1. Inleiding

De bescherming van persoonsgegevens behoort tot Europa's constitutionele structuur en is verankerd in artikel 8 van het Handvest van de grondrechten van de EU. Gegevensbescherming maakt al meer dan twintig jaar deel uit van het EU-recht, vanaf de gegevensbeschermingsrichtlijn van 1995 (hierna de "richtlijn van 1995" genoemd) tot de vaststelling van de algemene verordening gegevensbescherming en de politiële richtlijn in 2016.

Zoals voorzitter Juncker op 14 september 2016 heeft benadrukt in zijn rede over de toestand van de Europese Unie: "Europeaan zijn betekent dat u recht heeft op de bescherming van uw persoonsgegevens door middel van krachtige Europese wetten. […] Want privacy doet ertoe in Europa. Het is een kwestie van menselijke waardigheid."

De behoefte aan bescherming van persoonsgegevens bestaat echter niet alleen in Europa. Wereldwijd hechten consumenten steeds sterker aan hun privacy. Bedrijven merken dan ook dat goede privacybescherming een concurrentievoordeel oplevert, aangezien het vertrouwen in hun dienstverlening erdoor groeit. Veel bedrijven, en met name bedrijven met een mondiaal bereik, brengen hun privacybeleid in overeenstemming met de algemene verordening gegevensbescherming, aangezien zij zaken in de EU willen doen en de richtlijn als een navolgenswaardig voorbeeld beschouwen.

Verscheidene landen en regionale organisaties buiten de EU, in onze nabuurschap, Azië, Latijns-Amerika en Afrika, stellen nieuwe gegevensbeschermingswetgeving vast of passen de bestaande wetgeving aan, om de kansen van de mondiale digitale economie te benutten en in te spelen op de groeiende vraag naar betere gegevensbeveiliging en privacybescherming. Hoewel er tussen landen verschillen bestaan wat betreft de wijze waarop en de mate waarin de wetgeving is ontwikkeld, zijn er – zeker in bepaalde delen van de wereld – aanwijzingen voor opwaartse convergentie in de richting van belangrijke gegevensbeschermingsbeginselen. Grotere verenigbaarheid van verschillende gegevensbeschermingssystemen zou het internationale persoonsgegevensverkeer vergemakkelijken, zowel voor commerciële doeleinden als voor samenwerking tussen overheden (bv. met het oog op rechtshandhaving). De EU zou deze mogelijkheid moeten benutten om haar gegevensbeschermingsbeginselen uit te dragen en gegevensstromen te vergemakkelijken door aan te sturen op convergentie van wettelijke systemen. Zoals is aangekondigd in het werkprogramma van de Commissie, bevat de onderhavige mededeling derhalve het strategische kader van de Commissie voor adequaatheidsbesluiten en andere instrumenten voor gegevensdoorgiften en internationale gegevensbeschermingsinstrumenten.

2. Het EU-hervormingspakket voor gegevensbescherming – Een modern wetgevingskader dat internationale gegevensstromen ondersteunt met een hoog beschermingsniveau

De hervorming van de in april 2016 vastgestelde EU-gegevensbeschermingswetgeving omvat een systeem dat zowel een hoog beschermingsniveau waarborgt als openstaat voor de mogelijkheden van de mondiale informatiemaatschappij. Door de hervorming krijgen burgers meer controle over hun persoonsgegevens en neemt het consumentenvertrouwen in de digitale economie toe. Dankzij de harmonisering en vereenvoudiging van het rechtskader wordt het voor zowel binnenlandse als buitenlandse bedrijven gemakkelijker en minder belastend om – onder meer door middel van internationaal gegevensverkeer – zaken te doen in de EU. De EU combineert vandaag de dag openheid voor internationale gegevensstromen en het hoogste niveau van bescherming voor natuurlijke personen. De Unie heeft de potentie om uit te groeien tot een knooppunt voor gegevensdiensten waarvoor vrij gegevensverkeer en vertrouwen vereist zijn.

2.1 Een breed, uniform en vereenvoudigd EU-gegevensbeschermingskader

De EU-hervorming voorziet in een breed kader voor de verwerking van persoonsgegevens in zowel de particuliere als de publieke sector en in zowel de commerciële als de rechtshandhavingssector (de algemene verordening gegevensbescherming respectievelijk de politiële richtlijn).

Krachtens de algemene verordening gegevensbescherming geldt er vanaf mei 2018 één pan-Europees pakket regels, dat in de plaats komt van de 28 nationale wetgevingen die nu van toepassing zijn. Dankzij het nieuwe één-loketmechanisme zal er één gegevensbeschermingsautoriteit verantwoordelijk zijn voor het toezicht op grensoverschrijdende gegevensverwerking door een onderneming in de EU. Er wordt gewaarborgd dat de nieuwe regels op coherente wijze worden uitgelegd. Met name in grensoverschrijdende gevallen waarbij meerdere nationale gegevensbeschermingsautoriteiten betrokken zijn, zal er één besluit worden genomen om te waarborgen dat gemeenschappelijke problemen op dezelfde manier worden opgelost. Bovendien creëert de algemene verordening gegevensbescherming een gelijk speelveld voor ondernemingen uit de EU en ondernemingen uit derde landen die in de EU goederen en diensten aanbieden of het gedrag van natuurlijke personen monitoren. Groter consumentenvertrouwen komt marktdeelnemers van binnen en buiten de EU ten goede.

De politiële richtlijn voorziet in gemeenschappelijke regels voor de verwerking van persoonsgegevens van personen die betrokken zijn bij een strafrechtelijke procedure, ongeacht of zij beschuldigde, getuige of slachtoffer zijn, met inachtneming van de specifieke aard van de politiële en strafrechtelijke sectoren. De harmonisering van gegevensbeschermingsregels in de rechtshandhavingssector, met inbegrip van regels inzake internationale doorgiften, zal grensoverschrijdende samenwerking tussen politiële en justitiële autoriteiten vergemakkelijken, zowel binnen de EU als met internationale partners, en zo de voorwaarden voor een doeltreffender bestrijding van criminaliteit scheppen. Dit is een belangrijke bijdrage aan de Europese veiligheidsagenda.

2.2 Een vernieuwd en ruimer instrumentarium voor internationale doorgiften

De EU-wetgeving inzake gegevensbescherming voorziet van oudsher in verschillende mechanismen voor gegevensdoorgifte. Het primaire doel van deze regels is te waarborgen dat de persoonsgegevens van Europeanen ook bij doorgifte naar het buitenland beschermd blijven. Door de jaren heen zijn deze regels in vele juridisdicties normatief geworden voor internationale gegevensstromen. Hoewel de architectuur wezenlijk dezelfde blijft als die op grond van de richtlijn van 1995, verheldert en vereenvoudigt de hervorming van de regels inzake internationale doorgiften de toepassing van die regels en voorziet ze in nieuwe instrumenten voor doorgiften.

Volgens het EU-recht is doorgifte van persoonsgegevens naar het buitenland onder meer mogelijk op grond van een adequaatheidsbesluit van de Commissie, waarbij wordt vastgesteld dat een niet-EU-land een gegevensbeschermingsniveau biedt dat "in wezen overeenkomt" met dat in de Unie. Een dergelijk besluit maakt vrij verkeer van persoonsgegevens naar dat derde land mogelijk zonder dat degene die de gegevens naar het buitenland doorgeeft, verdere waarborgen hoeft te verschaffen of toestemming hoeft te verkrijgen. Een precies en uitvoerig overzicht van de elementen waarmee de Commissie bij het beoordelen van het door een buitenlands systeem geboden bescherming rekening moet houden, is beschikbaar voor belanghebbende landen of internationale organisaties. De Commissie kan nu ook adequaatheidsbesluiten nemen voor de rechtshandhavingssector. Voortbouwend op een op de richtlijn van 1995 gebaseerde praktijk voorziet de hervorming uitdrukkelijk in de mogelijkheid om de adequaatheid te bepalen inzake een bepaald grondgebied van een derde land of inzake een specifieke sector of bedrijfstak van een derde land (zogeheten "gedeeltelijke" adequaatheid).

Als er geen adequaatheidsbesluit voorhanden is, kunnen internationale doorgiften plaatsvinden op basis van een aantal alternatieve doorgifte-instrumenten die passende gegevensbeschermingswaarborgen bieden. Bij de hervorming wordt de mogelijkheid om gebruik te maken van bestaande instrumenten als modelcontractbepalingen en bindende bedrijfsvoorschriften, geformaliseerd en verruimd. Zo kunnen modelcontractbepalingen nu worden opgenomen in een overeenkomst tussen in de EU gevestigde verwerkers en in een niet-EU-land gevestigde verwerkers. Bindende bedrijfsvoorschriften, die vooralsnog beperkt waren tot regelingen tussen entiteiten van dezelfde vennootschapsgroep, kunnen nu ook worden gebruikt door een groep ondernemingen die wel betrokken zijn bij een gezamenlijke economische activiteit, maar niet noodzakelijkerwijs deel uitmaken van dezelfde vennootschap. De hervorming vermindert ook de administratieve rompslomp door algemene voorschriften af te schaffen inzake voorafgaande melding aan en toestemming van gegevensbeschermingsautoriteiten met betrekking tot doorgiften naar een derde land op basis van modelcontractbepalingen en bindende bedrijfsvoorschriften. Het betreft een belangrijke vereenvoudiging van het EU-systeem van internationale gegevensdoorgifte, aangezien het bestaan van dergelijke voorschriften, die momenteel van lidstaat tot lidstaat verschillen, dikwijls als een fors obstakel voor gegevensstromen wordt beschouwd, met name voor kleinere ondernemingen.

Daarnaast worden bij de hervorming nieuwe instrumenten voor internationale doorgiften ingevoerd. Verwerkingsverantwoordelijken en verwerkers zullen, onder bepaalde voorwaarden, gebruik kunnen maken van goedgekeurde gedragscodes of certificeringsmechanismen (zoals privacyzegels of -keurmerken) om in "passende waarborgen" te voorzien. Dit zou het mogelijk moeten maken om meer maatoplossingen voor internationale doorgifte te ontwikkelen en bijvoorbeeld rekening te houden met de specifieke kenmerken en behoeften van een bepaalde sector of bedrijfstak, of specifieke gegevensstromen. Ook biedt het de mogelijkheid om voor passende waarborgen te zorgen voor gegevensdoorgiften tussen overheidsinstanties of openbare organen op basis van internationale overeenkomsten of administratieve regelingen. Ten slotte wordt in de algemene verordening gegevensbescherming het gebruik verduidelijkt van zogeheten afwijkingen (zoals toestemming, uitvoering van een overeenkomst of gewichtige redenen van algemeen belang) waarop entiteiten in specifieke situaties hun gegevensdoorgifte kunnen baseren bij ontstentenis van een adequaatheidsbesluit en ongeacht het gebruik van een van de voornoemde instrumenten. Met name bevat deze verordening, zij het in omschreven vorm, een nieuwe afwijking voor doorgiften die in het gerechtvaardigde belang van een onderneming kunnen plaatsvinden.

Ten slotte houdt de hervorming in dat de Commissie de bevoegdheid krijgt internationale samenwerkingsmechanismen te ontwikkelen om de handhaving van gegevensbeschermingsregels te vergemakkelijken, onder meer door middel van regelingen voor wederzijdse bijstand. Nauwere vormen van internationale samenwerking tussen toezichthoudende autoriteiten zouden namelijk kunnen bijdragen tot een doeltreffender bescherming van afzonderlijke rechten en tot meer rechtszekerheid voor bedrijven.

3. Internationale gegevensdoorgifte in de commerciële sector: handel bevorderen door privacy te beschermen

Eerbiediging van privacy is een voorwaarde voor stabiele, veilige en concurrerende wereldwijde handelsstromen. Privacy is geen handelswaar. Internet en digitalisering van goederen en diensten hebben de wereldeconomie ingrijpend veranderd en grensoverschrijdende doorgifte van gegevens, waaronder persoonsgegevens, maakt deel uit van de dagelijkse activiteiten van Europese ondernemingen, groot en klein en in alle sectoren. Aangezien handelsverkeer in toenemende mate afhankelijk is van het verkeer van persoonsgegevens, zijn de privacy en de beveiliging van dergelijke gegevens van cruciaal belang geworden voor consumentenvertrouwen. Zo baart het twee derde van de bevraagde Europeanen zorgen dat zij geen controle hebben over de informatie die zij online verstrekken, en is de helft van de respondenten beducht voor fraude. Tegelijkertijd krijgen Europese ondernemingen die in bepaalde derde landen actief zijn, steeds vaker te maken met protectionistische maatregelen die niet worden gewettigd door gerechtvaardigde privacyoverwegingen.