ii) Beginselen en waarborgen inzake gegevensbescherming

De hieronder beschreven artikelen bestrijken belangrijke beginselen voor de verwerking van persoonsgegevens en cruciale waarborgen en beperkingen.

i) Beperkingen inzake doel en toepassing (artikel 6)

In overeenstemming met het EU-Handvest van de grondrechten en het EU-acquis past artikel 6 het doelbindingsbeginsel toe op alle doorgiften van gegevens waarop de Raamovereenkomst van toepassing is, zowel in geval van de doorgifte van gegevens in een specifiek geval als in geval van een overeenkomst tussen de VS en de EU/haar lidstaten waarbij de doorgifte van grote aantallen persoonsgegevens wordt toegestaan. De verwerking (waaronder doorgifte wordt begrepen) kan alleen plaatsvinden voor expliciete en legitieme doeleinden binnen het toepassingsgebied van de Raamovereenkomst, dat wil zeggen de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten, waaronder terrorisme.

Bovendien is de verdere verwerking van persoonlijke informatie door andere (rechtshandhavings-, regelgevende of administratieve) autoriteiten dan de eerste ontvangende autoriteit van een partij toegestaan op voorwaarde dat deze verwerking niet onverenigbaar is met het doel waarvoor de gegevens aanvankelijk werden doorgegeven en dat die andere autoriteit aan alle overige bepalingen van de Raamovereenkomst voldoet.

De bevoegde autoriteit die de gegevens doorgeeft, kan in specifieke gevallen ook aanvullende voorwaarden stellen (bijvoorbeeld wat betreft het gebruik van de gegevens).

Persoonlijke informatie mag, ten slotte, alleen worden verwerkt als dit "rechtstreeks relevant is voor en niet bovenmatig of te ruim is ten opzichte van het doel van die verwerking".

Artikel 6 is een van de belangrijkste bepalingen van de Overeenkomst: het zorgt ervoor dat de waarborgen worden toegepast op de hele "levenscyclus" van een bepaalde reeks gegevens, van de oorspronkelijke doorgifte vanuit de EU tot de verwerking ervan door een bevoegde autoriteit van VS en vice versa, alsook wanneer de gegevens eventueel verder worden gedeeld met of verwerkt door een andere VS-autoriteit of, in geval van gegevensoverdracht vanuit de VS naar een bevoegde autoriteit van de EU of (een van) haar lidstaten, wanneer de gegevens eventueel verder worden gedeeld met of verwerkt door een andere autoriteit van de EU of een lidstaat.

ii) Verdere doorgifte (artikel 7)

De in artikel 7 aan verdere doorgifte gestelde beperkingen houden in dat wanneer een Amerikaanse autoriteit voornemens is de gegevens die zij van de EU of een van haar lidstaten heeft ontvangen, verder door te geven aan een niet door de Overeenkomst gebonden derde land/internationale organisatie, zij eerst de toestemming zal moeten verkrijgen van de rechtshandhavingsautoriteit in de EU die de gegevens aanvankelijk aan de Verenigde staten heeft doorgegeven. Deze regel geldt evenzeer wanneer een autoriteit van de EU of een van haar lidstaten van plan is gegevens die zij van de VS heeft ontvangen, verder door te geven aan een derde land/internationale organisatie.

Wanneer zij beslist haar toestemming te verlenen, moet de autoriteit die de gegevens aanvankelijk heeft doorgegeven, naar behoren rekening houden met alle relevante factoren, waaronder het doel waarvoor de gegevens aanvankelijk werden doorgegeven en of het derde land of de internationale organisatie een passend niveau van bescherming van persoonlijke informatie biedt. Zij kan aan de doorgifte ook specifieke voorwaarden verbinden

Net als bij de artikelen inzake doelbinding (zie artikel 6 hiervoor), bewaartermijnen (zie artikel 12 hieronder) en gevoelige gegevens (zie artikel 13 hieronder) wordt in dit artikel uitdrukkelijk rekening gehouden met de bijzondere gevoeligheid van de doorgifte van grote aantallen gegevens van niet-verdachte personen (bv. de PNR-gegevens van alle passagiers op een vlucht, los van enige specifieke verdenking), in die zin dat het voorschrijft dat elke verdere doorgifte van persoonlijke informatie "anders dan met betrekking tot specifieke gevallen", alleen mag plaatsvinden onder in de overeenkomst vermelde specifieke voorwaarden die de verdere doorgifte naar behoren rechtvaardigen.

De specifieke situatie van verdere doorgifte naar een ander land in de EU (bv. wanneer de Franse politie informatie die zij van de Amerikaanse FBI heeft gekregen, deelt met de Duitse politie) wordt in dit artikel ook geregeld (lid 4) door te bepalen dat wanneer op grond van de geldende regels voor een dergelijke doorgifte vooraf toestemming moet worden verkregen, de autoriteit die de gegevens aanvankelijk heeft verzonden (bijvoorbeeld de Amerikaanse FBI) geen toestemming kan weigeren of voorwaarden kan opleggen om redenen van gegevensbescherming (aangezien alle betrokken autoriteiten door de Raamovereenkomst gebonden zijn).

iii) Kwaliteit van gegevens en integriteit van informatie (artikel 8)

De partijen zullen redelijke maatregelen nemen om ervoor te zorgen dat doorgegeven persoonsgegevens met een zodanige nauwkeurigheid, relevantie, actualiteit en volledigheid worden bijgehouden als noodzakelijk en passend is voor de rechtmatige verwerking van de informatie. Indien de autoriteit die gegevens heeft ontvangen of doorgegeven, kennis krijgt van ernstige twijfels over de relevantie, actualiteit, volledigheid of nauwkeurigheid van ontvangen of doorgegeven persoonsgegevens, informeert zij, waar mogelijk, de autoriteit die de gegevens heeft doorgegeven/ontvangen daarover.

iv) Informatiebeveiliging (artikel 9) en kennisgeving van een incident op het gebied van informatiebeveiliging (artikel 10)

Deze artikelen dragen bij tot het waarborgen van een hoog niveau van beveiliging van door de partijen bij de Raamovereenkomst uitgewisselde persoonsgegevens.

In de eerste plaats zullen door de partijen uit hoofde van artikel 9 passende technische, organisatorische en beveiligingsregelingen worden ingevoerd ter bescherming van persoonlijke informatie tegen onopzettelijke of onrechtmatige vernietiging, onopzettelijk verlies en ongeoorloofde verspreiding, wijziging of toegang, of andere vormen van ongeoorloofde verwerking. Deze regelingen zullen ook inhouden dat alleen personeelsleden die daartoe gemachtigd zijn, toegang tot persoonsgegevens krijgen.

In de tweede plaats dienen ingevolge artikel 10, ingeval van een beveiligingsincident dat een aanzienlijk risico van schade inhoudt, onverwijld passende maatregelen te worden genomen ter beperking van de schade, waaronder kennisgeving aan de autoriteit die de gegevens heeft doorgegeven en, wanneer dat gelet op de omstandigheden van het incident passend is, de betrokken natuurlijke persoon. De uitzonderingen op de verplichting tot kennisgeving zijn in de bepaling limitatief opgesomd en stroken met redelijke beperkingen (bijvoorbeeld de nationale veiligheid).

v) Bijhouden van bestanden (artikel 11)