EUROPESE COMMISSIE Brussel, 25.7.2022 COM(2022) 364 final MEDEDELING VAN DE COMMISSIE AAN HET EUROPEES PARLEMENT EN DE RAAD Eerste verslag over de toepassing en werking van Richtlijn (EU) 2016/680, de richtlijn gegevensbescherming bij rechtshandhaving (“richtlijn rechtshandhaving”)











MEDEDELING VAN DE COMMISSIE AAN HET EUROPEES PARLEMENT EN DE RAAD Eerste verslag over de toepassing en werking van Richtlijn (EU) 2016/680, de richtlijn gegevensbescherming bij rechtshandhaving (“richtlijn rechtshandhaving”) Inhoudsopgave 1 De richtlijn rechtshandhaving als belangrijkste instrument voor het waarborgen van gegevensbescherming in het veiligheidsbeleid van de Europese Unie 1.1 Een essentieel onderdeel van een samenhangend kader voor gegevensbescherming in de Europese Unie 1.2 Een essentiële bijdrage om te zorgen voor een robuust veiligheidsbeleid in de Europese Unie 1.3 Belangrijke overwegingen inzake de opstelling van het verslag 2 De omzetting is bevredigend, maar er blijft een aantal onopgeloste kwesties 2.1 Een volledige omzetting in het algemeen, maar met enkele problemen in verband met specifieke bepalingen 2.2 Prioriteiten voor de beoordeling van naleving 2.2.1 Het toepassingsgebied van de richtlijn rechtshandhaving 2.2.2 Governance en bevoegdheden van de toezichthoudende autoriteiten voor gegevensbescherming 2.2.3 Beroep 2.2.4 Termijnen voor opslag en evaluatie 2.2.5 Rechtsgrondslag van de verwerking, met inbegrip van bijzondere categorieën van persoonsgegevens 2.2.6 Geautomatiseerde besluitvorming 2.2.7 De rechten van betrokkenen

2.2.8 Enkele belangrijke bepalingen die specifiek zijn voor de richtlijn rechtshandhaving 3 Eerste lessen uit de toepassing en de werking van de richtlijn rechtshandhaving 3.1 Klachten en positief effect op de rechten van de betrokkenen 3.2 Grotere bewustwording van gegevensbescherming bij de bevoegde autoriteiten 3.3 Verbeterde gegevensbeveiliging, maar verschillen in de meldingen van inbreuken in verband met persoonsgegevens 3.4 Toezicht door toezichthoudende autoriteiten voor gegevensbescherming 3.4.1 Middelen van de toezichthoudende autoriteiten voor gegevensbescherming 3.4.2 Gebruik van bevoegdheden 3.4.3 Rechterlijke toetsing van het optreden van de toezichthoudende autoriteiten voor gegevensbescherming 3.4.4 Richtsnoeren van het EDPB 3.4.5 Wederzijdse bijstand 3.5 Flexibel instrument voor internationale doorgifte van gegevens 3.5.1 Adequaatheidsbesluiten 3.5.2 Passende waarborgen 3.5.3 Gebruik van afwijkingen 3.5.4 Doeltreffende grensoverschrijdende politiële en justitiële samenwerking 4 Volgende stappen



1De richtlijn rechtshandhaving als belangrijkste instrument voor het waarborgen van gegevensbescherming in het veiligheidsbeleid van de Europese Unie

Deze mededeling bevat het eerste verslag van de Europese Commissie over de evaluatie en herziening van Richtlijn (EU) 2016/680, de richtlijn gegevensbescherming bij rechtshandhaving (“richtlijn rechtshandhaving”), overeenkomstig artikel 62, lid 1, van de richtlijn rechtshandhaving. In het verslag worden met name de toepassing en de werking onderzocht van de voorschriften van de richtlijn rechtshandhaving voor de doorgifte van persoonsgegevens aan derde landen en internationale organisaties, zoals vereist door de richtlijn rechtshandhaving, maar er is daarnaast gekozen voor een bredere benadering. Het plaatst de richtlijn rechtshandhaving in de kaders van het EU-recht inzake de bescherming van persoonsgegevens en het EU-recht dat de verwerking van persoonsgegevens regelt met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten en de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid (“strafrechtelijke rechtshandhaving”) . Het verslag geeft een overzicht van de omzetting van de richtlijn in nationaal recht door de lidstaten, beschrijft de eerste lessen die kunnen worden getrokken uit de toepassing en de werking van de richtlijn, en zet de koers uit voor de toekomst. 1.1Een essentieel onderdeel van een samenhangend kader voor gegevensbescherming in de Europese Unie De richtlijn rechtshandhaving is een van de drie pijlers van het EU-kader dat het grondrecht op de bescherming van persoonsgegevens waarborgt. De andere twee pijlers zijn de algemene verordening gegevensbescherming (“de AVG”) en de verordening betreffende gegevensbescherming met betrekking tot EU-instellingen en -organen (“de EUDPR”) . Het grondrecht op gegevensbescherming is vastgelegd in artikel 8 van het Handvest van de grondrechten van de Europese Unie (“het Handvest”) en in artikel 16 van het Verdrag betreffende de werking van de Europese Unie (“VWEU”). De richtlijn rechtshandhaving is op 6 mei 2016 in werking getreden en de lidstaten dienden deze uiterlijk op 6 mei 2018 om te zetten . De richtlijn rechtshandhaving is de eerste wetgevingshandeling van de EU die een alomvattende aanpak hanteert voor de bescherming van persoonsgegevens door bevoegde autoriteiten (d.w.z. rechterlijke autoriteiten, politie en andere strafrechtelijke rechtshandhavingsautoriteiten als bedoeld in artikel 3, punt 7, van de richtlijn rechtshandhaving) met het oog op strafrechtelijke rechtshandhaving. In vergelijking met Kaderbesluit 2008/977/JBZ van de Raad, dat bij de nieuwe richtlijn werd ingetrokken en vervangen, betekent deze richtlijn een grote stap vooruit in het streven naar een consequente toepassing van de gegevensbeschermingsregels in de EU. Ten eerste biedt de richtlijn rechtshandhaving een compleet pakket regels voor zowel de grensoverschrijdende als de binnenlandse verwerking van persoonsgegevens voor doeleinden op het gebied van strafrechtelijke rechtshandhaving, terwijl het kaderbesluit van de Raad alleen betrekking had op grensoverschrijdende verwerking. Ten tweede biedt de richtlijn een alomvattend en horizontaal geheel van regels, terwijl bij de vorige aanpak voor elke sectorale handeling van de EU die voorzag in de verwerking van persoonsgegevens in het kader van de strafrechtelijke rechtshandhaving, de eigen regels inzake gegevensbescherming golden. De AVG, de EUDPR en de richtlijn rechtshandhaving zijn gebaseerd op soortgelijke concepten en beginselen, wat leidt tot een consequente uitlegging en toepassing van de EU-gegevensbeschermingsregels. Zij delen gemeenschappelijke definities en bevatten soortgelijke verplichtingen voor verwerkingsverantwoordelijken en verwerkers. De richtlijn rechtshandhaving gaat echter ook specifiek in op risico’s in verband met de verwerking van persoonsgegevens in het kader van de strafrechtelijke rechtshandhaving. De overeenkomstige bepalingen omvatten verplichtingen om i) een onderscheid te maken tussen verschillende categorieën van betrokkenen, ii) een onderscheid te maken tussen persoonsgegevens die op feiten zijn gebaseerd en gegevens die op een persoonlijk oordeel zijn gebaseerd, iii) een logboek bij te houden over het gebruik van persoonsgegevens, en te voldoen aan specifieke beveiligingseisen. Gezien de specifieke aard van justitiële samenwerking in strafzaken en politiële samenwerking, werd het nodig geacht op deze gebieden specifieke regels vast te stellen voor de bescherming van persoonsgegevens en het vrije verkeer van persoonsgegevens. De gevoeligheid van het gebied van justitiële samenwerking in strafzaken en politiële samenwerking, in combinatie met de complexiteit van de nationale rechtskaders die strafrechtelijke rechtshandhaving regelen, heeft ertoe geleid dat een richtlijn als het beste instrument werd beschouwd om op dit gebied een hoog niveau van gegevensbescherming tot stand te brengen. Een richtlijn geeft de lidstaten ook de nodige flexibiliteit bij de uitvoering van de beginselen, voorschriften en uitzonderingen daarop op nationaal niveau. De Commissie heeft op 24 juni 2020 haar eerste verslag over de uitvoering van de AVG gepubliceerd. Daarin werd geconcludeerd dat de algemene opvatting was dat de AVG aan haar doelstellingen voldeed, met name door de burgers een aantal robuuste afdwingbare rechten te verlenen en door een nieuw governance- en handhavingssysteem in de EU op te zetten. In het verslag wordt vermeld welke acties noodzakelijk zijn om de toepassing van de AVG door alle belanghebbenden verder te vergemakkelijken en in de EU een gegevensbeschermingscultuur te bevorderen en verder te ontwikkelen, waarbij tegelijkertijd wordt gezorgd voor een krachtige handhaving van de AVG. Dit verslag is een vervolg op de evaluatie van door de EU vastgestelde rechtshandelingen die de verwerking van gegevens door bevoegde autoriteiten regelen met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen. Doel van die evaluatie was om na te gaan of de betrokken handelingen aan de richtlijn rechtshandhaving moesten worden aangepast . Op 24 juni 2020 heeft de Commissie aan deze verplichting voldaan door een mededeling vast te stellen inzake de volgende stappen om het acquis van de voormalige derde pijler aan de gegevensbeschermingsregels aan te passen. Daarin werden tien rechtshandelingen genoemd die aan de richtlijn rechtshandhaving moeten worden aangepast en werd een tijdschema voor deze werkzaamheden vastgesteld. Tot slot werd dit verslag gelijktijdig opgesteld met het verslag van de Commissie over de toepassing van de EUDPR. Een belangrijk onderdeel van dit laatste verslag is de herziening van de in hoofdstuk IX vastgestelde regels inzake de verwerking van operationele persoonsgegevens door instellingen, organen of instanties van de EU bij de uitoefening van activiteiten die binnen het toepassingsgebied van politiële samenwerking en samenwerking in strafzaken vallen (“JBZ-instanties”). De betrokken regels zijn grotendeels gebaseerd op de richtlijn rechtshandhaving. Artikel 98 EUDPR bepaalt dat de Commissie de rechtshandelingen moet toetsen die de verwerking van operationele persoonsgegevens door JBZ-instanties regelen, en biedt haar de mogelijkheid passende wetgevingsvoorstellen in te dienen, met name met het oog op de toepassing van de regels van hoofdstuk IX op Europol en het Europees Openbaar Ministerie, alsook om eventuele nodige wijzigingen van dit hoofdstuk voor te stellen. 1.2Een essentiële bijdrage om te zorgen voor een robuust veiligheidsbeleid in de Europese Unie De Commissie heeft er voortdurend op gewezen dat een doeltreffende en echt veilige EU alleen kan worden opgebouwd op basis van de volledige naleving van de grondrechten die in het Handvest en de afgeleide EU-wetgeving zijn vastgelegd. De richtlijn rechtshandhaving draagt in belangrijke mate bij tot het veiligheidsbeleid van de EU door ervoor te zorgen dat de persoonsgegevens van slachtoffers, getuigen en verdachten van misdrijven naar behoren worden beschermd. Daarnaast draagt de richtlijn, door middel van harmonisatie van de regels inzake de bescherming van persoonsgegevens die door de bevoegde autoriteiten in de EU- en Schengenlanden worden verwerkt, bij tot meer vertrouwen en de beveiliging van gegevens die tussen autoriteiten worden uitgewisseld voor strafrechtelijke rechtshandhavingsdoeleinden, en vergemakkelijkt zij zo de grensoverschrijdende samenwerking in de strijd tegen criminaliteit en terrorisme. De richtlijn rechtshandhaving speelt ook een belangrijke rol bij het bevorderen van een cultuur van naleving van de gegevensbescherming door de bevoegde autoriteiten. In de strategie voor de veiligheidsunie wordt voorts benadrukt dat nieuwe technologie, zoals artificiële intelligentie, kan worden gebruikt als een krachtig instrument voor het bestrijden van criminaliteit. Om dit potentieel te verwezenlijken, moeten ook de strengste normen voor de naleving van de grondrechten worden gewaarborgd. De wetgeving inzake gegevensbescherming, met inbegrip van de richtlijn rechtshandhaving, vormt de basis waarop de sectorale wetgeving kan voortbouwen. De voorgestelde verordening artificiële intelligentie zou bijvoorbeeld een kader bieden voor het gebruik van persoonsgegevens voor biometrische identificatie op afstand in openbare ruimten voor rechtshandhavingsdoeleinden. Tot slot wordt criminaliteit (en met name cybercriminaliteit en gedigitaliseerde criminaliteit) in een onderling verbonden wereld steeds meer van grensoverschrijdende aard. Zelfs bij het onderzoeken van binnenlandse aangelegenheden hebben bevoegde autoriteiten steeds vaker te maken met grensoverschrijdende situaties, omdat informatie elektronisch is opgeslagen in een derde land. Hierdoor neemt de behoefte aan internationale samenwerking in strafrechtelijke onderzoeken toe, zowel van de kant van de autoriteiten van de lidstaten als van de kant van EU-organen zoals Europol en Eurojust. Deze samenwerking, en met name het verzamelen en uitwisselen van elektronisch bewijsmateriaal, gaat vaak gepaard met de doorgifte van persoonsgegevens. Solide waarborgen voor gegevensbescherming zijn daarom van essentieel belang. Dergelijke waarborgen helpen ook het vertrouwen tussen de rechtshandhavingsautoriteiten te vergroten, waardoor informatie sneller en doeltreffender kan worden uitgewisseld en de rechtszekerheid wordt versterkt wanneer informatie vervolgens in strafprocedures wordt gebruikt. In dit verband biedt de richtlijn rechtshandhaving een geactualiseerde reeks instrumenten om dergelijke doorgiften van persoonsgegevens van de EU naar een derde land of een internationale organisatie (bijvoorbeeld Interpol) te vergemakkelijken en er gelijktijdig voor te zorgen dat de persoonsgegevens in hoge mate beschermd blijven. De Commissie en de lidstaten hebben sinds de inwerkingtreding van de richtlijn rechtshandhaving gebruikgemaakt van alle instrumenten ervan. Hieruit blijkt dat de richtlijn breed en flexibel genoeg is om een doeltreffende internationale politiële en justitiële samenwerking mogelijk te maken. 1.3Belangrijke overwegingen inzake de opstelling van het verslag Bij de opstelling van dit verslag heeft de Commissie informatie en feedback ingewonnen uit verschillende bronnen en door gerichte raadpleging. Op grond van artikel 62 van de richtlijn rechtshandhaving hield de Commissie rekening met de bijdragen en standpunten van het Europees Parlement, de Raad, het Europees Comité voor gegevensbescherming (“het EDPB”) en de nationale toezichthoudende autoriteiten voor gegevensbescherming. Aanvullende feedback werd verkregen via een vragenlijst gericht aan organisaties uit het maatschappelijk middenveld (via het Bureau van de Europese Unie voor de grondrechten) en uit reacties op een openbaar verzoek om input . De Commissie heeft ook rekening gehouden met de opmerkingen van de deskundigengroep van de lidstaten inzake de AVG en de richtlijn rechtshandhaving, en met de opmerkingen van het Duitse voorzitterschap van de Raad. Zij hield eveneens rekening met de analyse van de nationale omzettingsmaatregelen en met een klein aantal klachten dat zij in verband hiermee had ontvangen. Hoewel de richtlijn rechtshandhaving van toepassing is op alle lidstaten en alle Schengenlanden (omdat zij een ontwikkeling inhoudt van de bepalingen van het Schengenacquis ) heeft dit verslag alleen betrekking op de EU-lidstaten. Drie factoren waren van invloed op de opstelling van dit verslag. Ten eerste heeft twee derde van de lidstaten de termijn van mei 2018 voor de omzetting van de richtlijn rechtshandhaving in nationaal recht niet gehaald. Niettemin hebben de meeste lidstaten de richtlijn uiterlijk in 2019 omgezet, nadat de Commissie inbreukprocedures had ingeleid. Er is dus vrij weinig ervaring opgedaan met de toepassing ervan, een punt dat ook door het EDPB en de Raad wordt benadrukt. Ten tweede bleek het in vergelijking met de AVG moeilijker om statistieken over de toepassing van de richtlijn rechtshandhaving op te stellen. Sommige toezichthoudende autoriteiten voor gegevensbescherming stellen geen afzonderlijke statistieken op inzake hun toezichtactiviteiten in het kader van de richtlijn rechtshandhaving en de AVG. Dit is bijvoorbeeld het geval met betrekking tot meldingen van inbreuken in verband met gegevens en klachten in het kader van de richtlijn rechtshandhaving, waardoor het soms moeilijk is een nauwkeurig overzicht te krijgen van deze bepalingen in het kader van de richtlijn rechtshandhaving . Ten derde mag niet worden vergeten dat de jurisprudentie inzake de toepassing van de richtlijn rechtshandhaving zich nog maar net begint te ontwikkelen. Er zijn momenteel verschillende zaken aanhangig bij het Hof van Justitie van de Europese Unie (“HvJ-EU”) met betrekking tot de uitlegging van belangrijke bepalingen van de richtlijn, zoals het recht op inzage en het recht op een doeltreffende voorziening in rechte van de betrokkenen. Deze arresten zullen meer duidelijkheid scheppen en bijdragen tot een meer geharmoniseerde aanpak van de lidstaten.

2De omzetting is bevredigend, maar er blijft een aantal onopgeloste kwesties De Commissie heeft een deskundigengroep van de lidstaten opgericht om de lidstaten te helpen bij de omzetting van de richtlijn rechtshandhaving in nationaal recht. De groep bevordert besprekingen en het delen van ervaringen tussen de lidstaten en de Commissie over de regels inzake gegevensbescherming. Tussen de vaststelling van de richtlijn rechtshandhaving in 2016 en de omzettingstermijn van mei 2018 is de groep regelmatig bijeengekomen en in 2021 heeft de groep haar werkzaamheden hervat. Het onderstaande overzicht van de omzetting is toegespitst op de belangrijkste kwesties die tot dusver zijn vastgesteld. Het is hoofdzakelijk gebaseerd op de analyse van de Commissie van de informatie die de lidstaten hebben verstrekt bij hun mededeling aan de Commissie van de nationale maatregelen die zij hebben genomen om de richtlijn rechtshandhaving in nationaal recht om te zetten. Deze analyse werd ondersteund door een externe studie die door een externe contractant werd uitgevoerd. De Commissie heeft ook bilateraal overleg gepleegd met verschillende lidstaten. 2.1Een volledige omzetting in het algemeen, maar met enkele problemen in verband met specifieke bepalingen De Commissie leidde in juli 2018 inbreukprocedures in tegen 19 lidstaten omdat zij op de uiterste termijn van mei 2018 geen wetten ter omzetting van de richtlijn rechtshandhaving hadden vastgesteld en de Commissie niet naar behoren in kennis hadden gesteld van hun omzetting. Een andere procedure wegens gedeeltelijke niet-omzetting werd in juli 2019 ingeleid tegen een andere lidstaat. Als gevolg daarvan stelden de meeste lidstaten de Commissie hierna in kennis van hun nationale omzettingswetgeving en sloot de Commissie de inbreukprocedures tegen hen in 2019 (2020 voor één lidstaat) geleidelijk af. In 2021 verwees de Commissie haar inbreukprocedure tegen Spanje naar het HvJ-EU omdat Spanje de richtlijn nog steeds niet had omgezet en de Commissie niet in kennis had gesteld van zijn omzettingsmaatregelen. Gezien de ernst en de duur van de inbreuk veroordeelde het HvJ-EU Spanje voor het eerst tot betaling van zowel een forfaitaire som als een dwangsom . De Commissie heeft — in april 2022 — ook een inbreukprocedure tegen Duitsland ingeleid nadat zij een lacune in de omzetting van de richtlijn rechtshandhaving in verband met de activiteiten van de federale politie van Duitsland had ontdekt. De Commissie zal de omzetting van de richtlijn rechtshandhaving in de lidstaten blijven beoordelen en zal de nodige maatregelen nemen om eventuele lacunes te verhelpen. 2.2Prioriteiten voor de beoordeling van naleving De Commissie gaat ook na of de nationale bepalingen van de lidstaten de voorschriften van de richtlijn rechtshandhaving correct omzetten (nalevingscontrole). Bij de omzetting van de richtlijn rechtshandhaving hebben de lidstaten ofwel hun eerdere wetgeving inzake gegevensbescherming gewijzigd, ofwel deze ingetrokken en vervangen door een of meer nieuwe horizontale wetten inzake gegevensbescherming. In veel gevallen zet de nationale wetgeving de richtlijn rechtshandhaving om door te verwijzen naar dezelfde of gelijkwaardige bepalingen van de AVG (bv. met betrekking tot definities, meldingen van inbreuken in verband met persoonsgegevens, de benoeming van de functionaris voor gegevensbescherming en bepalingen inzake de organisatie, de status, de bevoegdheden, de taken en de bevoegdheden van de nationale toezichthoudende autoriteiten voor gegevensbescherming). Een aantal bepalingen van de richtlijn rechtshandhaving is ook omgezet door middel van nieuwe bepalingen in bijvoorbeeld het algemeen bestuursrecht, het bestuursprocesrecht of het strafprocesrecht. Sommige lidstaten hebben een aantal bepalingen van de richtlijn ook omgezet in sectorale wetgeving die de werking en de bevoegdheden van specifieke bevoegde autoriteiten regelt. Om te bepalen of de richtlijn rechtshandhaving al dan niet correct is omgezet in een bepaalde lidstaat, kan het dus nodig zijn rekening te houden met een hele reeks nationale rechtshandelingen. Over het algemeen weerspiegelt de nationale wetgeving grotendeels de beginselen en kernbepalingen van de richtlijn rechtshandhaving. Er zijn echter een aantal problemen vastgesteld, waarvan de belangrijkste in de volgende punten uiteen worden gezet. De Commissie heeft reeds een aantal inbreukprocedures tegen lidstaten ingeleid . Het evaluatieproces is nog steeds lopende en de Commissie zal gebruik blijven maken van alle beschikbare instrumenten, waaronder inbreukprocedures, wanneer een nationale omzettingsmaatregel niet in overeenstemming is met de richtlijn rechtshandhaving. De jurisprudentie over de richtlijn staat nog in de kinderschoenen. Het HvJ-EU is begonnen met het wijzen van arresten over de uitlegging van de richtlijn, onder meer in de zaken WS/Bundesrepublik Deutschland en B/Latvijas Republikas Saeima. Ten tijde van de opstelling van dit verslag is er een aantal prejudiciële vragen aanhangig bij het HvJ-EU (zoals aangegeven in de volgende punten). 2.2.1Het toepassingsgebied van de richtlijn rechtshandhaving De moeilijkheid om het toepassingsgebied van de richtlijn en dat van de AVG af te bakenen, is zowel door de deskundigengroep van de lidstaten inzake de AVG en de richtlijn rechtshandhaving, als door het EDPB als een punt van zorg aan de orde gesteld. Sommige toezichthoudende autoriteiten voor gegevensbescherming hebben ook opgemerkt dat de bevoegde autoriteiten hier moeite mee kunnen hebben . Het toepassingsgebied van de richtlijn rechtshandhaving wordt bepaald door twee kernelementen: het begrip bevoegde autoriteit (persoonlijk toepassingsgebied) en het begrip strafbaar feit (materieel toepassingsgebied). Wat het persoonlijke toepassingsgebied betreft, valt gegevensverwerking onder de richtlijn rechtshandhaving wanneer zij wordt uitgevoerd door een bevoegde autoriteit en wanneer de persoonsgegevens worden verwerkt voor doeleinden van de richtlijn rechtshandhaving (d.w.z. de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid). Volgens de Commissie zijn “bevoegde autoriteiten” als gedefinieerd in de richtlijn rechtshandhaving organen van de staat of particuliere instanties waaraan de wet bijzondere bevoegdheden toekent die verder gaan dan die welke voortvloeien uit de normale regels die van toepassing zijn in de betrekkingen tussen particulieren en/of die in de mogelijkheid voorzien om dwang uit te oefenen. Deze autoriteiten zijn bevoegde autoriteiten in de zin van de richtlijn rechtshandhaving wanneer zij (ook al is dat slechts sporadisch en/of in geïsoleerde gevallen) gegevens verwerken met het oog op de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten of de tenuitvoerlegging van straffen (met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid). Dit betekent bijvoorbeeld dat de verwerking door dergelijke organen van persoonsgegevens voor doeleinden die niet onder de richtlijn rechtshandhaving vallen (bijvoorbeeld personeelszaken of andere bestuursrechtelijke doeleinden, zoals de verwerking door financiële-inlichtingeneenheden (FIE’s) van persoonsgegevens in het kader van het acquis inzake de bestrijding van het witwassen van geld) binnen het toepassingsgebied van de AVG en niet binnen die van de richtlijn rechtshandhaving valt. Het begrip “strafbaar feit” staat centraal bij de vaststelling of gegevensverwerking al dan niet binnen het toepassingsgebied van de richtlijn rechtshandhaving valt. Volgens het HvJ-EU zijn drie criteria van belang bij de beoordeling of een strafbaar feit van strafrechtelijke aard is: de vraag of het strafbare feit naar nationaal recht als strafbaar is aangemerkt, de aard zelf van het strafbare feit en de zwaarte van de sanctie die aan de betrokkene kan worden opgelegd . Het autonome karakter van het begrip strafbaar feit als bedoeld in overweging 13 van de richtlijn rechtshandhaving brengt onder meer met zich mee dat het recht van de lidstaten de aard van een strafbaar feit niet kan aanmerken als “strafbaar” met als enig doel de richtlijn rechtshandhaving toe te passen. Het probleem van de afbakening tussen de toepassingsgebieden van de AVG en de richtlijn rechtshandhaving doet zich in sommige lidstaten voor wat betreft de afbakening tussen de gebieden van strafrechtelijke en bestuursrechtelijke inbreuken. In sommige nationale omzettingswetten wordt namelijk verwezen naar doeleinden voor de verwerking van persoonsgegevens die niet in artikel 1 van de richtlijn rechtshandhaving zijn vermeld (bv. gevaren voor de openbare orde of de openbare veiligheid). De vraag rijst ook omdat sommige lidstaten van oordeel zijn dat een aantal bestuursorganen (bv. FIE’s, zoals hierboven vermeld) taken uitvoeren die onder de richtlijn rechtshandhaving vallen. De wetgeving van de meeste lidstaten bestrijkt alle bevoegde autoriteiten die gegevens verwerken voor doeleinden van de richtlijn rechtshandhaving. Sommige lidstaten hebben er daarentegen voor gekozen om in hun nationale wetgeving een uitputtende opsomming te geven van de bevoegde autoriteiten die onder de richtlijn rechtshandhaving vallen. Een paar lidstaten hebben ook voorzien in een afwijking voor de verwerking door bepaalde soorten bevoegde autoriteiten of de verwerking van bepaalde soorten gegevens. Over de kwestie van het toepassingsgebied van de richtlijn rechtshandhaving is een prejudiciële vraag gesteld aan het HvJ-EU. Het Landesverwaltungsgericht Tirol (Oostenrijk) heeft de kwestie van het toepassingsgebied van de richtlijn rechtshandhaving aan de orde gesteld in een zaak waarin een bevoegde autoriteit tevergeefs probeerde toegang te krijgen tot gegevens op een in beslag genomen telefoon (uitlegging van artikel 2 van de richtlijn rechtshandhaving). De zaak heeft ook betrekking op de voorwaarden voor een dergelijke toegang. 2.2.2Governance en bevoegdheden van de toezichthoudende autoriteiten voor gegevensbescherming

Alle lidstaten (met uitzondering van België en Zweden) hebben de handhaving van de richtlijn rechtshandhaving toevertrouwd aan de toezichthoudende autoriteit die ook verantwoordelijk is voor de handhaving van de AVG. België heeft het toezicht op de politie in het kader van de richtlijn rechtshandhaving aan een andere toezichthoudende autoriteit toevertrouwd. In Zweden wordt het toezicht op bepaalde bevoegde autoriteiten, waaronder de politie, gezamenlijk uitgeoefend door de toezichthoudende autoriteit die bevoegd is voor de AVG en een andere toezichthoudende autoriteit. Daarnaast zijn toezichthoudende autoriteiten voor gegevensbescherming krachtens de richtlijn rechtshandhaving niet bevoegd om toezicht te houden op rechtbanken wanneer deze in hun rechterlijke hoedanigheid optreden. Wat betreft de bepalingen van de richtlijn rechtshandhaving inzake de onafhankelijkheid van de toezichthoudende autoriteiten voor gegevensbescherming, hebben alle lidstaten in hun omzettingswetgeving bepaald dat de toezichthoudende autoriteiten voor gegevensbescherming bij de uitvoering van hun taken onafhankelijk moeten optreden. Zij eisen ook dat de leden van hun toezichthoudende autoriteiten voor gegevensbescherming vrij zijn van externe invloeden en van niemand instructies aanvaarden of verlangen. Het toezicht op de naleving door de toezichthoudende autoriteiten voor gegevensbescherming is van cruciaal belang en is vastgelegd in artikel 8, lid 3, van het Handvest. De richtlijn rechtshandhaving verplicht de lidstaten ertoe de toezichthoudende autoriteiten voor gegevensbescherming onderzoeksbevoegdheden, bevoegdheden tot het treffen van corrigerende maatregelen en adviesbevoegdheden te verlenen, die effectief moeten zijn. Dit is een eerste voorwaarde om de gegevensbeschermingsregels naar behoren te kunnen handhaven en aldus de doelstelling van de richtlijn rechtshandhaving te verwezenlijken, namelijk een hoog niveau van bescherming van de grondrechten, met name wat het recht op bescherming van persoonsgegevens betreft, en om het vrije verkeer van gegevens binnen de EU te waarborgen. De toezichthoudende autoriteiten voor gegevensbescherming moeten in de gehele EU over gelijkwaardige bevoegdheden beschikken, zodat zij hun taken kunnen uitvoeren zoals de richtlijn voorschrijft. Alle lidstaten hebben hun autoriteiten de in de richtlijn rechtshandhaving vermelde onderzoeksbevoegdheden verleend en de meeste lidstaten hebben hun daarnaast andere bevoegdheden verleend (bv. om audits uit te voeren, bedrijfsruimten te betreden, kopieën van gegevens te maken en voorwerpen in beslag te nemen). Bijgevolg hebben bijna alle toezichthoudende autoriteiten voor gegevensbescherming vastgesteld dat zij over effectieve onderzoeksbevoegdheden beschikken. Bijna alle lidstaten hebben voorzien in de in de richtlijn rechtshandhaving vermelde bevoegdheden tot het treffen van corrigerende maatregelen. Veel lidstaten hebben daarbij de formulering van de richtlijn nauwgezet gevolgd, terwijl verscheidene andere lidstaten zeer ruime formuleringen hebben gebruikt die redelijkerwijs zo kunnen worden uitgelegd dat zij alle in de richtlijn vastgestelde bevoegdheden omvatten. Bovendien verleent de wetgeving van de meeste lidstaten de toezichthoudende autoriteiten voor gegevensbescherming de bevoegdheid om administratieve boeten op te leggen. Niet alle lidstaten hebben hun toezichthoudende autoriteiten voor gegevensbescherming de bevoegdheid gegeven om inbreuken op de nationale wetten die zijn vastgesteld ter omzetting van de richtlijn rechtshandhaving, onder de aandacht van de rechterlijke autoriteiten te brengen en rechtsvorderingen in te stellen of anderszins in rechte op te treden. Deze bevoegdheid is belangrijk en vormt een aanvulling op de andere middelen waarover de toezichthoudende autoriteiten voor gegevensbescherming moeten beschikken om een hoog niveau van bescherming van de grondrechten van personen, en met name van hun recht op bescherming van hun persoonsgegevens, doeltreffend te waarborgen. 2.2.3Beroep Alle lidstaten hebben voorzien in het recht om een klacht in te dienen bij de bevoegde toezichthoudende autoriteit. De meeste nationale wetgevingen voorzien in een termijn voor het indienen van een dergelijke klacht. Het is belangrijk dat deze termijn geen belemmering vormt voor het recht van de betrokkenen in dit verband. Overeenkomstig de richtlijn rechtshandhaving voorzien alle lidstaten in een voorziening in rechte tegen de besluiten van de toezichthoudende autoriteit, onverminderd andere mogelijkheden van administratief of buitengerechtelijk beroep die in hun rechtsstelsel beschikbaar zijn. Een voorziening in rechte is beschikbaar in alle lidstaten, op twee na, wanneer een toezichthoudende autoriteit een klacht niet behandelt of de betrokkene niet binnen drie maanden in kennis stelt over de voortgang of het resultaat van de klacht. De meeste lidstaten zorgen ook voor een voorziening in rechte tegen de verwerkingsverantwoordelijke en de verwerker in geval van een vermeende inbreuk op de richtlijn rechtshandhaving. Verscheidene nationale omzettingswetten voorzien echter niet in het recht van de betrokkene om organen, organisaties of verenigingen zonder winstoogmerk opdracht te geven om namens hem een klacht in te dienen bij een toezichthoudende autoriteit of een voorziening in rechte in te stellen. 2.2.4Termijnen voor opslag en evaluatie De aanpak van de lidstaten bij de omzetting van de termijnen van de richtlijn rechtshandhaving voor de opslag en evaluatie van persoonsgegevens loopt sterk uiteen. De meeste nationale wetten inzake gegevensbescherming die de richtlijn rechtshandhaving omzetten, voldoen alleen aan het algemene voorschrift van artikel 5 van de richtlijn rechtshandhaving. Dit betekent dat in het sectorale recht daadwerkelijk termijnen moeten worden vastgesteld voor het wissen van persoonsgegevens of voor een periodieke evaluatie van de noodzaak om persoonsgegevens op te slaan. Enkele lidstaten zetten de bepaling om door de termijnen in de sectorale wetgeving vast te leggen. In sommige lidstaten laat de wet het echter aan de bevoegde autoriteit over om de termijnen vast te stellen. In sommige gevallen worden in de wet geen criteria vastgelegd voor de periodieke evaluatie en wordt daarin niet voorgeschreven dat dergelijke criteria in andere wetten moeten worden opgenomen en/of bepaald dat de procedures om ervoor te zorgen dat de termijnen worden nageleefd, ook in de nationale wetgeving moeten worden vastgesteld. Er zij op gewezen dat de Bulgaarse hoogste administratieve rechter onlangs het HvJ-EU heeft verzocht om een antwoord op zijn verzoek om een prejudiciële beslissing over de uitlegging van artikel 5 van de richtlijn rechtshandhaving met betrekking tot de termijnen voor gegevensopslag . 2.2.5Rechtsgrondslag van de verwerking, met inbegrip van bijzondere categorieën van persoonsgegevens De meeste lidstaten bepalen — in bewoordingen die vaak nauw aansluiten bij artikel 8 van de richtlijn rechtshandhaving — dat de rechtsgrondslag van de verwerking in de EU-wetgeving of de wetgeving van de lidstaat moet zijn vastgelegd. In sommige nationale handelingen inzake gegevensbescherming tot omzetting van de richtlijn rechtshandhaving komt het voorschrift dat de te verwerken persoonsgegevens en de doeleinden van de verwerking in de wet moeten worden gespecificeerd, echter niet tot uiting. Andere nationale handelingen inzake gegevensbescherming tot omzetting van de richtlijn rechtshandhaving bevatten niet alle bepalingen van artikel 8. Het is aan de nationale wetgeving om de grondslag van de verwerking vast te stellen en aan de voorschriften van artikel 8 te voldoen. Bovendien kan het louter herhalen van de algemene vereisten van artikel 8 van de richtlijn rechtshandhaving in de nationale wetgeving niet worden beschouwd als een toereikende rechtsgrondslag voor een specifieke verwerking: in het nationale recht moet worden gespecificeerd welke autoriteit bevoegd is om de persoonsgegevens te verwerken, welke publieke taken zij uitvoert die een dergelijke verwerking rechtvaardigen, en wat het doel van de verwerking is. Wat de verwerking van bijzondere categorieën van persoonsgegevens betreft, schrijven de meeste lidstaten een strikte noodzaak voor als voorwaarde voor de verwerking. De meeste lidstaten voorzien ook in dezelfde rechtsgrondslagen voor de verwerking van gevoelige gegevens als die welke in artikel 10 van de richtlijn rechtshandhaving zijn vermeld (bij recht toegestane verwerking, verwerking ter bescherming van een vitaal belang van de betrokkene of van een andere natuurlijke persoon, of verwerking die betrekking heeft op gegevens die kennelijk door de betrokkene zelf openbaar zijn gemaakt). In enkele lidstaten voorzien de omzettingswetten in enkele aanvullende grondslagen voor gegevensverwerking (bv. wanneer de verwerking van dergelijke gegevens noodzakelijk is om een gevaar dat een rechtstreekse bedreiging vormt voor het leven, de fysieke integriteit of het vermogen van personen, af te wenden of te voorkomen, of om de gezondheid of de belangen van de betrokkene of van een andere persoon te beschermen). Wanneer de nationale wet inzake gegevensbescherming tot omzetting van de richtlijn rechtshandhaving niet de nodige waarborgen biedt voor de rechten en vrijheden van de betrokkenen (zoals in sommige lidstaten het geval is), moeten deze waarborgen door de sectorale wetgeving worden geboden. In enkele nationale omzettingswetten wordt verwezen naar toestemming in verband met de verwerking van persoonsgegevens, met inbegrip van de verwerking van bijzondere categorieën van persoonsgegevens. Er zij aan herinnerd dat het de lidstaten weliswaar niet is verboden in hun nationaal recht te bepalen dat de betrokkene kan instemmen met de verwerking van zijn persoonsgegevens voor doeleinden in het kader van de richtlijn rechtshandhaving, maar dat deze toestemming alleen als vrijwaring kan dienen en niet de rechtsgrondslag voor een dergelijke verwerking kan vormen. Uit de besprekingen over dit onderwerp blijkt dat het nuttig zou zijn meer richtsnoeren te hebben over de rol van toestemming in het kader van de verwerking van persoonsgegevens voor strafrechtelijke rechtshandhavingsdoeleinden. 2.2.6Geautomatiseerde besluitvorming

Alle omzettingswetten van de lidstaten bevatten bepalingen die uitsluitend op geautomatiseerde verwerking gebaseerde besluiten verbieden, tenzij de wet daarin voorziet. De omzettingswetten van de meeste lidstaten schrijven voor dat dergelijke besluiten niet gebaseerd mogen zijn op bijzondere categorieën van persoonsgegevens, tenzij in passende waarborgen wordt voorzien. Ook verbieden zij profilering die tot discriminatie leidt. In sommige nationale wetgeving wordt echter niet verwezen naar passende waarborgen voor de rechten en vrijheden van de betrokkene in gevallen waarin geautomatiseerde besluitvorming bij wet is toegestaan. Meer bepaald voorzien niet alle lidstaten in het recht op menselijke tussenkomst van de verwerkingsverantwoordelijke, of schrijven zij geen passende maatregelen voor ter bescherming van de rechten en/of vrijheden en rechtmatige belangen van de betrokkene. 2.2.7De rechten van betrokkenen Alle lidstaten hebben ervoor gekozen gebruik te maken van de door de richtlijn rechtshandhaving geboden mogelijkheid om het recht van de betrokkene op inzage van zijn persoonsgegevens te beperken. De meeste lidstaten voorzien ook in beperkingen van andere rechten van de betrokkene. In de nationale handelingen inzake gegevensbescherming tot omzetting van de richtlijn rechtshandhaving wordt vaak alleen de algemene formulering van de richtlijn gevolgd, zonder dat nader wordt aangegeven onder welke omstandigheden of voorwaarden de beperkingen van toepassing zijn. In dergelijke gevallen moeten deze omstandigheden en voorwaarden in de sectorale wetgeving worden gespecificeerd, anders zou dit de verwerkingsverantwoordelijken discretionaire bevoegdheid geven bij de toepassing van deze beperkingen. De meeste lidstaten voldoen aan het voorschrift van de richtlijn rechtshandhaving om betrokkenen in staat te stellen hun rechten uit te oefenen via de toezichthoudende autoriteit voor gegevensbescherming. De meeste lidstaten hebben gebruikgemaakt van de mogelijkheid om te bepalen dat de rechten van betrokkenen in het kader van nationale strafrechtelijke onderzoeken en procedures overeenkomstig het nationale recht moeten worden uitgeoefend. In de omzettingswetten van verscheidene lidstaten zijn niet alle specifieke voorschriften van de richtlijn overgenomen over de wijze waarop de rechten van de betrokkenen moeten worden uitgeoefend (bv. het model en de wijze van verstrekking van de antwoorden, het ontbreken van een vergoeding). Er is een prejudiciële vraag gesteld door een Duitse rechter over de uitlegging van de beperkingen van het recht van betrokkenen op inzage van hun gegevens (artikel 15 van de richtlijn rechtshandhaving in het licht van artikel 54 van de richtlijn) en het recht op een doeltreffende voorziening in rechte overeenkomstig artikel 47 van het Handvest en de vrijheid van beroep als bedoeld in artikel 15 van het Handvest. 2.2.8Enkele belangrijke bepalingen die specifiek zijn voor de richtlijn rechtshandhaving Sommige bepalingen van de richtlijn zijn specifiek voor strafrechtelijke rechtshandhaving en hebben geen equivalent in de AVG. Categorieën van betrokkenen In het kader van de richtlijn rechtshandhaving zijn de lidstaten verplicht om van een verwerkingsverantwoordelijke te eisen, in voorkomend geval en voor zover mogelijk, een onderscheid te maken maakt tussen gegevens betreffende verschillende categorieën van betrokkenen en voorbeelden te geven van die categorieën (bv. personen ten aanzien van wie gegronde vermoedens bestaan dat zij een strafbaar feit hebben gepleegd of zullen plegen (een “verdachte”)). In de wetgeving van sommige lidstaten worden de door de richtlijn rechtshandhaving opgesomde categorieën (tot op zekere hoogte of in het geheel) niet gespecificeerd. Wanneer de categorie “verdachten” wordt gespecificeerd, wordt in sommige nationale wetten niet vereist dat er “gegronde vermoedens bestaan dat de personen een strafbaar feit hebben gepleegd of zullen plegen”. Het komende arrest van het HvJ-EU in de aanhangige zaak Ministerstvo na vatreshnite raboti/B.C. zal meer duidelijkheid scheppen over de uitlegging van de richtlijn rechtshandhaving wat de categorieën van betrokkenen betreft, met inbegrip van het voorschrift dat een betrokkene slechts als verdachte kan worden aangemerkt indien er gegronde vermoedens bestaan dat zij een strafbaar feit hebben gepleegd of zullen plegen . Onderscheid tussen klassen persoonsgegevens en controle van de kwaliteit ervan De lidstaten moeten erin voorzien dat persoonsgegevens die op feiten zijn gebaseerd, voor zover mogelijk worden onderscheiden van persoonsgegevens die op een persoonlijk oordeel zijn gebaseerd. Zij moeten ook maatregelen nemen om ervoor te zorgen dat persoonsgegevens die onjuist, onvolledig of niet meer actueel zijn, niet worden doorgezonden of beschikbaar gesteld. Wanneer onjuiste gegevens zijn doorgezonden, moeten de ontvangers daarvan onverwijld in kennis worden gesteld en in dergelijke gevallen moeten de persoonsgegevens worden gerectificeerd of gewist, of moet de verwerking ervan worden beperkt. Hoewel de meeste lidstaten dit voorschrift hebben omgezet, zijn sommige van de vereiste specifieke maatregelen niet uitdrukkelijk opgenomen in verschillende nationale omzettingswetten. Bijhouden van logbestanden In totaal hebben twaalf lidstaten gebruikgemaakt van de mogelijkheid om het in overeenstemming brengen van hun geautomatiseerde verwerkingssysteem met de registratievoorschriften uit te stellen tot mei 2023. De meeste lidstaten voorzien erin dat er logbestanden worden bijgehouden voor verwerkingsactiviteiten in geautomatiseerde verwerkingssystemen. In de wetgeving van sommige lidstaten hoeven niet alle soorten activiteiten te worden geregistreerd. In de richtlijn rechtshandhaving is vastgelegd welke soorten informatie de logbestanden ten minste moeten bevatten. In sommige nationale wetten zijn niet alle vereiste soorten informatie opgenomen (bv. de reden voor raadpleging of bekendmaking van persoonsgegevens). 3Eerste lessen uit de toepassing en de werking van de richtlijn rechtshandhaving 3.1Klachten en positief effect op de rechten van de betrokkenen De richtlijn rechtshandhaving waarborgt de bescherming van de grondrechten en fundamentele vrijheden van personen, en met name het recht op gegevensbescherming. De richtlijn biedt een alomvattend kader voor de rechten van de betrokkene en de wijze waarop deze rechten kunnen worden uitgeoefend, waaronder het recht op informatie, op inzage, rectificatie of wissing van de persoonsgegevens, en op beperking van de verwerking. De richtlijn rechtshandhaving heeft het inzicht van de betrokkenen in hun rechten en de wijze waarop zij die kunnen uitoefenen, vergroot. Dit komt tot uiting in een toename van het aantal bij de bevoegde autoriteiten ingediende verzoeken. Uit de praktijk is gebleken dat van de rechten die uit hoofde van de richtlijn rechtshandhaving aan betrokkenen worden verleend, het recht op inzage en het recht op wissing het vaakst bij de bevoegde autoriteiten worden aangevoerd . De richtlijn rechtshandhaving maakt het mogelijk beperkingen te stellen aan bepaalde rechten (het inzagerecht en het recht om gegevens te laten rectificeren of wissen) en aan de informatie die een verwerkingsverantwoordelijke aan de betrokkene moet verstrekken in verband met verwerkte persoonsgegevens. Betrokkenen kunnen de toezichthoudende autoriteiten voor gegevensbescherming verzoeken de beperking van het recht in kwestie door een bevoegde autoriteit te evalueren of na te gaan of de beperking in overeenstemming met de richtlijn rechtshandhaving is uitgevoerd (indirecte uitoefening van het recht) . Ongeveer de helft van de toezichthoudende autoriteiten voor gegevensbescherming meldt dat zij een dergelijk verzoek hebben ontvangen. Uit de praktijk blijkt dat het aantal ontvangen verzoeken aanzienlijk kan variëren (zo werd in Kroatië één dergelijk verzoek ontvangen, terwijl Frankrijk er meer dan 1 500 ontving). Hoewel de toezichthoudende autoriteiten voor gegevensbescherming na controle of evaluatie van deze klachten vaststelden dat de meeste verzoeken niet-ontvankelijk waren, werd de verwerkingsverantwoordelijke in een aantal gevallen gelast de persoonsgegevens te rectificeren of te wissen, dan wel de verwerking van persoonsgegevens te beperken, waardoor de juiste toepassing van de beperkingen werd gewaarborgd. De richtlijn rechtshandhaving voorziet in de mogelijkheid dat een orgaan, organisatie of vereniging zonder winstoogmerk een klacht indient namens een betrokkene. Hier lijkt echter zeer weinig gebruik van te worden gemaakt (slechts vier toezichthoudende autoriteiten voor gegevensbescherming meldden dat zij een dergelijke klacht van een vertegenwoordigende instantie hadden ontvangen). Ook de organisaties van het maatschappelijk middenveld meldden slechts een klein aantal verzoeken tot indiening van een dergelijke klacht.

Mensen maken ook steeds meer gebruik van hun recht om klachten in te dienen bij de toezichthoudende autoriteiten voor gegevensbescherming, ook in gevallen waarin de bevoegde autoriteiten de uitoefening van de rechten van de betrokkenen beperken. Meer dan een derde van de toezichthoudende autoriteiten voor gegevensbescherming meldde een toename van het aantal ontvangen klachten na de omzetting van de richtlijn rechtshandhaving in hun lidstaat . Enkele van de meest voorkomende klachten die de toezichthoudende autoriteiten voor gegevensbescherming ontvingen, betroffen de beperking van het inzagerecht , het recht op rectificatie of wissing , en het recht op informatie en de beperkingen daarvan . Deze werden gevolgd door klachten in verband met het beginsel van opslagbeperking, op grond waarvan de bevoegde autoriteiten persoonsgegevens niet langer dan noodzakelijk mogen bewaren, en het recht op informatie. 3.2Grotere bewustwording van gegevensbescherming bij de bevoegde autoriteiten De lidstaten melden dat de invoering van de richtlijn rechtshandhaving van grote invloed was — en nog steeds is — op de bewustwording van de bevoegde autoriteiten wat betreft het belang van gegevensbescherming. Verscheidene toezichthoudende autoriteiten voor gegevensbescherming waren van mening dat het grootste effect van de richtlijn was dat zij zich meer bewust zijn geworden van en meer aandacht hebben besteed aan gegevensbeschermingskwesties en de rechten van betrokkenen . Dit bleek ook uit de uitwisselingen tussen de toezichthoudende autoriteiten voor gegevensbescherming en de bevoegde autoriteiten over de rechten van betrokkenen en de regelingen voor de uitoefening van die rechten . Sommige bevoegde autoriteiten meldden dat zij als gevolg daarvan meer middelen voor gegevensbescherming hadden uitgetrokken . Dit omvatte onder meer investeringen in de integratie van het beginsel van privacy door ontwerp en door standaardinstellingen in hun IT-systemen, de vaststelling van bewaartermijnen voor gegevens, de toepassing van het beginsel van gegevensminimalisatie, en de melding van inbreuken. Vervolgens werd gemeld dat de algemene beveiliging van de verwerkte gegevens was verbeterd . Opleidings- en bewustmakingsactiviteiten door toezichthoudende autoriteiten voor gegevensbescherming dragen ook bij tot de goede uitvoering van de richtlijn rechtshandhaving, en de toezichthoudende autoriteiten hebben tot taak de verwerkingsverantwoordelijken en verwerkers bewust te maken van hun verplichtingen uit hoofde van deze richtlijn. Veel toezichthoudende autoriteiten voor gegevensbescherming verhogen de bewustwording door richtsnoeren te publiceren. De verschillende toezichthoudende autoriteiten op het gebied van gegevensbescherming houden zich onder meer bezig met: het bijstaan van de rechterlijke macht, de diensten van het openbaar ministerie en de politiediensten bij de naleving van het verantwoordingsbeginsel; het uitwisselen van persoonsgegevens met de politie; het benoemen van een functionaris voor gegevensbescherming; het uitvoeren van een effectbeoordeling inzake gegevensbescherming; het verwerken van gegevens op strafrechtelijk gebied, zoals georganiseerde misdaad en terrorisme; het bijhouden van registers van verwerkingsactiviteiten en van logbestanden; videobewaking; het verstrekken van informatie aan betrokkenen; het melden van inbreuken in verband met gegevens; het nakomen van verplichtingen door de verwerkingsverantwoordelijken; en het uitoefenen van rechten door personen. Acht toezichthoudende autoriteiten voor gegevensbescherming hebben echter nog geen richtsnoeren en/of praktische instrumenten verstrekt om de bevoegde autoriteiten en de verwerkers te helpen aan hun verplichtingen te voldoen. Voorts hebben twaalf toezichthoudende autoriteiten voor gegevensbescherming geen opleiding verstrekt of bewustmakingsactiviteiten uitgevoerd voor bevoegde autoriteiten of verwerkers in het kader van de richtlijn rechtshandhaving. Onder de toezichthoudende autoriteiten die wel dergelijke activiteiten hebben ondernomen, zijn de meest frequente onderwerpen: gegevensverwerking door de politie, het Openbaar Ministerie, rechterlijke en correctionele autoriteiten; afbakening van de respectieve toepassingsgebieden van de AVG en de richtlijn rechtshandhaving; gebruik van persoonsgegevens van socialemedianetwerken; verwerking van gegevens in politiedossiers; videobewakingstechnieken en big data; behandeling van de rechten van de betrokkene; en de verwerking van persoonsgegevens van gedetineerden . Een andere innovatie van de richtlijn rechtshandhaving is de verplichting voor verwerkingsverantwoordelijken om een functionaris voor gegevensbescherming (data protection officer — DPO) aan te wijzen, die onder meer tot taak heeft te informeren en te adviseren over de voorschriften inzake gegevensbescherming, toe te zien op de naleving van de richtlijn, advies te verstrekken met betrekking tot gegevensbeschermingseffectbeoordelingen en toe te zien op de uitvoering daarvan. Dit heeft ertoe geleid dat de bevoegde autoriteiten zich meer bewust zijn geworden van hun verplichtingen op het gebied van gegevensbescherming. Het heeft bovendien een positief effect gehad op de naleving van de gegevensbeschermingsregels door de bevoegde autoriteiten, zoals ook door de Raad is erkend . Het is belangrijk te investeren in de ontwikkeling en maximalisering van de deskundigheid en kennis van de DPO’s om de bevoegde autoriteiten te helpen de richtlijn rechtshandhaving consequent toe te passen. Daarom heeft de Commissie het netwerk voor functionarissen voor gegevensbescherming van de bevoegde autoriteiten, de agentschappen Justitie en Binnenlandse Zaken en het Europees Openbaar Ministerie opgericht en ondersteunt zij dit. Het netwerk is een permanent initiatief dat gericht is op de toepassing van de richtlijn rechtshandhaving door de bevoegde autoriteiten van de lidstaten. Het wil een platform bieden voor samenwerking en uitwisseling van deskundigheid tussen de DPO’s van de lidstaten. Het Europol-netwerk van deskundigen op het gebied van gegevensbescherming (EDEN) en de nationale netwerken van DPO’s van de bevoegde autoriteiten zijn belangrijke initiatieven die de DPO’s van de bevoegde autoriteiten helpen bij het bevorderen van de uitwisseling van beste praktijken inzake en informatie over de toepassing van de richtlijn rechtshandhaving. 3.3Verbeterde gegevensbeveiliging, maar verschillen in de meldingen van inbreuken in verband met persoonsgegevens De richtlijn rechtshandhaving heeft de beveiliging van persoonsgegevens verbeterd door van de bevoegde autoriteiten te verlangen dat zij maatregelen nemen om specifieke beveiligingsdoelstellingen te verwezenlijken. Zo schrijft de richtlijn voor dat de bevoegde autoriteiten een gegevensbeschermingseffectbeoordeling moeten uitvoeren wanneer een gegevensverwerkende activiteit waarschijnlijk zal leiden tot een hoog risico voor de rechten en vrijheden van de betrokkenen. De effectbeoordelingen omvatten het identificeren van risico’s en maatregelen om deze te beperken. Dit voorschrift, alsmede het afdwingen van de naleving van het beginsel van gegevensbescherming door ontwerp en van gegevensbescherming door standaardinstellingen, en de meldingsplicht voor inbreuken in verband met gegevens, hebben tot een verbetering van de beveiliging van de verwerking van persoonsgegevens geleid . Dit is ook door de Raad erkend die tot de bevinding kwam dat de richtlijn rechtshandhaving het niveau van gegevensbeveiliging heeft verbeterd, onder meer door beveiligingsplannen, actualisering van IT-systemen en organisatorische maatregelen, gegevensbeschermingseffectbeoordelingen en de verplichting voor de bevoegde autoriteiten om registers bij te houden van bepaalde verwerkingsactiviteiten. In de richtlijn rechtshandhaving is bepaald in welke omstandigheden verwerkingsverantwoordelijken aan hun toezichthoudende autoriteit voor gegevensbescherming en de betrokkene een inbreuk in verband met persoonsgegevens moeten melden. Ondanks deze verplichting zijn er grote verschillen in het aantal inbreuken in verband met persoonsgegevens dat sinds de invoering van de richtlijn aan de toezichthoudende autoriteiten voor gegevensbescherming is gemeld . Zes toezichthoudende autoriteiten voor gegevensbescherming gaven te kennen dat zij geen meldingen van inbreuken in verband met persoonsgegevens hadden ontvangen en verscheidene andere meldden dat zij zeer weinig van dergelijke meldingen hadden ontvangen. Zo meldde de Italiaanse autoriteit slechts drie meldingen van inbreuken en de Franse autoriteit acht, terwijl de Nederlandse autoriteit er meer dan 500 meldde. Dit verschil in het aantal gemelde inbreuken in verband met persoonsgegevens wijst erop (rekening houdend met factoren zoals bevolkingsomvang) dat er tussen de bevoegde autoriteiten van de lidstaten uiteenlopende praktijken lijken te bestaan met betrekking tot wat als een inbreuk wordt beschouwd en wanneer deze aan een toezichthoudende autoriteit voor gegevensbescherming moet worden gemeld. De Commissie heeft hier ook op gewezen in haar verslag over de AVG. Het EDPB heeft onlangs richtsnoeren over inbreuken in het kader van de AVG gepubliceerd . Deze richtsnoeren zijn weliswaar niet rechtstreeks van toepassing, maar zijn ook van belang voor inbreuken in verband met gegevens in het kader van de richtlijn rechtshandhaving. Zij moeten daarom bijdragen tot een meer uniforme aanpak van inbreuken in het kader van de richtlijn rechtshandhaving in de lidstaten. 3.4Toezicht door toezichthoudende autoriteiten voor gegevensbescherming 3.4.1Middelen van de toezichthoudende autoriteiten voor gegevensbescherming Alle gegevensbeschermingsautoriteiten moeten — als essentiële voorwaarde voor hun onafhankelijkheid — kunnen beschikken over de personele, technische en financiële middelen, en de dienstruimten en infrastructuur die noodzakelijk zijn voor het effectief uitvoeren van hun taken en uitoefenen van hun bevoegdheden. De Commissie heeft voortdurend benadrukt dat de lidstaten verplicht zijn voldoende personele, financiële en technische middelen ter beschikking te stellen van de toezichthoudende autoriteiten voor gegevensbescherming. Ook de Raad heeft de lidstaten specifiek opgeroepen om voldoende personele, technische en financiële middelen toe te wijzen aan de toezichthoudende autoriteiten voor gegevensbescherming. De algemene toename van het personeel van de toezichthoudende autoriteiten voor gegevensbescherming in de afgelopen jaren lijkt echter geen betrekking te hebben op taken in verband met de richtlijn rechtshandhaving. Bij de helft van de toezichthoudende autoriteiten voor gegevensbescherming is het aantal personeelsleden dat zich met de richtlijn rechtshandhaving bezighoudt, gelijk gebleven of zelfs gedaald. Eventuele verhogingen waren zeer bescheiden en betroffen gemiddeld minder dan twee voltijdequivalenten (vte’s). Bij bijna de helft van de toezichthoudende autoriteiten voor gegevensbescherming (waaronder die met een totaal aantal werknemers van meer dan 100 vte’s) werkt minder dan 1 % tot 7 % van het totale personeelsbestand aan de richtlijn rechtshandhaving. In absolute cijfers wijst ongeveer de helft van de toezichthoudende autoriteiten voor gegevensbescherming tussen 1 en 4 vte’s toe aan taken in het kader van de richtlijn rechtshandhaving, terwijl acht toezichthoudende autoriteiten voor gegevensbescherming tussen 7 en 15 vte’s aan deze taken toewijzen. Eén toezichthoudende autoriteit voor gegevensbescherming heeft echter aan 53 vte’s taken in het kader van de richtlijn rechtshandhaving toegewezen. Ook het EDPB-secretariaat heeft minder dan 1,5 vte toegewezen aan kwesties die volledig verband houden met de richtlijn rechtshandhaving. Deze situatie is niet bevredigend, ook al hebben tien toezichthoudende autoriteiten voor gegevensbescherming aangegeven dat zij over voldoende financiële, personele en technische middelen beschikken. Anderzijds meenden 16 toezichthoudende autoriteiten voor gegevensbescherming over onvoldoende middelen te beschikken. Sommige van deze autoriteiten merkten op dat dit een negatieve invloed had op hun onderzoeken op eigen initiatief, de behandeling van klachten, de inspectie van grootschalige IT-systemen (SIS, VIS) en het uitbrengen van adviezen op eigen initiatief. De specifieke kenmerken van de sector leiden er immers toe dat een doeltreffende handhaving van de richtlijn rechtshandhaving een systematische inspectie vereist van vaak complexe verwerkingsactiviteiten, en dat het niet volstaat te vertrouwen op individuele klachten (die veel minder talrijk zijn dan voor de AVG). Bovendien hebben de toezichthoudende autoriteiten voor gegevensbescherming gewezen op het gebrek aan IT-expertise om de steeds grotere complexiteit van de IT-technologieën die op het gebied van rechtshandhaving worden gebruikt, aan te pakken.

3.4.2Gebruik van bevoegdheden Gebruik van corrigerende bevoegdheden In totaal hebben 19 toezichthoudende autoriteiten voor gegevensbescherming hun onderzoeksbevoegdheden uitgeoefend, hetzij op eigen initiatief, hetzij op basis van een klacht. De toezichthoudende autoriteiten voor gegevensbescherming maakten slechts in een zeer klein aantal gevallen melding van moeilijkheden (bijvoorbeeld wanneer een verwerkingsverantwoordelijke niet alle relevante informatie verstrekte of de toegang tot informatie weigerde). Dezelfde 19 toezichthoudende autoriteiten voor gegevensbescherming hebben ook gebruikgemaakt van hun corrigerende bevoegdheden. De verreweg meest gebruikte bevoegdheid was het afgeven van bevelen om de verwerking in overeenstemming te brengen met de wet, met inbegrip van bevelen om persoonsgegevens te rectificeren of te wissen of de verwerking ervan te beperken. De toezichthoudende autoriteiten voor gegevensbescherming hebben in 114 gevallen van deze bevoegdheid gebruikgemaakt. Het feit dat deze bevoegdheid om een tijdelijke of definitieve beperking (met inbegrip van een verbod) van de verwerking te gelasten slechts in vier gevallen werd gebruikt, toont aan dat de toezichthoudende autoriteiten voor gegevensbescherming deze bevoegdheden zorgvuldig hebben gebruikt. Gebruik van adviesbevoegdheden Systematisch voorafgaand overleg plegen en de toezichthoudende autoriteiten voor gegevensbescherming om advies vragen over ontwerpen van wettelijke en bestuursrechtelijke maatregelen zijn doeltreffende middelen om een hoog niveau van bescherming van het recht op de bescherming van persoonsgegevens te waarborgen en het aantal klachten achteraf te verminderen. Voorafgaande raadpleging van de toezichthoudende autoriteiten voor gegevensbescherming is met name belangrijk bij het gebruik van nieuwe technologieën die een aanzienlijke impact kunnen hebben op de grondrechten. De helft van de toezichthoudende autoriteiten voor gegevensbescherming meldde te zijn geraadpleegd over effectbeoordelingen op het gebied van gegevensbescherming. Het aantal voorafgaande raadplegingen verschilt van lidstaat tot lidstaat. Sommige autoriteiten werden slechts één keer geraadpleegd, terwijl een andere autoriteit 59 keer vooraf werd geraadpleegd. In de meeste van deze gevallen hebben de toezichthoudende autoriteiten voor gegevensbescherming schriftelijk advies verstrekt en in sommige gevallen gebruikgemaakt van hun corrigerende bevoegdheden ten aanzien van de verwerking — zij hebben met name waarschuwingen gegeven of maatregelen gelast om de gegevensverwerking in overeenstemming met de wet te brengen. In één geval heeft de toezichthoudende autoriteit voor gegevensbescherming een negatief advies uitgebracht, dat hetzelfde effect lijkt te hebben gehad als een verwerkingsverbod. Voorts blijkt dat de toezichthoudende autoriteiten voor gegevensbescherming ook buiten de procedure van voorafgaande raadpleging verzoeken om advies behandelen. Het meest voorkomende type kwestie waarover de bevoegde autoriteiten de toezichthoudende autoriteiten voor gegevensbescherming om advies verzochten, had betrekking op specifieke vormen van verwerking (met name het gebruik van nieuwe technologieën, mechanismen of procedures, op de voet gevolgd door passende beveiligingsmaatregelen, de verwerking van bijzondere categorieën persoonsgegevens, de vaststelling van de rechtsgrondslag voor de verwerking, het beginsel van opslagbeperking en passende opslagtermijnen). Voorts hebben 22 toezichthoudende autoriteiten voor gegevensbescherming advies uitgebracht aan hun nationale parlementen en regeringen over wetgevende en bestuursrechtelijke maatregelen in verband met de verwerking van persoonsgegevens. Verscheidene gaven aan af en toe te worden geraadpleegd. 3.4.3Rechterlijke toetsing van het optreden van de toezichthoudende autoriteiten voor gegevensbescherming Bijna de helft van de toezichthoudende autoriteiten voor gegevensbescherming gaf aan dat zij in een klein aantal gevallen te maken kregen met gerechtelijke procedures betreffende hun besluiten of het uitblijven van maatregelen. De procedures werden hoofdzakelijk ingeleid door de betrokkenen en in een paar gevallen door de bevoegde autoriteiten. Verscheidene zaken werden door de rechter niet-ontvankelijk verklaard of werden door de verzoekers ingetrokken. De rechtbank bevestigde het besluit van de toezichthoudende autoriteit voor gegevensbescherming in de meeste van de resterende gevallen, maar maakte het in enkele gevallen ongedaan (en andere zaken zijn nog hangende). Vanwege het geringe aantal uitspraken tot dusver kan nog geen duidelijke tendens worden vastgesteld. 3.4.4Richtsnoeren van het EDPB Voor een doeltreffende justitiële samenwerking in strafzaken en een doeltreffende politiële samenwerking zijn samenhang en een hoge mate van bescherming tussen de lidstaten van essentieel belang. De richtlijn rechtshandhaving bepaalt dat het EDPB richtsnoeren, aanbevelingen en beste praktijken moet uitvaardigen (op eigen initiatief of op verzoek van de Commissie) om ervoor te zorgen dat de lidstaten de richtlijn consequent toepassen. Het EDPB heeft richtsnoeren met betrekking tot de richtlijn rechtshandhaving opgesteld die specifiek zijn voor hoofdstuk V (internationale doorgiften), evenals richtsnoeren over het gebruik van gezichtsherkenningstechnologieën, en (in haar vroegere hoedanigheid van Groep gegevensbescherming artikel 29) een advies over een aantal kernkwesties van de richtlijn rechtshandhaving. Veel van de richtsnoeren van het EDPB inzake de AVG zijn ook relevant voor de richtlijn rechtshandhaving, voor zover zij berusten op gemeenschappelijke begrippen of technologieën. Dat geldt onder meer voor de richtsnoeren over de begrippen verwerkingsverantwoordelijke en verwerker, over de rechten van betrokkenen, over de melding van inbreuken in verband met persoonsgegevens, over gegevensbeschermingseffectbeoordelingen, over gegevensbescherming door ontwerp en door standaardinstellingen, en over geautomatiseerde individuele besluitvorming. Het opstellen van alomvattende en praktische richtsnoeren vergt veel werk en middelen, maar richtsnoeren zijn van essentieel belang (zoals ook de Raad heeft opgemerkt). Het is daarom zeer positief dat het EDPB heeft aangekondigd binnenkort aanvullende richtsnoeren te verstrekken, onder meer over het concept van de effectieve onderzoeks- en corrigerende bevoegdheden van de toezichthoudende autoriteiten voor gegevensbescherming, en over internationale doorgiften die passende waarborgen moeten bieden. Door de EDPB-richtsnoeren kan ook de werklast van de toezichthoudende autoriteiten voor gegevensbescherming worden verminderd (bv. taken zoals advies verstrekken aan verwerkingsverantwoordelijken of de behandeling van klachten). Zo behoren verschillende van de kwesties die in het advies van de Groep gegevensbescherming artikel 29 met betrekking tot enkele kernpunten van de richtlijn worden behandeld (zoals passende termijnen, de rechtsgrondslag van de verwerking, voorwaarden voor de verwerking van bijzondere categorieën van gegevens) ook tot de meest voorkomende kwesties waarover de bevoegde autoriteiten de toezichthoudende autoriteiten voor gegevensbescherming om advies hebben gevraagd. 3.4.5Wederzijdse bijstand Met het oog op een consequente toepassing van de richtlijn rechtshandhaving moeten de toezichthoudende autoriteiten voor gegevensbescherming elkaar wederzijdse bijstand bieden. Dit omvat bijstand in de vorm van verzoeken om informatie en verzoeken om raadplegingen, inspecties en onderzoeken. Tot dusver is echter zeer zelden gebruikgemaakt van wederzijdse bijstand. Slechts zes toezichthoudende autoriteiten voor gegevensbescherming hebben er gebruik van gemaakt, hoofdzakelijk in antwoord op verzoeken om informatie van andere toezichthoudende autoriteiten voor gegevensbescherming. De meeste toezichthoudende autoriteiten voor gegevensbescherming hebben aangegeven slechts één verzoek om informatie te hebben ontvangen. Al deze toezichthoudende autoriteiten voor gegevensbescherming meldden dat zij aan het desbetreffende verzoek hadden voldaan. Ook van de vrijwillige wederzijdse bijstand, waarvoor geen wettelijke termijn of strikte verplichting om hierop te antwoorden geldt, is geen gebruikgemaakt. Het EDPB heeft verklaard richtsnoeren te publiceren over het kader voor wederzijdse bijstand uit hoofde van de AVG en de richtlijn rechtshandhaving. 3.5Flexibel instrument voor internationale doorgifte van gegevens

Hoofdstuk V van de richtlijn rechtshandhaving heeft betrekking op de doorgifte van persoonsgegevens aan bevoegde autoriteiten in derde landen en internationale organisaties. Dit hoofdstuk waarborgt in wezen dat er continuïteit van bescherming is wanneer persoonsgegevens voor rechtshandhavingsdoeleinden vanuit een lidstaat worden doorgegeven aan een derde land of een internationale organisatie. Zoals hierboven is aangegeven, is die continuïteit van bescherming een belangrijke voorwaarde voor een snelle, doeltreffende en rechtszekere samenwerking tussen vertrouwde partners op het gebied van rechtshandhaving. Krachtens de desbetreffende voorschriften van de richtlijn rechtshandhaving moeten internationale doorgiften tussen bevoegde autoriteiten in de zin van de richtlijn rechtshandhaving met name gebaseerd zijn op een van de verschillende instrumenten van doorgifte die in de artikelen 36 tot en met 38 van de richtlijn worden genoemd (wanneer de gegevens afkomstig zijn uit een andere lidstaat, is voor de doorgifte ook de voorafgaande toestemming van die lidstaat vereist). Deze instrumenten omvatten besluiten waarbij een passend beschermingsniveau wordt vastgesteld, doorgiften op basis van passende waarborgen en afwijkingen voor specifieke gevallen. Artikel 39 van de richtlijn rechtshandhaving staat ook rechtstreekse doorgifte toe aan ontvangers in derde landen die geen strafrechtelijke rechtshandhavingsautoriteiten zijn, in afzonderlijke en specifieke gevallen, en onder verschillende voorwaarden. 3.5.1Adequaatheidsbesluiten De Commissie heeft haar werkzaamheden versneld om het volledige potentieel van de in het kader van de richtlijn rechtshandhaving beschikbare instrumenten te verwezenlijken. Zo is in juni 2021 met het Verenigd Koninkrijk voor het eerst een “adequaatheidsbesluit” vastgesteld betreffende gegevensverwerking voor rechtshandhavingsdoeleinden in het kader van artikel 36 van de richtlijn . Dit adequaatheidsbesluit maakt een veilig en vrij verkeer van persoonsgegevens naar de bevoegde autoriteiten van het betrokken derde land mogelijk, zonder dat verdere waarborgen of specifieke toestemming nodig zijn (tenzij een andere lidstaat waarvan de gegevens zijn verkregen zijn toestemming moet geven voor de doorgifte ). Het adequaatheidsbesluit voor het Verenigd Koninkrijk van juni 2021 is een cruciaal fundament voor politiële en justitiële samenwerking na de brexit, die volgens de handels- en samenwerkingsovereenkomst tussen de EU en het Verenigd Koninkrijk is gebaseerd op de “jarenlange inzet van de Partijen om een hoog niveau van bescherming van persoonsgegevens te waarborgen” . Overeenkomstig artikel 36, lid 4, van de richtlijn rechtshandhaving houdt de Commissie toezicht op elke ontwikkeling in het rechtskader van het Verenigd Koninkrijk die mogelijk invloed zou kunnen hebben op dit adequaatheidsbesluit. Dit adequaatheidsbesluit met het Verenigd Koninkrijk geldt voor een periode van vier jaar vanaf de inwerkingtreding ervan, die in beginsel met nog eens vier jaar kan worden verlengd indien uit het toezicht van de Commissie blijkt dat het Verenigd Koninkrijk nog steeds een adequaat beschermingsniveau handhaaft . Daarnaast heeft het EDPB ook bijgedragen aan de ontwikkeling van dit instrument door de wettelijke norm te verduidelijken door middel van richtsnoeren over de elementen die in aanmerking moeten worden genomen bij de beoordeling van adequaatheid in het kader van rechtshandhaving, met de publicatie van de adequaatheidsreferentie in het kader van de richtlijn rechtshandhaving . Het derde land moet met name zorgen voor afdwingbare individuele rechten, doeltreffende gerechtelijke beroepsmogelijkheden en onafhankelijk toezicht. De Commissie houdt zich actief bezig met de bevordering van mogelijke adequaatheidsvaststellingen met andere belangrijke internationale partners, met name met die landen waarmee nauw en snel moet worden samengewerkt bij de bestrijding van criminaliteit en terrorisme en waarmee reeds op grote schaal persoonsgegevens worden uitgewisseld. Tot dusver zijn er nog geen andere adequaatheidsbesluiten vastgesteld, maar dat komt vooral omdat dit instrument nog maar onlangs is ingevoerd. Bovendien begint de wereldwijde convergentie van de gegevensbeschermingsregels op het gebied van strafrechtelijke rechtshandhaving, anders dan voor de gegevensverwerking door commerciële marktdeelnemers, zich nu pas te ontwikkelen (bijvoorbeeld door multilaterale regelingen zoals het gemoderniseerde Verdrag 108 van de Raad van Europa of het tweede aanvullend protocol bij het Verdrag van Boedapest inzake cybercriminaliteit). Niettemin zal de ervaring die is opgedaan met de vaststelling van het adequaatheidsbesluit met het Verenigd Koninkrijk helpen de weg te effenen voor soortgelijke initiatieven in de komende jaren. De Commissie zal, als onderdeel van haar internationale strategie, andere mogelijke kandidaten voor toekomstige adequaatheidsbesluiten in het kader van de richtlijn rechtshandhaving onderzoeken en zal dit in rechtstreeks contact doen met de andere relevante EU-instellingen en -organen. Daartoe zal de Commissie, overeenkomstig overweging 68 van de richtlijn rechtshandhaving, nauwlettend toezien op de internationale verplichtingen van de beoordeelde landen met betrekking tot de bescherming van persoonsgegevens, met inbegrip van de toetreding tot de voornoemde multilaterale regelingen of tot andere rechtshandhavingsinstrumenten die passende waarborgen voor gegevensbescherming bieden. 3.5.2Passende waarborgen De richtlijn rechtshandhaving bevat andere instrumenten voor doorgifte naast de alomvattende oplossing van een adequaatheidsbesluit. De flexibiliteit van deze “toolbox” komt tot uiting in artikel 37 van de richtlijn, dat de doorgifte van gegevens regelt op basis van “passende waarborgen” ten aanzien van de bescherming van persoonsgegevens. Dergelijke passende waarborgen kunnen worden geboden door middel van een juridisch bindend instrument, of wanneer de verwerkingsverantwoordelijke, op basis van een beoordeling van alle omstandigheden rond de doorgifte, tot de conclusie komt dat er sprake is van passende waarborgen (de zogenoemde “eigen beoordeling” voor doorgiften). In de eerste jaren van de toepassing van de richtlijn rechtshandhaving heeft de Commissie met name gewerkt aan juridisch bindende instrumenten in de vorm van internationale overeenkomsten die passende waarborgen bieden. Dergelijke overeenkomsten spelen een belangrijke rol bij zowel “traditionele” vormen van samenwerking op het gebied van rechtshandhaving (d.w.z. samenwerking tussen bevoegde autoriteiten), als bij andere vormen hiervan (d.w.z. samenwerking waarbij derde partijen zoals particuliere ondernemingen betrokken zijn). Zij kunnen ook dienen als basis voor de doorgifte van gegevens door Europol en Eurojust op grond van hun respectieve rechtskaders, waarvan de regels inzake internationale doorgifte sterk lijken op die van de richtlijn rechtshandhaving. Wat de traditionele vormen van samenwerking op het gebied van rechtshandhaving betreft, is de Commissie bezig met de herziening van internationale overeenkomsten die vóór de inwerkingtreding van de richtlijn rechtshandhaving zijn gesloten, om ervoor te zorgen dat deze in overeenstemming zijn met de gemoderniseerde gegevensbeschermingsregeling van de EU . Ten eerste beoordeelt de Commissie de gegevensbeschermingsbepalingen in de bestaande samenwerkingsovereenkomsten van Europol met derde landen die vóór 1 mei 2017 zijn gesloten, zoals haar is opgedragen bij Verordening (EU) 2016/794 betreffende het Agentschap van de Europese Unie voor samenwerking op het gebied van rechtshandhaving (hierna “de Europol-verordening”) . Overeenkomstig artikel 9 van protocol nr. 36 bij het Verdrag betreffende de Europese Unie en het VWEU (betreffende overgangsbepalingen) blijven de rechtsgevolgen van deze overeenkomsten gehandhaafd totdat deze overeenkomsten zijn ingetrokken, nietig verklaard of gewijzigd . De Commissie zal het Europees Parlement en de Raad op de hoogte brengen van het resultaat van deze beoordeling en zal, in voorkomend geval, bij de Raad een aanbeveling indienen voor een besluit houdende machtiging tot het openen van onderhandelingen om de respectieve overeenkomst(en) te wijzigen overeenkomstig artikel 218 VWEU. Dit is een complexe taak, die de beoordeling van 18 overeenkomsten omvat en vertraging heeft opgelopen door de verstoringen als gevolg van de COVID-19-pandemie. De Commissie verwacht haar beoordeling in de tweede helft van 2022 te kunnen afronden. De samenhang van alle samenwerkingsmechanismen op het gebied van rechtshandhaving met de regels van de richtlijn rechtshandhaving is een leidend beginsel dat door de Commissie ook wordt gevolgd bij onderhandelingen over nieuwe overeenkomsten voor de doorgifte van persoonsgegevens door Europol aan derde landen of internationale organisaties. Sinds de huidige Europol-verordening in 2017 in werking is getreden, is artikel 218 VWEU de rechtsgrondslag voor dergelijke internationale overeenkomsten die passende waarborgen bieden. In 2018 en 2019 heeft de Raad negen mandaten voor de Commissie vastgesteld om namens de EU onderhandelingen met derde landen te beginnen. De Commissie is ook gemachtigd om onderhandelingen te beginnen over een samenwerkingsovereenkomst met Interpol die betrekking heeft op de uitwisseling van gegevens met verschillende EU-organen en -agentschappen. In al deze gevallen heeft de Raad onderhandelingsrichtsnoeren aan de Commissie verschaft om ervoor te zorgen dat de nodige waarborgen voor de bescherming van persoonsgegevens en andere fundamentele rechten en vrijheden van personen worden opgenomen. Op basis daarvan heeft de Commissie de onderhandelingen met Nieuw-Zeeland al afgerond, wat heeft geleid tot de ondertekening van een samenwerkingsovereenkomst op 30 juni 2022. Daarnaast is vooruitgang geboekt in de onderhandelingen met Israël. Wat Turkije betreft, zijn de onderhandelingen in een vergevorderd stadium, maar zij kunnen pas worden afgesloten wanneer Turkije de nodige hervormingen van zijn gegevensbeschermingswetgeving heeft vastgesteld. In maart 2021 zijn soortgelijke machtigingen verleend voor onderhandelingen over samenwerkingsovereenkomsten om de uitwisseling van gegevens door Eurojust met 13 derde landen mogelijk te maken. Ten tweede voert de Commissie de eerste gezamenlijke evaluatie uit van de overeenkomst tussen de Verenigde Staten van Amerika en de Europese Unie inzake de bescherming van persoonsgegevens in verband met de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten (de “raamovereenkomst”). De raamovereenkomst, die in februari 2017 in werking is getreden, bevat een uitgebreide en geharmoniseerde reeks gegevensbeschermingsregels die van toepassing zijn op alle trans-Atlantische uitwisselingen tussen bevoegde autoriteiten. Zij vormt een aanvulling op bestaande overeenkomsten tussen rechtshandhavingsinstanties van de EU en de VS en tussen rechtshandhavingsinstanties van de EU-lidstaten en de VS, stelt een norm vast voor een hoge mate van bescherming voor toekomstige overeenkomsten op dit gebied, en versterkt de samenwerking op het gebied van rechtshandhaving door de uitwisseling van informatie te bevorderen. De gezamenlijke evaluatie heeft tot doel de doeltreffende uitvoering van de raamovereenkomst te beoordelen, met name wat betreft de bepalingen inzake verdere doorgifte, individuele rechten en beroepsmogelijkheden. Het tijdschema voor de gezamenlijke evaluatie werd beïnvloed door de verstoringen in verband met de COVID-19-pandemie, alsook door de gelijktijdige onderhandelingen over het tweede aanvullend protocol bij het Verdrag van Boedapest inzake cybercriminaliteit van de Raad van Europa . De Commissie verwacht dat de evaluatie in de tweede helft van 2022 wordt afgerond. Als eerste bilaterale internationale overeenkomst met een brede catalogus van rechten en verplichtingen inzake gegevensbescherming is de raamovereenkomst een referentiepunt voor onderhandelingen over soortgelijke kaderovereenkomsten met belangrijke partners op het gebied van strafrechtelijke handhaving. Daarbij zal de Commissie ook rekening houden met relevante ontwikkelingen, waaronder het EDPB-richtsnoeren, jurisprudentie van het HvJ-EU en de resultaten van internationale onderhandelingen over gegevensbeschermingswaarborgen op dit gebied (bijvoorbeeld het tweede aanvullend protocol bij het Verdrag van Boedapest inzake cybercriminaliteit of de overeenkomst van Europol met Nieuw-Zeeland). Ten derde heeft de Commissie de overeenkomst tussen de Europese Unie en Japan betreffende wederzijdse rechtshulp in strafzaken aangemerkt als een EU-besluit dat de verwerking (doorgiften) van gegevens voor strafrechtelijke rechtshandhavingsdoeleinden regelt en dat moet worden gewijzigd om te zorgen voor passende gegevensbeschermingswaarborgen die in overeenstemming zijn met de richtlijn rechtshandhaving. Na de vaststelling door de Raad van een besluit houdende machtiging tot het openen van onderhandelingen over de wijziging van de Overeenkomst tussen de EU en Japan betreffende wederzijdse rechtshulp in strafzaken, blijft de Commissie contact onderhouden met de Japanse autoriteiten teneinde de onderhandelingen zo spoedig mogelijk te beginnen. Bovendien wordt nu ook steeds meer een beroep gedaan op andere vormen van samenwerking, die zijn aangepast aan de specifieke uitdagingen en behoeften van strafrechtelijke onderzoeken in de huidige digitale economie. Het gaat daarbij voornamelijk om nauwere samenwerking op het gebied van cybercriminaliteit en om het verzamelen van bewijsmateriaal in elektronische vorm met betrekking tot strafbare feiten. Deze samenwerking omvat ook rechtstreekse samenwerking met particuliere partijen voor de toegang tot elektronisch bewijsmateriaal. De Commissie heeft eveneens banden gelegd met internationale partners om ervoor te zorgen dat deze andere (belangrijke) vormen van samenwerking kunnen plaatsvinden op basis van passende waarborgen inzake gegevensbescherming. Ten eerste heeft de Commissie de EU vertegenwoordigd bij de onderhandelingen in het kader van de Raad van Europa over een tweede aanvullend protocol bij het Verdrag van Boedapest inzake cybercriminaliteit . Het protocol, dat op 17 november 2021 door het Comité van ministers van de Raad van Europa is goedgekeurd, bevat solide waarborgen voor de bescherming van de grondrechten, waaronder een artikel met gedetailleerde bepalingen over de bescherming van persoonsgegevens die in het kader van het protocol worden doorgegeven. Deze bepalingen bestrijken alle essentiële beginselen, rechten en verplichtingen inzake gegevensbescherming die in het EU-recht zijn erkend. Deze waarborgen worden aangevuld met een bepaling inzake toezicht en met de mogelijkheid om doorgiften op te schorten in geval van systematische of wezenlijke inbreuk op de waarborgen van het protocol, bijvoorbeeld het ontbreken van doeltreffende rechtsmiddelen. Met deze bepalingen worden passende waarborgen geboden die in overeenstemming zijn met de voorschriften van artikel 37, lid 1, punt a), van de richtlijn rechtshandhaving . Dit is een noemenswaardige prestatie gezien de uiteenlopende juridische achtergronden en tradities van de momenteel 66 verdragsluitende staten bij het Verdrag van Boedapest. Het zal de bevoegde autoriteiten van de lidstaten in staat stellen te profiteren van doeltreffende grensoverschrijdende samenwerking bij de bestrijding van cybercriminaliteit, terwijl tegelijkertijd de inachtneming van de EU-waarden, zoals weergegeven in het EU-Handvest van de grondrechten, de EU-Verdragen en het afgeleide recht van de EU, wordt gewaarborgd. Gezien het grote aantal partijen bij het Verdrag van Boedapest, waartoe momenteel landen uit de hele wereld behoren, zal het protocol ook bijdragen tot de bevordering van strenge gegevensbeschermingsnormen voor de verwerking van gegevens op het gebied van strafrechtelijke rechtshandhaving op mondiaal niveau. Het protocol is op 12 mei 2022 voor ondertekening opengesteld en in totaal hebben 22 partijen bij het Verdrag van Boedapest (waaronder 13 EU-lidstaten) het reeds ondertekend. Ten tweede is de Commissie onderhandelingen begonnen over een bilaterale overeenkomst met de Verenigde Staten betreffende grensoverschrijdende toegang tot elektronisch bewijsmateriaal ten behoeve van justitiële samenwerking in strafzaken. Deze overeenkomst heeft betrekking op elektronisch bewijsmateriaal dat al dan niet persoonsgebonden gegevens betreft, met inbegrip van verkeers- en inhoudsgegevens. Een belangrijk punt is dat de onderhandelingen ook gericht zijn op de opneming van verdere waarborgen inzake gegevensbescherming, die de waarborgen van de raamovereenkomst zouden aanvullen, waarbij met name rekening wordt gehouden met de gevoeligheid van de betrokken categorieën gegevens, alsmede met de eisen die worden gesteld aan de rechtstreekse overdracht van elektronisch bewijsmateriaal door dienstverleners. De voortgang van deze onderhandelingen zal grotendeels afhangen van de voortgang bij het lopende wetgevingsproces betreffende het pakket elektronisch bewijsmateriaal van de EU . Deze verschillende initiatieven van de Commissie om internationale instrumenten te ontwikkelen die de samenwerking op het gebied van rechtshandhaving met internationale partners vergemakkelijken en tegelijkertijd passende waarborgen voor gegevensbescherming bieden, zijn ondersteund door de werkzaamheden van het EDPB en de EDPS. Deze werkzaamheden omvatten onder meer de verklaring van het EDPB over het ontwerp van een tweede aanvullend protocol bij het Verdrag van Boedapest en de adviezen van de EDPS over de ontwerponderhandelingsmandaten voor internationale overeenkomsten uit hoofde van artikel 218 VWEU, die Europol en Eurojust in staat zouden stellen persoonsgegevens uit te wisselen met derde landen of internationale organisaties . Het EDPB heeft ook een verklaring afgelegd waarin de lidstaten wordt verzocht internationale overeenkomsten die internationale doorgifte van persoonsgegevens behelzen, te evalueren en, waar nodig, te herzien . Deze verklaring heeft betrekking op overeenkomsten die vóór 6 mei 2016 zijn gesloten, ook op het gebied van strafrechtelijke rechtshandhaving, en verzoekt de lidstaten te bepalen of verdere afstemming op de EU-wetgeving inzake gegevensbescherming en jurisprudentie is vereist.

Artikel 37 van de richtlijn rechtshandhaving staat ook internationale doorgifte van gegevens toe op basis van een eigen beoordeling door een bevoegde autoriteit van de vraag of een derde land (of een internationale organisatie) passende waarborgen voor gegevensbescherming heeft. In deze gevallen moet de autoriteit de doorgifte documenteren (met inbegrip van de datum en het tijdstip, informatie over de ontvangende autoriteit, de reden voor de doorgifte en de doorgegeven persoonsgegevens zelf) en moet de documentatie desgevraagd ter beschikking van de toezichthoudende autoriteit worden gesteld (artikel 37, lid 3, richtlijn rechtshandhaving). Uit de door de lidstaten verstrekte feedback blijkt dat dit instrument zelden is gebruikt. Om de lidstaten in staat te stellen ten volle gebruik te maken van de instrumenten van de richtlijn rechtshandhaving, is het van belang dat het EDPB zijn lopende werkzaamheden met betrekking tot de verschillende mechanismen voor doorgifte versterkt. Het moet onder meer richtsnoeren verstrekken over de in artikel 37, lid 1, van de richtlijn opgenomen mechanismen, met name over doorgiften op basis van eigen beoordelingen door de bevoegde autoriteiten. Ook de Raad heeft op deze noodzaak gewezen. 3.5.3Gebruik van afwijkingen Tot slot bieden de zogenoemde “afwijkingen” een belangrijke grond voor doorgiften onder bepaalde voorwaarden, welke zijn neergelegd in artikel 38 van de richtlijn rechtshandhaving. Deze voorwaarden zorgen voor een evenwicht tussen privacyoverwegingen en de operationele behoeften van de bevoegde autoriteiten. Met name krachtens artikel 38, lid 1, worden doorgiften, en zelfs categorieën van doorgiften, van persoonsgegevens toegelaten indien dit noodzakelijk is om een onmiddellijke en ernstige bedreiging van de openbare veiligheid te voorkomen of, in afzonderlijke gevallen, voor de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten. In tegenstelling tot afwijkingen op grond van artikel 49 AVG, bestaan er momenteel geen richtsnoeren voor afwijkingen op grond van artikel 38 van de richtlijn rechtshandhaving. 3.5.4Doeltreffende grensoverschrijdende politiële en justitiële samenwerking De richtlijn rechtshandhaving is een internationaal referentiepunt geworden voor gegevensbescherming in het kader van rechtshandhaving en heeft als katalysator gewerkt voor landen over de hele wereld om de invoering van moderne privacyregels op dit gebied te overwegen. Dit is een zeer positieve ontwikkeling, die nieuwe mogelijkheden biedt om personen in de EU beter te beschermen wanneer hun gegevens voor rechtshandhavingsdoeleinden naar het buitenland worden doorgegeven, en tegelijkertijd gegevensstromen vergemakkelijkt die kunnen helpen bij de bestrijding van criminaliteit. Meer in het algemeen is het van belang ervoor te zorgen dat wanneer ondernemingen die actief zijn op de Europese markt verzoeken om rechtstreekse samenwerking ontvangen om gegevens te delen voor rechtshandhavingsdoeleinden, zij hieraan gehoor kunnen geven zonder met wetsconflicten te maken te krijgen en met volledige inachtneming van de grondrechten van de EU . Om dergelijke doorgiften te verbeteren, streeft de Commissie ernaar samen met haar internationale partners passende rechtskaders te ontwikkelen om wetsconflicten te voorkomen en doeltreffende vormen van samenwerking te ondersteunen, met name door voor de nodige waarborgen inzake gegevensbescherming te zorgen en zo bij te dragen tot een doeltreffendere bestrijding van criminaliteit. Tegen deze achtergrond heeft de Commissie zich via bilaterale, regionale en multilaterale betrekkingen actief ingezet voor de internationale convergentie van gegevensbeschermingsnormen voor samenwerking op het gebied van strafrechtelijke rechtshandhaving. Tijdens de dialogen met verschillende buitenlandse partnerlanden over de lopende hervormingen van de gegevensbeschermingswetgeving hebben de diensten van de Commissie zich op verschillende manieren ingezet (bv. bijdragen in het kader van openbare raadplegingen, deelname aan parlementaire hoorzittingen en speciale bijeenkomsten met regeringsvertegenwoordigers en beleidsmakers) voor de ontwikkeling van regels inzake de verwerking van persoonsgegevens door bevoegde autoriteiten. In regionaal en multilateraal verband steunt de Commissie bijvoorbeeld projecten voor capaciteitsopbouw in het kader van de uitvoering van het Verdrag van Boedapest inzake cybercriminaliteit van de Raad van Europa . Deze projecten omvatten het programma GLACY+ ter versterking van de capaciteit van staten om wetgeving inzake cybercriminaliteit toe te passen en hun vermogen tot doeltreffende internationale samenwerking overeenkomstig het Verdrag van Boedapest en de aanvullende protocollen te vergroten. Dit omvat ook de ontwikkeling van wetgeving inzake gegevensbescherming voor gegevensverwerking op dit gebied. Het programma ondersteunt momenteel 17 prioritaire en hub-landen in Afrika, Azië en de Stille Oceaan, Latijns-Amerika en het Caribisch gebied. De Commissie werkt ook samen met Ameripol, een organisatie voor politiesamenwerking waarin 18 landen van Latijns-Amerika zijn verenigd, met het oog op de ontwikkeling van een gegevensbeschermingskader voor de uitwisseling van informatie tussen Ameripol en haar lidstaten. Deze samenwerking vindt plaats via “EL PAcCTO: Support to Ameripol”, een project dat tot doel heeft de internationale samenwerking tussen de politiële, justitiële en openbare ministeries van de partnerlanden bij de bestrijding van de georganiseerde misdaad te verbeteren. De Commissie bevordert ook het gemoderniseerde Verdrag 108 (bekend als Verdrag 108+), dat eveneens van toepassing is op gegevensverwerkingsactiviteiten voor strafrechtelijke rechtshandhavingsdoeleinden. Dit verdrag, dat ook openstaat voor niet-leden van de Raad van Europa, is niet alleen belangrijk omdat het de enige multilaterale bindende overeenkomst inzake gegevensbescherming is, maar ook omdat het via zijn Verdragscomité een forum biedt voor de uitwisseling van beste praktijken en de vaststelling van wereldwijde normen . In het kader van haar internationale strategie inzake gegevensstromen moedigt de Commissie derde landen aan toe te treden tot het Verdrag 108+. Tot slot moedigt de Commissie een grotere convergentie op internationaal niveau aan door onze ervaringen met aspecten van gegevensbescherming binnen samenwerkingen op strafrechtelijk handhavingsgebied met partners te delen. De “Data Protection Academy” van de Commissie, een onderdeel van het project “International Digital Cooperation — Enhanced Data Protection and Data Flows”, dat wordt gefinancierd door Instrumenten buitenlands beleid, is een belangrijk instrument in verband met dit streven. De Academy is opgericht om uitwisselingen tussen Europese regelgevers en regelgevers van derde landen te bevorderen en de samenwerking in de praktijk te verbeteren. De activiteiten ervan bestrijken alle aspecten van het toezicht op gegevensbescherming, ook op het gebied van rechtshandhaving. 4Volgende stappen Om te zorgen voor een efficiënt EU-veiligheidsbeleid dat het grondrecht op de bescherming van persoonsgegevens volledig in acht neemt, zal de Commissie blijven controleren of de lidstaten de richtlijn rechtshandhaving correct hebben omgezet en toezicht blijven houden op de toepassing van de bepalingen ervan. De richtlijn heeft aanzienlijk bijgedragen tot een meer geharmoniseerd en hoger niveau van bescherming van de rechten van personen en een coherenter rechtskader voor de bevoegde autoriteiten. De richtlijn rechtshandhaving is over het algemeen op bevredigende wijze omgezet, maar er is ook een aantal problemen vastgesteld. De Commissie heeft reeds inbreukprocedures ingeleid met betrekking tot zowel de niet-omzetting als de non-conformiteit van de nationale wetgevingen met de richtlijn. Zij zal zich blijven inzetten voor een volledige en correcte omzetting. De richtlijn rechtshandhaving heeft ertoe geleid dat de nationale bevoegde autoriteiten zich meer bewust zijn geworden van en meer aandacht besteden aan gegevensbescherming, ook wat de beveiliging van de verwerking betreft. Actief toezicht door de toezichthoudende autoriteiten voor gegevensbescherming is van cruciaal belang om ervoor te zorgen dat de doelstellingen van de richtlijn rechtshandhaving in de praktijk worden verwezenlijkt. De autoriteiten moeten derhalve alle soorten bevoegdheden krijgen die de richtlijn voorschrijft, samen met voldoende middelen. In dit stadium moet de nadruk liggen op de verwezenlijking van het volledige potentieel van de richtlijn rechtshandhaving. In dit verband, en gezien de beperkte ervaring met deze nieuwe regels, is de Commissie van mening dat het nog te vroeg is om een herziening van de richtlijn rechtshandhaving te overwegen. De Commissie zal actief met alle betrokken partijen blijven samenwerken in het vooruitzicht van de volgende evaluatie die tegen 2026 moet plaatsvinden. In de tussentijd blijft zij zich inzetten om de samenhang met andere EU-wetgeving die relevant is voor de verwerking van persoonsgegevens voor strafrechtelijke rechtshandhavingsdoeleinden te waarborgen.

Rechtskader De Commissie zal: -de omzetting van de richtlijn rechtshandhaving door de lidstaten blijven beoordelen en waar nodig passende maatregelen nemen (met inbegrip van het inleiden van inbreukprocedures); -bilaterale uitwisselingen met de lidstaten nastreven; -ervoor zorgen dat toekomstige wetgevingsvoorstellen in overeenstemming zijn met de richtlijn rechtshandhaving. De lidstaten zouden: -moeten zorgen voor de volledige en correcte omzetting van de richtlijn rechtshandhaving op nationaal niveau, onder meer door de nodige voorschriften van de richtlijn te specificeren wanneer de nationale handelingen inzake gegevensbescherming tot omzetting van de richtlijn dit niet doen. Toezicht door toezichthoudende autoriteiten voor gegevensbescherming De lidstaten zouden: -de toezichthoudende autoriteiten voor gegevensbescherming voldoende middelen moeten verstrekken, zodat zij hun taken in het kader van de richtlijn rechtshandhaving kunnen uitvoeren; -ervoor moeten zorgen dat de toezichthoudende autoriteiten voor gegevensbescherming alle soorten bevoegdheden kunnen uitoefenen die in de richtlijn rechtshandhaving zijn opgenomen; -systematisch hun toezichthoudende autoriteiten voor gegevensbescherming moeten raadplegen over wetgevingsontwerpen en bestuursrechtelijke maatregelen van algemene toepassing in verband met de bescherming van persoonsgegevens, en terdege rekening moeten houden met hun adviezen (met name in het geval van nieuwe technologieën). De toezichthoudende autoriteiten voor gegevensbescherming worden verzocht: -ten volle gebruik te maken van hun onderzoeksbevoegdheden, onder meer door het verrichten van inspecties op eigen initiatief; -specifieke statistieken te verzamelen met betrekking tot hun toezichtactiviteiten in het kader van de richtlijn rechtshandhaving; -gebruik te maken van de instrumenten voor wederzijdse bijstand en praktische maatregelen te ontwikkelen om verzoeken om bijstand te vergemakkelijken, onder meer door middel van de geplande EDPB-richtsnoeren. Het EDPB wordt verzocht: -de ondersteuningsgroep van deskundigen (Support Pool of Experts) uit te breiden voor taken die betrekking hebben op de richtlijn rechtshandhaving. Ondersteuning van de bevoegde autoriteiten De Commissie zal:

-de discussies en de uitwisseling van ervaringen tussen de lidstaten en de Commissie in de deskundigengroep inzake de richtlijn rechtshandhaving van de lidstaten bevorderen; -de uitwisseling van standpunten tussen functionarissen voor gegevensbescherming bevorderen via het netwerk van functionarissen voor gegevensbescherming. De lidstaten worden verzocht: -hun inspanningen voort te zetten om de bevoegde autoriteiten opleiding te verstrekken over de voorschriften inzake gegevensbescherming, ook met betrekking tot nieuwe technologieën. Het EDPB en de toezichthoudende autoriteiten voor gegevensbescherming worden verzocht: -hun inspanningen op te voeren om relevante richtsnoeren vast te stellen (bijvoorbeeld over de rol van toestemming in verband met de verwerking van persoonsgegevens voor strafrechtelijke rechtshandhavingsdoeleinden, en over de rechten van betrokkenen, met inbegrip van de mogelijke beperkingen daarvan), hetzij door nieuwe opzichzelfstaande richtsnoeren vast te stellen, hetzij door de reeds voor de AVG vastgestelde richtsnoeren aan te vullen. Grensoverschrijdende doorgiften van gegevens De Commissie is voornemens: -mogelijke nieuwe adequaatheidsbesluiten actief te bevorderen bij belangrijke internationale partners; -te onderhandelen over nieuwe samenwerkingsovereenkomsten tussen Europol en Eurojust, enerzijds, en derde landen, anderzijds. Waar nodig zal zij trachten opnieuw te onderhandelen over bestaande Europol-samenwerkingsovereenkomsten om ervoor te zorgen dat daarin passende waarborgen inzake gegevensbescherming worden opgenomen; -onderhandelingen aan te knopen met Japan met het oog op de wijziging van de bestaande overeenkomst tussen de EU en Japan betreffende wederzijdse rechtshulp, zodat passende waarborgen inzake gegevensbescherming worden geboden; -de onderhandelingen over een bilaterale overeenkomst met de Verenigde Staten betreffende grensoverschrijdende toegang tot elektronisch bewijsmateriaal ten behoeve van justitiële samenwerking in strafzaken voort te zetten en af te ronden, onder meer door de in de raamovereenkomst tussen de EU en de VS geboden waarborgen inzake gegevensbescherming aan te vullen om de specifieke context van rechtstreekse samenwerking tussen rechtshandhavingsinstanties en dienstverleners te weerspiegelen; -na te gaan of met belangrijke partners op het gebied van strafrechtelijke rechtshandhaving kaderovereenkomsten inzake gegevensbescherming kunnen worden gesloten voor de gegevensverwerking op het gebied van strafrechtelijke handhaving, naar het voorbeeld van de EU-VS-raamovereenkomst. Het EDPB wordt verzocht: -richtsnoeren vast te stellen om het begrip en de inhoud van “