt uitvoerig ingegaan op de plicht van de voor de verwerking verantwoordelijke om aan deze verordening te voldoen en zulks aantoonbaar te maken, onder meer door het vaststellen van interne regelingen en mechanismen. Artikel 23 betreft de plichten van de voor de verwerking verantwoordelijke die voortvloeien uit de beginselen inzake privacy by design en privacy by default. Artikel 24 verduidelijkt de verantwoordelijkheden van gezamenlijk voor de verwerking verantwoordelijken wat betreft hun onderlinge verhouding en de verhouding met de betrokkene. Krachtens artikel 25 dienen de voor de verwerking verantwoordelijken die niet in de Unie zijn gevestigd, onder bepaalde voorwaarden en voor zover hun verwerkingsactiviteiten onder de verordening vallen, een vertegenwoordiger in de Unie aan te wijzen. Artikel 26 verduidelijkt de positie en de verplichting van verwerkers. Deze bepaling is deels gebaseerd op artikel 17, lid 2, van Richtlijn 95/46/EG, maar is uitgebreid met nieuwe elementen. Zo moet een verwerker die niet uitsluitend op instructie van de voor de verwerking verantwoordelijke handelt, als een gezamenlijk voor de verwerking verantwoordelijke worden beschouwd. Artikel 27 heeft betrekking op verwerking onder het gezag van de voor de verwerking verantwoordelijke en de verwerker. Het artikel is gebaseerd op artikel 16 van Richtlijn 95/46/EG. Bij artikel 28 worden voor de verwerking verantwoordelijken en verwerkers ertoe verplicht de verwerking die onder hun verantwoordelijkheid wordt verricht, te documenteren, in plaats van een algemene kennisgeving te doen toekomen aan de toezichthoudende autoriteit overeenkomstig artikel 18, lid 1, en artikel 19 van Richtlijn 95/46/EG. Artikel 29 verduidelijkt de verplichtingen van de voor de verwerking verantwoordelijke en de verwerker bij de samenwerking met de toezichthoudende autoriteit. 3.4.4.2. Artikel 2 – Beveiliging van gegevens Krachtens artikel 30 moeten de voor de verwerking verantwoordelijke en de verwerker passende maatregelen treffen voor de beveiliging van de verwerking. Deze bepaling is gebaseerd op artikel 17, lid 1, van Richtlijn 95/46/EG, maar breidt de verplichting uit tot de verwerkers, ongeacht hun contract met de voor de verwerking verantwoordelijke. Bij de artikelen 31 en 32 wordt de verplichting ingevoerd om inbreuken in verband met persoonsgegevens te melden. Deze bepaling bouwt voort op artikel 4, lid 3, van Richtlijn 2002/58/EG (e-privacyrichtlijn). 3.4.4.3. Afdeling 3 – Privacyeffectbeoordeling en voorafgaande toestemming Artikel 33 bepaalt dat voor de verwerking verantwoordelijken en verwerkers gevoelige verwerkingsactiviteiten eerst aan een privacyeffectbeoordeling moeten onderwerpen. Artikel 34 heeft betrekking op de gevallen waarin toestemming door en raadpleging van de toezichthoudende autoriteit geboden is vóór de verwerking. Deze bepaling bouwt voort op de voorafgaande controle overeenkomstig artikel 20 van Richtlijn 95/46/EG. 3.4.4.4. Afdeling 4 – Functionaris voor gegevensbescherming Artikel 35 houdt in dat een functionaris voor gegevensverwerking verplicht is in de publieke sector. In de particuliere sector geldt de verplichting voor grote ondernemingen en wanneer een voor de verwerking verantwoordelijke of verwerker hoofdzakelijk is belast met verwerkingsactiviteiten waarop regelmatig en stelselmatig toezicht moet worden gehouden. Deze bepaling bouwt voort op artikel 18, lid 2, van Richtlijn 95/46/EG, op grond waarvan lidstaten de vereiste inzake algemene kennisgeving door een dergelijke verplichting mochten vervangen. In artikel 36 wordt de positie van de functionaris voor gegevensbescherming geregeld. Artikel 37 bepaalt de kerntaken van de functionaris voor gegevensbescherming. 3.4.4.5. Afdeling 5 – Gedragscodes en certificering Artikel 38 heeft betrekking op gedragscodes en bouwt voort op artikel 27, lid 1, van Richtlijn 95/46/EG. De inhoud van de codes en de procedures wordt nader toegelicht en de Commissie wordt bevoegd verklaard om zich uit te spreken over de algemene geldigheid van gedragscodes. Artikel 39 voorziet in de mogelijkheid certificeringsmechanismen en gegevensbeschermingszegels en -merktekens vast te stellen. 3.4.5. HOOFDSTUK V – DOORGIFTE VAN PERSOONSGEGEVENS NAAR DERDE LANDEN OF INTERNATIONALE ORGANISATIES Artikel 40 stelt dat de verplichtingen in dat hoofdstuk van toepassing zijn op elke doorgifte van persoonsgegevens naar derde landen of internationale organisaties, met inbegrip van verdere doorgifte. Artikel 41 bevat de criteria, voorwaarden en procedures voor de vaststelling van een besluit waarbij een beschermingsniveau door de Commissie passend wordt verklaard en is gebaseerd op artikel 25 van Richtlijn 95/46/EG. Voorts wordt bepaald aan de hand van welke criteria de Commissie beoordeelt of het beschermingsniveau al dan niet passend is, tot welke criteria uitdrukkelijk de rechtsstaat, de toegang tot rechtsmiddelen en onafhankelijk toezicht behoren. Het artikel voorziet ook uitdrukkelijk in de mogelijkheid dat de Commissie het beschermingsniveau beoordeelt dat door een gebied of een verwerkingssector in een derde land geboden wordt. Indien de Commissie geen besluit heeft vastgesteld waarbij een beschermingsniveau passend wordt verklaard, moeten krachtens artikel 42 voor doorgifte naar derde landen passende garanties worden geboden, zoals modelbepalingen inzake gegevensbescherming, bindende bedrijfsvoorschriften en contractbepalingen. De mogelijkheid om gebruik te maken van modelbepalingen inzake gegevensbescherming van de Commissie is gebaseerd op artikel 26, lid 4, van Richtlijn 95/46/EG. Nieuw is dat dergelijke modelbepalingen inzake gegevensbescherming kunnen worden vastgesteld door een toezichthoudende autoriteit en algemeen geldig kunnen worden verklaard door de Commissie. Bindende bedrijfsvoorschriften worden nu specifiek genoemd in deze verordening. De mogelijkheid van contractbepalingen biedt de voor de verwerking verantwoordelijke of verwerker zekere flexibiliteit, maar vereist wel voorafgaande toestemming van de toezichthoudende autoriteiten. In artikel 43 worden de voorwaarden voor doorgifte verder gespecificeerd in de vorm van bindende bedrijfsregels op basis van de huidige praktijken en vereisten van de toezichthoudende autoriteiten. In artikel 44 worden de uitzonderingsbepalingen voor gegevensdoorgifte uiteengezet en verklaard, gebaseerd op de bestaande bepalingen van artikel 26 van Richtlijn 95/46/EG. Dit heeft in het bijzonder betrekking op doorgiften van gegevens die vereist en noodzakelijk om gewichtige redenen van algemeen belang, zoals in geval van internationale doorgifte van gegevens tussen mededingingsautoriteiten, belasting- of douanediensten, of diensten met bevoegdheid op het gebied van de sociale zekerheid of visserijbeheer. Voorts kan een gegevensdoorgifte onder beperkte voorwaarden gerechtvaardigd zijn in verband met de gerechtvaardigde belangen van de voor de verwerking verantwoordelijke of de verwerker, maar slechts nadat de omstandigheden van deze doorgifte zijn geëvalueerd en gedocumenteerd. Artikel 45 voorziet uitdrukkelijk in mechanismen voor internationale samenwerking inzake de bescherming van persoonsgegevens tussen de Commissie en de toezichthoudende autoriteiten van derde landen, met name die waarvan het beschermingsniveau als passend is beoordeeld, rekening houdende met de aanbeveling van de Organisatie voor Economische Samenwerking en Ontwikkelinge (OESO) van 12 juni 2007 inzake grensoverschrijdende samenwerking bij de handhaving van wetgeving ter bescherming van de privacy. 3.4.6. HOOFDSTUK VI – ONAFHANKELIJKE TOEZICHTHOUDENDE AUTORITEITEN 3.4.6.1. Afdeling 1 – Onafhankelijkheid Bij artikel 46 worden de lidstaten verplicht toezichthoudende autoriteiten in te stellen, op grond van artikel 28, lid 1, van Richtlijn 95/46/EG, en worden de taken van de toezichthoudende autoriteiten uitgebreid tot onderlinge samenwerking en samenwerking met de Commissie uitgebreid. Artikel 47 verduidelijkt de voorwaarden voor de onafhankelijkheid van de toezichthoudende autoriteit, waarbij de jurisprudentie van het Hof van Justitie van de EU[34] wordt toegepast en is ook geïnspireerd op artikel 44 van Verordening (EG) nr. 45/2001[35]. Artikel 48 stelt algemene voorwaarden vast voor de leden van de toezichthoudende autoriteit, waarbij de jurisprudentie van het Hof van Justitie van de EU[36] wordt toegepast en is ook geïnspireerd op artikel 42, leden 2 tot en met 6, van Verordening (EG) nr. 45/2001. Artikel 49 bevat voorschriften voor de instelling van de toezichthoudende autoriteit die de lidstaten bij de wet moeten vaststellen. In artikel 50 wordt het beroepsgeheim van de leden en het personeel van de toezichthoudende autoriteit vastgelegd en is gebaseerd op artikel 28, lid 7, van Richtlijn 95/46/EG. 3.4.6.2. Afdeling 2 – Taken en bevoegdheden Artikel 51 stelt de bevoegdheden van de toezichthoudende autoriteiten vast. De algemene regel, gebaseerd op artikel 28, lid 6, van Richtlijn 95/46/EG (bevoegdheid op het grondgebied van de eigen lidstaat), wordt aangevuld met de nieuwe bevoegdheid van hoofdautoriteit indien een voor de verwerking verantwoordelijke of verwerker in meerdere lidstaten is gevestigd, ten einde een uniforme toepassing te garanderen (“éénloketsysteem”). Gerechten zijn in het kader van hun gerechtelijke taken niet onderworpen aan het toezicht van de toezichthoudende autoriteit, maar wel aan de toepassing van de materiële voorschriften inzake gegevensbescherming. Artikel 52 bepaalt de taken van de toezichthoudende autoriteit. Daartoe behoren het horen en onderzoeken van klachten en het bevorderen van de bekendheid van het publiek met de risico’s, voorschriften, waarborgen en rechten. Artikel 53 bepaalt de bevoegdheden van de toezichthoudende autoriteit, deels voortbouwend op artikel 28, lid 3, van Richtlijn 95/46/EG en artikel 47 van Verordening (EG) nr. 45/2001, met toevoeging van een aantal nieuwe elementen, zoals de bevoegdheid om administratieve inbreuken te bestraffen. Artikel 54 bepaalt dat de toezichthoudende autoriteiten een jaarlijks activiteitenverslag opstellen en is gebaseerd op artikel 28, lid 5, van Richtlijn 95/46/EG. 3.4.7. HOOFDSTUK VII - SAMENWERKING EN CONFORMITEIT 3.4.7.1. Afdeling 1 - Samenwerking Artikel 55 voert expliciete voorschriften in over de verplichting tot wederzijdse bijstand, met inbegrip van consequenties in geval van het niet-ingaan op het verzoek van een andere toezichthoudende autoriteit, voortbouwend op artikel 28, lid 6, tweede alinea, van Richtlijn 95/46/EG. Artikel 56 voert voorschriften in betreffende gezamenlijke operaties, geïnspireerd op artikel 17 van Besluit 2008/615/JBZ van de Raad[37], met inbegrip van het recht van de toezichthoudende autoriteiten om aan dergelijke operaties deel te nemen. 3.4.7.2. Afdeling 2 - Conformiteit Artikel 57 voert een conformiteitstoetsing in voor een uniforme toepassing van de verwerkingsoperaties die betrekking kunnen hebben op betrokkenen in diverse lidstaten. Artikel 58 bepaalt de procedures en voorwaarden voor een advies van het Europees Comité voor gegevensbescherming. Artikel 59 betreft adviezen van de Commissie in zaken waarop de conformiteitstoetsing betrekking heeft, en waarmee een advies van het Europees Comité voor gegevensbescherming ofwel wordt bevestigd ofwel een verschil van mening met dat advies wordt uitgesproken, alsook de ontwerp-maatregel van de toezichthoudende autoriteit. Indien een zaak door het Europees Comité voor gegevensbescherming krachtens artikel 58, lid 3, is aangekaart, kan worden verwacht dat de Commissie haar discretionaire bevoegdheid zal uitoefenen en indien nodig een advies terzake zal uitbrengen. Artikel 60 betreft besluiten van de Commissie waarmee de bevoegde autoriteit wordt verplicht haar ontwerp-maatregel op te schorten indien dit nodig is voor een correcte toepassing van deze verordening. Artikel 61 voorziet in de mogelijkheid om voorlopige maatregelen te treffen in een spoedprocedure. Artikel 62 stelt de vereisten vast voor uitvoeringshandelingen van de Commissie in het kader van de conformiteitstoetsing. Artikel 63 voorziet in de verplichting om de maatregelen van een toezichhoudende autoriteit uit te voeren in alle betrokken lidstaten, en bepaalt dat de conformiteitstoetsing een absolute voorwaarde is voor de rechtsgeldigheid en de handhaving van de betrokken maatregel. 3.4.7.3. Afdeling 3 - Europees Comité voor gegevensbescherming Bij artikel 64 wordt het Europees Comité voor gegevensbescherming opgericht, dat bestaat uit de voorzitters van de toezichthoudende autoriteit van elke lidstaat en van de Europese Toezichthouder voor gegevensbescherming. Het Europees Comité voor gegevensbescherming vervangt de bij artikel 29 van Richtlijn 95/46/EG opgerichte Groep voor de bescherming van personen in verband met de verwerking van persoonsgegevens. Er wordt verduidelijkt dat de Commissie geen lid is van het Europees Comité voor gegevensbescherming, maar het recht heeft aan de activiteiten deel te nemen en erin te zijn vertegenwoordigd. Artikel 65 onderstreept en verduidelijkt de onafhankelijkheid van het Europees Comité voor gegevensbescherming. Artikel 66 beschrijft de taken van het Europees Comité voor gegevensbescherming, gebaseerd op artikel 30, lid 1, van Richtlijn 95/46/EG en voorziet in aanvullende elementen, als gevolg van de grotere spanwijdte van het Europees Comité voor gegevensbescherming binnen de Unie en daarbuiten. Om in staat te zijn op dringende situaties te reageren, wordt de Commissie de mogelijkheid verleend binnen een specifieke tijdslimiet om advies te vragen. Artikel 67 verplicht het Europees Comité voor gegevensbescherming jaarlijks verslag uit te brengen over zijn activiteiten, voortbouwend op artikel 30, lid 6, van Richtlijn 95/46/EG. Artikel 68 bevat de besluitvormingsprocedures van het Europees Comité voor gegevensbescherming, met inbegrip van de verplichting een reglement van orde aan te nemen dat ook op de operationele regelingen betrekking heeft. Artikel 69 bevat de bepalingen over het voorzitterschap en de vicevoorzitterschappen van het Europees Comité voor gegevensbescherming. Artikel 70 zet de taken van het voorzitterschap uiteen. Artikel 71 bepaalt dat het secretariaat van het Europees Comité voor gegevensbescherming wordt waargenomen door de Europese Toezichthouder voor gegevensbescherming, en specificeert de taken van het secretariaat. Artikel 72 stelt de regels inzake vertrouwelijkheid vast. 3.4.8. HOOFDSTUK VIII – BEROEP OP DE RECHTER, AANSPRAKELIJKHEID EN SANCTIES Artikel 73 voorziet in het recht van de betrokkene om een klacht in te dienen bij een toezichthoudende autoriteit, gebaseerd op artikel 28, lid 4, van Richtlijn 95/46/EG. Het artikel bepaalt tevens welke instanties, organisaties of verenigingen een klacht mogen indienen namens de betrokkene, of, wanneer het om een inbreuk in verband met persoonsgegevens gaat, ongeacht een eventuele klacht van de betrokkene. Artikel 74 betreft het recht om tegen een toezichthoudende autoriteit beroep bij de rechter in te stellen. Het bouwt voort op de algemene bepaling van artikel 28, lid 3, van Richtlijn 95/46/EG. Het voorziet specifiek in een beroep bij de rechter waardoor de toezichthoudende autoriteit verplicht wordt de klacht in behandeling te nemen, en verduidelijkt de bevoegdheid van de gerechten in de lidstaten waar de toezichthoudende autoriteit is gevestigd. Het voorziet tevens in de mogelijkheid dat de toezichthoudende autoriteit in de lidstaat waar de betrokkene is gevestigd, namens de betrokkene een gerechtelijke procedure mag aanspannen in een andere lidstaat waar de bevoegde toezichthoudende autoriteit is gevestigd. Artikel 75 betreft het recht van beroep bij de rechter tegen een voor de verwerking verantwoordelijke of verwerker, voortbouwend op artikel 22 van Richtlijn 95/46/EG en de biedt de mogelijkheid te kiezen voor de rechter in de lidstaat waar de verweerder is gevestigd of in de lidstaat waar de betrokkene woont. Indien een procedure over een en dezelfde aangelegenheid wordt behandeld in het kader van de conformiteitstoetsing, kan de rechtbank de zaak opschorten, behalve in dringende aangelegenheden. Artikel 76 stelt gemeenschappelijke voorschriften vast voor gerechtelijke procedures, inclusief het recht van organen, organisaties en verenigingen om betrokkenen voor de rechter te vertegenwoordigen, het recht van de toezichthoudende autoriteit om gerechtelijke procedures aan te spannen, het informeren van de rechtbanken over parallelle procedures in een andere lidstaat, alsook de mogelijkheid voor de rechtbanken om in een dergelijk geval de procedure op te schorten.[38] De lidstaten zijn verplicht te voorzien in rechtsgedingen waarbij snel maatregelen kunnen worden getroffen.[39] Artikel 77 behandelt het recht op vergoeding en de aansprakelijkheid. Het bouwt voort op artikel 23 van Richtlijn 95/46/EG, breidt dit recht uit tot schade die is veroorzaakt door verwerkers en verduidelijkt de aansprakelijkheid van gezamenlijk voor de verwerking verantwoordelijken en gezamenlijk opererende verwerkers. Artikel 78 verplicht de lidstaten ertoe voorschriften vast te stellen inzake sancties om inbreuken op deze verordening te bestraffen, en toe te zien op de tenuitvoerlegging van die sancties. Artikel 79 verplicht elke toezichthoudende autoriteit om de in de lijsten van deze bepaling genoemde administratieve inbreuken te bestraffen, en legt maximumboeten vast, rekening houdend met de individuele omstandigheden van elk geval. 3.4.9. HOOFDSTUK IX - BEPALINGEN IN VERBAND MET SPECIFIEKE SITUATIES OP HET GEBIED VAN GEGEVENSVERWERKING Artikel 80 verplicht de lidstaten uitzonderingen op en afwijkingen van specifieke bepalingen van de verordening vast te stellen waar dat nodig is om het recht op de bescherming van persoonsgegevens te verzoenen met het recht op vrijheid van meningsuiting. Dit is gebaseerd op artikel 9 van Richtlijn 95/46/EG, als geïnterpreteerd door het Hof van Justitie van de EU.[40] Artikel 81 verplicht de lidstaten, naast de voorwaarden voor speciale categorieën gegevens, specifieke garanties vast te stellen voor verwerking voor gezondheidsdoeleinden. Artikel 82 machtigt de lidstaten specifieke wetgeving aan te nemen voor de verwerking van persoonsgegevens in het kader van werkgelegenheid. Artikel 83 stelt de specifieke voorwaarden vast voor de verwerking van persoonsgegevens voor historische, statistische en wetenschappelijke onderzoeksdoeleinden. Artikel 84 machtigt de lidstaten specifieke regels vast te stellen voor de toegang van toezichthoudende autoriteiten tot persoonsgevevens en lokalen, waar de voor de verwerking verantwoordelijken gehouden zijn tot beroepsgeheim. Artikel 85 staat in het licht van artikel 17 van het Verdrag betreffende de werking van de Europese Unie de blijvende toepassing toe van de bestaande omvattende regels inzake gegevensbescherming van kerkgenootschappen indien deze op één lijn worden gebracht met deze verordening. 3.4.10. HOOFDSTUK X – GEDELEGEERDE HANDELINGEN EN UITVOERINGSHANDELINGEN Artikel 86 bevat standaardbepalingen inzake de uitvoering van bevoegdheidsdelegaties overeenkomstig artikel 290 VWEU. Dit artikel biedt de wetgever de mogelijkheid om aan de Commissie de bevoegdheid over te dragen niet-wetgevingshandelingen van algemene strekking vast te stellen ter aanvulling of wijziging van bepaalde niet-essentiële onderdelen van een wetgevingshandeling (quasiwetgevingshandelingen). Artikel 87 voorziet in de comitéprocedure die is vereist om aan de Commissie uitvoeringsbevoegdheden toe te kennen in gevallen waarin het overeenkomstig artikel 291 VWEU nodig is dat juridisch bindende handelingen van de Unie volgens eenvormige voorwaarden worden uitgevoerd. De onderzoeksprocedure is van toepassing. 3.4.11. HOOFDSTUK XI - SLOTBEPALINGEN Artikel 88 voorziet in intrekking van Richtlijn 95/46/EEG. Artikel 89 verduidelijkt het verband met de e-privacy-Richtlijn 2002/58/EG en wijzigt deze. Artikel 90 verplicht de Commissie tot evaluatie van de verordening en rapportage terzake. Artikel 91 bepaalt de datum van inwerkingrreding van de verordening en een overgangsfase betreffende de toepassingsdatum. 4. GEVOLGEN VOOR DE BEGROTING De specifieke gevolgen van het voorstel voor de begroting hebben betrekking op de taken die zijn toegekend aan de Europese Toezichthouder voor gegevensbescherming, zoals gespecificeerd in het financieel memorandum bij dit voorstel. Deze gevolgen maken een herprogrammering van rubriek 5 van de financiële vooruitzichten noodzakelijk. Het voorstel heeft geen gevolgen voor de beleidsuitgaven. Het financieel memorandum bij dit voorstel voor een verordening bestrijkt de budgettaire gevolgen van de verordening zelf en van de richtlijn betreffende politiële en justitiële gegevensbescherming. 2012/0011 (COD) Voorstel voor een VERORDENING VAN HET EUROPEES PARLEMENT EN DE RAAD betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (algemene verordening gegevensbescherming) (Voor de EER relevante tekst) HET EUROPEES PARLEMENT EN DE RAAD VAN DE EUROPESE UNIE, Gezien het Verdrag betreffende de werking van de Europese Unie, en met name artikel 16, lid 2, en artikel 114, lid 1, Gezien het voorstel van de Europese Commissie, Na toezending van het ontwerp van wetgevingshandeling aan de nationale parlementen, Gezien het advies van het Europees Economisch en Sociaal Comité[41], Na raadpleging van de Europese Toezichthouder voor gegevensbescherming[42], Handelend volgens de gewone wetgevingsprocedure, Overwegende hetgeen volgt: (1) De bescherming van natuurlijke personen bij de verwerking van persoonsgegevens is een grondrecht. Krachtens artikel 8, lid 1, van het Handvest van de grondrechten van de Europese Unie en artikel 16, lid 1, van het Verdrag heeft eenieder het recht op bescherming van zijn persoonsgegevens. (2) De verwerking van persoonsgegevens staat ten dienste van de mens; de beginselen en voorschriften betreffende de bescherming van natuurlijke personen bij de verwerking van hun persoonsgegevens dienen, ongeacht de nationaliteit of de verblijfplaats van de betrokkenen, in overeenstemming te zijn met hun grondrechten en fundamentele vrijheden, en in het bijzonder met hun recht op bescherming van persoonsgegevens. Gegevensverwerking dient bij te dragen tot de totstandbrenging van een ruimte van vrijheid, veiligheid en recht en van een economische unie, tot economische en sociale vooruitgang, de versterking en de convergentie van de economieën binnen de interne markt en het individuele welzijn. (3) Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en het vrije verkeer van die gegevens[43] heeft tot doel de bescherming van de grondrechten en fundamentele vrijheden van natuurlijke personen in verband met verwerkingsactiviteiten te harmoniseren en het vrije verkeer van persoonsgegevens binnen de Unie te garanderen. (4) De economische en sociale integratie die het gevolg is van de werking van de interne markt heeft geleid tot een aanzienlijke toename van de grensoverschrijdende stromen van persoonsgegevens. De gegevensuitwisseling tussen economische en sociale actoren is in de publieke en de particuliere sector toegenomen. De nationale autoriteiten van de lidstaten moeten op grond van het EU-recht samenwerken en persoonsgegevens uitwisselen om hun opdrachten te vervullen of om taken uit te voeren namens een autoriteit in een andere lidstaat. (5) Door snelle technologische ontwikkelingen en globalisering zijn nieuwe uitdagingen voor de bescherming van persoonsgegevens ontstaan. De mate waarin gegevens worden verzameld en gedeeld, is enorm gestegen. Door technologie kunnen bedrijven en overheid bij het uitvoeren van hun activiteiten meer dan ooit tevoren gebruikmaken van persoonsgegevens. Mensen maken hun persoongegevens steeds vaker wereldwijd bekend. Technologie heeft zowel de economie als het maatschappelijk leven ingrijpend veranderd en maakt het noodzakelijk het vrije verkeer van gegevens binnen de Unie en de doorgifte naar derde landen en internationale organisaties verder te vergemakkelijken en daarbij een hoge mate van bescherming van persoonsgegevens te garanderen. (6) In verband met deze ontwikkelingen moet een krachtiger en coherenter kader voor gegevensbescherming in de EU tot stand worden gebracht en bovendien scherp worden toegezien op de handhaving daarvan, omdat zulks van belang is voor het vertrouwen dat nodig is om de digitale economie zich op de hele interne markt te laten ontwikkelen. Natuurlijke personen dienen controle over hun eigen persoonsgegevens te hebben en er dient meer praktische en rechtszekerheid te worden geboden aan personen, bedrijven en overheden. (7) Richtlijn 95/46/EG is wat doelstellingen en beginselen betreft nog steeds valide, maar heeft niet voorkomen dat gegevens in de Unie op gefragmenteerde wijze worden beschermd, er sprake is van rechtsonzekerheid en in brede lagen van de bevolking het beeld bestaat dat met name onlineactiviteit aanzienlijke risico´s inhoudt met betrekking tot de bescherming van natuurlijke personen. De verschillen in de mate waarin de bescherming van de rechten en vrijheden van personen, inzonderheid de bescherming van persoonsgegevens, op het stuk van de verwerking van persoonsgegevens in de lidstaten is gewaarborgd, kunnen het vrije verkeer van persoonsgegevens binnen de Unie beletten. Deze verschillen kunnen bijgevolg een belemmering vormen voor de uitoefening van economische activiteiten op EU-schaal, de mededinging vervalsen en de overheid beletten haar taak ten aanzien van de toepassing van het EU-recht te vervullen. Deze verschillende beschermingsniveaus zijn het gevolg van de verschillen in de uitvoering en toepassing van Richtlijn 95/46/EG. (8) Teneinde natuurlijke personen een consistent en hoog beschermingsniveau te bieden en de belemmeringen voor het verkeer van persoonsgegevens op te heffen, dient het niveau van de bescherming van de rechten en vrijheden van personen op het stuk van de verwerking van deze gegevens in alle lidstaten gelijkwaardig te zijn. Er moet gezorgd worden voor een in de gehele Unie coherente en homogene toepassing van de regels inzake de bescherming van de grondrechten en fundamentele vrijheden van natuurlijke personen in verband met de verwerking van persoonsgegevens. (9) Doeltreffende bescherming van persoonsgegevens in de gehele Unie vereist versterking en nadere vaststelling van de rechten van de betrokkenen en de verplichtingen van degenen die persoonsgegevens verwerken en van degenen die over die verwerking beslissen, maar ook vergelijkbare bevoegdheden inzake toezicht en handhaving van de voorschriften inzake gegevensbescherming en vergelijkbare sancties voor overtreders in de lidstaten. (10) Artikel 16, lid 2, van het Verdrag machtigt het Europees Parlement en de Raad om de voorschriften vast te stellen betreffende de bescherming van personen ten aanzien van de verwerking van persoonsgegevens, alsmede de voorschriften betreffende het vrije verkeer van die gegevens. (11) Teneinde personen in de gehele Unie een consistent niveau van bescherming te bieden en te voorkomen dat verschillen het vrije verkeer van gegevens op de interne markt hinderen, is een verordening nodig om bedrijven, met inbegrip van kleine, middelgrote en micro-ondernemingen, rechtszekerheid en transparantie te bieden, te voorzien in dezelfde wettelijk afdwingbare rechten voor personen in alle lidstaten en in verplichtingen en verantwoordelijkheden voor de voor de verwerking verantwoordelijken en de verwerkers, te zorgen voor consistent toezicht op de verwerking van persoonsgegevens en voor vergelijkbare sancties in alle lidstaten, alsook voor doeltreffende samenwerking tussen de toezichthoudende autoriteiten van verschillende lidstaten. Met het oog op de specifieke situatie van kleine, middelgrote en micro-ondernemingen omvat deze verordeningen een aantal uitzonderingsbepalingen. Bovendien worden de instellingen en organen van de Unie, de lidstaten en hun toezichthoudende autoriteiten aangemoedigd om bij de toepassing van deze verordening de specifieke behoeften van de kleine, middelgrote en micro-ondernemingen in aanmerking te nemen. De definitie van het begrip kleine, middelgrote en micro-ondernemingen dient te worden overgenomen uit Aanbeveling 2003/361/EG van de Commissie van 6 mei 2003. (12) De bescherming die door deze verordening wordt geboden, dient betrekking te hebben op natuurlijke personen, ongeacht hun nationaliteit of verblijfplaats, in verband met de verwerking van hun persoonsgegevens. Met betrekking tot de verwerking van gegevens over rechtspersonen en met name als rechtspersonen gevestigde ondernemingen, zoals de naam en de rechtsvorm van de rechtspersoon en de contactgegevens van de rechtspersoon, dient geen beroep op deze verordening te kunnen worden gedaan. Dit dient ook te gelden wanneer de naam van de rechtspersoon de namen van een of meer natuurlijke personen bevat. (13) De bescherming van personen dient technologisch neutraal te zijn en niet afhankelijk te zijn van de gebruikte technieken; anders zou een ernstig gevaar van ontduiking ontstaan. De bescherming van personen dient zowel te gelden bij automatische als manuele verwerking van persoonsgegevens, indien de gegevens zijn opgeslagen of zullen worden opgeslagen in een bestand. Dossiers of een verzameling dossiers, evenals de omslagen ervan, die niet volgens specifieke criteria gestructureerd zijn, dienen niet onder het toepassingsgebied van deze verordening te vallen. (14) Deze verordening is niet van toepassing op vraagstukken met betrekking tot de bescherming van grondrechten en fundamentele vrijheden of het vrije verkeer van gegevens in verband met niet onder het EU-recht vallende activiteiten en betreft noch de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie, die onder Verordening (EG) nr. 45/2001[44] vallen, noch de gegevensverwerking die de lidstaten verrichten bij activiteiten in verband met het gemeenschappelijk buitenlands en veiligheidsbeleid van de Unie. (15) Deze verordening dient niet van toepassing te zijn op de verwerking van persoonsgegevens van louter persoonlijke of huishoudelijke aard, zoals correspondentie of adressenbestanden, door een natuurlijke persoon, wanneer deze verwerking zonder commercieel belang wordt verricht en dus geen enkel verband houdt met een beroeps- of handelsactiviteit. De uitzondering dient evenmin te gelden voor de voor de verwerking verantwoordelijken en de verwerkers die de middelen verschaffen voor de verwerking van persoonsgegevens voor dergelijke persoonlijke of huishoudelijke activiteiten. (16) De bescherming van personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens is aan een specifiek EU-rechtsinstrument onderworpen. Deze verordening dient derhalve niet van toepassing te zijn op de met die doeleinden verrichte verwerkingsactiviteiten. Het gebruik van overeenkomstig deze verordening door de openbare autoriteiten verwerkte gegevens met het oog op de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten of de tenuitvoerlegging van strafrechtelijke sancties dient echter te worden geregeld bij het meer specifieke EU-rechtsinstrument (Richtlijn XX/YYYY). (17) Deze verordening dient geen afbreuk te doen aan de toepassing van Richtlijn 2000/31/EG, inzonderheid de bepalingen inzake de aansprakelijkheid van dienstverleners die als tussenpersoon optreden in de artikelen 12 tot en met 15 van die richtlijn. (18) Deze verordening biedt de mogelijkheid om bij de toepassing van de daarin vastgelegde voorschriften rekening te houden met het beginsel van het recht van toegang van het publiek tot officiële documenten. (19) Verwerking van persoonsgegevens in het kader van de activiteiten van een vestiging van een voor de verwerking verantwoordelijke of een verwerker in de Unie dient overeenkomstig deze verordening te worden verricht, of de eigenlijke verwerking nu in de Unie plaatsvindt of niet. Vestiging veronderstelt het effectief en daadwerkelijk uitoefenen van activiteiten door een vaste vestiging. De rechtsvorm van een dergelijke vestiging, of het nu gaat om een bijkantoor of om een dochteronderneming met rechtspersoonlijkheid, is daarbij niet doorslaggevend. (20) Om te waarborgen dat personen niet worden uitgesloten van de bescherming waarop zij krachtens deze verordening recht hebben, dient op de verwerking van persoonsgegevens van in de Unie wonende betrokkenen door een niet in de Unie gevestigde verwerker deze verordening van toepassing te zijn wanneer de verwerking verband houdt met het aanbieden van goederen of diensten aan dergelijke betrokkenen of met het observeren van hun gedrag. (21) Om uit te maken of een verwerking kan worden beschouwd als “observeren/volgen van gedrag” van betrokkenen, dient te worden vastgesteld of natuurlijke personen op het internet worden gevolgd met gegevensverwerkingstechnieken waarbij een “profiel” op een natuurlijke persoon wordt toegepast, in het bijzonder om besluiten over hem te nemen of om zijn persoonlijke voorkeuren, gedragingen en attitudes te analyseren of te voorspellen. (22) Wanneer uit hoofde van het internationale publiekrecht de nationale wet van een lidstaat van toepassing is, dient deze verordening ook van toepassing te zijn op een voor de verwerking verantwoordelijke die niet in de Unie is gevestigd, maar bijvoorbeeld actief is bij een diplomatieke vertegenwoordiging of een consulaire post. (23) De beschermingsbeginselen moeten voor elk gegeven betreffende een geïdentificeerde of identificeerbare persoon gelden. Om te bepalen of een persoon identificeerbaar is, dienen alle middelen in aanmerking te worden genomen waarvan redelijkerwijs te verwachten valt dat zij door de voor de verwerking verantwoordelijke, of door ieder ander worden gebruikt om de persoon te identificeren. De beschermingsbeginselen dienen niet van toepassing te zijn op gegevens die zodanig anoniem zijn gemaakt dat de persoon op wie die gegevens betrekking hebben, niet meer identificeerbaar is. (24) Bij het gebruik van onlinediensten kunnen natuurlijke personen worden gekoppeld aan online-identificatiemiddelen via hun apparatuur, applicaties, instrumenten en protocollen, zoals internetprotocol (IP)-adressen en identificatiecookies. Dit kan sporen achterlaten die, in combinatie met unieke identificatoren en andere door de servers ontvangen informatie, kunnen worden gebruikt om profielen op te stellen van personen en personen te herkennen. Identificatienummers, locatiegegevens, online-identificatiemiddelen en andere specifieke factoren hoeven dus niet onder alle omstandigheden als persoonsgegevens te worden beschouwd. (25) Toestemming dient uitdrukkelijk te worden gegeven op elke passende wijze die de gebruiker in staat stelt door middel van hetzij een verklaring, hetzij een ondubbelzinnige, actieve handeling vrijelijk een specifieke en geïnformeerde indicatie te geven omtrent zijn wensen, teneinde te waarborgen dat personen er zich bewust van zijn dat zij toestemming geven voor de verwerking van persoonsgegevens, bijvoorbeeld door bij een bezoek aan een internetwebsite op een vakje te klikken, of door een andere verklaring of een andere handeling waaruit in dit verband duidelijk blijkt dat de betrokkene instemt met de voorgestelde verwerking van zijn persoonsgegevens. Stilte of inactiviteit dient derhalve niet als toestemming te gelden. De toestemming dient te gelden voor alle verwerkingsactiviteiten die hetzelfde doel of dezelfde doelen dienen. Indien de betrokkene zijn toestemming moet geven na een elektronisch verzoek, dient dat verzoek duidelijk en beknopt te zijn en niet onnodig storend voor het gebruik van de betrokken dienst. (26) Persoonsgegevens betreffende de gezondheid dienen met name alle gegevens te omvatten die betrekking hebben op de gezondheidstoestand van de betrokkene, informatie over de registratie van de persoon voor de verlening van gezondheidsdiensten, informatie over betalingen of voorwaarden voor gezondheidszorg met betrekking tot de persoon; een aan een persoon toegekend cijfer, symbool of kenmerk dat als unieke identificatie van de persoon geldt voor gezondheidsdoeleinden; informatie over de persoon die tijdens de verstrekking van gezondheidszorg aan hem is verzameld; informatie die voortkomt uit het testen of onderzoeken van een lichaamsdeel of lichaamseigen stof, met inbegrip van biologische monsters; de identificatie van een persoon als verstrekker van gezondheidszorg aan de betrokkene; of informatie over bv. ziekte, handicap, ziekterisico, medische voorgeschiedenis, klinische behandeling of de feitelijke fysiologische of biomedische staat van de betrokkene, ongeacht de bron, zoals een arts of een andere gezondheidswerker, een ziekenhuis, een medisch hulpmiddel of een in-vitrodiagnostiek. (27) De belangrijkste vestiging van een voor de verwerking verantwoordelijke in de Unie dient te worden bepaald op grond van objectieve criteria, zoals het effectief en daadwerkelijk uitvoeren van beheersactiviteiten door een vaste vestiging, waar de voornaamste besluiten worden genomen over het doel van en de voorwaarden en de middelen voor de verwerking van persoonsgegevens. Dit criterium dient los te staan van het feit of de verwerking van de persoonsgegevens daadwerkelijk op die locatie plaatsvindt; de aanwezigheid en het gebruik van technische middelen en technologieën voor de verwerking van persoonsgegevens of verwerkingsactiviteiten zijn niet bepalend voor het belang van een vestiging en zijn dan ook geen doorslaggevende criteria om te bepalen of het om een belangrijkste vestiging gaat. De belangrijkste vestiging van de verwerker dient de plaats te zijn waar zich zijn centrale administratie in de Unie bevindt. (28) Een groep van ondernemingen dient te bestaan uit een onderneming die zeggenschap uitoefent en de ondernemingen waarover zeggenschap wordt uitgeoefend, waarbij de onderneming die zeggenschap uitoefent de onderneming dient te zijn die overheersende invloed kan uitoefenen over de andere ondernemingen uit hoofde van eigendom, financiële deelneming of op haar van toepassing zijnde voorschriften, of op grond van de bevoegdheid om voorschriften inzake de bescherming van persoonsgegevens te doen uitvoeren. (29) Kinderen verdienen met betrekking tot hun persoonsgegevens extra bescherming, aangezien zij zich allicht minder bewust zijn van de risico’s, gevolgen, beschermingsmaatregelen en rechten in verband met de verwerking van persoonsgegevens. Voor de vaststelling of een persoon een kind is, dient in deze verordening de in het VN-Verdrag inzake de rechten van het kind vervatte definitie te worden overgenomen. (30) Elke verwerking van persoonsgegevens dient ten opzichte van de betrokkenen eerlijk, rechtmatig en transparant te geschieden. Met name dienen de specifieke doeleinden waarvoor de gegevens worden verwerkt expliciet en rechtmatig te zijn en te zijn vastgesteld bij het verzamelen van de gegevens. De gegevens dienen adequaat, ter zake dienend te zijn en beperkt te blijven tot datgene wat minimaal nodig is voor de doeleinden waarvoor zij worden verwerkt; derhalve dient er met name voor te worden gezorgd dat de verzamelde gegevens niet excessief zijn en dat de opslagperiode van de gegevens tot een strikt minimum wordt beperkt. Persoonsgegevens dienen alleen te worden verwerkt indien het doeleinde van de verwerking niet op andere wijze kan worden verwezenlijkt. Alle redelijke maatregelen worden genomen om te zorgen dat onjuiste persoonsgegevens worden gerectificeerd of gewist. Om ervoor te zorgen dat gegevens niet langer worden bewaard dan nodig is, dient de voor de verwerking verantwoordelijke termijnen vast te stellen voor het wissen van persoonsgegevens of voor een periodieke toetsing. (31) Voor rechtmatige verwerking van persoonsgegevens is toestemming van de betrokkene vereist of een andere gerechtvaardigde grondslag waarin de wet voorziet, hetzij in deze verordening, hetzij in andere wetgeving van de Unie of van de lidstaten als bedoeld in deze verordening. (32) Wanneer de verwerking plaatsvindt op grond van toestemming van de betrokkene, dient het bewijs dat de betrokkene toestemming heeft gegeven voor de verwerking te worden geleverd door de voor de verwerking verantwoordelijke. Met name in de context van een schriftelijke verklaring over een andere zaak dient te worden gewaarborgd dat de betrokkene zich ervan bewust is dat hij toestemming geeft en hoever deze toestemming reikt. (33) Om te waarborgen dat het om vrije toestemming gaat, dient duidelijk te worden gemaakt dat toestemming geen geldige rechtsgrondslag is wanneer de betrokkene geen echte vrije keuze heeft en zijn toestemming derhalve niet kan weigeren of intrekken zonder nadelige gevolgen. (34) Toestemming kan geen rechtsgrondslag voor verwerking zijn wanneer er sprake is van een duidelijke onevenwichtigheid tussen de betrokkene en de voor de verwerking verantwoordelijke. Dit is met name het geval wanneer de betrokkene zich in een situatie van afhankelijkheid jegens de voor de verwerking verantwoordelijke bevindt, bijvoorbeeld als zijn persoonsgegevens worden verwerkt door zijn werkgever. Wanneer de voor de verwerking verantwoordelijke een overheidsinstantie is, zou er alleen sprake zijn van een onevenwichtigheid bij specifieke gegevensverwerkingsoperaties als deze overheidsinstantie krachtens haar overheidsbevoegdheden een verplichting kan opleggen en de toestemming niet kan worden beschouwd als uit vrije wil gegeven, gelet op het belang van de betrokkene. (35) Verwerking die nodig is in het kader van een contract of een voorgenomen contract, dient rechtmatig te zijn. (36) Wanneer de verwerking wordt verricht omdat de voor de verwerking verantwoordelijke hiertoe wettelijk is verplicht of wanneer de verwerking nodig is voor de vervulling van een taak van algemeen belang dan wel voor een taak in het kader van de uitoefening van het openbaar gezag, dient de verwerking een rechtsgrondslag te hebben in de EU-wetgeving of in een wet van de lidstaat die voldoet aan de in het Handvest van de grondrechten van de Europese Unie vervatte vereisten voor beperkingen van de rechten en vrijheden. Ook dient in de wetgeving van de Unie of de lidstaten te worden vastgesteld of de voor de verwerking verantwoordelijke die belast is met een taak van algemeen belang dan wel met een taak in het kader van de uitoefening van het openbaar gezag een overheidsdienst of een andere publiekrechtelijke of privaatrechtelijke persoon, zoals een beroepsvereniging, moet zijn. (37) De verwerking van persoonsgegevens dient ook als geoorloofd te worden beschouwd wanneer zij nodig is voor de bescherming van een belang dat voor het leven van de betrokkene essentieel is. Het gerechtvaardigde belang van een voor de verwerking verantwoordelijke kan een rechtsgrondslag voor verwerking bieden, mits het belang of de rechten en vrijheden van de betrokkene niet prevaleren. Hierbij is een zorgvuldige beoordeling geboden, met name wanneer de betrokkene een kind is, aangezien kinderen specifieke bescherming verdienen. De betrokkene dient het recht te hebben kosteloos bezwaar te maken tegen de verwerking op gronden die verband houden met zijn bijzondere situatie. Om transparantie te waarborgen dient de voor de verwerking verantwoordelijke te worden verplicht de betrokkene uitdrukkelijk over de gerechtvaardigde belangen die worden nagestreefd en het recht van bezwaar te informeren, en ook te worden verplicht deze gerechtvaardigde belangen te staven. Aangezien het aan de wetgever is om de rechtsgrondslag te creëren voor gegevensverwerking door overheidsinstanties, dient deze rechtsgrond niet van toepassing te zijn op de verwerking door overheidsinstanties in het kader van de uitvoering van hun taken. (38) De verwerking van verkeersgegevens voor zover die strikt noodzakelijk is met het oog op netwerk- en informatieveiligheid, d.w.z. dat een netwerk of informatiesysteem op een bepaald vertrouwelijkheidsniveau bestand is tegen incidentele gebeurtenissen of onwettige of kwaadaardige acties die de beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van opgeslagen of doorgegeven gegevens in het gedrang brengen, en de beveiliging van de desbetreffende diensten die door deze netwerken en systemen worden geboden of via deze toegankelijk zijn, door overheidsinstanties, responsteams voor computernoodgevallen (Computer Emergency Response Teams, CERT’s), computercalamiteitenteams (Computer Security Incident Response Teams, CSIRT’s) aanbieders van elektronische communicatienetwerken of –diensten en aanbieders van beveiligingstechnologie en -diensten, is een gerechtvaardigd belang van de voor de verwerking verantwoordelijke. Zo kan er bijvoorbeeld sprake zijn van het verhinderen van onbevoegde toegang tot elektronischecommunicatienetwerken en van verspreiding van kwaadaardige codes, alsook van het stoppen van „denial of service”- aanvallen en van schade aan computers en elektronischecommunicatiesystemen. (39) De verwerking van persoonsgegevens voor andere doeleinden dient alleen te worden toegestaan als de verwerking verenigbaar is met de doeleinden waarvoor de gegevens in eerste instantie zijn verzameld, met name wanneer de verwerking nodig is voor historisch, statistisch of wetenschappelijk onderzoek. Wanneer het andere doeleinde niet verenigbaar is met het doeleinde waarvoor de gegevens aanvankelijk zijn verzameld, dient de voor de verwerking verantwoordelijke toestemming van de betrokkene te verkrijgen voor de verwerking voor dit andere doeleinde of de verwerking op een andere rechtsgrondslag te baseren, in het bijzonder wanneer hierin wordt voorzien door de wetgeving van de Unie of door de wetgeving van de lidstaat waaraan de voor de verwerking verantwoordelijke onderworpen is. Er dient in ieder geval voor te worden gezorgd dat de in deze verordening vervatte beginselen worden toegepast en dat de betrokkene wordt geïnformeerd over dergelijke andere doeleinden. (40) Persoonsgegevens die door hun aard bijzonder gevoelig en kwetsbaar zijn wat betreft de grondrechten of de persoonlijke levenssfeer, verdienen specifieke bescherming. Dergelijke gegevens dienen niet te worden verwerkt, tenzij de betrokkene hier uitdrukkelijk toestemming voor geeft. Niettemin dient uitdrukkelijk in uitzonderingen op dit verbod te worden voorzien met het oog op specifieke behoeften, met name wanneer de verwerking wordt verricht in het kader van wettige activiteiten door bepaalde verenigingen of stichtingen die ernaar streven de uitoefening van de fundamentele vrijheden mogelijk te maken. (41) Er dient ook van het verbod op de verwerking van categorieën gevoelige gegevens te kunnen worden afgeweken, indien de wet hierin voorziet en er passende waarborgen worden geboden ter bescherming van persoonsgegevens en andere grondrechten, op grond van een zwaarwegend algemeen belang en in het bijzonder voor gezondheidsdoeleinden, zoals volksgezondheid en sociale bescherming en het beheer van gezondheidsdiensten, met name om de kwaliteit en kostenefficiëntie te waarborgen van de procedures voor de afwikkeling van aanvragen voor uitkeringen en diensten in het kader van de ziektekostenverzekering of voor historisch, statistisch en wetenschappelijk onderzoek. (42) Bovendien vindt de verwerking van persoonsgegevens door overheidsinstanties ter verwezenlijking van in het constitutionele recht of in het volkenrecht vastgelegde doelstellingen van officieel erkende religieuze verenigingen plaats op grond van een algemeen belang. (43) Als het bij verkiezingsactiviteiten voor de goede werking van de democratie in een lidstaat vereist is dat politieke partijen gegevens over de politieke opvattingen van personen verzamelen, kan de verwerking van zulke gegevens op grond van een algemeen belang worden toegelaten, mits er passende garanties worden vastgesteld. (44) Wanneer de door de voor de verwerking verantwoordelijke in de door hem verwerkte gegevens geen natuurlijk persoon kan identificeren, hoeft hij niet te worden verplicht om, uitsluitend om aan een bepaling van deze verordening te voldoen, aanvullende informatie te verkrijgen ter identificatie van de betrokkene. Bij een verzoek om toegang moet de voor de verwerking verantwoordelijke bevoegd zijn de betrokkene aanvullende informatie te vragen om de gezochte persoonsgegevens te kunnen vinden. (45) Overeenkomstig het transparantiebeginsel moet informatie die bestemd is voor het publiek of de betrokkene eenvoudig toegankelijk en begrijpelijk zijn en moet duidelijke en eenvoudige taal worden gebruikt. Dit geldt in het bijzonder voor onlineadvertenties en andere situaties waarin het door zowel het grote aantal spelers als de technologische complexiteit van de praktijk voor een individu moeilijk is te weten en te begrijpen of, door wie en met welk doel zijn persoonsgegevens worden verzameld. Aangezien kinderen specifieke bescherming verdienen, dient wanneer de verwerking specifiek betrekking heeft op een kind, de informatie en communicatie in zulke duidelijke en eenvoudige taal te worden gesteld dat het kind deze gemakkelijk kan begrijpen. (46) Er dienen procedures te worden vastgesteld om de betrokkene in staat te stellen zijn rechten uit hoofde van deze verordening uit te oefenen, zoals mechanismen om kosteloos te verzoeken om, met name, toegang tot gegevens, rectificatie, uitwissing en uitoefening van het recht van bezwaar. De voor de verwerking verantwoordelijke dient verplicht te zijn binnen een gestelde termijn te reageren op een verzoek van de betrokkene en een eventuele weigering om gehoor te geven aan het verzoek van de betrokkene te motiveren. (47) Overeenkomstig de beginselen van eerlijke en transparante verwerking dient de betrokkene met name te worden ingelicht over het feit dat er verwerking plaatsvindt en waartoe, en te worden gewezen op de bewaringstermijn van de gegevens, het recht van toegang, rectificatie of uitwissing, en het recht een klacht in te dienen. Indien de gegevens van de betrokkene moeten worden verkregen, dient hem te worden medegedeeld of hij verplicht is de gegevens te verstrekken en wat de gevolgen zijn van niet-verstrekking van de gegevens. (48) De informatie over de verwerking van persoonsgegevens betreffende de betrokkene dient hem te worden meegedeeld bij het verzamelen van de gegevens of, indien de gegevens niet bij de betrokkene zijn verkregen, binnen redelijke tijd, naargelang de specifieke omstandigheden. Wanneer de gegevens rechtmatig kunnen worden verstrekt aan een andere ontvanger, dient de betrokkene te worden meegedeeld wanneer de gegevens voor het eerst aan de ontvanger worden verstrekt. (49) Deze verplichting is echter overbodig wanneer de betrokkene al over deze informatie beschikt, of wanneer de vastlegging of mededeling van de gegevens uitdrukkelijk bij wet is voorgeschreven of de verstrekking van informatie aan de betrokkene onmogelijk blijkt of onevenredig veel moeite zou kosten. Dit laatste zou met name het geval kunnen zijn wanneer verwerking nodig is voor historisch, statistisch of wetenschappelijk onderzoek; hierbij mag in aanmerking worden genomen om hoeveel betrokkenen het gaat, hoe oud de gegevens zijn en welke compenserende maatregelen kunnen worden getroffen. (50) Eenieder dient over het recht te beschikken om toegang te verkrijgen tot de gegevens die betreffende hem zijn verzameld en dit recht eenvoudig te kunnen uitoefenen, zodat hij zich van de verwerking op de hoogte kan stellen en zich van de rechtmatigheid ervan kan vergewissen. Elke betrokkene dient er dan ook recht op te hebben, te weten en te worden meegedeeld voor welke doeleinden de gegevens worden verwerkt, hoe lang zij worden bewaard, welke ontvangers de gegevens ontvangen, welke logica er ten grondslag ligt aan de verwerking van de gegevens en, ten minste wanneer de verwerking op profilering is gebaseerd, wat de gevolgen zouden kunnen zijn van een dergelijke verwerking. Dit recht dient geen afbreuk te doen aan de rechten en vrijheden van anderen, met inbegrip van het zakengeheim of de intellectuele eigendom en met name aan het auteursrecht dat de software beschermt. Deze overwegingen mogen er echter niet toe leiden dat de betrokkene alle informatie wordt onthouden. (51) De voor de verwerking verantwoordelijke dient, met name met betrekking tot onlinediensten en online-identificatiemiddelen, alle redelijke maatregelen te nemen om de identiteit te controleren van een betrokkene die om toegang verzoekt. Een voor de verwerking verantwoordelijke dient persoonsgegevens niet uitsluitend te bewaren om op eventuele verzoeken te kunnen reageren. (52) Eenieder dient het recht te hebben persoonsgegevens over zichzelf te laten rectificeren en het “recht om te worden vergeten”, als het bewaren van dergelijke gegevens niet in overeenstemming is met deze verordening. Betrokkenen dienen met name het recht te hebben dat hun persoonsgegevens worden uitgewist en niet verder worden verwerkt als de gegevens niet langer nodig zijn voor de doeleinden waarvoor zij zijn verzameld of anderszins verwerkt, als de betrokkenen hun toestemming voor de verwerking hebben ingetrokken of bezwaar maken tegen de verwerking van hun persoonsgegevens, of als de verwerking van hun persoonsgegevens op een ander punt niet met deze verordening in overeenstemming is. Dit recht is uitermate relevant wanneer de betrokkene toestemming heeft gegeven als kind, toen hij zich nog niet volledig bewust was van de risico’s van verwerking, en dergelijke persoonsgegevens later wil verwijderen, met name van het internet. (53) Gegevens dienen echter langer te kunnen worden bewaard als dit nodig is voor historisch, statistisch en wetenschappelijk onderzoek, om redenen van algemeen belang op het gebied van de volksgezondheid, voor de uitoefening van het recht op vrijheid van meningsuiting, wanneer de wet dit voorschrijft of wanneer er een reden is om de verwerking van gegevens te beperken in plaats van de gegevens te wissen. (54) Ter versterking van het “recht om te worden vergeten” door onlinetoepassingen, dient het recht op uitwissing van gegevens zodanig te worden uitgebreid, dat de voor de verwerking verantwoordelijke die de persoonsgegevens openbaar heeft gemaakt, verplicht is derden die dergelijke gegevens verwerken, ervan op de hoogte te stellen dat de betrokkene hun verzoekt iedere koppeling met, of kopie of reproductie van die persoonsgegevens uit te wissen. De voor de verwerking verantwoordelijke dient alle redelijke maatregelen te nemen, waaronder technische maatregelen, om te waarborgen dat voor gegevens waarvan de openbaarmaking zijn verantwoordelijkheid is, deze derden daadwerkelijk worden geïnformeerd. Ten aanzien van openbaarmaking van persoonsgegevens door een derde dient de voor de verwerking verantwoordelijke te worden beschouwd als verantwoordelijk voor de openbaarmaking als hij de derde toestemming heeft verleend voor de openbaarmaking. (55) Om de controle over hun eigen gegevens en hun recht van toegang verder te versterken, dienen, wanneer persoonsgegevens elektronisch en in een gestructureerd en algemeen gebruikt formaat worden verwerkt, betrokkenen het recht te hebben om van de gegevens over hen ook een kopie in een elektronisch en algemeen gebruikt formaat te ontvangen. De betrokkenen dienen deze door hen verstrekte gegevens ook van de ene geautomatiseerde toepassing, zoals een sociaal netwerk, naar de andere te kunnen doorgeven. Dit dient van toepassing te zijn wanneer de betrokkenen de gegevens aan het geautomatiseerde verwerkingssysteem heeft verstrekt, door toestemming te geven dan wel een overeenkomst uit te voeren. (56) Wanneer persoonsgegevens rechtmatig kunnen worden verwerkt ter vrijwaring van een vitaal belang van de betrokkene, of op grond van een algemeen belang, overheidsgezag of een wettig belang van een voor de verwerking verantwoordelijke, dient een betrokkene niettemin bezwaar te kunnen maken tegen de verwerking van gegevens die op hem betrekking heeft. Het dient aan de voor de verwerking verantwoordelijke te zijn om te bewijzen dat zijn gerechtvaardigde belangen wellicht zwaarder wegen dan de grondrechten en fundamentele vrijheden van de betrokkene. (57) Wanneer persoonsgegevens worden verwerkt ten behoeve van direct marketing, dient de betrokkene het recht te hebben om hier op eeenvoudige en doeltreffende wijze kosteloos bezwaar tegen te maken. (58) Iedere natuurlijke persoon dient het recht te hebben niet te worden onderworpen aan een maatregel die is gebaseerd op profilering door middel van geautomatiseerde verwerking. Een dergelijke maatregel dient echter wel mogelijk te zijn wanneer deze uitdrukkelijk is toegestaan bij de wet of wordt genomen in het kader van het sluiten of uitvoeren van een overeenkomst of wanneer de betrokkene zijn toestemming heeft gegeven. Op een dergelijke verwerking dienen passende waarborgen van toepassing te zijn, waaronder specifieke informering van de betrokkene, het recht op menselijke tussenkomst en de bepaling dat een dergelijke maatregel geen betrekking mag hebben op kinderen. (59) In de wetgeving van de Unie of de wetgeving van de lidstaten kunnen beperkingen worden gesteld aan de specifieke beginselen en de rechten van informatie, toegang, rectificatie, uitwissing, gegevensoverdraagbaarheid en bezwaar, alsook aan maatregelen gebaseerd op profilering, aan de melding aan de betrokkene van een inbreuk op persoonsgegevens en aan bepaalde daarmee verband houdende verplichtingen van de voor de verwerking verantwoordelijken, wanneer dat in een democratische samenleving noodzakelijk en proportioneel is voor het beschermen van de openbare veiligheid, waaronder de bescherming van het menselijk leven – met name bij natuurlijke of door de mens veroorzaakte rampen–, voor het voorkomen, onderzoeken en vervolgen van strafbare feiten of van schendingen van de beroepscodes voor gereglementeerde beroepen, voor het beschermen van andere algemene belangen van de Unie of een lidstaat, met name een gewichtig economisch of financieel belang van de Unie of een lidstaat, of voor het beschermen van de betrokkene of de rechten en vrijheden van anderen. Deze beperkingen moeten in overeenstemming zijn met de vereisten van het Handvest van de grondrechten van de Europese Unie en het Europees Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden. (60) Er dient te worden voorzien in alomvattende verantwoordelijkheid en aansprakelijkheid van de voor de verwerking verantwoordelijke voor elke verwerking van persoonsgegevens door of namens de voor de verwerking verantwoordelijke. Met name dient de voor de verwerking verantwoordelijke erop toe te zien en te worden verplicht aan te tonen dat elke verwerking overeenkomstig deze verordening geschiedt. (61) Ter bescherming van de rechten en vrijheden van de betrokkenen in verband met de verwerking van persoonsgegevens zijn zowel bij het ontwerpen als bij de uitvoering van de verwerking passende technische en organisatorische maatregelen nodig, om te waarborgen dat aan de bepalingen van deze verordening wordt voldaan. Teneinde overeenstemming met deze verordening te waarborgen en aan te tonen, dient de voor de verwerking verantwoordelijke intern beleid vast te stellen en passende maatregelen te treffen, die in het bijzonder voldoen aan de beginselen inzake privacy by design en by default. (62) Het is voor de bescherming van de rechten en vrijheden van betrokkenen en de verantwoordelijkheid en aansprakelijkheid van voor de verwerking verantwoordelijken en verwerkers noodzakelijk, onder meer wat het toezicht door en de maatregelen van de toezichthoudende autoriteiten betreft, dat de bij deze verordening vastgestelde verantwoordelijkheden op duidelijke wijze worden toegekend, ook wanneer de voor de verwerking verantwoordelijke de doeleinden, voorwaarden en middelen voor de verwerking samen met andere voor de verwerking verantwoordelijken vaststelt, of wanneer een verwerking wordt uitgevoerd namens een voor de verwerking verantwoordelijke. (63) Wanneer de verwerking van persoonsgegevens van in de Unie wonende betrokkenen door een niet in de Unie gevestigde verwerker verband houdt met het aanbieden van goederen of diensten aan dergelijke betrokkenen of met het observeren van hun gedrag, dient de voor de verwerking verantwoordelijke een vertegenwoordiger aan te wijzen, tenzij de voor de verwerking verantwoordelijke is gevestigd in een derde land dat een passend beschermingsniveau waarborgt, de voor de voor de verwerking verantwoordelijke een kleine of middelgrote onderneming of een overheidsinstantie of –lichaam is, of de voor de verwerking verantwoordelijke dergelijke betrokkenen slechts incidenteel goederen of diensten aanbiedt. De vertegenwoordiger dient namens de voor de verwerking verantwoordelijke op te treden en kan door iedere toezichthoudende autoriteit worden benaderd. (64) Om uit te maken of een voor de verwerking verantwoordelijke slechts incidenteel goederen en diensten aanbiedt aan betrokkenen die in de Unie wonen, dient te worden vastgesteld of uit de algemene activiteiten van de voor de verwerking verantwoordelijke duidelijk blijkt dat het aanbieden van goederen en diensten aan dergelijke betrokkenen slechts een nevenactiviteit is. (65) Voor het aantonen van overeenstemming met deze verordening dient de voor de verwerking verantwoordelijke of de verwerker elke verwerking te documenteren. Elke voor de verwerking verantwoordelijke en elke verwerker dient ertoe te worden verplicht medewerking te verlenen aan de toezichthoudende autoriteit en deze documentatie op verzoek te verstrekken met het oog op het gebruik daarvan voor het toezicht op verwerkingsactiviteiten. (66) Teneinde de veiligheid te waarborgen en te voorkomen dat verwerking plaatsvindt die strijdig is met deze verordening, dienen de voor de verwerking verantwoordelijke en de verwerker de risico’s die de verwerking meebrengt te beoordelen en maatregelen te treffen om deze risico’s te beperken. Deze maatregelen dienen een passend niveau van veiligheid te waarborgen, rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging enerzijds en de risico’s die de verwerking en de aard van de te beschermen gegevens meebrengen anderzijds. Bij het vaststellen van technische normen en organisatorische maatregelen voor de veiligheid van de verwerking dient de Commissie technologische neutraliteit, interoperabiliteit en innovatie te bevorderen en zo nodig samen te werken met derde landen. (67) Een inbreuk op de persoonlijke gegevens kan, wanneer dit probleem niet tijdig en op toereikende wijze wordt aangepakt, voor de betrokkene aanzienlijk economisch verlies en maatschappelijke schade, inclusief identiteitsfraude, tot gevolg hebben. Zodra een voor de verwerking verantwoordelijke weet dat een dergelijke inbreuk heeft plaatsgevonden, dient hij de toezichthoudende autoriteit daarvan dan ook onverwijld, en waar mogelijk binnen 24 uur, op de hoogte te stellen. Wanneer dit niet binnen 24 uur kan worden gerealiseerd, dient de kennisgeving vergezeld te gaan van een verklaring voor de vertraging. Wanneer de inbreuk negatieve gevolgen kan hebben voor de persoonsgegevens, dienen de betrokkenen daarvan zonder onnodig uitstel in kennis te worden gesteld, zodat zij de nodige voorzorgsmaatregelen kunnen treffen. Een inbreuk moet worden geacht negatieve gevolgen te hebben voor de persoonsgegevens of de persoonlijke levenssfeer van een betrokkene, wanneer die inbreuk kan leiden tot bijvoorbeeld identiteitsdiefstal of ‑fraude, lichamelijke schade, ernstige vernedering of aantasting van de reputatie. De kennisgeving dient zowel de aard van de inbreuk in verband met persoonsgegevens te vermelden als aanbevelingen over hoe de betrokkene mogelijke negatieve gevolgen kan beperken. De betrokkenen dienen zo snel als redelijkerwijs mogelijk is, in nauwe samenwerking met de toezichthoudende autoriteit en met inachtneming van de door haarzelf of andere relevante autoriteiten (zoals rechtshandhavingsautoriteiten) aangereikte richtsnoeren, in kennis te worden gesteld. Zo zouden betrokkenen bijvoorbeeld onverwijld in kennis moeten worden gesteld om hun de gelegenheid te bieden een onmiddellijke bedreiging te beperken, terwijl een langere termijn gerechtvaardigd kan zijn als er passende maatregelen moeten worden genomen tegen aanhoudende of soortgelijke inbreuken. (68) Om te bepalen of een inbreuk op persoonsgegevens onverwijld aan de toezichthoudende autoriteit en de betrokkene is gemeld, dient te worden vastgesteld of de voor de verwerking verantwoordelijke passende technologische beschermingsmaatregelen en organisatorische maatregelen heeft genomen om onmiddellijk uit te maken of inbreuk op persoonsgegevens heeft plaatsgevonden en de toezichthoudende autoriteiten en de betrokkene zo snel mogelijk te informeren, voordat er persoonlijke of economische belangen worden geschaad, waarbij met name rekening dient te worden gehouden met de aard en ernst van de inbreuk op de persoonsgegevens en de gevolgen en negatieve effecten daarvan voor de betrokkene. (69) Bij de vaststelling van gedetailleerde regels betreffende het formaat en de procedures voor het melden van inbreuken in verband met persoonsgegevens dient de nodige aandacht te worden besteed aan de omstandigheden van de inbreuk, onder meer aan de vraag of de persoonsgegevens al dan niet met behulp van adequate technische beschermingsmaatregelen waren beschermd zodat de waarschijnlijkheid van identiteitsfraude of andere vormen van misbreuk in de praktijk beperkt was. Bovendien dient bij dergelijke regels en procedures rekening te worden gehouden met de gerechtvaardigde belangen van de rechtshandhavingsautoriteiten in gevallen waarin vroegtijdige verstrekking het onderzoek naar de omstandigheden van een inbreuk nodeloos zou hinderen. (70) Richtlijn 95/46/EG voorzag in een algemene verplichting om verwerking van persoonsgegevens aan de toezichthoudende autoriteiten te melden. Deze verplichting leidt tot administratieve en financiële lasten, maar heeft niet in alle gevallen bijgedragen tot betere bescherming van de persoonsgegevens. Derhalve dient deze ongedifferentieerde algemene kennisgevingsplicht te worden afgeschaft en te worden vervangen door doeltreffende procedures en mechanismen die gericht zijn op verwerkingsoperaties die naar hun aard, reikwijdte of doeleinden waarschijnlijk specifieke risico’s voor de rechten en vrijheden van betrokkenen meebrengen. In dergelijke gevallen dient de voor de verwerking verantwoordelijke of de verwerker voorafgaand aan de verwerking een privacyeffectbeoordeling uit te voeren, waarbij met name wordt gekeken naar de geplande maatregelen, waarborgen en mechanismen voor het beschermen van persoonsgegevens en het aantonen dat aan deze verordening is voldaan. (71) Dit dient met name te gelden voor nieuw opgezette grootschalige bestanden die bedoeld zijn voor het verwerken van een aanzienlijke hoeveelheid persoonsgegevens op regionaal, nationaal of supranationaal niveau en waarvan een groot aantal betrokkenen gevolgen zou kunnen ondervinden. (72) Onder bepaalde omstandigheden kan het verstandig en nuttig zijn dat de privacyeffectbeoordeling zich niet beperkt tot een enkel project, bijvoorbeeld wanneer overheidsinstanties of ‑lichamen een gemeenschappelijk applicatie- of verwerkingsplatform willen opzetten of wanneer meerdere voor de verwerking verantwoordelijken van plan zijn een gemeenschappelijke applicatie- of verwerkingsomgeving in te voeren voor een hele bedrijfstak, of een segment daarvan, of voor een gangbare horizontale activiteit. (73) Privacyeffectbeoordelingen dienen te worden verricht door een overheidsinstantie of –lichaam, indien een dergelijke beoordeling niet al is uitgevoerd in het kader van de aanneming van de nationale wet waarop de vervulling van de taken van de overheidsinstantie of het overheidslichaam is gebaseerd en waarin de specifieke verwerking of reeks verwerkingen wordt geregeld. (74) Wanneer een privacyeffectbeoordeling uitwijst dat verwerking bijvoorbeeld door het gebruik van specifieke nieuwe technologieën gepaard gaat met grote specifieke risico’s voor de rechten en vrijheden van betrokkenen, zoals het uitsluiten van personen van hun recht, dienen voor het begin van de verwerkingen de toezichthoudende autoriteiten te worden geraadpleegd over gevoelige activiteiten die mogelijk niet in overeenstemming zijn met deze verordening, en zijn voorstellen geboden om de situatie te verbeteren. Een dergelijke raadpleging dient ook te worden uitgevoerd in het kader van de voorbereiding van een door het nationale parlement aan te nemen maatregel of op basis van een dergelijke wettelijke maatregel, waarin de aard van de verwerking is omschreven en passende waarborgen zijn opgenomen. (75) Wanneer de verwerking wordt uitgevoerd in de overheidssector of wanneer de verwerking in de particuliere sector wordt uitgevoerd door een grote onderneming, of wanneer de kernactiviteiten, ongeacht de grootte van de onderneming, verwerkingen omvatten die regelmatig en stelselmatig toezicht vereisen, dient iemand de voor de verwerking verantwoordelijke of de verwerker bij te staan bij het toezicht op de interne naleving van deze verordening. Dergelijke functionarissen voor gegevensbescherming dienen in staat te zijn hun taken en verplichtingen onafhankelijk te vervullen, of zij nu in dienst van de voor de verwerking verantwoordelijke zijn of niet. (76) Verenigingen en andere organen die categorieën van voor de verwerking verantwoordelijken of verwerkers vertegenwoordigen, dienen te worden aangemoedigd om gedragscodes op te stellen, binnen de grenzen van deze verordening, teneinde de doeltreffende uitvoering van deze verordening in de praktijk te bevorderen, rekening houdend met het specifieke karakter van de verwerkingen in sommige sectoren. (77) Teneinde de transparantie en naleving van deze verordening te versterken, dient het instellen van certificeringsmechanismen en gegevensbeschermingszegels en ‑merktekens te worden bevorderd, zodat betrokkenen snel het beschermingsniveau van relevante producten en diensten kunnen beoordelen. (78) Grensoverschrijdend verkeer van persoonsgegevens is noodzakelijk voor de ontwikkeling van het internationale handelsverkeer en de internationale samenwerking. De groei van dit verkeer brengt nieuwe uitdagingen en aandachtspunten mee met betrekking tot de bescherming van persoonsgegevens. Wanneer persoonsgegevens echter van de Unie naar derde landen of internationale organisaties worden overgedragen, mag dit niet ten koste gaan van het beschermingsniveau waarvan personen in de Unie door deze verordening verzekerd zijn. Doorgifte naar derde landen mag in ieder geval alleen plaatsvinden in volledige overeenstemming met deze verordening. (79) Deze verordening doet geen afbreuk aan internationale overeenkomsten die de Unie en derde landen hebben gesloten om de doorgifte van persoonsgegevens te regelen en waarin passende waarborgen voor de betrokkenen zijn opgenomen. (80) De Commissie kan besluiten, met rechtskracht voor de gehele Unie, dat bepaalde derde landen, of een gebied of een verwerkingssector in een derde land, of een internationale organisatie een passend niveau van bescherming van persoonsgegevens bieden, en daarmee in de gehele Unie rechtszekerheid en eenvormigheid verschaffen ten aanzien van derde landen of internationale organisaties die geacht worden een dergelijk beschermingsniveau te bieden. In zulke gevallen mogen persoonsgegevens naar de betrokken landen worden doorgegeven zonder dat verdere toestemming noodzakelijk is. (81) Overeenkomstig de fundamentele waarden waarop de Unie is gegrondvest, in het bijzonder de bescherming van de mensenrechten, dient de Commissie bij haar beoordeling van het derde land in aanmerking te nemen in welke mate de rechtsstaat, de toegang tot de rechter en de internationale mensenrechtennormen in het derde land worden geëerbiedigd. (82) De Commissie kan tevens besluiten dat een derde land, een gebied of een verwerkingssector in een derde land, of een internationale organisatie geen passend beschermingsniveau waarborgt. De doorgifte van persoonsgegevens naar dat derde land dient dan te worden verboden. Er dient te worden geregeld dat er in die gevallen overleg plaatsvindt tussen de Commissie en de betrokken derde landen en internationale organisaties. (83) Indien er geen besluit is genomen wa