NL Publicatieblad van de Europese Unie C 164/2

Samenvatting van het advies van de EDPS inzake het voorstel voor een verordening betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit nr. 1247/2002/EG

(De volledige tekst van dit advies is beschikbaar in het Duits, het Engels en het Frans en op de EDPS-website: www.edps.europa.eu)

(2017/C 164/02)

De Europese Unie is een nieuwe generatie gegevensbeschermingsnormen aan het uitvaardigen. De aanneming bijna een jaar geleden van de algemene verordening gegevensbescherming en de richtlijn voor politie en justitie vormden de meest ambitieuze inspanning van de EU-wetgever tot dusverre om de grondrechten van natuurlijke personen in het digitale tijdperk te beschermen. Het is nu tijd voor de EU-instellingen zelf om het goede voorbeeld te geven met de regels die zij op zichzelf toepassen als verwerkingsverantwoordelijken en gegevensverwerkers. In de afgelopen 18 maanden heeft de EDPS op het hoogste niveau een dialoog met de EU-instellingen geïnitieerd om hen voor te bereiden op de nieuwe uitdagingen die gesteld worden door de naleving van de gegevensbeschermingsregels, met nadruk op het nieuwe beginsel van verantwoordingsplicht voor hoe gegevens worden verwerkt. Met dit advies beoogt de EDPS op basis van twaalf jaar ervaring met onafhankelijk toezicht, beleidsadviezen en pleitbezorging verbeteringen te suggereren in de voorgestelde verordening betreffende de verwerking van persoonsgegevens door de instellingen en organen van de EU.

Verordening 45/2001 heeft de spits afgebeten door te voorzien in direct toepasselijke verplichtingen voor verwerkingsverantwoordelijken, rechten voor betrokkenen en een duidelijk onafhankelijke toezichtautoriteit. De EU moet nu zorgen voor consistentie met de algemene verordening gegevensbescherming door nadruk te leggen op de verantwoordingsplicht en op waarborgen voor natuurlijke personen in plaats van op procedures. Enige afwijking van de regels voor de gegevensverwerking door de EU-instellingen is te rechtvaardigen, op dezelfde wijze waarop de algemene verordening gegevensbescherming uitzonderingen voor de overheidssector bevat, maar dit moet wel tot een minimum beperkt blijven.

Essentieel vanuit het oogpunt van het individu is echter dat de gemeenschappelijke beginselen van het Europese kader voor gegevensbescherming consequent worden toegepast, ongeacht wie nu toevallig de verwerkingsverantwoordelijke is. Het is ook essentieel dat het gehele kader op hetzelfde tijdstip van kracht wordt, dat wil zeggen in mei 2018, wanneer de algemene verordening gegevensbescherming uiterlijk volledig van toepassing moet zijn.

De EDPS is door de Commissie geraadpleegd over het conceptvoorstel in overeenstemming met een reeds lang bestaande regeling tussen onze instellingen. Wij zijn van mening dat de Commissie globaal gezien een goed evenwicht heeft weten te vinden tussen de verschillende belangen die op het spel staan. In dit advies wordt een aantal gebieden omschreven waar het voorstel verder zou kunnen worden verbeterd. Wij pleiten voor verbeteringen in de voorgestelde verordening, met name wat betreft de beperkingen in de rechten van de betrokkene en een bepaling voor EU-instellingen om in bepaalde contexten certificeringsmechanismen te gebruiken. Voor wat onze eigen taken en bevoegdheden als onafhankelijk orgaan betreft, lijkt het voorstel een redelijk evenwicht te hebben gevonden en de normale functies van een onafhankelijke gegevensbeschermingsautoriteit krachtens het Handvest van de grondrechten, en zoals herbevestigd in recente rechtspraak van het Hof van Justitie, te weerspiegelen, ongeacht of dit zijn hoedanigheid betreft als wetshandhaver, klachteninstantie of adviseur van de wetgever inzake beleid op het gebied van gegevensbescherming en de persoonlijke levenssfeer.

Wij moedigen de EU-wetgever aan zo snel mogelijk overeenstemming over het voorstel te bereiken zodat de EU-instellingen kunnen profiteren van een redelijke overgangsperiode voordat de nieuwe verordening van kracht wordt.

1. INLEIDING EN ACHTERGROND

1.1. Context

1. Op 10 januari 2017 heeft de Europese Commissie een voorstel aangenomen voor een verordening van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit nr. 1247/2002/EG (1) („het voorstel”).

2. Het grondrecht op de bescherming van persoonsgegevens is vastgelegd in artikel 8 van het Handvest van de grondrechten van de Europese Unie („het Handvest”) en artikel 16 van het Verdrag betreffende de werking van de Europese Unie („het VWEU”).

3. De Europese Toezichthouder voor gegevensbescherming („de EDPS”) is de onafhankelijke toezichtautoriteit die de verantwoordelijkheid heeft om ervoor te zorgen dat de Europese instellingen, organen en instanties („de EU-instellingen”) voldoen aan de gegevensbeschermingswetgeving bij de verwerking van persoonsgegevens (2). Het vereiste om te voorzien in onafhankelijke controle in het Europese gegevensbeschermingssysteem is verankerd in het primaire recht, zowel in artikel 16, lid 2, van het VWEU als in artikel 8, lid 3, van het Handvest. Het Hof van Justitie heeft consequent benadrukt dat controle door een onafhankelijke autoriteit een wezenlijk onderdeel van het recht op gegevensbescherming is en heeft de criteria voor een dergelijke onafhankelijkheid vastgelegd (3). In het bijzonder geldt dat de toezichtautoriteit volledig onafhankelijk te werk moet kunnen gaan, hetgeen inhoudt dat de beslissingsbevoegdheid onafhankelijk van directe of indirecte externe invloed is (4) en dat er geen enkel vermoeden van partijdigheid mag zijn (5).

4. Het belangrijkste wetgevingsinstrument dat van toepassing is op de verwerking van persoonsgegevens door de EU-instellingen is Verordening (EG) nr. 45/2001 (6) („Verordening 45/2001”), aangevuld door Besluit nr. 1247/2002/EG (7).

5. Na de afronding op 27 april 2016 van de verlengde onderhandelingen over het nieuwe gegevensbeschermingskader in de EU — de algemene verordening gegevensbescherming en de richtlijn voor politie en justitie — markeert dit voorstel (naast het voorstel van de Commissie voor een verordening betreffende privacy en elektronische communicatie („de e-privacyverordening” (8))) het begin van een cruciale fase in het proces van voltooiing van dit Europese gegevensbeschermingskader. Het voorstel beoogt de bepalingen van Verordening 45/2001 in overeenstemming te brengen met de regels die in de algemene verordening gegevensbescherming zijn vastgelegd, teneinde een sterker en coherenter gegevensbeschermingskader in de Unie te creëren en het mogelijk te maken dat beide instrumenten gelijktijdig in werking treden (9). Daarnaast bevat het voorstel ook de nieuwe regels voor de bescherming van eindapparatuur van eindgebruikers, die neergelegd zijn in het voorstel van de Commissie voor de nieuwe e-privacyverordening.

6. In zijn strategie voor 2015-2019 heeft de EDPS zich verbonden tot samenwerking met het Europees Parlement, de Raad en de Commissie om ervoor te zorgen dat de huidige regels van Verordening 45/2001 in overeenstemming worden gebracht met de algemene verordening gegevensbescherming en dat uiterlijk begin 2018 een herzien kader van kracht wordt. De EDPS is verheugd over het feit dat de Commissie hem informeel heeft geraadpleegd alvorens het voorstel aan te nemen en dat het voorstel rekening lijkt te hebben gehouden met een groot aantal elementen dat hij tot dusverre in zijn informele bijdragen heeft aangekaart. Hij acht het huidige voorstel meer dan bevredigend vanuit het oogpunt van maximale afstemming op de algemene verordening gegevensbescherming tenzij nauwkeurig omschreven specifieke kenmerken van de Europese overheidssector afwijking rechtvaardigen, en waardeert met name het door de Commissie gevonden evenwicht tussen de verschillende belangen die op het spel staan.

7. Hoewel in dit advies een aantal gebieden wordt aangegeven waarop het voorstel verder zou kunnen worden verbeterd, moedigt de EDPS de Europese wetgever aan zo snel mogelijk overeenstemming over het voorstel te bereiken, zodat de EU-instellingen kunnen profiteren van een redelijke overgangsperiode voordat de nieuwe verordening volledig van kracht wordt.

1.2. Doelstellingen van het voorstel en tijdpad

8. In het verleden heeft de EDPS geadviseerd om de inhoudelijke regels voor de EU-instellingen in het (toenmalige) ontwerpvoorstel voor de algemene verordening gegevensbescherming op te nemen (10). De EU-wetgever heeft een andere optie gekozen: een afzonderlijk wetgevingsinstrument dat voor de EU-instellingen geldt en dat is afgestemd op de algemene verordening gegevensbescherming en tegelijk daarmee van toepassing wordt. De EDPS ondersteunt deze aanpak: het zou onacceptabel zijn wanneer de Europese Commissie en de andere EU-instellingen niet gebonden zouden zijn aan regels die gelijkwaardig zijn aan de regels die binnenkort op lidstaatniveau van kracht worden. Bovendien zou het onwenselijk zijn dat de EDPS toezicht zou moeten houden op de naleving door de EU-instellingen van inhoudelijke regels die inferieur zijn aan de regels waarop zijn tegenhangers op nationaal niveau toezicht houden, met name gezien het feit dat de EDPS lid zal zijn van het toekomstige Europees Comité voor gegevensbescherming („EDPB”) (11).

9. De toekomstige regels voor de verwerking van persoonsgegevens door EU-instellingen moeten derhalve worden afgestemd op de bepalingen van de algemene verordening gegevensbescherming, tenzij nauwkeurig omschreven specifieke kenmerken van de overheidssector afwijking rechtvaardigen. In dit opzicht verwelkomt de EDPS overweging 5 van het voorstel, waarin de noodzaak van de maximaal mogelijke afstemming wordt benadrukt en het volgende wordt verduidelijkt: „[w]anneer een bepaling van deze verordening op hetzelfde concept is gebaseerd als een bepaling van [de algemene verordening gegevensbescherming], dienen beide bepalingen homogeen te worden uitgelegd, in het bijzonder omdat gezien de opzet van deze verordening, zij moet worden opgevat als de tegenhanger van [de algemene verordening gegevensbescherming]”.

10. Tegelijkertijd kan de afstemming op de algemene verordening gegevensbescherming noch volledig, noch automatisch zijn. De algemene verordening gegevensbescherming bevat een groot aantal artikelen die toestaan dat de lidstaten specifieke wetgeving in stand houden of introduceren op bepaalde gebieden, waaronder voor overheidsorganen (12). In gevallen waarin de algemene verordening gegevensbescherming specifieke regels voor overheidsorganen kent (13) of de lidstaten ruimte biedt voor de tenuitvoerlegging van de bepalingen ervan, kan het voorstel geacht worden een rol te spelen die vergelijkbaar is met een nationale wet ter „uitvoering” van de algemene verordening gegevensbescherming, zoals bijvoorbeeld artikel 9 „Doorzending van persoonsgegevens aan ontvangers die geen instelling of orgaan van de Unie zijn” of artikel 66 „Administratieve geldboeten” van het voorstel (zie 2.8.1 hieronder). Daarnaast is het belangrijk om ervoor te zorgen dat het hoge beschermingsniveau dat momenteel voor de EU-instellingen geldt, wordt gehandhaafd. Vandaar dat het noodzakelijk is om bepaalde specifieke elementen van Verordening 45/2001 te behouden, zoals in artikel 25 „Beperkingen” (zie 2.3.1 hieronder) en artikel 44 „Aanwijzing van de functionaris voor gegevensbescherming” (zie 2.4.5.1 hieronder).

11. Afgezien van de inhoudelijke afstemming op de algemene verordening gegevensbescherming, is het ook van essentieel belang dat de herziene regels tegelijk met de algemene verordening gegevensbescherming in hun geheel van toepassing worden, d.w.z. op 25 mei 2018. Het bestaande netwerk van functionarissen voor gegevensbescherming voorziet in een efficiënt kanaal om informatie te delen en samen te werken. Derhalve vertrouwt de EDPS erop dat naleving na een relatief korte overgangsperiode, bijv. drie maanden, zal kunnen worden gerealiseerd.

12. Het beginsel van verantwoordingsplicht dat ten grondslag ligt aan de algemene verordening gegevensbescherming — alsmede aan het huidige voorstel — gaat verder dan de eenvoudige naleving van de regels en impliceert een cultuuromslag. Ter vergemakkelijking van de overgang heeft de EDPS een „verantwoordingsproject” gelanceerd. In dit verband heeft de EDPS in de loop van 2016 en 2017 contact gehad met zeven belangrijke instellingen en organen van de EU om hen te helpen zich tijdig op de toepassing van de algemene verordening gegevensbescherming voor te bereiden.

1.3. Toepassingsgebied en relatie met andere wetgevingsinstrumenten

13. De EDPS heeft de Commissie in het verleden verschillende keren opgeroepen om met een voorstel te komen voor een robuust en uitgebreid systeem dat ambitieus is en de effectiviteit en coherentie van gegevensbescherming in de EU vergroot, teneinde een gezonde omgeving voor verdere ontwikkeling in de komende jaren te waarborgen (14). De Commissie heeft een andere aanpak gekozen en een afzonderlijk wetgevingsinstrument voor gegevensbescherming op het gebied van wetshandhaving voorgesteld (15). Dit werd gevolgd door een aantal voorstellen voor rechtshandelingen die „op zichzelf staande” gegevensbeschermingsregimes introduceerden (16).

14. De EDPS erkent dat het huidige, zij het gefragmenteerde, wetgevingskader voor de bescherming van persoonsgegevens de beste uitkomst is die nu realiseerbaar is (17). De EDPS begrijpt dat het huidige voorstel zou blijven gelden voor die EU-instellingen die nu onder het toepassingsgebied van Verordening 45/2001 vallen (18) (in feite alle voormalige instellingen, organen en instanties in de eerste en tweede pijler (19)), maar als zodanig geen gevolgen zou hebben voor bestaande of op handen zijnde „op zichzelf staande” regimes (20). Dergelijke regimes ondervinden alleen gevolgen van het huidige voorstel indien en voor zover dit uitdrukkelijk in het betreffende wetgevingsinstrument wordt bepaald. De EDPS neemt kennis van deze aanpak, maar stelt voor dat dit uitdrukkelijker in de considerans van het voorstel wordt opgenomen en mogelijk ook in artikel 2 „Toepassingsgebied”. Tegelijkertijd wil de EDPS graag benadrukken dat de fragmentatie en toenemende complexiteit van het wetgevingskader voor gegevensverwerking door de verschillende EU-instellingen in de voormalige eerste en derde „pijlers” geen volledig bevredigende uitkomst zijn en dat dit mogelijk op de middellange termijn door de EU-wetgever moet worden aangepakt.

15. Verordening 45/2001 voorziet in maatregelen die gericht zijn op de bescherming van de persoonlijke levenssfeer en de vertrouwelijkheid van communicatie in gevallen waarin de EU-instellingen controle hebben over de voor communicatie gebruikte infrastructuur. Met het oog hierop bevat de verordening enkele bepalingen die gedeeltes van het toepassingsgebied van Richtlijn 2002/58/EG („de e-privacyrichtlijn”) (21) bestrijken en legt de verordening het beginsel vast dat regels ter bescherming van de grondrechten op consequente en geharmoniseerde wijze in de gehele Unie moeten worden toegepast, onder verwijzing naar de betreffende instrumenten zoals de richtlijn betreffende privacy en elektronische communicatie (22). De noodzaak tot handhaving van hetzelfde niveau van privacy en vertrouwelijkheid van communicatie waarbij de EU-instellingen betrokken zijn, blijft onveranderd, en aan het beginsel van consequente en geharmoniseerde toepassing moet derhalve worden vastgehouden. De EDPS is dan ook van oordeel dat het voorstel ervoor dient te zorgen dat de betreffende regels van de algemene verordening gegevensbescherming en de toekomstige e-privacyverordening dienovereenkomstig voor de EU-instellingen zullen gelden. Dit geldt zowel voor het behoud van de vertrouwelijkheid en privacy in verband met de door de EU-instellingen gecontroleerde communicatiediensten als voor andere beginselen van de toekomstige e-privacyverordening, zoals de bescherming van eindapparatuur en andere regels, bijvoorbeeld inzake tracering en spam.

16. Tot slot geldt dat, hoewel de gegevensbeschermingswetgeving van de EU ook op de Europese Economische Ruimte van toepassing is en de deelnemende EVA-landen verplicht zijn tot oprichting van onafhankelijke toezichtautoriteiten overeenkomstig de algemene verordening gegevensbescherming, de instellingen van de EVA niet onderworpen zijn aan specifieke gegevensbeschermingsregels en toezicht, ondanks dat zij persoonsgegevens met EU-instellingen uitwisselen. De EDPS is van mening dat het huidige voorstel een kans zou kunnen zijn om deze kwestie aan te pakken.

3. CONCLUSIES

90. Globaal gezien is de EDPS van mening dat het voorstel de regels voor de EU-instellingen succesvol heeft afgestemd op de algemene verordening gegevensbescherming, rekening houdend met de specifieke kenmerken van de Europese overheidssector. Het hoge beschermingsniveau met betrekking tot de gegevensverwerking door de EU-instellingen is over het algemeen in het voorstel bewaard gebleven. De EDPS waardeert in het bijzonder het door de Commissie gevonden evenwicht tussen de verschillende belangen die op het spel staan.

91. De EDPS is van mening dat het voorstel verder moet worden verbeterd, vooral op het punt van de modaliteiten voor beperkingen op grond van artikel 25. Om de naleving van de vereisten betreffende de kwaliteit van de wet te waarborgen zou artikel 25, lid 1, van het voorstel zodanig moeten worden aangepast dat slechts rechtshandelingen die op basis van de verdragen zijn aangenomen de grondrechten zouden moeten kunnen inperken, waarmee aan EU-instellingen dezelfde normen worden opgelegd als die welke voor de lidstaten gelden op grond van de algemene verordening gegevensbescherming. Voor zover beperkingen in artikel 34 „Vertrouwelijkheid van elektronische communicatie” worden overwogen, roept de EDPS de Europese wetgever op ervoor te zorgen dat mogelijke beperkingen van het grondrecht op privacy bij de communicatie door de EU-instellingen in hun eigen activiteiten dezelfde normen volgen als die welke zijn neergelegd in het recht van de Unie, zoals uitgelegd door het Hof van Justitie op dit gebied.

92. De EDPS verwelkomt het feit dat het voorstel een afzonderlijk artikel bevat dat gewijd is aan de rol van het EDPS als adviseur van de EU-instellingen (artikel 42 van het voorstel). Hij is echter bezorgd over het feit dat de formulering „[n]a het vaststellen van voorstellen” (in plaats van „[w]anneer de Commissie een wetgevingsvoorstel aanneemt” in artikel 28, lid 2, van Verordening 45/2001) de reeds lang bestaande committering van de Europese Commissie om op informele wijze, meestal in de fase van het interinstitutionele overleg, met de EDPS over conceptvoorstellen te overleggen, in twijfel zou kunnen trekken. Gezien het belang van informeel overleg zou de EDPS een overweging verwelkomen waarin de Commissie zijn committering aan deze reeds lang bestaande praktijk zou herhalen. Tevens zou hij er voorstander van zijn dat het voorstel de formulering van artikel 28, lid 2, van Verordening 45/2001 („wanneer de Commissie een wetgevingsvoorstel aanneemt”) handhaaft, hetgeen in dit opzicht meer manoeuvreerruimte zou bieden. Hij is van mening dat artikel 42 in de voorgestelde vorm voldoende duidelijkheid biedt ten aanzien van de respectieve taken van de EDPS en het Europees Comité voor gegevensbescherming om onnodig dubbel werk in de toekomst te voorkomen.

93. De EDPS is van mening dat de mogelijkheid om de functie van functionaris voor gegevensbescherming uit te besteden niet geschikt is voor EU-instellingen die een publieke taak uitoefenen. Derhalve dient het tweede alternatief in artikel 44, lid 4 („of kan de taken op grond van een dienstverleningsovereenkomst verrichten”), te worden geschrapt.

94. De EDPS verwelkomt artikel 66 van het voorstel, dat de EDPS de bevoegdheid zou geven om administratieve geldboeten op te leggen. Hij is van mening dat het aan de EU-toezichthouder ontnemen van de mogelijkheid tot oplegging van administratieve geldboeten er in voorkomende gevallen toe zou leiden dat de EU-instellingen een bevoorrechte positie genieten vergeleken met instellingen in de overheidssector in veel lidstaten.

95. De EDPS is van mening dat certiferingsmechanismen een zeer nuttig instrument voor de EU-instellingen kunnen zijn en dat deze in bepaalde contexten reeds worden gebruikt, bijv. ter certificering dat aan algemeen aanvaarde normen wordt voldaan. Derhalve dienen er verwijzingen naar het gebruik van certificering (maar niet naar gedragscodes) te worden toegevoegd aan artikel 26 „Verantwoordelijkheid van de verwerkingsverantwoordelijke”, artikel 27 „Gegevensbescherming door ontwerp en door standaardinstellingen”, alsmede aan artikel 33 „Beveiliging van de verwerking”.

96. Hoewel dit advies een aantal gebieden aangeeft waarop het voorstel verder zou kunnen worden verbeterd, wil de EDPS de Europese wetgever graag aanmoedigen om zo snel mogelijk overeenstemming over het voorstel te bereiken zodat de EU-instellingen kunnen profiteren van een redelijke overgangsperiode voordat de nieuwe verordening tegelijk met de algemene verordening gegevensbescherming in mei 2018 van kracht wordt.

Brussel, 15 maart 2017. Giovanni BUTTARELLI Europese Toezichthouder voor gegevensbescherming

(1) COM(2017) 8 final; 2017/0002 (COD) (later, „the Proposal”).

(2) Article 286 EC rendered the (then) Community rules on data protection applicable to EU institutions and bodies and mandated the creation of a dedicated independent supervisory authority (later, the EDPS).

(3) Case C-518/07 Commission v Germany, EU:C:2010:125; Case C-614/10 Commission v Austria, EU:C:2012:631; Case C-288/12 Commission v Hungary, EU:C:2014:237; Case C-362/14 Maximilian Schrems v Data Protection Commissioner, ECLI:EU:C:2015:650.

(4) Case C-518/07 Commission v Germany, supra para. 19.

(5) Case C-288/12 Commission v Hungary, supra para. 53.

(6) See supra note 3.

(7) Decision No 1247/2002/EC of the European Parliament, of the Council and of the Commission of 1 July 2002 on the regulations and general conditions governing the performance of the European Data Protection Supervisor’s duties (OJ L 183, 12.7.2002, p. 1).

(8) Proposal for a Regulation of the European Parliament and of the Council concerning the respect for private life and the protection of personal data in electronic communications and repealing Directive 2002/58/EC (Regulation on Privacy and Electronic Communications), COM(2017) 10 final, 2017/0003 (COD).

(9) See Article 98 and recital 17 of the GDPR.

(10) See e.g. the EDPS Opinion of 7 March 2012 on the data protection reform package (OJ C 192, 30.6.2012, p. 7).

(11) EDPS Opinion of 7 March 2012 on the data protection reform package, p. 6.

(12) See in particular Article 6(3) and recital 10 to the GDPR: „Regarding the processing of personal data for compliance with a legal obligation, for the performance of a task carried out in the public interest or in the exercise of official authority vested in the controller, Member States should be allowed to maintain or introduce national provisions to further specify the application of the rules of this Regulation. In conjunction with the general and horizontal law on data protection implementing Directive 95/46/EC, Member States have several sector-specific laws in areas that need more specific provisions. This Regulation also provides a margin of manoeuvre for Member States to specify its rules, including for the processing of special categories of personal data (‘sensitive data’). To that extent, this Regulation does not exclude Member State law that sets out the circumstances for specific processing situations, including determining more precisely the conditions under which the processing of personal data is lawful.”

(13) E.g. last sentence of Article 6(1), Article 20(5), Article 27, Article 37, Article 41 or Article 46(2)(a) of the GDPR.

(14) See in particular the EDPS Opinion of 14 January 2011 on the Communication „A comprehensive approach on personal data in the European Union” (OJ L 181, 22.6.2011, p. 1).

(15) See supra note 5.

(16) Proposal for a Regulation of the European Parliament and of the Council on the European Union Agency for Law Enforcement Cooperation and Training (Europol) and repealing Decisions 2009/371/JHA and 2005/681/JHA, COM(2013) 173 final, now adopted as Regulation 2016/794 and published in OJ L 135 24.05.2016, p. 53; Proposal for a Council Regulation on the establishment of the European Public Prosecutor's Office, COM(2013) 534 final. See also the Council General approach [First reading] on the Proposal for a Regulation on the European Union Agency for Criminal Justice Cooperation (Eurojust) available at: http://data.consilium.europa.eu/doc/document/ST-6643-2015-INIT/en/pdf

(17) EDPS Opinion 3/2015 “Europe’s big opportunity - EDPS recommendations on the EU’s options for data protection reform”, available at: https://secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2015/15-10-09_GDPR_with_addendum_EN.pdf

(18) See the list of EU institutions and bodies available at: http://publications.europa.eu/code/en/en-390500.htm

(19) Regulation 45/2001 already today applies to, inter alia, the European Defence Agency, European Union Institute for Security Studies, and the European Union Satellite Centre.

(20) Europol, Eurojust, EPPO, supra note 21.

(21) Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications, OJ L 201, 31.7.2002, p. 37, as amended (later, „the ePrivacy Directive”).

(22) Recitals 10-12 ePrivacy Directive.