EUROPESE COMMISSIE Brussel, 10.1.2017 COM(2017) 8 final 2017/0002(COD) Voorstel voor een VERORDENING VAN HET EUROPEES PARLEMENT EN DE RAAD betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit nr. 1247/2002/EG



TOELICHTING 1.ACHTERGROND VAN HET VOORSTEL •Motivering en doel van het voorstel Artikel 16, lid 1, van het Verdrag betreffende de werking van de Europese Unie (VWEU), zoals ingevoerd door het Verdrag van Lissabon, bepaalt dat eenieder recht heeft op bescherming van zijn persoonsgegevens. Bovendien is bij het Verdrag van Lissabon in artikel 16, lid 2, VWEU een specifieke rechtsgrondslag voor de vaststelling van EU-voorschriften inzake gegevensbescherming ingevoerd. De bescherming van persoonsgegevens is als grondrecht verankerd in artikel 8 van het Handvest van de grondrechten van de Europese Unie. Het recht op de bescherming van persoonsgegevens is ook van toepassing bij de verwerking van persoonsgegevens door instellingen, organen en instanties van de EU. Verordening (EG) nr. 45/2001, de hoeksteen van de vigerende EU-wetgeving inzake de bescherming van persoonsgegevens in de instellingen van de Unie, werd in 2001 vastgesteld en had twee doelstellingen: het fundamentele recht op gegevensbescherming waarborgen en het vrije verkeer van persoonsgegevens in de hele Unie garanderen. De verordening werd aangevuld met Besluit nr. 1247/2002/EG. Op 27 april 2016 hebben het Europees Parlement en de Raad de algemene verordening gegevensbescherming (Verordening (EU) 2016/679) vastgesteld, die met ingang van 25 mei 2018 van toepassing wordt. In die verordening wordt bepaald dat Verordening (EG) nr. 45/2001 aan de beginselen en regels van Verordening (EU) 2016/679 moet worden aangepast om de Unie een sterk en coherent kader inzake gegevensbescherming ter beschikking te stellen, en dat ervoor moet worden gezorgd dat beide instrumenten op hetzelfde tijdstip van toepassing kunnen worden. Het is in overeenstemming met de samenhangende aanpak van de bescherming van persoonsgegevens in de Unie dat de gegevensbeschermingsvoorschriften voor de instellingen, organen en instanties van de Unie zoveel mogelijk gelijklopen met de gegevensbeschermingsvoorschriften die op de lidstaten van toepassing zijn. Wanneer een bepaling van dit voorstel op hetzelfde concept is gebaseerd als een bepaling van Verordening (EU) 2016/679, dienen beide bepalingen homogeen te worden uitgelegd, in het bijzonder omdat gezien de opzet van dit voorstel de verordening moet worden opgevat als de tegenhanger van Verordening (EU) Verordening (EU) 2016/679. Bij de herziening van Verordening (EG) nr. 45/2001 wordt ook rekening gehouden met de resultaten van onderzoeken en raadplegingen van belanghebbenden en met de evaluatie van de toepassing van die verordening gedurende de afgelopen vijftien jaar. Dit initiatief ressorteert niet onder het programma voor gezonde regelgeving (REFIT). •Samenhang met bestaande bepalingen op het beleidsterrein Het doel van dit voorstel is de bepalingen van Verordening (EG) nr. 45/2001 aan te passen aan de beginselen en voorschriften van Verordening (EU) 2016/679, teneinde de Unie een sterk en coherent kader inzake gegevensbescherming ter beschikking te stellen. In het voorstel zijn tevens de relevante voorschriften van Verordening (EG) XXXX/XX [de e-privacyverordening] inzake de bescherming van de eindapparatuur van de eindgebruikers opgenomen. •Samenhang met andere beleidsterreinen van de Unie Niet van toepassing. 2.RECHTSGRONDSLAG, SUBSIDIARITEIT EN EVENREDIGHEID •Rechtsgrondslag De bescherming van natuurlijke personen in verband met de verwerking van hun persoonsgegevens is een grondrecht, dat is vastgelegd in artikel 8, lid 1, van het Handvest van de grondrechten van de Europese Unie. Dit voorstel is gebaseerd op artikel 16 VWEU, de rechtsgrondslag voor de vaststelling van voorschriften inzake gegevensbescherming. Op grond van dat artikel kunnen voorschriften worden vastgesteld betreffende de bescherming van natuurlijke personen ten aanzien van de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie bij de uitoefening van activiteiten die binnen het toepassingsgebied van het recht van de Unie vallen. Ook kunnen op grond van dat artikel voorschriften worden vastgesteld betreffende het vrije verkeer van persoonsgegevens, met inbegrip van persoonsgegevens die zijn verwerkt door die instellingen, organen en instanties. •Subsidiariteit (voor niet-exclusieve bevoegdheden) Het onderwerp van deze verordening valt onder de exclusieve bevoegdheid van de Unie, aangezien slechts de Unie voorschriften kan vaststellen voor de verwerking van persoonsgegevens door de instellingen van de Unie.

•Evenredigheid Ter verwezenlijking van de basisdoelstellingen, namelijk het waarborgen van een gelijkwaardig niveau van bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en van het vrije verkeer van persoonsgegevens in de hele Unie, is het overeenkomstig het evenredigheidsbeginsel noodzakelijk en passend dat voorschriften worden vastgesteld inzake de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie. Deze verordening gaat overeenkomstig artikel 5, lid 4, van het Verdrag betreffende de Europese Unie niet verder dan wat nodig is om de beoogde doelstellingen te verwezenlijken. •Keuze van het instrument Een verordening wordt beschouwd als het meest geschikte rechtsinstrument voor de vaststelling van het kader voor de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en het vrije verkeer van die gegevens. Met een verordening kunnen aan natuurlijke personen wettelijk afdwingbare rechten worden toegekend en de verplichtingen van verwerkingsverantwoordelijken in de instellingen, organen en instanties van de Unie op het gebied van gegevensverwerking worden vastgesteld. Bovendien wordt voorzien in een onafhankelijke toezichthoudende autoriteit, de Europese Toezichthouder voor gegevensbescherming, die belast wordt met het toezicht op de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie. 3.RESULTATEN VAN EX-POSTEVALUATIES, RAADPLEGINGEN VAN BELANGHEBBENDEN EN EFFECTBEOORDELINGEN De Commissie heeft in 2010 en 2011 de belanghebbenden geraadpleegd en in het kader van de opstelling van het pakket inzake de hervorming van de gegevensbescherming een effectbeoordeling uitgevoerd in verband met de voorgestelde wijzigingen van Verordening (EG) nr. 45/2001. De Commissie heeft in dit verband tevens een enquête uitgevoerd onder de gegevensbeschermingscoördinatoren van de Commissie. Ten aanzien van de praktische toepassing van Verordening (EG) nr. 45/2001 door de instellingen, organen en instanties van de Unie is informatie verzameld bij de Europese Toezichthouder voor gegevensbescherming, andere instellingen, organen en instanties van de Unie, andere directoraten-generaal van de Commissie en een externe contractant. Er is een vragenlijst gestuurd naar het netwerk van gegevensbeschermingsfunctionarissen. De gegevensbeschermingsfunctionarissen van een aantal instellingen, organen en instanties van de Unie hebben op 9 juli 2015, 22 oktober 2015, 19 januari 2016 en 15 maart 2016 deelgenomen aan workshops over de hervorming van Verordening (EG) nr. 45/2001. De Commissie heeft in 2013 besloten een externe contractant een evaluatie te laten verrichten over de toepassing van Verordening (EG) nr. 45/2001 tot dan toe. De resultaten van de studie (eindverslag, vijf casestudy’s en een analyse per artikel) werden op 8 juni 2015 aan de Commissie geleverd. Uit de evaluatie is gebleken dat het governancesysteem dat opgebouwd is rond de taken van de gegevensbeschermingsfunctionarissen en de Europese Toezichthouder effectief is. De verdeling van bevoegdheden over de gegevensbeschermingsfunctionarissen en de Toezichthouder blijkt duidelijk en evenwichtig te zijn, zodat beide een passend takenpakket hebben. Er zouden echter problemen kunnen ontstaan door een gezagslacune ten gevolge van onvoldoende ondersteuning van de gegevensbeschermingsfunctionarissen door het management. De evaluatie gaf aan dat Verordening (EG) nr. 45/2001 beter zou kunnen worden uitgevoerd als de Europese Toezichthouder meer sancties zou opleggen. Als de Toezichthouder vaker gebruik zou maken van zijn toezichtsbevoegdheid, zouden de voorschriften voor gegevensbescherming doeltreffender zijn. Ook werd geconcludeerd dat de verwerkingsverantwoordelijken een aanpak op basis van risicobeheersing zouden moeten volgen en voorafgaand aan de verwerking van gegevens de risico’s daarvan zouden moeten beoordelen. Daardoor zouden de vereisten inzake de bewaring en beveiliging van gegevens beter kunnen worden nageleefd. De studie liet verder zien dat de voorschriften over de telecommunicatiesector in hoofdstuk IV van Verordening (EG) nr. 45/2001 verouderd zijn en dat dit hoofdstuk moet worden aangepast aan de e-privacyrichtlijn. Bovendien moeten enkele belangrijke definities in de verordening worden verduidelijkt, zoals de aanwijzing van verwerkingsverantwoordelijken in de instellingen, organen en instanties van de Unie en de definitie van ontvangers. De geheimhoudingsplicht moet worden uitgebreid tot externe verwerkers. In de studie werd tevens aangegeven dat de regelingen voor kennisgevingen en voorafgaande controles moeten worden vereenvoudigd om de efficiency te vergroten en de administratieve lastendruk te verminderen. De evaluator heeft in 64 instellingen, organen en instanties van de Unie enquêtes gehouden. Vragen werden beantwoord door 422 medewerkers van verwerkingsverantwoordelijken, 73 gegevensbeschermingsfunctionarissen, 118 gegevensbeschermingscoördinatoren en 109 IT-respondenten. De evaluator heeft daarnaast een aantal belanghebbenden geïnterviewd. Op 26 maart 2015 hebben de evaluator en de Commissie een afsluitende workshop gehouden, die werd bijgewoond door een aantal verwerkingsverantwoordelijken, gegevensbeschermingsfunctionarissen, gegevensbeschermingscoördinatoren, IT-respondenten en vertegenwoordigers van de Europese Toezichthouder. •Bijeenbrengen en benutten van deskundigheid Zie de verwijzing naar de evaluatie onder het vorige punt. •Effectbeoordeling De effecten van dit voorstel zullen met name merkbaar zijn voor de instellingen, organen en instanties van de Unie. Dit is bevestigd door de informatie die was verzameld bij de Europese Toezichthouder, andere instellingen, organen en instanties van de Unie, andere directoraten-generaal van de Commissie en de externe contractant. Voorts is in de context van de voorbereidingen voor Verordening (EU) 2016/679 het effect beoordeeld van de nieuwe verplichtingen die voortvloeien uit Verordening (EU) 2016/679, waaraan deze verordening moet worden aangepast. Een specifieke effectbeoordeling van deze verordening is dan ook niet nodig. •Gezonde regelgeving en vereenvoudiging Niet van toepassing.

•Grondrechten Het recht op bescherming van persoonsgegevens is vastgelegd in artikel 8 van het Handvest van de Grondrechten van de Europese Unie, hierna „het Handvest” genoemd, in artikel 16 VWEU en artikel 8 van het Europees Verdrag inzake de rechten van de mens. Zoals het Hof van Justitie van de Europese Unie heeft beklemtoond, heeft het recht op bescherming van persoonsgegevens geen absolute gelding, maar moet het in relatie tot de functie ervan in de maatschappij worden beschouwd. Er is ook een nauw verband tussen gegevensbescherming en de eerbiediging van het privéleven en het familie- en gezinsleven, dat door artikel 7 van het Handvest wordt beschermd. Dit voorstel bevat voorschriften voor de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en het vrije verkeer van die gegevens. Andere in het Handvest vastgelegde grondrechten die mogelijk in het geding zijn: de vrijheid van meningsuiting (artikel 11); het recht op eigendom en met name de bescherming van intellectuele eigendom (artikel 17, lid 2); het verbod van discriminatie op grond van onder andere ras, etnische afkomst, genetische kenmerken, godsdienst of overtuiging, politieke of andere denkbeelden, handicap of seksuele gerichtheid (artikel 21); de rechten van het kind (artikel 24); het recht op een hoog niveau van bescherming van de menselijke gezondheid (artikel 35); het recht van inzage in documenten (artikel 42); en het recht op een doeltreffende voorziening in rechte en op een onpartijdig gerecht (artikel 47). 4.GEVOLGEN VOOR DE BEGROTING Zie bijgaand financieel memorandum. 5.OVERIGE ELEMENTEN •Uitvoeringsplanning en regelingen betreffende controle, evaluatie en rapportage Niet van toepassing. •Toelichtende stukken (bij richtlijnen) Niet van toepassing. HOOFDSTUK I – ALGEMENE BEPALINGEN In artikel 1 wordt het onderwerp van de verordening bepaald en worden, evenals in artikel 1 van Verordening (EG) nr. 45/2001, de twee doelstellingen van de verordening geformuleerd: het fundamentele recht op gegevensbescherming waarborgen en het vrije verkeer van persoonsgegevens in de hele Unie garanderen. Bovendien wordt voorzien in de belangrijkste taken van de Europese Toezichthouder voor gegevensbescherming. Artikel 2 bepaalt het toepassingsgebied van de verordening. Zij is van toepassing op de, al dan niet geautomatiseerde, verwerking van persoonsgegevens door alle instellingen en organen van de Unie, voor zover die verwerking plaatsvindt ten behoeve van de uitvoering van werkzaamheden die geheel of gedeeltelijk onder het toepassingsgebied van het Unierecht vallen. Het materiële toepassingsgebied van de verordening is technologieneutraal geformuleerd. De bescherming van persoonsgegevens is van toepassing op geautomatiseerde verwerking van persoonsgegevens en op handmatige verwerking indien de persoonsgegevens zijn opgeslagen of bedoeld zijn om te worden opgeslagen in een bestand. Artikel 3 bevat de definities van de termen die in de verordening worden gebruikt. De definities van „instellingen en organen van de Unie”, „verwerkingsverantwoordelijke”, „gebruiker” en „gebruikerslijst” zijn specifiek voor deze verordening; daarnaast gelden de termen die zijn gedefinieerd in Verordening (EU) 2016/679, Verordening (EU) 0000/00 [de nieuwe e-privacyverordening], Richtlijn (EU) 0000/00 [richtlijn tot vaststelling van het Europees wetboek voor elektronische communicatie] en Richtlijn 2008/63/EG van de Commissie. HOOFDSTUK II – BEGINSELEN Artikel 4 bevat de beginselen betreffende de verwerking van persoonsgegevens die overeenkomen met die van artikel 5 van Verordening (EU) 2016/679. In vergelijking met Verordening (EG) nr. 45/2001 zijn de beginselen van „transparantie” en „integriteit en vertrouwelijkheid” toegevoegd. Artikel 5 is gebaseerd op artikel 6 van Verordening (EU) 2016/679. Het vermeldt de criteria voor de rechtmatigheid van de verwerking, met uitzondering van het criterium van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke, dat op de overheidssector niet van toepassing is en derhalve niet moet gelden voor de instellingen en organen van de Unie. Artikel 5 handhaaft de criteria die reeds in artikel 5 van Verordening (EG) nr. 45/2001 waren vastgesteld. Artikel 6 verduidelijkt de voorwaarden waaronder verwerking voor een ander, verenigbaar doel is toegestaan, in overeenstemming met artikel 6, lid 4, van Verordening (EU) 2016/679. In vergelijking met artikel 6 van Verordening (EG) nr. 45/2001 biedt de nieuwe bepaling meer flexibiliteit en rechtszekerheid ten aanzien van verdere verwerking voor verenigbare doeleinden. In artikel 7 wordt verduidelijkt, in overeenstemming met artikel 7 van Verordening (EU) 2016/679, onder welke voorwaarden toestemming een geldige grond voor rechtmatige verwerking is.

Artikel 8 bevat, in overeenstemming met artikel 8 van Verordening (EU) 2016/679, nadere voorwaarden betreffende de rechtmatigheid van de verwerking van persoonsgegevens van kinderen in het kader van diensten van de informatiemaatschappij die hun rechtstreeks worden aangeboden. In dit artikel wordt bepaald dat een kind vanaf 13 jaar geldig toestemming kan verlenen. Artikel 9 bevat, evenals artikel 8 van Verordening (EG) nr. 45/2001, regels die een specifiek beschermingsniveau bieden voor de doorzending van persoonsgegevens aan in de Unie gevestigde ontvangers die onder Verordening (EU) 2016/679 of Richtlijn (EU) 2016/680 vallen, maar geen instellingen of organen van de Unie zijn. Hier wordt bepaald dat indien de verwerkingsverantwoordelijke het initiatief neemt voor de doorzending, hij de noodzaak en de evenredigheid van de doorzending moet aantonen. Artikel 10, dat is gebaseerd op artikel 9 van Verordening (EU) 2016/679 en een verdere uitwerking van artikel 10 van Verordening (EG) nr. 45/2001 vormt, bevat een algemeen verbod op de verwerking van speciale categorieën persoonsgegevens en de uitzonderingen op die algemene regel. Artikel 11 bepaalt, in overeenstemming met artikel 10 van Verordening (EU) 2016/679 en artikel 10, lid 5, van Verordening (EG) nr. 45/2001, de voorwaarden voor de verwerking van persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten. Artikel 12 verduidelijkt de informatieplicht van de verwerkingsverantwoordelijke jegens de betrokkene door in overeenstemming met artikel 11 van Verordening (EU) 2016/679 te bepalen dat indien een verwerkingsverantwoordelijke aan de hand van de door hem verwerkte persoonsgegevens geen natuurlijke persoon kan identificeren, hij niet mag worden verplicht om, uitsluitend om aan een bepaling van deze verordening te voldoen, aanvullende gegevens te verkrijgen ter identificatie van de betrokkene. De verwerkingsverantwoordelijke mag evenwel niet weigeren de door de betrokkene tot staving van de uitoefening van zijn rechten verstrekte aanvullende gegevens aan te nemen. Artikel 13 bevat, in overeenstemming met artikel 89, lid 1, van Verordening (EU) 2016/679, de regels inzake waarborgen in verband met verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden. HOOFDSTUK III – RECHTEN VAN DE BETROKKENE Afdeling 1 – Transparantie en modaliteiten Artikel 14 voert, in overeenstemming met artikel 12 van Verordening (EU) 2016/679, voor de verwerkingsverantwoordelijke de verplichting in om te voorzien in transparante, gemakkelijk toegankelijke en begrijpelijke informatie en procedures en mechanismen voor de uitoefening van de rechten van de betrokkene, waar van toepassing met inbegrip van middelen om verzoeken elektronisch in te dienen, alsmede de verplichting om verzoeken van betrokkenen binnen een bepaalde termijn te beantwoorden en weigering te motiveren. Aangezien het niet te verwachten is dat de instellingen en organen van de Unie in enige omstandigheid vergoeding zullen verlangen van de administratieve kosten van de verstrekking van de informatie, is de mogelijkheid daartoe niet overgenomen uit Verordening (EU) 2016/679. Afdeling 2 – Informatie en toegang tot gegevens In artikel 15 wordt de mededelingsplicht bepaald die de verwerkingsverantwoordelijke heeft ten opzichte van de betrokkene bij wie persoonsgegevens worden verzameld. Deze bepaling is gebaseerd op artikel 13 van Verordening (EU) 2016/679 en vormt een verdere uitwerking van artikel 11 van Verordening (EG) nr. 45/2001. De te verstrekken informatie betreft onder meer de opslagtermijn, het recht een klacht in te dienen en internationale doorgifte. In artikel 16 wordt, op basis van artikel 14 van Verordening (EU) 2016/679 en tot verdere uitwerking van artikel 12 van Verordening (EG) nr. 45/2001, nader bepaald dat, wanneer de persoonsgegevens niet van de betrokkene zijn verkregen, de verwerkingsverantwoordelijke aan de betrokkene moet meedelen uit welke bron de gegevens zijn verkregen. Ook worden in Verordening (EU) 2016/679 vastgestelde mogelijke afwijkingen gehandhaafd, dat wil zeggen dat informatie niet hoeft te worden verstrekt indien de betrokkene reeds over de informatie beschikt, indien het verstrekken van die informatie onmogelijk blijkt of van de verwerkingsverantwoordelijke onevenredig veel inspanning zou vergen, indien de persoonsgegevens vertrouwelijk moeten blijven uit hoofde van een beroepsgeheim in het kader van Unierecht of indien het registreren of verstrekken van de gegevens uitdrukkelijk wettelijk is voorgeschreven. Dit zou bijvoorbeeld kunnen gelden voor procedures van diensten met bevoegdheid op het gebied van sociale zekerheid of gezondheid. Artikel 17 voorziet, in overeenstemming met artikel 15 van Verordening (EU) 2016/679 en tot verdere uitwerking van artikel 13 van Verordening (EG) nr. 45/2001, in het recht van inzage van de betrokkene in diens eigen persoonsgegevens, en voegt daaraan toe dat de betrokkene moet worden ingelicht over de opslagtermijn, het recht op rectificatie en wissing en het recht om een klacht in te dienen. Afdeling 3 – Rectificatie en wissing van gegevens Artikel 18, dat is gebaseerd op artikel 16 van Verordening (EU) 2016/679 en een verdere uitwerking van artikel 14 van Verordening (EG) nr. 45/2001 vormt, bepaalt dat de betrokkene recht heeft op rectificatie. Artikel 19 bepaalt, in overeenstemming met artikel 17 van Verordening (EU) 2016/679 en tot verdere uitwerking van artikel 16 van Verordening (EG) nr. 45/2001, dat de betrokkene het recht heeft op vergetelheid en het recht om zijn persoonsgegevens te laten wissen. Het artikel bepaalt de voorwaarden die van toepassing zijn op het recht op vergetelheid. Zo dient de verwerkingsverantwoordelijke die de persoonsgegevens openbaar heeft gemaakt, derden op de hoogte te stellen van het verzoek van de betrokkene om iedere koppeling naar en kopie of reproductie van die persoonsgegevens te wissen. Artikel 20 voert het recht in om de verwerking in bepaalde gevallen te laten beperken. De onduidelijke term „afschermen” van Verordening (EG) nr. 45/2001 wordt niet meer gebruikt en de nieuwe term is in overeenstemming met artikel 18 van Verordening (EU) 2016/679. Artikel 21 bepaalt, in overeenstemming met artikel 19 van Verordening (EU) 2016/679 en tot verdere uitwerking van artikel 17 van Verordening (EG) nr. 45/2001, dat de verwerkingsverantwoordelijke de ontvangers aan wie de persoonsgegevens zijn verstrekt, in kennis moet stellen van elke rectificatie of wissing van persoonsgegevens of beperking van de verwerking, tenzij dit onmogelijk blijkt of onevenredig veel inspanning vergt. De verwerkingsverantwoordelijke moet de betrokkene ook informeren over de ontvangers indien de betrokkene hierom verzoekt. Artikel 22 voert voor betrokkenen in overeenstemming met artikel 20 van Verordening (EU) 2016/679 het recht op overdraagbaarheid van gegevens in. Dit houdt in dat de betrokkene het recht heeft de hem betreffende persoonsgegevens die hij aan een verwerkingsverantwoordelijke heeft verstrekt, te verkrijgen en rechtstreeks aan een andere verwerkingsverantwoordelijke over te dragen, indien dat technisch haalbaar is. Teneinde de toegang van natuurlijke personen tot hun persoonsgegevens verder te verbeteren, voorziet het artikel als een absolute voorwaarde in het recht om deze gegevens in een gestructureerde, gangbare en machineleesbare vorm te verkrijgen. Dit recht geldt alleen wanneer de verwerking geschiedt op grond van de toestemming van de betrokkene of een door hem gesloten overeenkomst. Afdeling 4 – Recht van bezwaar en geautomatiseerde individuele besluitvorming

Artikel 23, dat is gebaseerd op artikel 21 van Verordening (EU) 2016/679 en een verdere uitwerking van artikel 18 van Verordening (EG) nr. 45/2001 vormt, bepaalt dat de betrokkene recht van bezwaar heeft. Artikel 24, dat is gebaseerd op artikel 22 van Verordening (EU) 2016/679 en een verdere uitwerking van artikel 19 van Verordening (EG) nr. 45/2001 vormt, bepaalt dat de betrokkene het recht heeft niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit. Afdeling 5 – Beperkingen Artikel 25 voorziet in beperkingen van de rechten die betrokkenen genieten op grond van de artikelen 14 tot en met 22 en de artikelen 34 en 38 en van de beginselen van artikel 4 (voor zover de bepalingen daarvan overeenstemmen met de rechten en plichten waarin is voorzien in de artikelen 14 tot en met 22). Dergelijke beperkingen moeten worden vastgelegd in rechtshandelingen die gebaseerd zijn op de Verdragen of de interne voorschriften van de instellingen en organen van de Unie. Indien de rechtshandelingen die gebaseerd zijn op de Verdragen of de interne voorschriften van de instellingen en organen van de Unie niet in de mogelijkheid van een dergelijke beperking voorzien, kunnen de instellingen of organen van de Unie ad hoc een beperking opleggen, indien deze beperking ten aanzien van een specifieke verwerking de wezenlijke inhoud van de grondrechten en fundamentele vrijheden onverlet laat en in een democratische samenleving een noodzakelijke en evenredige maatregel is ter waarborging van een of meer van de doelstellingen ten aanzien waarvan beperking van de rechten van betrokkenen is toegestaan. Deze benadering is in overeenstemming met artikel 23 van Verordening (EU) 2016/679. In tegenstelling tot artikel 23 van Verordening (EU) 2016/679, maar in overeenstemming met artikel 20 van Verordening (EG) nr. 45/2001, wordt in artikel 25 echter niet voorzien in de mogelijkheid om beperkingen op te leggen aan het recht van bezwaar en het recht om niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking gebaseerd besluit. De bepalingen inzake beperkingen zijn in overeenstemming met het Handvest van de grondrechten van de Europese Unie en het Europees Verdrag inzake de rechten van de mens, zoals uitgelegd door respectievelijk het Hof van Justitie van de Europese Unie en het Europees Hof voor de Rechten van de Mens. HOOFDSTUK IV – VERWERKINGSVERANTWOORDELIJKE EN VERWERKER Afdeling 1 – Algemene verplichtingen Artikel 26 bouwt voort op artikel 24 van Verordening (EU) 2016/679. Het voert het verantwoordingsbeginsel in, dat inhoudt dat de verwerkingsverantwoordelijke de plicht heeft om aan deze verordening te voldoen en aan te tonen dat hij aan deze verplichting heeft voldaan; hij dient daartoe onder meer passende technische en organisatorische maatregelen te treffen en waar nodig interne regelingen en mechanismen vast te stellen om naleving te waarborgen. Lid 3 van artikel 24 van Verordening (EU) 2016/679 is niet overgenomen, aangezien de instellingen en organen van de Unie niet verplicht moeten zijn zich bij gedragscodes of certificeringsmechanismen aan te sluiten. Artikel 27 betreft, in overeenstemming met artikel 25 van Verordening (EU) 2016/679, de verplichtingen van de verwerkingsverantwoordelijke die voortvloeien uit de beginselen inzake gegevensbescherming door ontwerp en door standaardinstellingen. Artikel 28 betreffende gezamenlijke verwerkingsverantwoordelijken bouwt voort op artikel 26 van Verordening (EU) 2016/679. Het verduidelijkt de verantwoordelijkheden van gezamenlijke verwerkingsverantwoordelijken (al dan niet instellingen of organen van de Unie) wat betreft hun onderlinge verhouding en hun verhouding tot de betrokkene. Deze bepaling regelt de situatie waarin alle gezamenlijke verwerkingsverantwoordelijken onder dezelfde wettelijke regeling vallen (namelijk deze verordening), alsmede de situatie waarin sommige verwerkingsverantwoordelijken onder deze verordening vallen en andere onder een ander rechtsinstrument, zoals Verordening (EU) 2016/679, Richtlijn (EU) 2016/680, Richtlijn (EU) 2016/681 of een andere specifieke gegevensbeschermingsregeling ten aanzien van instellingen of organen van de Unie. Artikel 29 bouwt voort op artikel 28 van Verordening (EU) 2016/679 en is een verdere uitwerking van artikel 23 van Verordening (EG) nr. 45/2001. Het verduidelijkt de positie en de verplichting van verwerkers en bepaalt onder meer dat een verwerker die in strijd met de verordening de doeleinden en middelen van een verwerking bepaalt, met betrekking tot die verwerking als verwerkingsverantwoordelijke wordt beschouwd. Artikel 30 betreffende verwerking onder gezag van de verwerkingsverantwoordelijke of de verwerker is gebaseerd op artikel 29 van Verordening (EU) 2016/679 waarin wordt bepaald dat een verwerker of een persoon die onder het gezag van de verwerkingsverantwoordelijke of van de verwerker handelt en toegang heeft tot persoonsgegevens, deze uitsluitend mag verwerken in opdracht van de verwerkingsverantwoordelijke, tenzij hij Unierechtelijk of lidstaatrechtelijk tot de verwerking gehouden is. Artikel 31 bouwt voort op artikel 30 van Verordening (EU) 2016/679. Het bepaalt dat verwerkingsverantwoordelijken en verwerkers een register moeten bijhouden van de verwerkingsactiviteiten die onder hun verantwoordelijkheid plaatsvinden. Deze verplichting kom in de plaats van de voorafgaande melding aan de Europese Toezichthouder voor gegevensbescherming als voorgeschreven in artikel 25 van Verordening (EG) nr. 45/2001 en het register van de functionaris voor gegevensbescherming. Anders dan in Verordening (EU) 2016/679 wordt in deze bepaling niet naar vertegenwoordigers verwezen, aangezien instellingen van de Unie geen vertegenwoordigers hebben, maar wel altijd een functionaris voor gegevensbescherming. De verwijzingen in Verordening (EU) 2016/679 naar doorgiften op basis van afwijkingen voor specifieke situaties zijn niet overgenomen, aangezien deze verordening niet voorziet in dergelijke doorgiften. De verplichting om een register van verwerkingsactiviteiten bij te houden kan voor een instelling of orgaan van de Unie centraal worden vervuld. In dat geval kunnen instellingen en organen van de Unie aan hun registratieplicht voor verwerkingsactiviteiten voldoen door een publiek toegankelijk register op te zetten. Artikel 32 verduidelijkt op basis van artikel 31 van Verordening (EU) 2016/679 wat de verplichtingen van instellingen en organen van de Unie zijn wat de samenwerking met de Europese Toezichthouder voor gegevensbescherming betreft. Afdeling 2 – Beveiliging van persoonsgegevens en vertrouwelijkheid van elektronische communicatie Artikel 33 verplicht de verwerkingsverantwoordelijke, in overeenstemming met artikel 32 van Verordening (EU) 2016/679 en tot verdere uitwerking van artikel 22 van Verordening (EG) nr. 45/2001, ertoe passende maatregelen te treffen om de beveiliging van de verwerking te waarborgen en breidt die verplichting uit tot de verwerker, ongeacht wat in de overeenkomst met de verwerkingsverantwoordelijke is bepaald. Artikel 34 bouwt voort op artikel 36 van Verordening (EG) nr. 45/2001 en waarborgt het vertrouwelijke karakter van de elektronische communicatie binnen de instellingen en organen van de Unie. Artikel 35 bouwt voort op de bestaande praktijk binnen de instellingen en organen van de Unie. Het artikel beschermt informatie betreffende de eindapparatuur van eindgebruikers die voor het publiek toegankelijke, door de instellingen en organen van de Unie aangeboden websites bezoeken en gebruikmaken van door die instellingen en organen aangeboden mobiele toepassingen, zulks overeenkomstig Verordening (EU) XXXX/XX [de nieuwe e-privacyverordening], met name artikel 8. Artikel 36 is gebaseerd op artikel 38 van Verordening (EG) nr. 45/2001 en beschermt persoonsgegevens die zijn opgenomen in openbare en niet-openbare gebruikerslijsten van instellingen en organen van de Unie. In de artikelen 37 en 38 wordt de verplichting ingevoerd om inbreuken in verband met persoonsgegevens te melden, in overeenstemming met de artikelen 33 en 34 van Verordening (EU) 2016/679. Afdeling 3 – Gegevensbeschermingseffectbeoordeling en voorafgaande raadpleging

Artikel 39 bouwt voort op artikel 35 van Verordening (EU) 2016/679. Het voert voor verwerkingsverantwoordelijken en verwerkers de verplichting in een gegevensbeschermingseffectbeoordeling uit te voeren alvorens verwerkingen uit te voeren die waarschijnlijk een hoog risico inhouden voor de rechten en vrijheden van natuurlijke personen. Deze verplichting geldt in het bijzonder wanneer er sprake is van systematische en uitgebreide beoordeling van persoonlijke aspecten van natuurlijke personen die is gebaseerd op geautomatiseerde verwerking, waaronder profilering, grootschalige verwerking van bijzondere categorieën gegevens of stelselmatige en grootschalige monitoring van openbaar toegankelijke ruimten. Artikel 40 is gebaseerd op artikel 36 vaan Verordening (EU) 2016/679 en betreft gevallen waarin, voorafgaand aan de verwerking, raadpleging en toestemming van de Europese Toezichthouder vereist zijn. In de eerste alinea van artikel 40 wordt echter overweging 94 van Verordening (EU) 2016/679 overgenomen ter verduidelijking van de reikwijdte van de verplichting om toestemming te vragen. Afdeling 4 – Informatie en legislatieve raadpleging Artikel 41 bepaalt dat instellingen en organen van de Unie de Europese Toezichthouder moeten raadplegen bij het opstellen van bestuurlijke maatregelen en interne voorschriften in verband met de verwerking van persoonsgegevens. Artikel 42 bepaalt dat de Commissie de Europese Toezichthouder moet raadplegen na het vaststellen van voorstellen voor rechtshandelingen en aanbevelingen of voorstellen aan de Raad uit hoofde van artikel 218 VWEU, alsmede bij het opstellen van gedelegeerde handelingen of uitvoeringshandelingen die gevolgen hebben voor de bescherming van de rechten en vrijheden van natuurlijke personen in verband met de verwerking van persoonsgegevens. Indien dergelijke handelingen van bijzonder belang zijn voor de bescherming van de rechten en vrijheden van natuurlijke personen in verband met de verwerking van persoonsgegevens, kan de Commissie ook het Europees Comité voor gegevensbescherming raadplegen. In zulke gevallen coördineren deze entiteiten hun werkzaamheden met het oog op het uitbrengen van een gezamenlijk advies. Voor het uitbrengen van advies in de genoemde gevallen geldt een termijn van acht weken, waarvan kan worden afgeweken in spoedeisende gevallen en in andere omstandigheden waarin dat geboden is, bijvoorbeeld als de Commissie gedelegeerde handelingen of uitvoeringshandelingen opstelt. Afdeling 5 – Repliek Artikel 43 bepaalt dat verwerkingsverantwoordelijken en verwerkers verplicht zijn een repliek te geven wanneer de Europese Toezichthouder beslist een aangelegenheid aan hen voor te leggen. Afdeling 6 – Functionaris voor gegevensbescherming Artikel 44 bouwt voort op artikel 37, lid 1, onder a), van Verordening (EU) 2016/679 en artikel 24 van Verordening (EG) nr. 45/2001 en bepaalt dat instellingen en organen van de Unie verplicht zijn een functionaris voor gegevensbescherming aan te wijzen. Artikel 45 bouwt voort op artikel 38 van Verordening (EU) 2016/679 en artikel 24 van Verordening (EG) nr. 45/2001 en bepaalt de positie van de functionaris voor gegevensbescherming. Artikel 46 bouwt voort op artikel 39 van Verordening (EU) 2016/679, artikel 24 van Verordening (EG) nr. 45/2001 en de tweede en derde alinea van de bijlage bij laatstgenoemde verordening en bepaalt de kerntaken van de functionaris voor gegevensbescherming. HOOFDSTUK V – DOORGIFTE VAN PERSOONSGEGEVENS NAAR DERDE LANDEN OF AAN INTERNATIONALE ORGANISATIES Artikel 47 bouwt voort op artikel 9 van Verordening (EG) nr. 45/2001. Het formuleert in overeenstemming met artikel 44 van Verordening (EU) 2016/679 het algemene beginsel dat de andere bepalingen van deze verordening en de voorwaarden van hoofdstuk V moeten worden nageleefd bij elke doorgifte van persoonsgegevens naar derde landen of aan internationale organisaties, ook voor verdere doorgiften van persoonsgegevens vanuit het derde land of de internationale organisatie naar een ander derde land of aan een andere internationale organisatie. Artikel 48 bepaalt dat doorgifte van persoonsgegevens naar een derde land of aan een internationale organisatie kan plaatsvinden als de Commissie overeenkomstig artikel 45, lid 3, van Verordening (EU) 2016/679 heeft vastgesteld dat in het derde land, een gebied of een of meer nader bepaalde sectoren in het derde land, of in de internationale organisatie een passend beschermingsniveau wordt gewaarborgd, en de persoonsgegevens uitsluitend worden doorgegeven om de uitvoering mogelijk te maken van taken die onder de bevoegdheid van de verwerkingsverantwoordelijke vallen. De leden 2 en 3 van artikel 48 zijn overgenomen van artikel 9 van Verordening (EG) nr. 45/2001, aangezien het nuttige elementen betreft voor het toezicht op het beschermingsniveau in derde landen en internationale organisaties Artikel 49 is gebaseerd op artikel 46 van Verordening (EU) 2016/679 en bepaalt dat als de Commissie geen adequaatheidsbesluit heeft vastgesteld, voor doorgifte naar derde landen passende waarborgen moeten worden geboden, zoals modelbepalingen inzake gegevensbescherming en contractbepalingen. Overeenkomstig Verordening (EU) 2016/679 kunnen andere verwerkers dan instellingen en organen van de Unie bindende bedrijfsvoorschriften, gedragscodes en certificeringsmechanismen toepassen. Lid 4 van artikel 49, waarin wordt bepaald dat instellingen en organen van de Unie de Europese Toezichthouder in kennis moeten stellen van categorieën gevallen waarin zij dit artikel hebben toegepast, stemt overeen met artikel 9, lid 8, van Verordening (EG) nr. 45/2001 en is gehandhaafd vanwege het specifieke karakter ervan. Lid 5 is gebaseerd op artikel 46, lid 5, van Verordening (EU) 2016/679, waarin wordt bepaald dat reeds gegeven toestemmingen geldig blijven totdat zij worden gewijzigd, vervangen of ingetrokken. Artikel 50 verduidelijkt in overeenstemming met artikel 48 van Verordening (EU) 2016/679 dat rechterlijke uitspraken en besluiten van een administratieve autoriteit van een derde land op grond waarvan persoonsgegevens moeten worden doorgeven of verstrekt, alleen op enigerlei wijze mogen worden erkend of afdwingbaar zijn indien zij gebaseerd zijn op een internationale overeenkomst, zoals een verdrag inzake wederzijdse rechtsbijstand, tussen het verzoekende derde land en de Unie of een lidstaat, onverminderd andere gronden voor doorgifte uit hoofde van dit hoofdstuk. Artikel 51 bouwt voort op artikel 49 van Verordening (EU) 2016/679. Het preciseert de afwijkingen die ten aanzien van gegevensdoorgifte mogelijk zijn. Dit heeft in het bijzonder betrekking op gegevensdoorgifte die noodzakelijk is om gewichtige redenen van algemeen belang, zoals in geval van internationale doorgifte van gegevens tussen mededingingsautoriteiten, belasting- of douanediensten, of diensten die bevoegd zijn voor sociale zekerheid of visserijbeheer. Lid 5 van artikel 51, waarin wordt bepaald dat de Europese Toezichthouder in kennis moet worden gesteld van categorieën gevallen waarin deze afwijkingen met het oog op gegevensdoorgifte zijn toegepast, is gebaseerd op artikel 9, lid 8, van Verordening (EG) nr. 45/2001. Artikel 52 is gebaseerd op artikel 50 van Verordening (EU) 2016/679. Het voorziet uitdrukkelijk in procedures voor internationale samenwerking voor de bescherming van persoonsgegevens tussen de Europese toezichthouder (samen met de Commissie en het Europees Comité voor gegevensbescherming) en de toezichthoudende autoriteiten van derde landen. HOOFDSTUK VI – EUROPESE TOEZICHTHOUDER VOOR GEGEVENSBESCHERMING Artikel 53 bouwt voort op artikel 41 van Verordening (EG) nr. 45/2001 en betreft de instelling van de Europese Toezichthouder voor gegevensbescherming.

Artikel 54 bouwt voort op artikel 42 van Verordening (EG) nr. 45/2001 en artikel 3 van Besluit nr. 1247/2002/EG. Het stelt voorschriften vast voor de benoeming van de Europese Toezichthouder door het Europees Parlement en de Raad. Het stelt tevens de duur van diens ambtstermijn vast op vijf jaar. Artikel 55 bouwt voort op artikel 43 van Verordening (EG) nr. 45/2001 en artikel 1 van Besluit nr. 1247/2002/EG. Het stelt het statuut en de algemene voorwaarden vast voor de uitoefening van het ambt van de Europese Toezichthouder voor gegevensbescherming, diens personeel en de financiële middelen. Artikel 56 bouwt voort op artikel 52 van Verordening (EU) 2016/679 en artikel 44 van Verordening (EG) nr. 45/2001. Het stelt de voorwaarden vast voor de onafhankelijkheid van de Europese Toezichthouder, rekening houdend met de jurisprudentie van het Hof van Justitie van de Europese Unie. Artikel 57 bepaalt in overeenstemming met artikel 45 van Verordening (EG) nr. 45/2001 dat voor de Europese Toezichthouder zowel tijdens als na zijn ambtstermijn een beroepsgeheim geldt ten aanzien van vertrouwelijke informatie die hem bij de vervulling van zijn officiële taken ter kennis is gekomen. Artikel 58 bouwt voort op artikel 57 van Verordening (EU) 2016/679 en artikel 46 van Verordening (EG) nr. 45/2001. Het bepaalt de taken van de Europese Toezichthouder, waaronder het behandelen en onderzoeken van klachten en het bevorderen van de bekendheid van het publiek met de risico’s, regels, waarborgen en rechten. Artikel 59 bouwt voort op artikel 58 van Verordening (EU) 2016/679 en artikel 47 van Verordening (EG) nr. 45/2001 en bepaalt de bevoegdheden van de Europese Toezichthouder. Artikel 60 bouwt voort op artikel 59 van Verordening (EU) 2016/679 en artikel 48 van Verordening (EG) nr. 45/2001 en bepaalt dat de Europese Toezichthouder jaarlijks een verslag over zijn activiteiten moet opstellen. HOOFDSTUK VII – SAMENWERKING EN COHERENTIE Artikel 61 bouwt voort op artikel 61 van Verordening (EU) 2016/679 en artikel 46, onder f), van Verordening (EG) nr. 45/2001. Het bevat uitdrukkelijke voorschriften betreffende de samenwerking tussen de Europese Toezichthouder en de nationale toezichthoudende autoriteiten. Artikel 62 voorziet in de verplichtingen van de Europese Toezichthouder op het gebied van gecoördineerd toezicht samen met de nationale toezichthoudende autoriteiten wanneer in andere handelingen van de Unie naar dit artikel wordt verwezen. De bedoeling van dit artikel is een standaardmodel voor gecoördineerd toezicht te bieden. Dit model zou kunnen worden gebruikt voor het gecoördineerde toezicht op grootschalige IT-systemen zoals Eurodac, het Schengeninformatiesysteem II, het Visuminformatiesysteem, het Douane-informatiesysteem of het Informatiesysteem interne markt, maar ook voor het toezicht op bepaalde agentschappen van de Unie ten aanzien waarvan een specifiek samenwerkingsmodel tussen de Europese Toezichthouder en de nationale autoriteiten is ingesteld, zoals Europol. Het Europees Comité voor gegevensbescherming moet fungeren als centraal forum voor doeltreffend gecoördineerd toezicht over de hele linie. HOOFDSTUK VIII – BEROEP, AANSPRAKELIJKHEID EN SANCTIES Artikel 63 bouwt voort op artikel 77 van Verordening (EU) 2016/679 en artikel 32 van Verordening (EG) nr. 45/2001. Het bepaalt dat iedere betrokkene het recht heeft een klacht in te dienen bij de Europese Toezichthouder. Het bepaalt tevens dat de Europese Toezichthouder de klager binnen drie maanden in kennis moet stellen van de voortgang en het resultaat van de klacht; zo niet wordt dit gelijkgesteld met afwijzing van de klacht. Artikel 64 is gebaseerd op artikel 32, lid 1, van Verordening (EG) nr. 45/2001, waarin wordt bepaald dat het Hof van Justitie van de Europese Unie bevoegd is kennis te nemen van alle geschillen over deze verordening, vorderingen tot schadevergoeding daaronder begrepen. Artikel 65 betreft het recht op vergoeding van zowel materiële als immateriële schade, met inachtneming van de in de Verdragen vastgestelde voorwaarden betreffende onder meer aansprakelijkheid. Artikel 66 bouwt voort op artikel 83 van Verordening (EU) 2016/679. Het geeft de Europese Toezichthouder de bevoegdheid om instellingen en organen van de Unie als sanctie in laatste instantie administratieve geldboeten op te leggen, maar uitsluitend als een instelling of orgaan van de Unie geen gehoor geeft aan hetgeen de Europese Toezichthouder voor gegevensbescherming gelast overeenkomstig artikel 59, lid 2, onder a) tot en met h) en j). Het artikel bepaalt tevens de criteria voor de vaststelling van de hoogte van de administratieve geldboete in elk concreet geval, terwijl voor de vaststelling van de jaarlijkse maxima rekening is gehouden met de hoogte van de in bepaalde lidstaten geldende boetes. Artikel 67 bepaalt in overeenstemming met artikel 80, lid 1, van Verordening (EU) 2016/679 dat bepaalde organen, organisaties of verenigingen een klacht namens de betrokkene mogen indienen. Artikel 68 voorziet in overeenstemming met artikel 33 van Verordening (EG) nr. 45/2001 in specifieke bepalingen ter bescherming van personeelsleden van de Unie die zonder de officiële kanalen te volgen een klacht indienen bij de Europese Toezichthouder wegens vermeende inbreuk op de bepalingen van deze verordening. Artikel 69 is gebaseerd op artikel 49 van Verordening (EG) nr. 45/2001. Het voorziet in sancties tegen ambtenaren en andere personeelsleden van de Europese Unie die de krachtens deze verordening op hen rustende verplichtingen niet nakomen. HOOFDSTUK IX – UITVOERINGSHANDELINGEN Artikel 70 voorziet in de comitéprocedure die is vereist om aan de Commissie uitvoeringsbevoegdheden toe te kennen in gevallen waarin het overeenkomstig artikel 291 VWEU nodig is dat juridisch bindende handelingen van de Unie volgens eenvormige voorwaarden worden uitgevoerd. De onderzoeksprocedure is van toepassing.

HOOFDSTUK X – SLOTBEPALINGEN Bij artikel 71 worden Verordening (EG) nr. 45/2001 en Besluit nr. 1247/2002/EG ingetrokken en bepaald dat verwijzingen naar de ingetrokken handelingen moeten worden gelezen als verwijzingen naar de onderhavige verordening. Artikel 72 bepaalt dat deze verordening de huidige ambtstermijnen van de Europese Toezichthouder voor gegevensbescherming en de adjunct-toezichthouder onverlet laat en dat artikel 54, leden 4, 5 en 7, en de artikelen 56 en 57 van deze verordening gelden voor de huidige adjunct-toezichthouder tot het verstrijken van diens ambtstermijn op 5 december 2019. In artikel 73 wordt bepaald dat de verordening met ingang van 25 mei 2018 van toepassing is, met het oog op de samenhang met de datum met ingang waarvan Verordening (EU) Verordening (EU) 2016/679 van toepassing is. 2017/0002 (COD) Voorstel voor een VERORDENING VAN HET EUROPEES PARLEMENT EN DE RAAD betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit nr. 1247/2002/EG HET EUROPEES PARLEMENT EN DE RAAD VAN DE EUROPESE UNIE, Gezien het Verdrag betreffende de werking van de Europese Unie, en met name artikel 16, lid 2, Gezien het voorstel van de Europese Commissie, Na toezending van het ontwerp van wetgevingshandeling aan de nationale parlementen, Gezien het advies van het Europees Economisch en Sociaal Comité, Handelend volgens de gewone wetgevingsprocedure, Overwegende hetgeen volgt: (1)De bescherming van natuurlijke personen bij de verwerking van persoonsgegevens is een grondrecht. Krachtens artikel 8, lid 1, van het Handvest van de grondrechten van de Europese Unie (het „Handvest”) en artikel 16, lid 1, van het Verdrag betreffende de werking van de Europese Unie (VWEU) heeft eenieder recht op bescherming van zijn persoonsgegevens. (2)Bij Verordening (EG) nr. 45/2001 van het Europees Parlement en de Raad worden aan natuurlijke personen wettelijk afdwingbare rechten toegekend, worden de verplichtingen van verwerkingsverantwoordelijken binnen de instellingen en organen van de Unie met betrekking tot de verwerking van gegevens vastgesteld en wordt een onafhankelijke toezichthoudende autoriteit ingesteld, de Europese Toezichthouder voor gegevensbescherming, die belast wordt met het toezicht op de verwerking van persoonsgegevens door de instellingen en organen van de Unie. Die verordening is echter niet van toepassing op de verwerking van persoonsgegevens door instellingen en organen van de Unie in het kader van buiten de werkingssfeer van het Unierecht vallende activiteiten. (3)Verordening (EU) 2016/679 van het Europees Parlement en de Raad en Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad zijn op 27 april 2016 vastgesteld. Bij de verordening worden algemene regels vastgesteld betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van persoonsgegevens in de Unie, terwijl bij de richtlijn specifieke regels worden vastgesteld betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van persoonsgegevens in de Unie op het gebied van justitiële samenwerking in strafzaken en politiële samenwerking. (4)In Verordening (EU) 2016/679 wordt benadrukt dat in Verordening (EG) nr. 45/2001 de nodige aanpassingen moeten worden aangebracht om de Unie een sterk en coherent kader inzake gegevensbescherming ter beschikking te stellen, en dat die aanpassingen met ingang van dezelfde datum van toepassing moeten zijn als Verordening (EU) 2016/679. (5)In het belang van een samenhangende aanpak van de bescherming van persoonsgegevens in de gehele Unie en het vrije verkeer van persoonsgegevens binnen de Unie dienen de gegevensbeschermingsvoorschriften voor de instellingen en organen van de Unie zoveel mogelijk op één lijn te worden gebracht met de gegevensbeschermingsvoorschriften die voor de overheidssector in de lidstaten zijn vastgesteld. Wanneer een bepaling van deze verordening op hetzelfde concept is gebaseerd als een bepaling van Verordening (EU) 2016/679, dienen beide bepalingen homogeen te worden uitgelegd, in het bijzonder omdat gezien de opzet van deze verordening, zij moet worden opgevat als de tegenhanger van Verordening (EU) 2016/679.

(6)Personen van wie de persoonsgegevens om welke reden ook door de instellingen of organen van de Unie worden verwerkt, bijvoorbeeld omdat zij bij deze instellingen of organen werkzaam zijn, moeten worden beschermd. Deze verordening dient niet van toepassing te zijn op de verwerking van persoonsgegevens van overledenen. Deze verordening heeft geen betrekking op de verwerking van persoonsgegevens over rechtspersonen en met name als rechtspersonen gevestigde ondernemingen, zoals de naam en de rechtsvorm van de rechtspersoon en de contactgegevens van de rechtspersoon. (7)Om te voorkomen dat een ernstig risico op omzeiling zou ontstaan, dient de bescherming van natuurlijke personen technologieneutraal te zijn en mag zij niet afhankelijk zijn van de gebruikte technologieën. De bescherming van natuurlijke personen dient te gelden bij zowel geautomatiseerde verwerking van persoonsgegevens als bij handmatige verwerking daarvan indien de persoonsgegevens zijn opgeslagen of bedoeld zijn om te worden opgeslagen in een bestand. Dossiers of een verzameling dossiers en de omslagen ervan die niet volgens specifieke criteria zijn gestructureerd, dienen niet onder het toepassingsgebied van deze verordening te vallen. (8)In Verklaring nr. 21 betreffende de bescherming van persoonsgegevens op het gebied van justitiële samenwerking in strafzaken en politiële samenwerking, gehecht aan de slotakte van de intergouvernementele conferentie die het Verdrag van Lissabon heeft aangenomen, erkende de conferentie dat, vanwege de specifieke aard van de justitiële samenwerking in strafzaken en de politiële samenwerking, op die gebieden specifieke voorschriften inzake de bescherming van persoonsgegevens en het vrije verkeer van persoonsgegevens op basis van artikel 16 VWEU nodig zouden kunnen blijken. Op agentschappen van de Unie die activiteiten uitoefenen op het gebied van justitiële samenwerking in strafzaken en politiële samenwerking dient deze verordening derhalve slechts van toepassing te zijn voor zover het op dergelijke agentschappen van toepassing zijnde Unierecht geen specifieke voorschriften inzake de verwerking van persoonsgegevens bevat. (9)Richtlijn (EU) 2016/680 bevat geharmoniseerde voorschriften inzake de bescherming en het vrije verkeer van persoonsgegevens die verwerkt worden met het oog op de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid. Teneinde te bevorderen dat voor natuurlijke personen in de hele Unie eenzelfde beschermingsniveau wordt gewaarborgd door middel van in rechte afdwingbare rechten en te voorkomen dat verschillen in dit verband de uitwisseling van persoonsgegevens tussen agentschappen van de Unie die activiteiten uitoefenen op het gebied van justitiële samenwerking in strafzaken en politiële samenwerking en bevoegde autoriteiten in de lidstaten hinderen, dienen de voorschriften betreffende de bescherming en het vrije verkeer van operationele persoonsgegevens die door dergelijke agentschappen van de Unie worden verwerkt, te zijn gebaseerd op de beginselen die aan deze verordening ten grondslag liggen en te stroken met Richtlijn (EU) 2016/680. (10)Zelfstandige gegevensbeschermingsregelingen betreffende de verwerking van operationele persoonsgegevens die zijn opgenomen in de oprichtingshandeling van een agentschap van de Unie dat activiteiten uitoefent die onder het toepassingsgebied van titel V, hoofdstukken 4 en 5 van het derde deel van het Verdrag vallen, dient deze verordening onverlet te laten. Overeenkomstig artikel 62 van Richtlijn (EU) 2016/680 dient de Commissie echter uiterlijk op 6 mei 2019 een evaluatie te verrichten van handelingen die de Unie heeft vastgesteld in verband met verwerking door de bevoegde instanties met het oog op de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid, en in voorkomend geval de nodige voorstellen te doen om die handelingen te wijzigen teneinde een consequente aanpak van de bescherming van persoonsgegevens op het gebied van justitiële samenwerking in strafzaken en inzake politiële samenwerking te waarborgen. (11)De beginselen van gegevensbescherming moeten voor elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon gelden. Gepseudonimiseerde persoonsgegevens die door het gebruik van aanvullende gegevens aan een natuurlijke persoon kunnen worden gekoppeld, moeten als gegevens over een identificeerbare natuurlijke persoon worden beschouwd. Om te bepalen of een natuurlijke persoon identificeerbaar is, moet rekening worden gehouden met alle middelen waarvan redelijkerwijs te verwachten valt dat zij door de verwerkingsverantwoordelijke of door een andere persoon zullen worden gebruikt om de natuurlijke persoon direct of indirect te identificeren, zoals selectietechnieken. Om uit te maken of redelijkerwijs te verwachten valt dat middelen zullen worden gebruikt om de natuurlijke persoon te identificeren, moet rekening worden gehouden met alle objectieve factoren, zoals de kosten van en de tijd die nodig zijn voor identificatie, met inachtneming van de beschikbare technologie op het tijdstip van verwerking en de technologische ontwikkelingen. De gegevensbeschermingsbeginselen dienen derhalve niet van toepassing te zijn op anonieme gegevens, namelijk gegevens die geen betrekking hebben op een geïdentificeerde of identificeerbare natuurlijke persoon of op persoonsgegevens die zodanig anoniem zijn gemaakt dat de betrokkene niet of niet meer identificeerbaar is. Deze verordening heeft derhalve geen betrekking op de verwerking van dergelijke anonieme gegevens, onder meer voor statistische of onderzoeksdoeleinden. (12)De toepassing van pseudonimisering op persoonsgegevens kan de risico’s voor de betrokkenen verminderen en de verwerkingsverantwoordelijken en de verwerkers helpen om hun verplichtingen inzake gegevensbescherming na te komen. De uitdrukkelijke invoering van „pseudonimisering” in deze verordening is niet bedoeld om andere gegevensbeschermingsmaatregelen uit te sluiten. (13)Natuurlijke personen kunnen worden gekoppeld aan online-identificatoren via hun apparatuur, applicaties, instrumenten en protocollen, zoals internetprotocol (IP)-adressen, identificatiecookies of andere identificatoren zoals radiofrequentie-identificatietags. Eventueel achtergelaten sporen kunnen, met name wanneer zij met unieke identificatoren en andere door de servers ontvangen informatie worden gecombineerd, worden gebruikt om profielen op te stellen van natuurlijke personen en natuurlijke personen te identificeren. (14)Toestemming dient te worden gegeven door middel van een duidelijke actieve handeling, bijvoorbeeld een schriftelijke verklaring, ook met elektronische middelen, of een mondelinge verklaring, waaruit blijkt dat de betrokkene vrijelijk, specifiek, geïnformeerd en ondubbelzinnig met de verwerking van zijn persoonsgegevens instemt. Hiertoe zou kunnen behoren het klikken op een vakje bij een bezoek aan een internetwebsite, het selecteren van technische instellingen voor diensten van de informatiemaatschappij of een andere verklaring of een andere handeling waaruit in dit verband duidelijk blijkt dat de betrokkene instemt met de voorgestelde verwerking van zijn persoonsgegevens. Stilzwijgen, het gebruik van reeds aangekruiste vakjes of inactiviteit mag derhalve niet als toestemming gelden. De toestemming moet gelden voor alle verwerkingsactiviteiten die hetzelfde doel of dezelfde doeleinden dienen. Indien de verwerking meerdere doeleinden heeft, moet toestemming voor elk daarvan worden verleend. Indien de betrokkene zijn toestemming moet geven na een verzoek via elektronische middelen, dient dat verzoek duidelijk en beknopt te zijn en niet onnodig storend voor het gebruik van de dienst in kwestie. (15)Elke verwerking van persoonsgegevens dient behoorlijk en rechtmatig te geschieden. Voor natuurlijke personen dient het transparant te zijn dat hen betreffende persoonsgegevens worden verzameld, gebruikt, geraadpleegd of anderszins verwerkt en in hoeverre de persoonsgegevens worden verwerkt of zullen worden verwerkt. Overeenkomstig het transparantiebeginsel moeten informatie en communicatie in verband met de verwerking van die persoonsgegevens eenvoudig toegankelijk en begrijpelijk zijn, en moet duidelijke en eenvoudige taal worden gebruikt. Dat beginsel betreft met name het informeren van de betrokkenen over de identiteit van de verwerkingsverantwoordelijke en de doeleinden van de verwerking, alsook verdere informatie om te zorgen voor behoorlijke en transparante verwerking met betrekking tot de natuurlijke personen in kwestie en hun recht om bevestiging en mededeling te krijgen van hun persoonsgegevens die worden verwerkt. Natuurlijke personen moeten bewust worden gemaakt van de risico’s, regels, waarborgen en rechten in verband met de verwerking van persoonsgegevens, alsook van de wijze waarop zij hun rechten met betrekking tot deze verwerking kunnen uitoefenen. Met name dienen de specifieke doeleinden waarvoor de persoonsgegevens worden verwerkt expliciet en legitiem te zijn, en te worden vastgesteld op het ogenblik dat de persoonsgegevens worden verzameld. De persoonsgegevens dienen toereikend en ter zake dienend te zijn en beperkt te blijven tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt. Dit vereist met name dat ervoor wordt gezorgd dat de opslagperiode van de persoonsgegevens tot een strikt minimum wordt beperkt. Persoonsgegevens mogen alleen worden verwerkt indien het doel van de verwerking niet redelijkerwijs op een andere wijze kan worden verwezenlijkt. Om ervoor te zorgen dat de persoonsgegevens niet langer worden bewaard dan noodzakelijk is, dient de verwerkingsverantwoordelijke termijnen vast te stellen voor het wissen van de gegevens of voor een periodieke toetsing ervan. Alle redelijke maatregelen moeten worden genomen om ervoor te zorgen dat onjuiste persoonsgegevens worden gerectificeerd of gewist. Persoonsgegevens moeten worden verwerkt op een manier die een passende beveiliging en vertrouwelijkheid van die gegevens waarborgt, ook ter voorkoming van ongeoorloofde toegang tot of ongeoorloofd gebruik van persoonsgegevens en de apparatuur die voor de verwerking wordt gebruikt. (16)Overeenkomstig het verantwoordingsbeginsel dienen instellingen en organen van de Unie, wanneer zij persoonsgegevens doorzenden binnen de instelling of het orgaan van de Unie of naar andere instellingen of organen van de Unie, na te gaan of deze persoonsgegevens noodzakelijk zijn voor de rechtmatige uitoefening van taken die onder de bevoegdheid van de ontvanger vallen, indien de ontvanger geen deel uitmaakt van de verwerkingsverantwoordelijke. Met name dient de verwerkingsverantwoordelijke, indien hij een verzoek om doorzending van persoonsgegevens krijgt, na te gaan of er een relevante grondslag voor de rechtmatige verwerking van de persoonsgegevens door de ontvanger daarvan bestaat en wat de bevoegdheid van de ontvanger is, en dient hij een voorlopige beoordeling te verrichten van de noodzaak van de doorzending van de gegevens. Bij twijfel over de noodzaak dient de verwerkingsverantwoordelijke de ontvanger om nadere toelichting te vragen. De ontvanger dient er zorg voor te dragen dat de noodzaak van de doorzending van de gegevens achteraf kan worden geverifieerd. (17)De verwerking van persoonsgegevens is slechts rechtmatig indien de verwerking noodzakelijk is voor de vervulling van een taak van algemeen belang door de instellingen of organen van de Unie of de uitoefening van hun openbaar gezag, dan wel voor de vervulling van een wettelijke verplichting van de verwerkingsverantwoordelijke, of indien er voor de verwerking een andere gerechtvaardigde grondslag bestaat als bedoeld in deze verordening, zoals de toestemming van de betrokkene, of indien de verwerking noodzakelijk is om een overeenkomst uit te voeren waarbij de betrokkene partij is of om op verzoek van de betrokkene voorafgaand aan het aangaan van een overeenkomst maatregelen te nemen. De verwerking van persoonsgegevens voor de vervulling van de taken die door de instellingen of organen van de Unie in het algemeen belang worden verricht, omvat de verwerking van de voor het beheer en de werking van die instellingen en organen benodigde persoonsgegevens. De verwerking van persoonsgegevens dient ook als rechtmatig te worden beschouwd indien zij noodzakelijk is voor de bescherming van een belang dat voor het leven van de betrokkene of dat van een andere natuurlijke persoon essentieel is. Verwerking van persoonsgegevens op grond van het vitale belang van een andere natuurlijke persoon is in beginsel alleen toegestaan indien de verwerking kennelijk niet op een andere rechtsgrond kan worden gebaseerd. Sommige typen persoonsgegevensverwerking kunnen zowel gewichtige redenen van algemeen belang als de vitale belangen van de betrokkene dienen, bijvoorbeeld wanneer de verwerking noodzakelijk is voor humanitaire doeleinden, onder meer voor het monitoren van een epidemie en de verspreiding daarvan of in humanitaire noodsituaties, met name bij natuurrampen of door de mens veroorzaakte rampen. (18)De Unierechtelijke bepaling, met inbegrip van de in deze verordening bedoelde interne voorschriften, moet duidelijk en nauwkeurig zijn en de toepassing ervan moet voorspelbaar zijn voor degenen op wie deze van toepassing is, zoals vereist door de rechtspraak van het Hof van Justitie van de Europese Unie en het Europees Hof voor de Rechten van de Mens. (19)De verwerking van persoonsgegevens voor andere doeleinden dan die waarvoor de persoonsgegevens aanvankelijk zijn verzameld, mag enkel worden toegestaan indien de verwerking verenigbaar is met de doeleinden waarvoor de persoonsgegevens aanvankelijk zijn verzameld. In dat geval is er geen andere afzonderlijke rechtsgrond vereist dan die op grond waarvan de verzameling van persoonsgegevens werd toegestaan. Indien de verwerking noodzakelijk is voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend, kan in het Unierecht worden vastgesteld en gespecificeerd voor welke taken en doeleinden de verdere verwerking als rechtmatig en verenigbaar met de aanvankelijke doeleinden moet worden beschouwd. De verdere verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden, moet als een met de aanvankelijke doeleinden verenigbare rechtmatige verwerking worden beschouwd. De Unierechtelijke bepaling die als rechtsgrond voor de verwerking van persoonsgegevens dient, kan ook als rechtsgrond voor verdere verwerking dienen. Om na te gaan of een doel van verdere verwerking verenigbaar is met het doel waarvoor de persoonsgegevens aanvankelijk zijn verzameld, moet de verwerkingsverantwoordelijke, nadat hij aan alle voorschriften inzake rechtmatigheid van de oorspronkelijke verwerking heeft voldaan, onder meer rekening houden met: een eventueel verband tussen die doeleinden en de doeleinden van de voorgenomen verdere verwerking; het kader waarin de gegevens zijn verzameld, met name de redelijke verwachtingen van de betrokkenen op basis van hun verhouding met de verwerkingsverantwoordelijke betreffende het verdere gebruik ervan; de aard van de persoonsgegevens; de gevolgen van de voorgenomen verdere verwerking voor de betrokkenen; en passende waarborgen bij zowel de oorspronkelijke als de voorgenomen verdere verwerkingen. (20)Indien de verwerking plaatsvindt op grond van de toestemming van de betrokkene, moet de verwerkingsverantwoordelijke kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking. Met name in de context van een schriftelijke verklaring over een andere zaak dient te worden gewaarborgd dat de betrokkene zich ervan bewust is dat hij toestemming geeft en hoever deze toestemming reikt. In overeenstemming met Richtlijn 93/13/EEG van de Raad stelt de verwerkingsverantwoordelijke vooraf een verklaring van toestemming op in een begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal; deze verklaring mag geen oneerlijke bedingen bevatten. Van geïnformeerde toestemming van de betrokkene kan slechts sprake zijn indien deze ten minste bekend is met de identiteit van de verwerkingsverantwoordelijke en de doeleinden van de verwerking van de persoonsgegevens. Toestemming mag niet worden geacht vrijelijk te zijn verleend indien de betrokkene geen werkelijke of vrije keuze heeft of zijn toestemming niet kan weigeren of intrekken zonder nadelige gevolgen. (21)Kinderen hebben met betrekking tot hun persoonsgegevens recht op specifieke bescherming, aangezien zij zich wellicht minder bewust zijn van de betrokken risico’s, gevolgen en waarborgen en van hun rechten in verband met de verwerking van persoonsgegevens. Die specifieke bescherming moet met name gelden voor het opstellen van persoonlijkheidsprofielen en het verzamelen van persoonsgegevens over kinderen bij het gebruik van diensten die op websites van instellingen of organen van de Unie rechtstreeks aan kinderen worden aangeboden, zoals diensten voor interpersoonlijke communicatie of de onlineverkoop van tickets, en wanneer de verwerking van persoonsgegevens op toestemming berust. (22)Wanneer in de Unie gevestigde ontvangers met inachtneming van Verordening (EU) 2016/679 of Richtlijn (EU) 2016/680 wensen dat instellingen of organen van de Unie persoonsgegevens aan hen doorzenden, moeten die ontvangers aantonen dat de doorzending noodzakelijk en evenredig is voor het bereiken van hun doeleinden en niet verder gaat dan nodig is om die doeleinden te bereiken. Overeenkomstig het beginsel van transparantie dienen instellingen of organen van de Unie die noodzaak aan te tonen indien zijzelf het initiatief nemen voor de doorzending. (23)Persoonsgegevens die door hun aard bijzonder gevoelig zijn wat betreft de grondrechten en fundamentele vrijheden verdienen specifieke bescherming aangezien de context van de verwerking ervan aanzienlijke risico’s voor de grondrechten en fundamentele vrijheden kan meebrengen. Die persoonsgegevens dienen ook persoonsgegevens te omvatten waaruit ras of etnische afkomst blijkt, waarbij het gebruik van de term „ras” in deze verordening niet impliceert dat de Unie theorieën aanvaardt die erop gericht zijn vast te stellen dat er verschillende menselijke rassen bestaan. De verwerking van foto’s mag niet systematisch worden beschouwd als verwerking van bijzondere categorieën persoonsgegevens, aangezien foto’s alleen onder de definitie van biometrische gegevens vallen wanneer zij worden verwerkt met behulp van bepaalde technische middelen die de unieke identificatie of authenticatie van een natuurlijke persoon mogelijk maken. Naast de specifieke voorschriften voor de verwerking van gevoelige gegevens dienen de algemene beginselen en andere regels van deze verordening te worden toegepast, met name wat betreft de voorwaarden voor rechtmatige verwerking. Er moet onder meer uitdrukkelijk in afwijkingen van het algemene verbod op de verwerking van die bijzondere categorieën persoonsgegevens worden voorzien ingeval de betrokkene zijn uitdrukkelijke toestemming geeft of in geval van specifieke behoeften, met name wanneer de verwerking wordt verricht in het kader van gerechtvaardigde activiteiten door bepaalde verenigingen of stichtingen die ernaar streven de uitoefening van de fundamentele vrijheden mogelijk te maken. (24)Het kan om redenen van algemeen belang op het gebied van de volksgezondheid nodig zijn om bijzondere categorieën persoonsgegevens zonder toestemming van de betrokkene te verwerken. Die verwerking moet worden onderworpen aan passende en specifieke maatregelen ter bescherming van de rechten en vrijheden van natuurlijke personen. In dit verband dient „volksgezondheid” overeenkomstig de definitie van Verordening (EG) nr. 1338/2008 van het Europees Parlement en de Raad te worden uitgelegd als alle elementen in verband met de gezondheid, namelijk gezondheidstoestand, inclusief morbiditeit en beperkingen, de determinanten die een effect hebben op die gezondheidstoestand, de behoeften aan gezondheidszorg, middelen ten behoeve van de gezondheidszorg, de verstrekking van en de universele toegang tot gezondheidszorg, alsmede de uitgaven voor en de financiering van de gezondheidszorg, en de doodsoorzaken. Dergelijke verwerking van persoonsgegevens over gezondheid om redenen van algemeen belang mag er niet toe te leiden dat persoonsgegevens door derden voor andere doeleinden worden verwerkt. (25)Indien een verwerkingsverantwoordelijke aan de hand van de door hem verwerkte persoonsgegevens geen natuurlijke persoon kan identificeren, mag hij niet worden verplicht om, uitsluitend om aan een bepaling van deze verordening te voldoen, aanvullende gegevens te verkrijgen ter identificatie van de betrokkene. De verwerkingsverantwoordelijke mag evenwel niet weigeren de door de betrokkene tot staving van de uitoefening van zijn rechten verstrekte aanvullende gegevens aan te nemen. Onder identificatie wordt ook de digitale identificatie van de betrokkene verstaan, bijvoorbeeld door middel van authenticatiemechanismen zoals dezelfde persoonlijke beveiligingsgegevens die de betrokkene gebruikt voor het aanmelden op de door de verwerkingsverantwoordelijke aangeboden onlinedienst.

(26)De verwerking van persoonsgegevens met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden, dient onderworpen te zijn aan passende waarborgen voor de rechten en vrijheden van de betrokkenen overeenkomstig deze verordening. Die waarborgen dienen ervoor te zorgen dat technische en organisatorische maatregelen worden getroffen om met name de inachtneming van het beginsel van gegevensminimalisering te verzekeren. Voorafgaand aan de verdere verwerking van persoonsgegevens met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden dient de verwerkingsverantwoordelijke te hebben beoordeeld of deze doeleinden te verwezenlijken zijn door persoonsgegevens te verwerken op basis waarvan de betrokkenen niet of niet meer geïdentificeerd kunnen worden, op voorwaarde dat passende waarborgen bestaan, zoals de pseudonimisering van de persoonsgegevens. Instellingen en organen van de Unie dienen in het Unierecht, inclusief eventuele interne voorschriften, passende waarborgen te bieden voor de verwerking van persoonsgegevens met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden. (27)Er dienen regelingen voorhanden te zijn om de betrokkene in staat te stellen zijn rechten uit hoofde van deze verordening gemakkelijker uit te oefenen, zoals mechanismen om te verzoeken om met name inzage in en rectificatie of wissing van persoonsgegevens en deze in voorkomend geval kosteloos te verkrijgen, alsmede om het recht van bezwaar uit te oefenen. De verwerkingsverantwoordelijke dient ook middelen beschikbaar te stellen om verzoeken elektronisch in te dienen, vooral wanneer persoonsgegevens langs elektronische weg worden verwerkt. De verwerkingsverantwoordelijke dient te worden verplicht onverwijld, en ten laatste binnen een maand, op verzoeken van de betrokkene te reageren, en de redenen op te geven voor een eventuele voorgenomen weigering om aan dergelijke verzoeken gehoor te geven. (28)Overeenkomstig de beginselen van behoorlijke en transparante verwerking moet de betrokkene op de hoogte worden gesteld van het feit dat verwerking plaatsvindt en van de doeleinden daarvan. De verwerkingsverantwoordelijke dient de betrokkene alle nadere informatie te verstrekken die noodzakelijk is om behoorlijke en transparante verwerking te waarborgen, met inachtneming van de specifieke omstandigheden en de context waarin de persoonsgegevens worden verwerkt. Voorts moet de betrokkene worden geïnformeerd over het bestaan van profilering en de gevolgen daarvan. Indien de persoonsgegevens van de betrokkene worden verkregen, moet hem worden meegedeeld of hij verplicht is de persoonsgegevens te verstrekken en wat de gevolgen zijn van niet-verstrekking van de gegevens. Die informatie kan met behulp van gestandaardiseerde iconen worden verstrekt, teneinde op goed zichtbare, begrijpelijke en duidelijk leesbare wijze een overzicht van de voorgenomen verwerking te geven. Elektronisch weergegeven iconen moeten machineleesbaar zijn. (29)De informatie over de verwerking van persoonsgegevens betreffende de betrokkene dient hem te worden meegedeeld bij het verzamelen van de gegevens bij de betrokkene of, indien de gegevens uit een andere bron zijn verkregen, binnen een redelijke termijn, die afhangt van de omstandigheden van het geval. Wanneer persoonsgegevens rechtmatig aan een andere ontvanger kunnen worden verstrekt, dient de betrokkene te worden meegedeeld wanneer de persoonsgegevens voor het eerst aan de ontvanger worden verstrekt. Wanneer de verwerkingsverantwoordelijke voornemens is de persoonsgegevens te verwerken met een ander doel dan dat waarvoor zij zijn verzameld, moet de verwerkingsverantwoordelijke de betrokkene vóór die verdere verwerking informatie over dat andere doel en andere noodzakelijke informatie verstrekken. Wanneer de oorsprong van de persoonsgegevens niet aan de betrokkene kan worden meegedeeld omdat verschillende bronnen zijn gebruikt, moet algemene informatie worden verstrekt. (30)Betrokkenen moeten het recht hebben om de persoonsgegevens die over hen zijn verzameld, in te zien, en om dat recht eenvoudig en met redelijke tussenpozen uit te oefenen, zodat zij zich van de verwerking op de hoogte kunnen stellen en de rechtmatigheid daarvan kunnen controleren. Dit houdt ook in dat betrokkenen het recht dienen te hebben op inzage in gegevens betreffende hun gezondheid, zoals de gegevens in hun medisch dossier, dat informatie bevat over bijvoorbeeld diagnosen, onderzoeksresultaten, beoordelingen door behandelende artsen en verrichte behandelingen of ingrepen. Betrokkenen dienen dan ook het recht te hebben om te weten en te worden meegedeeld voor welke doeleinden de persoonsgegevens worden verwerkt, indien mogelijk hoe lang zij worden bewaard, wie de persoonsgegevens ontvangt, welke logica er ten grondslag ligt aan een eventuele automatische verwerking van de persoonsgegevens en, ten minste wanneer de verwerking op profilering is gebaseerd, wat de gevolgen van een dergelijke verwerking zijn. Dat recht mag geen afbreuk doen aan de rechten of vrijheden van anderen, met inbegrip van bedrijfsgeheimen of intellectuele eigendom en met name het auteursrecht dat de software beschermt. Die overwegingen mogen echter niet ertoe leiden dat betrokkenen alle informatie wordt onthouden. Wanneer de verwerkingsverantwoordelijke een grote hoeveelheid gegevens betreffende de betrokkene verwerkt, moet hij de betrokkene voorafgaand aan de informatieverstrekking kunnen verzoeken om te preciseren op welke informatie of welke verwerkingsactiviteiten het verzoek betrekking heeft. (31)Betrokkenen moeten het recht hebben om hen betreffende persoonsgegevens te laten rectificeren en dienen te beschikken over een „recht op vergetelheid” wanneer de bewaring van dergelijke gegevens inbreuk maakt op deze verordening of op Unierecht dat op de verwerkingsverantwoordelijke van toepassing is. Dit houdt in dat betrokkenen het recht moeten hebben hun persoonsgegevens te laten wissen en niet verder te laten verwerken wanneer de persoonsgegevens niet langer noodzakelijk zijn voor de doeleinden waarvoor zij zijn verzameld of anderszins verwerkt, wanneer de betrokkenen hun toestemming hebben ingetrokken of bezwaar maken tegen de verwerking van hun persoonsgegevens, of wanneer de verwerking van hun persoonsgegevens op een ander punt niet met deze verordening in overeenstemming is. Dit recht is met name relevant wanneer de betrokkene toestemming heeft gegeven als kind, toen hij zich nog niet volledig bewust was van de risico’s van de verwerking, en hij dergelijke persoonsgegevens later wil verwijderen, met name van internet. Betrokkenen dienen dat recht te kunnen uitoefenen niettegenstaande het feit dat zij geen kind meer zijn. Het dient echter rechtmatig te zijn persoonsgegevens langer te bewaren wanneer dat noodzakelijk is voor de uitoefening van het recht op vrijheid van meningsuiting en van informatie, voor de nakoming van een wettelijke verplichting, voor de uitvoering van een taak in het algemeen belang of in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend, om redenen van algemeen belang op het vlak van volksgezondheid, met het oog op archivering in het algemeen belang, voor wetenschappelijk of historisch onderzoek of statistische doeleinden of voor de vaststelling, uitoefening of onderbouwing van een rechtsvordering. (32)Ter versterking van het recht op vergetelheid in de onlineomgeving, dient het recht op wissing te worden uitgebreid door de verwerkingsverantwoordelijke die persoonsgegevens openbaar heeft gemaakt te verplichten de verwerkingsverantwoordelijken die deze persoonsgegevens verwerken, ervan op de hoogte te stellen dat de betrokkene heeft verzocht om het wissen van links naar, of kopieën of reproducties van die persoonsgegevens. Die verwerkingsverantwoordelijke dient daarbij, met inachtneming van de beschikbare technologie en de middelen waarover hij beschikt, redelijke maatregelen te nemen, waaronder technische maatregelen, om de verwerkingsverantwoordelijken die de persoonsgegevens verwerken, over het verzoek van de betrokkene te informeren. (33)Tot de methoden ter beperking van de verwerking van persoonsgegevens zou kunnen behoren dat de geselecteerde persoonsgegevens tijdelijk naar een ander verwerkingssysteem worden overgebracht, dat de geselecteerde gegevens voor gebruikers niet beschikbaar worden gemaakt of dat gepubliceerde gegevens tijdelijk van een website worden verwijderd. In geautomatiseerde bestanden moet in beginsel met technische middelen worden gezorgd voor een zodanige beperking van de verwerking van persoonsgegevens dat de persoonsgegevens niet verder kunnen worden verwerkt en niet kunnen worden gewijzigd. Het feit dat de verwerking van persoonsgegevens beperkt is, moet duidelijk in het bestand zijn aangegeven. (34)Om de zeggenschap over hun eigen gegevens verder te versterken, dienen betrokkenen wanneer de persoonsgegevens via geautomatiseerde procedés worden verwerkt, ook de mogelijkheid te hebben de hen betreffende persoonsgegevens die zij aan een verwerkingsverantwoordelijke hebben verstrekt, in een gestructureerd, gangbaar, machineleesbaar en interoperabel formaat te verkrijgen en die aan een andere verwerkingsverantwoordelijke door te zenden. Verwerkingsverantwoordelijken dienen ertoe te worden aangemoedigd interoperabele formaten te ontwikkelen die gegevensoverdraagbaarheid mogelijk maken. Dit recht dient te gelden wanneer betrokkenen persoonsgegevens hebben verstrekt door hun toestemming te geven of wanneer de verwerking noodzakelijk is voor de uitvoering van een overeenkomst. Derhalve mag dit recht niet gelden indien de verwerking van de persoonsgegevens nodig is voor de vervulling van een op de verwerkingsverantwoordelijke rustende wettelijke verplichting, dan wel voor de vervulling van een taak van algemeen belang of in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend. Het recht van betrokkenen om hen betreffende persoonsgegevens door te zenden of te ontvangen, mag voor verwerkingsverantwoordelijken geen verplichting doen ontstaan om technisch compatibele systemen voor gegevensverwerking op te zetten of bij te houden. Wanneer een bepaalde verzameling persoonsgegevens op meer dan één betrokkene betrekking heeft, moet het recht om de persoonsgegevens te ontvangen de rechten en vrijheden van andere betrokkenen overeenkomstig deze verordening onverlet laten. Voorts mag dit recht niet afdoen aan het recht van betrokkenen om hun persoonsgegevens te laten wissen en aan de beperkingen die in deze verordening aan dat recht zijn gesteld, en mag het in het bijzonder niet inhouden dat de hen betreffende persoonsgegevens die betrokkenen ter uitvoering van een overeenkomst hebben verstrekt, voor zover en zolang de persoonsgegevens noodzakelijk zijn voor de uitvoering van die overeenkomst, worden gewist. Voor zover dit technisch haalbaar is, moeten betrokkenen het recht hebben om de gegevens direct van een verwerkingsverantwoordelijke naar een andere verwerkingsverantwoordelijke te laten doorzenden. (35)Wanneer persoonsgegevens rechtmatig mogen worden verwerkt omdat de verwerking nodig is ter vervulling van een taak van algemeen belang of in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend, dienen betrokkenen niettemin bezwaar te kunnen maken tegen de verwerking van gegevens die op hun specifieke situatie betrekking hebben. Verwerkingsverantwoordelijken moeten aantonen dat hun dwingende gerechtvaardigde belangen wellicht zwaarder wegen dan de belangen of de grondrechten en de fundamentele vrijheden van betrokkenen. (36)Betrokkenen dienen het recht te hebben niet te worden onderworpen aan een louter op geautomatiseerde verwerking gebaseerd besluit – dat een maatregel kan behelzen — over persoonlijke hen betreffende aspecten, waaraan voor hen rechtsgevolgen zijn verbonden of dat hen op vergelijkbare wijze aanmerkelijk treft, zoals verwerking van sollicitaties via internet zonder menselijke tussenkomst. Een verwerking van die aard omvat „profilering”, waaronder wordt verstaan de geautomatiseerde verwerking van persoonsgegevens ter beoordeling van persoonlijke aspecten van een natuurlijke persoon, met name om kenmerken betreffende beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren of interesses, betrouwbaarheid of gedrag, locatie of verplaatsingen van de betrokkene te analyseren of te voorspellen, wanneer daaraan voor hem rechtsgevolgen zijn verbonden of dat hem op vergelijkbare wijze aanmerkelijk treft. Besluitvorming op basis van een dergelijke verwerking, met inbegrip van profilering, dient echter wel mogelijk te zijn wanneer deze uitdrukkelijk is toegestaan bij het Unierecht. In ieder geval moeten voor dergelijke verwerking passende waarborgen worden geboden, waaronder specifieke informatie aan de betrokkene en het recht op menselijke tussenkomst, om zijn standpunt kenbaar te maken, om uitleg over de na een dergelijke beoordeling genomen besluit te krijgen en om het besluit aan te vechten. Een dergelijke maatregel mag geen betrekking hebben op een kind. Teneinde een voor de betrokkene behoorlijke en transparante verwerking te garanderen waarbij rekening wordt gehouden met de concrete omstandigheden en de context waarin de persoonsgegevens worden verwerkt, dient de verwerkingsverantwoordelijke voor de profilering passende wiskundige en statistische procedures te hanteren en technische en organisatorische maatregelen te treffen waarmee factoren die aanleiding geven tot onjuistheden van persoonsgegevens worden gecorrigeerd en het risico op fouten wordt geminimaliseerd, en de persoonsgegevens zodanig te bewaren dat rekening wordt gehouden met de potentiële risico’s voor de belangen en rechten van de betrokkene en dat onder meer wordt voorkomen dat zulks voor natuurlijke personen discriminerende gevolgen zou hebben op grond van ras of etnische afkomst, politieke overtuiging, godsdienst of levensbeschouwelijke overtuigingen, lidmaatschap van een vakbond, genetische of gezondheidsstatus, of seksuele gerichtheid, of gevolgen zou hebben die leiden tot maatregelen met een vergelijkbaar effect. Geautomatiseerde besluitvorming en profilering op basis van bijzondere categorieën persoonsgegevens mogen uitsluitend op specifieke voorwaarden worden toegestaan. (37)Bij rechtshandelingen die gebaseerd zijn op Verdragen of bij interne voorschriften van instellingen en organen van de Unie kunnen beperkingen worden gesteld aan de specifieke beginselen en het recht op informatie, inzage en rectificatie of wissing van persoonsgegevens, het recht op gegevensoverdraagbaarheid, de vertrouwelijkheid van elektronische communicatie en de melding aan de betrokkene van een inbreuk in verband met persoonsgegevens en bepaalde daarmee verband houdende verplichtingen van de verwerkingsverantwoordelijken, voor zover dat in een democratische samenleving noodzakelijk en evenredig is voor de bescherming van de openbare veiligheid, voor de voorkoming, het onderzoek en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid, waaronder de bescherming van het menselijk leven, met name bij natuurrampen of door de mens veroorzaakte rampen, voor de interne veiligheid van de instellingen en organen van de Unie, voor de bescherming van andere belangrijke doelstellingen van algemeen en openbaar belang in de Unie of een lidstaat, met name een gewichtig economisch of financieel belang van de Unie of een lidstaat, voor het houden van openbare registers die nodig zijn om redenen van algemeen belang, voor de bescherming van betrokkenen of de rechten en vrijheden van anderen, met inbegrip van sociale bescherming, volksgezondheid en humanitaire doeleinden. Indien de rechtshandelingen die gebaseerd zijn op de Verdragen of de interne voorschriften van de instellingen en organen van de Unie niet in een dergelijke beperking voorzien, kunnen de instellingen of organen van de Unie in een specifiek geval ad hoc een beperking opleggen aan specifieke beginselen en aan de rechten van betrokkenen, indien deze beperking de wezenlijke inhoud van de grondrechten en fundamentele vrijheden onverlet laat en ten aanzien van een specifieke verwerking in een democratische samenleving noodzakelijk en evenredig is ter waarborging van een of meer van de in de eerste alinea genoemde doelstellingen. Deze beperking dient aan de gegevensbeschermingsfunctionaris te worden gemeld. Alle beperkingen moeten in overeenstemming zijn met de vereisten van het Handvest en het Europees Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden. (38)Voor elke verwerking van persoonsgegevens die door of namens de verwerkingsverantwoordelijke wordt uitgevoerd, moeten de verantwoordelijkheid en de aansprakelijkheid van de verwerkingsverantwoordelijke worden vastgesteld. Meer bepaald dient de verwerkingsverantwoordelijke te worden verplicht passende en effectieve maatregelen uit te voeren en te kunnen aantonen dat elke verwerkingsactiviteit overeenkomstig deze verordening geschiedt, ook wat betreft de doeltreffendheid van de maatregelen. Bij die maatregelen moet rekening worden gehouden met de aard, de omvang, de context en het doel van de verwerking en het risico voor de rechten en vrijheden van natuurlijke personen. Het qua waarschijnlijkheid en ernst uiteenlopende risico voor de rechten en vrijheden van natuurlijke personen kan voortvloeien uit persoonsgegevensverwerking die kan resulteren in lichamelijke, materiële of immateriële schade, met name: wanneer de verwerking kan leiden tot discriminatie, identiteitsdiefstal of fraude, financiële verliezen, reputatieschade, verlies van vertrouwelijkheid van door het beroepsgeheim beschermde persoonsgegevens, ongeoorloofde ongedaanmaking van pseudonimisering, of enig ander aanzienlijk economisch of maatschappelijk nadeel; wanneer betrokkenen hun rechten en vrijheden niet kunnen uitoefenen of worden verhinderd controle over hun persoonsgegevens uit te oefenen; wanneer persoonsgegevens worden verwerkt waaruit ras of etnische afkomst, politieke opvattingen, religie of levensbeschouwelijke overtuigingen, of vakbondslidmaatschap blijkt, en bij de verwerking van genetische gegevens of gegevens over gezondheid, seksueel gedrag of strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen; wanneer persoonlijke aspecten worden geëvalueerd, om met name beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren of interesses, betrouwbaarheid of gedrag, locatie of verplaatsingen te analyseren of te voorspellen, teneinde persoonlijke profielen op te stellen of te gebruiken; wanneer persoonsgegevens van kwetsbare natuurlijke personen, met name van kinderen, worden verwerkt; of wanneer de verwerking een grote hoeveelheid persoonsgegevens betreft en gevolgen heeft voor een groot aantal betrokkenen. De waarschijnlijkheid en de ernst van het risico voor de rechten en vrijheden van de betrokkene moeten worden bepaald onder verwijzing naar de aard, de omvang, de context en de doeleinden van de verwerking. Het risico moet worden bepaald op basis van een objectieve beoordeling van de vraag of de verwerking gepaard gaat met een risico of een hoog risico. (39)Ter bescherming van de rechten en vrijheden van natuurlijke personen in verband met de verwerking van persoonsgegevens zijn passende technische en organisatorische maatregelen nodig om te waarborgen dat aan de voorschriften van deze verordening wordt voldaan. Om de naleving van deze verordening aan te kunnen tonen, moet de verwerkingsverantwoordelijke interne beleidsmaatregelen nemen en maatregelen toepassen die voldoen aan met name de beginselen van gegevensbescherming door ontwerp en gegevensbescherming door standaardinstellingen. Dergelijke maatregelen kunnen onder meer bestaan in het minimaliseren van de verwerking van persoonsgegevens, het zo spoedig mogelijk pseudonimiseren van persoonsgegevens, het zorgen voor transparantie met betrekking tot de functies en de verwerking van persoonsgegevens, het in staat stellen van de betrokkene om controle uit te oefenen op de informatieverwerking en het in staat stellen van de verwerkingsverantwoordelijke om beveiligingskenmerken te creëren en te verbeteren. De beginselen van gegevensbescherming door ontwerp en gegevensbescherming door standaardinstellingen moeten ook bij openbare aanbestedingen in aanmerking worden genomen. (40)Voor de bescherming van de rechten en vrijheden van betrokkenen en de verantwoordelijkheid en aansprakelijkheid van verwerkingsverantwoordelijken en verwerkers is het noodzakelijk dat de bij deze verordening vastgestelde verantwoordelijkheden op duidelijke wijze worden toegewezen, ook wanneer de verwerkingsverantwoordelijke de doeleinden en de middelen voor de verwerking samen met andere verwerkingsverantwoordelijken vaststelt, of wanneer een verwerking ten behoeve van een verwerkingsverantwoordelijke wordt uitgevoerd. (41)Teneinde te waarborgen dat met betrekking tot de verwerking die door de verwerker ten behoeve van de verwerkingsverantwoordelijke moet worden verricht, aan de voorschriften van deze verordening wordt voldaan, mag de verwerkingsverantwoordelijke, wanneer hij een verwerker verwerkingsactiviteiten toevertrouwt, alleen een beroep doen op verwerkers die voldoende garanties bieden, met name op het gebied van deskundigheid, betrouwbaarheid en middelen, om ervoor te zorgen dat de technische en organisatorische maatregelen beantwoorden aan de voorschriften van deze verordening, mede wat de beveiliging van de verwerking betreft. Het feit dat verwerkers, andere dan instellingen en organen van de unie, zich aansluiten bij een goedgekeurde gedragscode of bij een goedgekeurde certificeringsregeling kan worden gebruikt als een element om aan te tonen dat aan de verplichtingen van de verwerkingsverantwoordelijke wordt voldaan. De uitvoering van de verwerking door een verwerker dient uit hoofde van het Unierecht of het lidstatelijke recht te worden geregeld in een overeenkomst of een andere rechtshandeling waardoor de verwerker aan de verwerkingsverantwoordelijke gebonden is, en die een nadere omschrijving omvat van het onderwerp en de duur van de verwerking, de aard en de doeleinden van de verwerking, het soort persoonsgegevens en de categorieën betrokkenen, en dient rekening te houden met de specifieke taken en verantwoordelijkheden van de verwerker in het kader van de te verrichten verwerking en het risico in verband met de rechten en vrijheden van betrokkenen. De verwerkingsverantwoordelijke en de verwerker dienen te kunnen kiezen voor het gebruik van een individuele overeenkomst of standaardcontractbepalingen, die hetzij rechtstreeks door de Commissie, hetzij door de Europese Toezichthouder voor gegevensbescherming en vervolgens door de Commissie worden vastgesteld. Na de voltooiing van de verwerking ten behoeve van de verwerkingsverantwoordelijke dient de verwerker, naargelang de wens van de verwerkingsverantwoordelijke, de persoonsgegevens terug te geven of te wissen, tenzij het Unierecht of het lidstatelijke recht dat op de verwerker van toepassing is, de verplichting oplegt die persoonsgegevens op te slaan. (42)Om de naleving van deze verordening aan te kunnen tonen, dienen verwerkingsverantwoordelijken een register bij te houden van verwerkingsactiviteiten die onder hun verantwoordelijkheid hebben plaatsgevonden en dienen verwerkers een register bij te houden van de categorieën verwerkingsactiviteiten die onder hun verantwoordelijkheid hebben plaatsgevonden. De instellingen en organen van de Unie dienen ertoe te worden verplicht medewerking te verlenen aan de Europese Toezichthouder voor gegevensbescherming en deze desgevraagd hun registers te verstrekken met het oog op het gebruik daarvan voor het toezicht op de verwerkingsactiviteiten. De instellingen en organen van de Unie dienen in staat te worden gesteld een centraal register van hun verwerkingsactiviteiten op te zetten. Omwille van de transparantie moeten zij dit register openbaar kunnen maken. (43)Teneinde de veiligheid te waarborgen en te voorkomen dat de verwerking inbreuk maakt op deze verordening, dient de verwerkingsverantwoordelijke of de verwerker de aan de verwerking inherente risico’s te beoordelen en maatregelen, zoals versleuteling, te treffen om die risico’s te beperken. Die maatregelen dienen een passend niveau van beveiliging, met inbegrip van vertrouwelijkheid, te waarborgen, rekening houdend met de stand van de techniek en de uitvoeringskosten afgezet tegen de risico’s en de aard van de te beschermen persoonsgegevens. Bij de beoordeling van de gegevensbeveiligingsrisico’s dient aandacht te worden besteed aan risico’s die zich voordoen bij persoonsgegevensverwerking, zoals vernietiging, verlies, wijziging, ongeoorloofde verstrekking van of ongeoorloofde inzage in de doorgezonden, opgeslagen of anderszins verwerkte gegevens, hetzij per ongeluk hetzij onrechtmatig, met name indien daaruit lichamelijke, materiële of immateriële schade kan voortkomen. (44)De instellingen en organen van de Unie dienen de vertrouwelijkheid van de elektronische communicatie te waarborgen, zoals bepaald in artikel 7 van het Handvest. Met name dienen de instellingen en organen van de Unie de beveiliging van hun elektronische communicatienetwerken te waarborgen, de informatie betreffende de eindapparatuur van eindgebruikers die voor het publiek toegankelijke, door de instellingen en organen van de Unie aangeboden websites bezoeken en gebruikmaken van door die instellingen en organen aangeboden mobiele toepassingen te beschermen overeenkomstig Verordening (EU) XXXX/XX [de nieuwe e-privacyverordening] en de persoonsgegevens in gebruikerslijsten te beschermen.

(45) Een inbreuk in verband met persoonsgegevens kan, wanneer dit probleem niet tijdig en op passende wijze wordt aangepakt, resulteren in lichamelijke, materiële of immateriële schade voor natuurlijke personen. Daarom moet de verwerkingsverantwoordelijke, zodra hij weet dat een inbreuk in verband met persoonsgegevens heeft plaatsgevonden, de Europese Toezichthouder voor gegevensbescherming onverwijld, zo mogelijk niet meer dan 72 uur nadat hij er kennis van heeft genomen, in kennis stellen van de inbreuk in verband met persoonsgegevens, tenzij de verwerkingsverantwoordelijke conform het verantwoordingsbeginsel kan aantonen dat het onwaarschijnlijk is dat deze inbreuk risico’s voor de rechten en vrijheden van natuurlijke personen met zich meebrengt. Wanneer die kennisgeving niet binnen 72 uur kan worden gerealiseerd, dient de kennisgeving vergezeld te gaan van een verklaring voor de vertraging en mag de informatie zonder onredelijke verdere vertraging in fasen worden verstrekt. Indien vertraging gerechtvaardigd is, moet minder gevoelige of minder specifieke informatie over de inbreuk zo spoedig mogelijk worden vrijgegeven in plaats van te wachten totdat het desbetreffende incident volledig is opgelost. (46)De verwerkingsverantwoordelijke moet de betrokkene zonder onredelijke vertraging in kennis stellen van de inbreuk in verband met persoonsgegevens wanneer die inbreuk in verband met persoonsgegevens kan leiden tot hoge risico’s voor de rechten en vrijheden van de betrokken natuurlijke persoon, zodat deze de nodige voorzorgsmaatregelen kan treffen. De kennisgeving dient zowel de aard van de inbreuk in verband met persoonsgegevens te vermelden als aanbevelingen over hoe de natuurlijke persoon in kwestie mogelijke negatieve gevolgen kan beperken. Dergelijke kennisgevingen aan betrokkenen dienen zo snel als redelijkerwijs mogelijk te worden gedaan, in nauwe samenwerking met de Europese Toezichthouder voor gegevensbescherming en met inachtneming van de door deze zelf of door andere relevante autoriteiten, zoals rechtshandhavingsautoriteiten, aangereikte richtsnoeren. (47)In Verordening (EG) nr. 45/2001 wordt bepaald dat de