EUROPESE COMMISSIE Brussel, 6.11.2015 COM(2015) 566 final MEDEDELING VAN DE COMMISSIE AAN HET EUROPEES PARLEMENT EN DE RAAD over de doorgifte van persoonsgegevens van de EU naar de Verenigde Staten van Amerika krachtens Richtlijn 95/46/EG naar aanleiding van het arrest van het Hof van Justitie in zaak C-362/14 (Schrems)



MEDEDELING VAN DE COMMISSIE AAN HET EUROPEES PARLEMENT EN DE RAAD over de doorgifte van persoonsgegevens van de EU naar de Verenigde Staten van Amerika krachtens Richtlijn 95/46/EG naar aanleiding van het arrest van het Hof van Justitie in zaak C-362/14 (Schrems) 1. Inleiding: de ongeldigverklaring van de Veiligehavenbeschikking In het arrest van het Hof van Justitie van de Europese Unie (hierna "het Hof van Justitie" of "het Hof" genoemd) van 6 oktober 2015 in zaak C-362/14 (Schrems) wordt het belang van het fundamentele recht op de bescherming van persoonsgegevens bevestigd, dat is neergelegd in het Handvest van de grondrechten van de EU. Dit belang bestaat ook wanneer dergelijke gegevens naar landen buiten de EU worden doorgegeven. De doorgifte van persoonsgegevens vormt een essentieel onderdeel van de trans-Atlantische betrekkingen. De EU en de V.S. zijn elkaars belangrijkste handelspartners en de doorgifte van gegevens vormt in toenemende mate een integraal onderdeel van hun handelsbetrekkingen. Om deze gegevensstromen te vergemakkelijken en tegelijkertijd een hoog niveau van bescherming van persoonsgegevens te waarborgen, erkende de Commissie met de vaststelling van Beschikking 2000/520/EG van 20 juli 2000 (hierna "de Veiligehavenbeschikking" genoemd) dat de veiligehavenregeling een passend beschermingsniveau waarborgde. In deze beschikking, die is gebaseerd op artikel 25, lid 6, van Richtlijn 95/46/EG, erkende de Commissie dat de door het ministerie van Handel van de Verenigde Staten gepubliceerde veiligehavenbeginselen voor de bescherming van de persoonlijke levenssfeer en de begeleidende veelgestelde vragen (FAQ’s), passende bescherming boden in geval van doorgifte van persoonsgegevens vanuit de EU. Dientengevolge zouden persoonsgegevens vrij worden kunnen worden doorgegeven vanuit de lidstaten van de EU naar bedrijven in de V.S. die de beginselen hebben onderschreven, ondanks het ontbreken van een algemene wet ter bescherming van gegevens in de Verenigde Staten. De werking van de veiligehavenregeling was gebaseerd op vrijwillig aangegane verplichtingen en zelfcertificering van ondernemingen die deze regeling onderschrijven. Het onderschrijven van de veiligehavenbeginselen en de FAQ's is niet verplicht, maar wanneer ze onderschreven worden, zijn zij op grond van het recht van de V.S. bindend en kan de naleving ervan door de Amerikaanse Federal Trade Commission worden afgedwongen. In zijn arrest van 6 oktober 2015 heeft het Hof de Veiligehavenbeschikking ongeldig verklaard. Tegen die achtergrond en bij ontstentenis van een ander besluit waarbij het beschermingsniveau passend wordt verklaard, heeft deze mededeling als doel een overzicht te geven van de alternatieve instrumenten voor trans-Atlantische gegevensoverdrachten uit hoofde van Richtlijn 95/46/EG. Ook wordt in deze mededeling een korte beschrijving gegeven van de gevolgen van het arrest voor andere adequaatheidsbesluiten van de Commissie. In het arrest heeft het Hof gepreciseerd dat de vaststelling van een adequaatheidsbesluit krachtens artikel 25, lid 6, van Richtlijn 95/46/EG, afhangt van de vaststelling door de Commissie dat in het betrokken derde land een niveau van bescherming van persoonsgegevens wordt geboden dat niet noodzakelijkerwijs identiek is aan, maar wel "in grote lijnen overeenkomt" met het niveau dat binnen de Unie wordt gewaarborgd op grond van de richtlijn, gelezen in samenhang met het Handvest van de grondrechten. Wat specifiek de Veiligehavenbeschikking betreft, verklaarde het Hof dat deze noch over de beperking van de toegang van overheidsinstanties van de V.S. tot op grond van die beschikking doorgegeven gegevens noch over het bestaan van effectieve rechtsbescherming tegen een dergelijke inmenging, toereikende vaststellingen van de Commissie bevatte. Meer bepaald verduidelijkte het Hof dat een regeling op grond waarvan de autoriteiten veralgemeend toegang kunnen krijgen tot de inhoud van elektronische communicatie moet worden beschouwd als een aantasting van de wezenlijke inhoud van het grondrecht op eerbiediging van het privéleven. Bovendien heeft het Hof bevestigd dat zelfs wanneer er sprake is van een besluit in de zin van artikel 25, lid 6, van Richtlijn 95/46/EG waarbij het beschermingsniveau passend wordt verklaard, de gegevensbeschermingsautoriteiten van de lidstaten bevoegd en verplicht blijven om in volledige onafhankelijkheid te onderzoeken of de doorgifte van gegevens aan een derde land in overeenstemming is met de vereisten van Richtlijn 95/46/EG, gelezen in het licht van de artikelen 7, 8 en 47 van het Handvest van de grondrechten. Het Hof heeft echter ook verklaard dat alleen het Hof van Justitie een handeling van de EU, zoals een adequaatheidsbesluit van de Commissie, ongeldig kan verklaren. Het arrest van het Hof is gebaseerd op de mededeling van de Commissie uit 2013 betreffende de werking van de veiligehavenregeling ("Safe Harbour") uit het oogpunt van EU-burgers en in de EU gevestigde ondernemingen, waarin de Commissie een aantal tekortkomingen vaststelde en 13 aanbevelingen deed. Op basis van deze aanbevelingen heeft de Commissie sinds januari 2014 overleg gevoerd met de Amerikaanse autoriteiten met het oog op de invoering van een vernieuwde en versterkte regeling voor trans-Atlantische gegevensuitwisselingen. Ook na dit arrest blijft de Commissie streven naar een hernieuwd en solide kader voor de trans-Atlantische doorgifte van persoonsgegevens. Zij heeft dan ook onmiddellijk haar besprekingen met de Amerikaanse regering hervat en geïntensiveerd om ervoor te zorgen dat een eventuele nieuwe regeling voor trans-Atlantische doorgifte van persoonsgegevens volledig in overeenstemming is met de door het Hof vastgestelde normen. Een dergelijk kader moet daarom voorzien in voldoende beperkingen, waarborgen en gerechtelijke controlemechanismen om de voortdurende bescherming van de persoonsgegevens van EU-burgers te waarborgen, ook wat betreft de eventuele toegang van overheidsinstanties ten behoeve van rechtshandhaving of de nationale veiligheid. Ondertussen heeft de sector zich bezorgd getoond over de mogelijke voortzetting van de doorgifte van gegevens. Het moet daarom duidelijk worden gemaakt onder welke voorwaarden een dergelijke doorgifte kan blijven plaatsvinden. Dit heeft de Groep artikel 29 – een onafhankelijk adviesorgaan, dat bestaat uit vertegenwoordigers van alle gegevensbeschermingsautoriteiten van de lidstaten, en de Europese Toezichthouder voor gegevensbescherming – ertoe gebracht om op 16 oktober een verklaring naar buiten te brengen over de eerste conclusies die uit het arrest moeten worden getrokken. Deze verklaring bevatte onder meer de volgende richtsnoeren voor de doorgifte van gegevens: de doorgifte van gegevens kan niet langer worden gebaseerd op de ongeldig verklaarde Veiligehavenbeschikking van de Commissie; in de tussentijd kunnen modelcontractbepalingen en bindende bedrijfsvoorschriften als basis dienen voor de doorgifte van gegevens, hoewel de Groep artikel 29 ook heeft verklaard dat zij de gevolgen van het arrest voor deze alternatieve instrumenten zal blijven onderzoeken. In de verklaring werden de lidstaten en EU-instellingen voorts opgeroepen in overleg te treden met de autoriteiten in de V.S. voor het vinden van juridische en technische oplossingen voor de doorgifte van gegevens; volgens de Groep artikel 29 kunnen de onderhandelingen voor een nieuwe veilige haven deel uitmaken van deze oplossing.

De Groep artikel 29 kondigde aan dat indien eind januari 2016 met de autoriteiten van de V.S. geen passende oplossing is gevonden, de gegevensbeschermingsautoriteiten, afhankelijk van de beoordeling van alternatieve instrumenten voor de doorgifte van gegevens, alle nodige en passende maatregelen zullen nemen, zoals gecoördineerde handhavingsmaatregelen. Ten slotte heeft de Groep artikel 29 benadrukt dat het een gedeelde verantwoordelijkheid is van de gegevensbeschermingsautoriteiten, de EU-instellingen, de lidstaten en het bedrijfsleven om duurzame oplossingen te vinden ter uitvoering van het arrest van het Hof. In het bijzonder heeft de Groep er bij bedrijven op aangedrongen om juridische en technische oplossingen te overwegen die de eventuele risico’s beperken die zij bij de doorgifte van gegevens lopen. Deze mededeling doet geen afbreuk aan de bevoegdheden en de plicht van de gegevensbeschermingsautoriteiten om de rechtmatigheid van dergelijke doorgiften in volledige onafhankelijkheid te onderzoeken. Zij bevat geen bindende voorschriften en eerbiedigt volledig de bevoegdheden van de nationale rechter om het toepasselijke recht uit te leggen en om, waar nodig, het Hof van Justitie een prejudiciële vraag te stellen. Ook kan deze mededeling geen basis vormen voor een eventuele individuele of collectieve aanspraak of vordering in rechte. 2. Alternatieve gronden voor de doorgifte van persoonsgegevens naar de V.S. De in Richtlijn 95/46/EG neergelegde regels voor de internationale doorgifte van gegevens zijn gebaseerd op een duidelijk onderscheid tussen, enerzijds, de doorgifte van gegevens naar derde landen die een passend beschermingsniveau waarborgen (artikel 25 van de richtlijn) en, anderzijds, de doorgifte naar derde landen die geen passend beschermingsniveau waarborgen (artikel 26 van de richtlijn). Het arrest Schrems heeft betrekking op de voorwaarden waaronder de Commissie, overeenkomstig artikel 25, lid 6, van Richtlijn 95/46/EG, kan vaststellen dat een derde land een passend beschermingsniveau biedt. Wanneer het derde land waarnaar de persoonsgegevens uit de EU moeten worden doorgegeven, dit passende niveau van bescherming niet blijkt te bieden, voorziet artikel 26 van Richtlijn 95/46/EG in een aantal alternatieve gronden waarop de doorgifte niettemin kan plaatsvinden. Met name mogen doorgiften worden uitgevoerd wanneer de entiteit die verantwoordelijk is voor de vaststelling van het doel en de middelen van de verwerking van persoonsgegevens (de "voor de verwerking verantwoordelijke"): voldoende waarborgen biedt in de zin van artikel 26, lid 2, van Richtlijn 95/46/EG, ten aanzien van de bescherming van de persoonlijke levenssfeer, de fundamentele rechten en vrijheden van personen, alsmede ten aanzien van de uitoefening van deze rechten. Deze waarborgen kunnen met name worden geboden door middel van contractuele bepalingen die de exporteur en de importeur van de gegevens binden (zie de punten 2.1 en 2.2 hieronder). Dit kunnen door de Commissie vastgestelde modelcontractbepalingen zijn en, waar het om doorgiften tussen de verschillende entiteiten van een multinationaal bedrijfsconcern gaat, door de gegevensbeschermingsautoriteiten toegelaten bindende bedrijfsvoorschriften; of zich baseert op een van de afwijkingen die uitdrukkelijk zijn opgenomen in de punten a) tot en met f), van artikel 26, lid 1, van Richtlijn 95/46/EG (zie punt 2.3 hieronder). In vergelijking met adequaatheidsbesluiten die het resultaat zijn van de algemene beoordeling van het systeem van een bepaald derde land en die in beginsel betrekking kunnen hebben op alle doorgiften naar dat systeem, hebben deze alternatieve gronden voor doorgifte zowel een beperktere werkingssfeer (aangezien zij uitsluitend van toepassing zijn op bepaalde gegevensstromen) als een breder bereik (aangezien zij niet noodzakelijkerwijs beperkt zijn tot een specifiek land). Zij zijn van toepassing op gegevensstromen die op gang worden gebracht door bepaalde entiteiten die hebben besloten gebruik te maken van een van de mogelijkheden die artikel 26 van Richtlijn 95/46/EG biedt. Bovendien dragen exporteurs en importeurs van gegevens de verantwoordelijkheid ervoor te zorgen dat de doorgifte in overeenstemming met de eisen van de richtlijn is wanneer zij hun doorgifte op dergelijke gronden baseren, aangezien zij zich niet kunnen beroepen op de vaststelling in een besluit van de Commissie dat het derde land een passend beschermingsniveau waarborgt. 2.1. Contractuele oplossingen Zoals benadrukt door de Groep artikel 29 moeten contractuele bepalingen, willen zij voldoende waarborgen bieden in de zin van artikel 26, lid 2, van Richtlijn 95/46/EG "in afdoende mate een tegenwicht bieden voor het ontbreken van een algemeen passend beschermingsniveau door in elk concreet geval bescherming te bieden op de belangrijkste punten waaraan in dat geval iets schort". Met het oog op de bevordering van het gebruik van dergelijke instrumenten bij internationale doorgiften heeft de Commissie, in overeenstemming met artikel 26, lid 4, van de richtlijn, vier reeksen modelcontractbepalingen goedgekeurd die geacht worden te voldoen aan de eisen van artikel 26, lid 2, van de richtlijn. Twee reeksen modelbepalingen hebben betrekking op doorgiften tussen voor de verwerking verantwoordelijken, terwijl het bij de andere twee reeksen modelbepalingen om doorgiften gaat tussen een voor de verwerking verantwoordelijke en een verwerker die zijn instructies uitvoert. Elk van deze reeksen modelbepalingen bevat de betreffende verplichtingen van de exporteurs en importeurs van gegevens. Daarbij gaat het onder meer om verplichtingen met betrekking tot, beveiligingsmaatregelen, informatie aan de betrokkene in geval van doorgifte van gevoelige gegevens, mededeling aan de gegevensexporteur van verzoeken om toegang van de rechtshandhavingsinstanties van derde landen of van accidentele of ongeoorloofde toegang, en de rechten van de betrokkenen op toegang, rectificatie en uitwissing van hun persoonsgegevens, alsmede om regels inzake compensatie voor de betrokkene in geval van schade als gevolg van een inbreuk door een van beide partijen op de modelcontractbepalingen. De modelbepalingen schrijven ook voor dat betrokkenen uit de EU de mogelijkheid hebben om zich bij een gegevensbeschermingsautoriteit en/of een gerecht van de lidstaat waar de gegevensexporteur is gevestigd, te beroepen op de rechten die zij aan de contractuele bepalingen als derde-begunstigde ontlenen. Deze rechten en verplichtingen moeten in contractuele bepalingen worden opgenomen omdat er, in tegenstelling tot de situatie waarin de Commissie heeft vastgesteld dat een passend beschermingsniveau wordt gewaarborgd, niet van kan worden uitgegaan dat de gegevensimporteur in het derde land onderworpen is aan een passend systeem van toezicht en handhaving van de voorschriften inzake gegevensbescherming. Aangezien besluiten van de Commissie in de lidstaten in al hun onderdelen verbindend zijn, betekent de opname van modelcontractbepalingen in een overeenkomst dat de nationale autoriteiten in beginsel verplicht zijn om deze bepalingen te accepteren. Bijgevolg mogen zij de doorgifte van gegevens aan een derde land niet louter op grond van het feit dat deze modelcontractbepalingen onvoldoende waarborgen bieden, weigeren. Dit betekent niet dat deze autoriteiten niet bevoegd zijn om deze bepalingen te onderzoeken in het licht van de eisen die het Hof in het arrest Schrems heeft geformuleerd. In geval van twijfel, moeten zij een zaak voorleggen aan een nationale rechter, die op zijn beurt het Hof van Justitie kan verzoeken om een prejudiciële beslissing. Hoewel in de meeste lidstaten de wetgeving ter omzetting van Richtlijn 95/45/EG niet voorschrijft dat voor doorgifte eerst een nationale vergunning moet worden gegeven, handhaven sommige lidstaten een systeem van kennisgeving en/of voorafgaande toestemming voor het gebruik van modelcontractbepalingen. Wanneer zij dat doen, moeten de nationale gegevensbeschermingsautoriteiten de bepalingen in de betreffende overeenkomst vergelijken met de modelcontractbepalingen en nagaan of er geen wijzigingen zijn aangebracht. Indien de bepalingen ongewijzigd zijn opgenomen, wordt de toestemming in beginsel automatisch verleend. Zoals hieronder verder wordt uitgelegd (zie punt 2.4), betekent dit niet dat de gegevensexporteur niet eventueel aanvullende maatregelen moet nemen, met name naar aanleiding van informatie van de gegevensimporteur over wijzigingen in het rechtssysteem van het derde land die deze laatste kunnen beletten zijn verplichtingen uit hoofde van de overeenkomst na te komen. Bij de toepassing van de modelcontractbepalingen vallen zowel de exporteurs als – omdat zij zichzelf aan de overeenkomst hebben onderworpen – de importeurs van gegevens onder het toezicht van de gegevensbeschermingsautoriteiten. De vaststelling van modelcontractbepalingen betekent niet dat bedrijven geen beroep kunnen doen op andere instrumenten, zoals ad hoc contractuele regelingen, om aan te tonen dat hun doorgiften plaatsvinden met voldoende waarborgen in de zin van artikel 26, lid 2, van Richtlijn 95/46/EG. Overeenkomstig artikel 26, lid 2, van de richtlijn moeten deze per geval door de nationale autoriteiten worden goedgekeurd. Sommige gegevensbeschermingsautoriteiten hebben op dit gebied richtsnoeren ontwikkeld, onder meer in de vorm van standaardovereenkomsten of gedetailleerde regels die bij het opstellen van de bepalingen inzake de doorgifte van gegevens in acht moeten worden genomen. De meeste overeenkomsten waarvan ondernemingen zich thans voor hun internationale doorgifte van gegevens bedienen, zijn echter gebaseerd op door de Commissie goedgekeurde modelcontractbepalingen. 2.2. Overdrachten binnen een groep ondernemingen

Een multinational kan bindende bedrijfsvoorschriften vaststellen om persoonsgegevens in overeenstemming met de vereisten van artikel 26, lid 2, van Richtlijn 95/46/EG, vanuit de EU door te geven naar buiten de EU gevestigde dochterondernemingen. Een dergelijke gedragscode biedt alleen een basis voor doorgiften binnen de groep ondernemingen. Het gebruik van bindende bedrijfsvoorschriften maakt het dus mogelijk om persoonsgegevens wereldwijd vrij te verplaatsen tussen de verschillende entiteiten van een groep van ondernemingen – zonder de noodzaak contractuele regelingen te treffen tussen iedere vennootschapsrechtelijke entiteit – en tegelijkertijd ervoor te zorgen dat overal binnen de groep hetzelfde hoge niveau van bescherming van persoonsgegevens in acht wordt genomen door middel van een enkele reeks bindende en afdwingbare regels. Het hebben van een enkele reeks regels schept een eenvoudiger en doeltreffender systeem, dat personeel gemakkelijker kan uitvoeren en voor betrokkenen gemakkelijker te begrijpen is. Om bedrijven te helpen bij het opstellen van bindende bedrijfsvoorschriften heeft de Groep artikel 29 nauwkeurig de materiële vereisten (bijvoorbeeld beperking van het doel, beveiliging van de verwerking, transparante informatie aan de betrokkenen, beperking van verdere doorgifte buiten de groep, individuele rechten van toegang, rectificatie en verzet) en de procedurele vereisten (bijvoorbeeld controles, monitoring van de naleving, behandeling van klachten, samenwerking met gegevensbeschermingsautoriteiten, aansprakelijkheid en rechtsmacht) voor bindende bedrijfsvoorschriften op basis van de EU-normen voor gegevensbescherming omschreven. Deze regels zijn niet alleen bindend voor de leden van de groep ondernemingen, maar de naleving ervan kan ook, net als bij modelcontractbepalingen, worden afgedwongen in de EU: natuurlijke personen wier gegevens worden verwerkt door een entiteit van de groep hebben als derde-begunstigden het recht om de naleving van bindende bedrijfsvoorschriften af te dwingen door bij een gegevensbeschermingsautoriteit een klacht in te dienen en bij een gerecht in een lidstaat een vordering in te stellen. Bovendien moet in de bindende bedrijfsvoorschriften een entiteit binnen de EU worden aangewezen die de aansprakelijkheid op zich neemt voor inbreuken op de regels door elk lid van de groep buiten de EU dat aan deze regels is gebonden. Krachtens de wetgeving ter omzetting van de richtlijn van de meeste lidstaten moet de doorgifte van gegevens op basis van bindende bedrijfsvoorschriften worden goedgekeurd door de gegevensautoriteiten in iedere lidstaat waarvandaan de multinationale onderneming gegevens wil doorgeven. Om het proces te vergemakkelijken en te bespoedigen, alsook om een en ander voor de aanvragers eenvoudiger te maken, heeft de Groep artikel 29 een standaardaanvraagformulier en een speciale procedure voor samenwerking tussen de betrokken gegevensbeschermingsautoriteiten opgesteld. Deze procedure omvat de aanwijzing van een "leidende autoriteit" die verantwoordelijk is voor de afwikkeling van de goedkeuringsprocedure. 2.3. Afwijkingen Bij ontstentenis van een besluit waarbij het beschermingsniveau passend wordt verklaard overeenkomstig artikel 25, lid 6, van Richtlijn 95/46/EG en ongeacht of er modelcontractbepalingen en/of bindende bedrijfsvoorschriften worden toegepast, kunnen persoonsgegevens toch nog worden doorgegeven aan in een derde land gevestigde entiteiten voor zover een van de afwijkingen als vermeld in artikel 26, lid 1 van Richtlijn 95/46/EG van toepassing is: de betrokkene heeft zijn ondubbelzinnige toestemming gegeven voor de voorgestelde doorgifte; de doorgifte is noodzakelijk voor de uitvoering van een overeenkomst tussen de betrokkene en de voor verwerking verantwoordelijke of voor de uitvoering van op verzoek van de betrokkene genomen precontractuele maatregelen; de doorgifte is noodzakelijk voor de sluiting of de uitvoering van een in het belang van de betrokkene tussen de voor de verwerking verantwoordelijke en een derde gesloten of te sluiten overeenkomst; de doorgifte is noodzakelijk of wettelijk verplicht vanwege een zwaarwegend algemeen belang of voor de vaststelling, de uitoefening of de verdediging van een recht in rechte; de doorgifte is noodzakelijk ter vrijwaring van het vitale belang van de betrokkene, de doorgifte geschiedt vanuit een openbaar register dat krachtens wettelijke of bestuursrechtelijke bepalingen bedoeld is om het publiek voor te lichten en dat door een ieder dan wel door iedere persoon die zich op een gerechtvaardigd belang kan beroepen, kan worden geraadpleegd, voor zover in het betrokken geval is voldaan aan de wettelijke voorwaarden voor raadpleging.

Op deze gronden is een afwijking mogelijk van het algemene verbod op de doorgifte van persoonsgegevens naar entiteiten die zijn gevestigd in een derde land dat geen passend beschermingsniveau biedt. De gegevensexporteur hoeft er niet voor te zorgen dat de gegevensimporteur passende bescherming biedt, en hij zal gewoonlijk geen voorafgaande toestemming voor de doorgifte hoeven te verkrijgen van de relevante nationale autoriteiten. Niettemin is de Groep artikel 29 van mening dat deze afwijkingen vanwege hun uitzonderlijke karakter strikt moeten worden uitgelegd. De Groep artikel 29 heeft verschillende niet-bindende richtsnoeren gepubliceerd betreffende de toepassing van artikel 26, lid 1, van Richtlijn 95/46/EG. Deze omvatten een aantal "beste praktijken" die zijn geformuleerd om de handhavingsmaatregelen van de gegevenbeschermingsautoriteiten te structureren. In het bijzonder beveelt de Groep aan dat doorgiften van persoonsgegevens die als veel voorkomende, massale of structurele doorgiften kunnen worden beschouwd, met voldoende waarborgen en zo mogelijk binnen een specifiek juridisch kader, zoals modelcontractbepalingen of bindende bedrijfsvoorschriften, worden verricht. In de onderhavige mededeling zal de Commissie alleen op de afwijkingen ingaan die na de ongeldigverklaring van de Veiligehavenbeschikking bijzonder relevant lijken voor doorgiften in een commercieel kader. 2.3.1. Doorgiften die noodzakelijk zijn voor de uitvoering van een overeenkomst of voor de uitvoering van op verzoek van de betrokkene genomen precontractuele maatregelen (artikel 26, lid 1, onder b)) Deze afwijking zou bijvoorbeeld van toepassing kunnen zijn in het kader van een hotelreservering of wanneer informatie inzake betalingen wordt doorgegeven naar een derde land ten behoeve van een bankoverschrijving. De Groep artikel 29 is echter van mening dat er in elk van deze gevallen sprake moet zijn van een "nauw en wezenlijk verband" respectievelijk een "rechtstreeks en objectief verband" tussen de betrokkene en het doel van de overeenkomst of de precontractuele maatregelen (noodzakelijkheidstoets). Ook kan de afwijking niet worden toegepast op de doorgifte van aanvullende informatie die niet noodzakelijk is voor de doorgifte, of op de doorgifte voor een ander doel dan de uitvoering van de overeenkomst (bijvoorbeeld follow-up marketing). Wat de precontractuele maatregelen betreft, heeft de Groep artikel 29 zich op het standpunt gesteld dat deze alleen betrekking hebben op contacten die door toedoen van de betrokkene zijn ontstaan (zoals een verzoek om informatie over een bepaalde dienst) en niet op die welke voortvloeien uit marketingdoeleinden van de voor de verwerking verantwoordelijke. 2.3.2. De doorgifte is noodzakelijk voor de sluiting of de uitvoering van een in het belang van de betrokkene tussen de voor de verwerking verantwoordelijke en een derde gesloten of te sluiten overeenkomst (artikel 26, lid 1, onder c)) Deze afwijking zou bijvoorbeeld van toepassing kunnen zijn wanneer de betrokkene de begunstigde van een internationale bankoverschrijving is, of wanneer een reisbureau de gegevens inzake een geboekte vlucht naar een luchtvaartmaatschappij stuurt. De noodzakelijkheidstoets moet ook hier worden toegepast en vergt in dit geval een nauw en wezenlijk verband tussen de belangen van de betrokkene en het doel van de overeenkomst. 2.3.3. De doorgifte is noodzakelijk of wettelijk verplicht voor de vaststelling, de uitoefening of de verdediging van een recht in rechte (artikel 26, lid 1, onder d)) Deze afwijking kan bijvoorbeeld van toepassing zijn wanneer een bedrijf gegevens moet doorgeven om zich te verdedigen tegen een rechtsvordering, of om zelf een dergelijke vordering in rechte of ten overstaan van een overheidsinstantie te doen gelden. Net als bij de twee voorgaande afwijkingen moet hier de noodzakelijkheidstoets plaatsvinden: er moet een nauw verband zijn met het geschil of de gerechtelijke procedure (waarbij het ook om een administratieve procedure kan gaan). Volgens de Groep artikel 29 kan de afwijking alleen kan worden toegepast indien de eventuele op dit soort doorgiften toepasselijke internationale regels inzake samenwerking in strafrechtelijke en burgerlijke procedures in acht zijn genomen, met name die welke voortvloeien uit het Verdrag van Den Haag van 18 maart 1970 ("bewijsverdrag"). 2.3.4. Ondubbelzinnige voorafgaande toestemming door de betrokkene voor de beoogde doorgifte (artikel 26, lid 1, onder a)) Hoewel toestemming kan worden gebruikt als basis voor de doorgifte van gegevens, moet met een aantal overwegingen rekening worden gehouden. Aangezien toestemming moet worden verleend voor de beoogde doorgifte, vergt dit voorafgaande toestemming voor de doorgifte in kwestie (of een bepaalde categorie doorgiften). Wanneer de toestemming via internetsites wordt gevraagd, beveelt de Groep artikel 29 het gebruik aan van aan te vinken vakjes (in plaats van reeds aangevinkte vakjes). Aangezien de toestemming ondubbelzinnig dient te zijn, zou bij iedere twijfel of de toestemming daadwerkelijk is gegeven, de afwijking niet van toepassing zijn. Dit komt er meestal op neer dat deze afwijking niet geldt voor vele situaties waarin toestemming op zijn hoogst geacht wordt impliciet te zijn gegeven (bijvoorbeeld wanneer iemand van een doorgifte op de hoogte is gebracht en geen bezwaar heeft gemaakt). Omgekeerd zou de afwijking nuttig kunnen zijn in gevallen waarin degene die de gegevens doorgeeft, rechtstreeks

contact heeft met de betrokkene en waarin de vereiste informatie gemakkelijk kan worden verstrekt en ondubbelzinnige toestemming kan worden verkregen. Bovendien moet het volgens artikel 2, onder h), van Richtlijn 95/46/EG bij toestemming om een vrije, specifieke en op informatie berustende wilsuiting gaan. Volgens de Groep artikel 29 houdt de eerste verplichting in dat iedere "druk" de toestemming ongeldig kan maken. Dit is met name relevant in het kader van de arbeidsverhouding, waar de verhouding van ondergeschiktheid en de inherente afhankelijkheid van werknemers in het algemeen vragen oproepen in geval van een beroep op toestemming. Meer in het algemeen kan toestemming van een betrokkene die niet de gelegenheid heeft gehad een echte keuze te maken of die voor een voldongen feit is gesteld, niet als geldig worden beschouwd. Het is van groot belang is dat de betrokkenen van tevoren naar behoren wordt meegedeeld dat de gegevens kunnen worden doorgegeven naar landen buiten de EU, naar welke derden landen dat is en onder welke voorwaarden die doorgifte mag plaatsvinden (doel, identiteit en gegevens van de ontvanger (s), enz.). In deze informatie moet worden gewezen op het specifieke risico dat de gegevens van de betrokkene worden doorgegeven naar een derde land dat onvoldoende bescherming biedt. De intrekking door de betrokkene van zijn toestemming heeft voorts, zoals opgemerkt door de Groep artikel 29, geen terugwerkende kracht, maar moet in beginsel voorkómen dat wordt doorgegaan met het verwerken van de persoonsgegevens. In het licht van deze beperkingen is de Groep artikel 29 van mening dat toestemming waarschijnlijk geen passende langetermijnbasis biedt voor voor de verwerking verantwoordelijken in geval van structurele doorgiften.