[pic] | COMMISSIE VAN DE EUROPESE GEMEENSCHAPPEN |

Brussel, 4.10.2005

COM(2005) 475 definitief

2005/0202 (CNS)

Voorstel voor een

KADERBESLUIT VAN DE RAAD

over de bescherming van persoonsgegevens die worden verwerkt in het kader van de politiële en justitiële samenwerking in strafzaken {SEC(2005)1241}

(ingediend door de Commissie)

TOELICHTING

1) Achtergrond van het voorstel

- Motivering en doel van het voorstel

Op 4 november 2004 heeft de Europese Raad het Haags programma ter versterking van vrijheid, veiligheid en recht in de Europese Unie vastgesteld[1]. Daarin wordt de Commissie verzocht uiterlijk eind 2005 voorstellen voor de toepassing van het beschikbaarheidsbeginsel in te dienen om de grensoverschrijdende uitwisseling van gegevens tussen de lidstaten te verbeteren. In het programma wordt beklemtoond dat bij die voorstellen strak de hand moet worden gehouden aan de basisvoorwaarden op het gebied van gegevensbescherming.

In juni 2005 hebben de Raad en de Commissie het actieplan ter uitvoering van het Haags programma goedgekeurd[2]. Dit actieplan was gebaseerd op de mededeling van de Commissie aan de Raad en het Europees Parlement "Het Haags programma: tien prioriteiten voor de komende vijf jaar. Het partnerschap voor Europese vernieuwing op het gebied van vrijheid, veiligheid en recht"[3]. Volgens het actieplan moet de Commissie in 2005 voorstellen indienen over (1) de invoering van een beginsel van beschikbaarheid van voor de wetshandhaving relevante gegevens (2005) en over (2) passende waarborgen en doeltreffende rechtsmiddelen voor de overdracht van persoonsgegevens in het kader van de politiële en justitiële samenwerking in strafzaken . Op 13 juli 2005 heeft de Raad (Justitie en Binnenlandse Zaken) in zijn verklaring met de reactie van de EU op de bomaanslagen in Londen[4] de Commissie opgeroepen deze voorstellen in oktober 2005 in te dienen.

Dit kaderbesluit regelt de bescherming van persoonsgegevens die worden verwerkt in het kader van de justitiële en politiële samenwerking in strafzaken tussen de lidstaten van de Europese Unie (VEU, titel VI). Het kaderbesluit is bedoeld om deze samenwerking, met name op het gebied van de preventie en de bestrijding van terrorisme, te verbeteren, onder strikte naleving van de basisbeginselen op het gebied van gegevensbescherming. Het kaderbesluit zorgt ervoor dat de grondrechten, met name het recht op bescherming van de persoonlijke levenssfeer en van persoonsgegevens, in de gehele Unie worden geëerbiedigd, in het bijzonder bij de toepassing van het beschikbaarheidsbeginsel. Het zorgt er tevens voor dat de uitwisseling van relevante gegevens tussen de lidstaten niet wordt belemmerd door verschillende niveaus van gegevensbescherming in de lidstaten.

- Algemene context

Op initiatief van Italië werd de bescherming van persoonsgegevens in het kader van de derde pijler al in 1998 besproken[5]. Rond dezelfde tijd stelde de Raad Justitie en Binnenlandse Zaken het zogeheten actieplan van Wenen vast[6]. Daarin werd gesteld dat in verband met de horizontale problemen op het gebied van politiële en justitiële samenwerking in strafzaken, binnen twee jaar na de inwerkingtreding van het Verdrag de mogelijkheden moesten worden bestudeerd om geharmoniseerde voorschriften inzake gegevensbescherming vast te stellen. In 2001 werd een ontwerp-resolutie betreffende de regels inzake de bescherming van persoonsgegevens in de instrumenten van de derde pijler van de Europese Unie echter niet aangenomen[7]. In juni 2003 stelde het Griekse voorzitterschap een aantal algemene beginselen voor de bescherming van persoonsgegevens in het kader van de derde pijler voor[8], die waren gebaseerd op de gegevensbeschermingsrichtlijn 95/46/EG en het Handvest van de grondrechten van de Europese Unie. In 2005 toonden de gegevensbeschermingsautoriteiten van de lidstaten van de Europese Unie en de Europese Toezichthouder voor gegevensbescherming (hierna "EDPS" genoemd, European Data Protection Supervisor) zich verklaard voorstander van een nieuw rechtsinstrument voor de bescherming van persoonsgegevens in het kader van de derde pijler[9]. Het Europees Parlement heeft aanbevolen de bestaande regels op het gebied van bescherming van persoonsgegevens in de instrumenten van de huidige derde pijler te harmoniseren door deze in één instrument onder te brengen dat hetzelfde niveau van bescherming garandeert als de eerste pijler[10].

Volgens het Haags programma kan het beschikbaarheidsbeginsel alleen worden ingevoerd als aan bepaalde basisvoorwaarden op het gebied van gegevensbescherming is voldaan. De Europese Raad erkende hiermee dat de bestaande gegevensbeschermingsbepalingen op Europees niveau niet toereikend zijn voor de toepassing van het beschikbaarheidsbeginsel, waarbij wellicht wederzijdse toegang tot of interoperabiliteit van nationale gegevensbanken of directe (online) toegang mogelijk worden.

Ook in de samenwerkingsovereenkomst die op 27 mei 2005 in Prüm door zeven lidstaten (Duitsland, Oostenrijk, België, Nederland, Luxemburg, Frankrijk en Spanje) werd ondertekend en als model voor de uitwisseling van gegevens tussen de lidstaten van de Unie in het algemeen werd aanbevolen, werd uiting gegeven aan de bezorgdheid over het gegevensbeschermingsniveau. De overeenkomst regelt dat wetshandhavingsinstanties van de ene overeenkomstsluitende partij onder bepaalde voorwaarden directe geautomatiseerde toegang hebben tot persoonsgegevens die in het bezit zijn van een andere overeenkomstsluitende partij. Maar deze vorm van samenwerking wordt pas toegepast als de gegevensbeschermingsbepalingen van de overeenkomst zijn omgezet in het nationale recht van de overeenkomstsluitende partijen.

- Bestaande bepalingen op het door het voorstel bestreken gebied

In het Handvest van de grondrechten van de Europese Unie[11] wordt het recht op bescherming van het privé-leven (artikel 7) en dat op de bescherming van persoonsgegevens (artikel 8) uitdrukkelijk erkend. Deze gegevens moeten eerlijk worden verwerkt, voor bepaalde doeleinden en met toestemming van de betrokkene of op basis van een andere gerechtvaardigde grondslag waarin de wet voorziet. Eenieder heeft recht op toegang tot de over hem verzamelde gegevens en op correctie daarvan. Een onafhankelijke autoriteit ziet toe op de naleving van deze regels.

Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens, en betreffende het vrije verkeer van die gegevens[12], bevat fundamentele regels over de rechtmatigheid van de verwerking van persoonsgegevens en over de rechten van de betrokkenen. Er zijn bepalingen in opgenomen over rechtsmiddelen, aansprakelijkheid en sancties, de doorgifte van persoonsgegevens aan derde landen, gedragscodes, specifieke toezichthoudende instanties en een groep gegevensbescherming, alsmede communautaire uitvoeringsvoorschriften. De richtlijn is echter niet van toepassing op activiteiten die niet onder het Gemeenschapsrecht vallen, zoals die waarop titel VI van het Verdrag betreffende de Europese Unie (VEU) betrekking heeft. Dientengevolge kunnen de lidstaten zelf hun eigen normen voor gegevensverwerking en –bescherming vaststellen. De bescherming van persoonsgegevens is in het kader van titel VI van het VEU in verschillende specifieke instrumenten geregeld. Daarbij gaat het met name om instrumenten waarbij gemeenschappelijke informatiesystemen op Europees niveau worden ingesteld, zoals de Schengenuitvoeringsovereenkomst van 1990 met specifieke gegevensbeschermingsbepalingen die gelden voor het Schengeninformatiesysteem[13], de Europol-overeenkomst van 1995[14] en onder andere de regels betreffende de verstrekking van persoonsgegevens door Europol aan derde staten en instanties[15], het besluit betreffende de oprichting van Eurojust van 2002[16] en de beschikkingen van het interne reglement betreffende de verwerking en bescherming van persoonsgegevens bij Eurojust[17], de Overeenkomst inzake het gebruik van informatica op douanegebied van 1995, met de gegevensbeschermingsbepalingen die van toepassing zij op het douane-informatiesysteem[18], en de Overeenkomst betreffende de wederzijdse rechtshulp in strafzaken tussen de lidstaten van de Europese Unie van 2000, met name artikel 23[19]. Wat het Schengeninformatiesysteem betreft moet in het bijzonder worden gekeken naar de instelling, de werking en het gebruik van het Schengeninformatiesysteem van de tweede generatie (SIS II), waarover de Commissie al een voorstel voor een besluit van de Raad[20] en twee voorstellen voor een verordening[21] heeft ingediend.

Tevens moet aandacht worden besteed aan artikel 8 van het Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden en aan Verdrag nr. 108 van de Raad van Europa van 1981 tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens, alsmede aan het Aanvullend Protocol bij dit verdrag van 2001 inzake toezichthoudende autoriteiten en grensoverschrijdende gegevensstromen en aan Aanbeveling R (87) 15 van 1987 betreffende het gebruik van persoonsgegevens door de politie. Alle lidstaten zijn partij bij het verdrag, maar niet alle lidstaten zijn partij bij het aanvullend protocol.

- Samenhang met andere beleidsgebieden en doelstellingen van de EU

Er moet rekening worden gehouden met de bijzondere voorwaarden die gelden voor gegevensverwerking en –bescherming in het kader van titel VI van het Verdrag betreffende de Europese Unie. Maar de regels moeten wel stroken met het algemene beleid van de Unie op het gebied van privacy en gegevensbescherming op basis van het EU-Handvest van de grondrechten en Richtlijn 95/46/EG. De grondbeginselen van gegevensbescherming gelden zowel voor gegevensverwerking in het kader van de eerste pijler als voor die in het kader van de derde pijler. Bovendien moet de regelgeving aansluiten bij andere instrumenten met specifieke verplichtingen ten aanzien van gegevens die relevant kunnen zijn voor de preventie en bestrijding van criminaliteit. Er moet ook worden gekeken naar de ontwikkelingen op het gebied van de bewaring van gegevens die zijn verwerkt en opgeslagen in verband met het aanbieden van openbare elektronischecommunicatiediensten of van gegevens in openbare communicatienetwerken, voor het voorkomen, onderzoeken, opsporen en vervolgen van criminaliteit en strafbare feiten. Daarbij moet vooral worden gelet op het verband tussen dit voorgestelde kaderbesluit en het voorstel van de Commissie voor een richtlijn van het Europees Parlement en de Raad betreffende de bewaring van gegevens die zijn verwerkt in verband met het aanbieden van openbare elektronischecommunicatiediensten en tot wijziging van Richtlijn 2002/58/EG[22].

2) Raadpleging van belanghebbende partijen en effectbeoordeling

- Raadpleging van belanghebbende partijen

Wijze van raadpleging, belangrijkste geraadpleegde sectoren en algemeen profiel van de respondenten

Op 22 november 2004 en op 21 juni 2005 heeft de Commissie overleg gevoerd met deskundigen van de lidstaten, IJsland, Noorwegen en Zwitserland en op 11 januari 2005 met deskundigen van de gegevensbeschermingsautoriteiten van deze landen. Daarbij waren ook de EDPS, Europol, Eurojust en het secretariaat van de gemeenschappelijke controleautoriteiten vertegenwoordigd. Dit overleg was vooral bedoeld om uit te zoeken of er behoefte bestaat aan een rechtsinstrument voor de verwerking en bescherming van persoonsgegevens in het kader van de derde pijler, en zo ja, wat een dergelijk instrument dan moet inhouden. De Commissie heeft de geraadpleegde partijen onder andere op basis van een vragenlijst en een discussiestuk gevraagd naar hun standpunt over een nieuw rechtsinstrument in het algemeen en de verhouding daarvan tot bestaande instrumenten, de rechtsgrond, de mogelijke werkingssfeer, de beginselen betreffende de kwaliteit van de gegevens, de criteria voor de toelaatbaarheid van gegevensverwerking door politie of justitie, persoonsgegevens van niet-verdachten, de voorwaarden voor de verstrekking van persoonsgegevens aan de bevoegde instanties van de lidstaten en derde landen, de rechten van degenen op wie de gegevens betrekking hebben, toezichthoudende autoriteiten en een eventuele toezichthoudende instantie voor gegevensbescherming in het kader van de derde pijler.

De groep die bij artikel 29 van Richtlijn 95/46/EG is opgericht, werd regelmatig op de hoogte gehouden van de ontwikkelingen. Op 12 april en 21 juni 2005 heeft de Commissie bijeenkomsten bijgewoond van de Werkgroep politie van de conferentie van Europese gegevensbeschermingsautoriteiten. Op 31 januari 2005 heeft de Commissie deelgenomen aan een openbaar seminar over gegevensbescherming en veiligheid van de burgers en de beginselen die de Europese Unie daarbij hanteert, dat werd georganiseerd door de Commissie burgerlijke vrijheden, justitie en binnenlandse zaken. De Commissie heeft rekening gehouden met de resultaten van de voorjaarsconferentie van de Europese gegevensbeschermingsautoriteiten in Krakow van 25-26 april 2005, en met het standpunt dat het Europees Parlement onder andere heeft geformuleerd in zijn aanbeveling aan de Europese Raad en de Raad over de uitwisseling van informatie, en samenwerking op het gebied van strafbare feiten van terroristische aard (2005/2046(INI)), die op 7 juni 2005 werd aangenomen.

Samenvatting van de reacties en hoe daarmee rekening is gehouden

Zowel het Europees Parlement als de gegevensbeschermingsautoriteiten in de Europese Unie zijn overtuigd voorstander van een rechtsinstrument dat de bescherming van persoonsgegevens in het kader van de derde pijler regelt. De vertegenwoordigers van de regeringen van de lidstaten en van IJsland, Noorwegen en Zwitserland en van Europol en Eurojust hebben hierover geen gemeenschappelijk standpunt ingenomen. De Commissie kon echter wel concluderen dat er geen belangrijke weerstand bestond tegen het idee van een dergelijk instrument. Men leek het erover eens te zijn dat als tegenwicht voor de toepassing van het beschikbaarheidsbeginsel goede regels op het gebied van gegevensbescherming nodig zijn. Sommige lidstaten waren van mening dat eerst moet worden vastgesteld op welke manier gegevens in de toekomst zullen worden uitgewisseld, en dat vervolgens regels voor de bescherming van persoonsgegevens moeten worden opgesteld. Andere vonden dat er specifieke bepalingen moesten worden opgenomen in het kaderbesluit over het beschikbaarheidsbeginsel.

Na afweging van de verschillende standpunten is de Commissie van oordeel dat de toepassing van het beschikbaarheidsbeginsel tot een verdere ontwikkeling en een fundamentele verandering van de kwaliteit en de intensiteit van de gegevensuitwisseling tussen de lidstaten zal leiden. Dit zal grote gevolgen hebben voor persoonsgegevens en het recht op bescherming van gegevens. Dat vereist een degelijk tegenwicht. Met de recente initiatieven die gericht zijn op directe geautomatiseerde toegang op hit/no hit-basis zal het risico op de uitwisseling van onrechtmatige, onjuiste of niet-bijgewerkte gegevens toenemen, en daarmee moet rekening worden gehouden. Deze initiatieven houden in dat de voor de verwerking verantwoordelijke niet langer in elk afzonderlijk geval de rechtmatigheid van de gegevensverstrekking en de juistheid van de betrokken gegevens kan controleren. Daarom moet dit gepaard gaan met strikte verplichtingen om de kwaliteit van de gegevens die direct geautomatiseerd toegankelijk zijn, voortdurend te bewaken en controleren.

Nu speciale aandacht moet worden besteed aan de gevolgen van de toepassing van het beschikbaarheidsbeginsel, zijn bepalingen die alleen betrekking hebben op afzonderlijke aspecten van gegevensbescherming niet toereikend. Een rechtsinstrument over de bescherming van persoonsgegevens in het kader van de derde pijler kan er in principe toe bijdragen dat de politiële en justitiële samenwerking in strafzaken doeltreffender verloopt, rechtmatig is en strookt met de grondrechten, met name het recht op bescherming van persoonsgegevens.

Zeker met het oog op de toepassing van het beschikbaarheidsbeginsel is een dergelijk instrument noodzakelijk; de ontwikkeling ervan moet gelijk op gaan met de toepassing van dit beginsel. Het kaderbesluit moet zo veel mogelijk aansluiten bij de geest en de structuur van Richtlijn 95/46/EG en tegelijkertijd beantwoorden aan de specifieke behoeften op het gebied van politiële en justitiële samenwerking in strafzaken en aan het evenredigheidsbeginsel. De belangrijkste beginselen van Aanbeveling R(87) 15 van de Raad van Europa van 1987 over het gebruik van persoonsgegevens door de politie worden door middel van dit kaderbesluit omgezet in juridisch bindende bepalingen op EU-niveau. Er moeten duidelijke regels worden vastgesteld voor de bescherming van persoonsgegevens die ter beschikking van de bevoegde instanties van de lidstaten zijn of zullen worden gesteld. Daarvoor is een systeem nodig dat de kwaliteit van de gegevensverwerking waarborgt. In een dergelijk systeem moeten ook de rechten van de betrokkenen en de bevoegdheden van de toezichthoudende autoriteiten worden geregeld, omdat de kwaliteit van de gegevens mede wordt bepaald door de manier waarop deze rechten en bevoegdheden worden uitgeoefend.

- Effectbeoordeling

De volgende mogelijkheden werden afgewogen: toepassing van Richtlijn 95/46/EG, geen of pas in een later stadium voorstellen voor een regeling voor de bescherming van persoonsgegevens in het kader van de derde pijler, een beperkt aantal specifieke bepalingen in een rechtsinstrument betreffende de uitwisseling van gegevens op basis van het beschikbaarheidsbeginsel, en een kaderbesluit over de bescherming van persoonsgegevens in het kader van de derde pijler. Daarbij is ook nagegaan of een kaderbesluit ook van toepassing moest zijn op de uitwisseling van gegevens via EU-informatiesystemen en -organen.

De fundamentele en algemene bepalingen van Richtlijn 95/46/EG zijn niet van toepassing op de derde pijler, zoals is bepaald in artikel 3, lid 2, van de richtlijn. Maar zelfs als dit artikel zou worden geschrapt, zou dat niet automatisch tot gevolg hebben dat de richtlijn wel van toepassing is op de politiële en justitiële samenwerking in strafzaken. Ten eerste komen niet alle specifieke kenmerken van deze samenwerking terug in de richtlijn en zouden dus aanpassingen nodig zijn en ten tweede moet worden voldaan aan de voorwaarden die gelden voor wetgeving in het kader van titel VI van het Verdrag betreffende de Europese Unie, die gericht is op de bevordering van politiële en justitiële samenwerking in strafzaken. De optie om geen of pas op een later tijdstip een voorstel in te dienen voor een regeling voor de verwerking en bescherming van persoonsgegevens in het kader van de derde pijler, moet terzijde worden geschoven. Indien voor deze optie wordt gekozen, zullen met de toepassing van het beschikbaarheidsbeginsel waarschijnlijk nieuwe vormen van gegevensuitwisseling worden ingevoerd zonder dat de strikte naleving van de basisvoorwaarden op het gebied van gegevensbescherming is gewaarborgd. Een beperkt aantal specifieke bepalingen in een rechtsinstrument betreffende de uitwisseling van gegevens op basis van het beschikbaarheidsbeginsel is niet toereikend gezien het verwachte effect van dit beginsel. Een kaderbesluit over de bescherming van persoonsgegevens die worden verwerkt in het kader van de politiële en justitiële samenwerking in strafzaken is de enige afdoende oplossing. Deze oplossing zal niet of nauwelijks tot extra administratieve kosten voor de lidstaten leiden.

De Commissie heeft een effectbeoordeling uitgevoerd die is opgenomen in het werkprogramma; het verslag is beschikbaar op http://europa.eu.int/comm/dgs/justice_home/evaluation/dg_coordination_evaluation_annexe_en.htm.

3) JURIDISCHE ELEMENTEN VAN HET VOORSTEL

- Samenvatting van de voorgestelde maatregel

Het voorgestelde kaderbesluit omvat algemene regels over de rechtmatigheid van de verwerking van persoonsgegevens en bepalingen over bepaalde vormen van verwerking (verstrekking en beschikbaarstelling van persoonsgegevens aan de bevoegde instanties van andere lidstaten, verdere verwerking, met name het doorgeven van gegevens die zijn ontvangen van of beschikbaar gesteld door de bevoegde instanties van andere lidstaten, de rechten van de betrokkenen, vertrouwelijkheid en beveiliging van de gegevensverwerking, rechtsmiddelen, aansprakelijkheid, sancties, toezichthoudende autoriteiten en een werkgroep voor de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegeven met het oog op het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten. Daarbij moet in het bijzonder worden uitgegaan van het beginsel dat persoonsgegevens alleen aan derde landen en internationale organen met een voldoende beschermingsniveau worden verstrekt. Het kaderbesluit bevat een regeling die ervoor moet zorgen dat in de gehele EU volgens dit uitgangspunt wordt gehandeld.

- Rechtsgrondslag

Dit kaderbesluit is gebaseerd op artikel 30, artikel 31 en artikel 34, lid 2, onder b), van het Verdrag betreffende de Europese Unie. De toepassing van het beschikbaarheidsbeginsel maakt het noodzakelijk de verwerking en bescherming van persoonsgegevens goed te regelen en onder andere gemeenschappelijke normen voor de verstrekking van persoonsgegevens aan derde landen en internationale organen vast te stellen, zodat de politiële en justitiële samenwerking in strafzaken kan worden verbeterd, wat van wezenlijk belang is voor de bestrijding van terrorisme en ernstige strafbare feiten. Bovendien zullen de lidstaten elkaar alleen volledig vertrouwen als er duidelijke en gemeenschappelijke regels zijn voor de eventuele doorgifte van uitgewisselde gegevens aan andere partijen, met name derde landen. De voorgestelde bepalingen van het kaderbesluit zorgen ervoor dat de gegevensuitwisseling tussen de bevoegde instanties van de lidstaten niet wordt belemmerd doordat in de lidstaten verschillende niveaus van gegevensbescherming bestaan.

- Subsidiariteits- en evenredigheidsbeginsel

Dit kaderbesluit heeft betrekking op situaties die van groot belang zijn voor de politiële en justitiële samenwerking in strafzaken tussen de lidstaten, met name voor de uitwisseling van gegevens, en moet ervoor zorgen dat in alle lidstaten doeltreffende maatregelen worden genomen om criminaliteit, met name zware criminaliteit en terrorisme, te bestrijden. Nationale, bilaterale of multilaterale maatregelen kunnen nuttig zijn voor afzonderlijke lidstaten, maar gaan voorbij aan de noodzaak om de interne veiligheid van de gehele Unie te waarborgen. De informatiebehoefte van wetshandhavingsinstanties wordt grotendeels bepaald door de mate van integratie tussen de landen. De lidstaten zullen naar verwachting steeds meer gegevens uitwisselen voor wetshandhavingsdoeleinden en daarom moeten er regels worden vastgesteld voor de verwerking en bescherming van deze gegevens. Dit kaderbesluit eerbiedigt het in artikel 2 van het Verdrag betreffende de Europese Unie en artikel 5 van het Verdrag tot oprichting van de Europese Gemeenschap vastgelegde subsidiariteitsbeginsel, aangezien het de onderlinge aanpassing van de wettelijke en bestuursrechtelijke bepalingen van de lidstaten beoogt, hetgeen niet voldoende door de lidstaten afzonderlijk kan worden verwezenlijkt en een gecoördineerd optreden op het niveau van de Europese Unie vereist. Overeenkomstig het in het laatstgenoemde artikel neergelegde evenredigheidsbeginsel gaat dit besluit niet verder dan nodig is om die doelstelling te verwezenlijken. Dit besluit heeft immers alleen betrekking op de verwerking van persoonsgegevens in het kader van de politiële en justitiële samenwerking in strafzaken.

- Keuze van het instrument

Voorgesteld instrument: kaderbesluit. Dit rechtsinstrument is gericht op de onderlinge aanpassing van de wettelijke en bestuursrechtelijke bepalingen van de lidstaten inzake de bescherming van persoonsgegevens die worden verwerkt met het oog op het voorkomen en bestrijden van criminaliteit.

4) Gevolgen voor de begroting

De extra administratieve uitgaven ten laste van de begroting van de Europese Gemeenschappen die voortvloeien uit de toepassing van het voorgestelde kaderbesluit blijven beperkt tot vergaderingen van en secretariële diensten voor het bij artikel 16 opgerichte comité en het bij artikel 31 opgerichte adviesorgaan.

2005/0202 (CNS)

Voorstel voor een

KADERBESLUIT VAN DE RAAD

over de bescherming van persoonsgegevens die worden verwerkt in het kader van de politiële en justitiële samenwerking in strafzaken

DE RAAD VAN DE EUROPESE UNIE,

Gelet op het Verdrag betreffende de Europese Unie, en met name op artikel 30, artikel 31 en artikel 34, lid 2, onder b),

Gezien het voorstel van de Commissie[23],

Gezien het advies van het Europees Parlement[24],

Overwegende hetgeen volgt:

(1) De Europese Unie heeft zichzelf tot doel gesteld de Unie als een ruimte van vrijheid, veiligheid en rechtvaardigheid in stand te houden en te ontwikkelen; gezamenlijk optreden van de lidstaten op het gebied van politiële en justitiële samenwerking in strafzaken moet tot een hoog niveau van zekerheid leiden.

(2) Gezamenlijk optreden op het gebied van politiële samenwerking in de zin van artikel 30, lid 1, onder b) van het Verdrag betreffende de Europese Unie en gezamenlijk optreden inzake justitiële samenwerking in strafzaken in de zin van artikel 31, lid 1, onder a), van het Verdrag betreffende de Europese Unie, houden in dat relevante informatie moet worden verwerkt, waarop passende bepalingen inzake de bescherming van persoonsgegevens van toepassing moeten zijn.

(3) Wetgeving in het kader van titel VI van het Verdrag betreffende de Europese Unie moet de politiële en justitiële samenwerking in strafzaken bevorderen en ervoor zorgen dat zij doeltreffend en rechtmatig is en strookt met de grondrechten, met name met het recht op bescherming van het privé-leven en van persoonsgegevens. Gemeenschappelijke normen voor de verwerking en bescherming van persoonsgegevens die worden verwerkt om criminaliteit te voorkomen en bestrijden, kunnen bijdragen tot de verwezenlijking van beide doelen.

(4) In het Haags programma betreffende de versterking van vrijheid, veiligheid en recht in de Europese Unie, dat de Europese Raad op 4 november 2004 heeft aangenomen, wordt erop gewezen dat een innoverende benadering van de grensoverschrijdende uitwisseling van wetshandhavingsinformatie nodig is, waarbij strak de hand moet worden gehouden aan de basisvoorwaarden op het gebied van gegevensbescherming, en wordt de Commissie verzocht uiterlijk eind 2005 voorstellen op dit gebied in te dienen. Dit is terug te vinden in het Actieplan van de Raad en de Commissie ter uitvoering van het Haags programma voor de versterking van de ruimte van vrijheid, veiligheid en recht in de Europese Unie [25].

(5) De uitwisseling van persoonsgegevens in het kader van de politiële en justitiële samenwerking in strafzaken, moet, zeker wanneer deze uitwisseling is gebaseerd op het beschikbaarheidsbeginsel zoals bedoeld in het Haags programma, steunen op duidelijke, bindende regels die leiden tot wederzijds vertrouwen tussen de bevoegde instanties en die de zekerheid bieden dat de gegevensbescherming zo is geregeld dat de samenwerking tussen de lidstaten op geen enkele manier wordt belemmerd, terwijl de individuele grondrechten toch volledig worden geëerbiedigd. De bestaande instrumenten op Europees niveau zijn ontoereikend. Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens, en betreffende het vrije verkeer van die gegevens[26], is niet van toepassing op de verwerking van persoonsgegevens in het kader van een activiteit die buiten de werkingssfeer van het Gemeenschapsrecht valt, zoals de activiteiten in het kader van titel VI van het Verdrag betreffende de Europese Unie, en zeker niet op de verwerking van gegevens in verband met de openbare veiligheid, de defensie, de staatsveiligheid en de activiteiten van de staat op strafrechtelijk gebied.

(6) Een rechtsinstrument waarin gemeenschappelijke normen worden vastgesteld voor de bescherming van persoonsgegevens die worden verwerkt met het oog op het voorkomen en bestrijden van criminaliteit moet aansluiten bij het algemene beleid van de Europese Unie op het gebied van privacy- en gegevensbescherming. Rekening houdend met het feit dat de wettelijke activiteiten van politie, douane, justitiële en andere bevoegde instanties moet worden verbeterd, moet een dergelijk instrument dan ook zoveel mogelijk zijn gebaseerd op bestaande en beproefde beginselen en definities, met name op die van Richtlijn 95/46/EG van het Europees Parlement en de Raad en op die voor de uitwisseling van gegevens door Europol en Eurojust of voor de verwerking van gegevens via het douane-informatiesysteem of andere vergelijkbare instrumenten.

(7) De onderlinge aanpassing van het recht van de lidstaten mag niet tot een versoepeling van de gegevensbescherming leiden, maar moet juist zorgen voor een hoog beschermingsniveau in de Unie.

(8) Er moeten doelstellingen voor de gegevensbescherming in het kader van politiële en justitiële activiteiten worden geformuleerd en regels worden vastgesteld voor de rechtmatigheid van de verwerking van persoonsgegevens, zodat kan worden gegarandeerd dat alle gegevens die worden uitgewisseld, rechtmatig en volgens de grondbeginselen betreffende de gegevenskwaliteit zijn verwerkt. Tegelijkertijd mogen de wettelijke activiteiten van politie, douane, justitiële en andere bevoegde instanties op geen enkele manier worden belemmerd.

(9) Om een hoog beschermingsniveau van persoonsgegevens van Europese burgers te kunnen bieden, moeten gemeenschappelijk bepalingen worden vastgesteld waaraan de rechtmatigheid en de kwaliteit van de gegevensverwerking door de bevoegde instanties in andere lidstaten kunnen worden getoetst.

(10) De voorwaarden waaronder de bevoegde instanties van de lidstaten persoonsgegevens aan openbare en particuliere instanties van andere lidstaten mogen verstrekken of beschikbaar stellen, dienen op Europees niveau te worden vastgesteld.

(11) De verdere verwerking van persoonsgegevens die zijn ontvangen van of beschikbaar gesteld door de bevoegde instantie van een andere lidstaat, met name de doorgifte of het beschikbaar stellen van deze gegevens, moet gebonden zijn aan gemeenschappelijke regels op Europees niveau.

(12) Op persoonsgegevens die door een lidstaat van de Europese Unie worden doorgegeven aan derde landen of internationale organen moet in beginsel een passend beschermingsniveau van toepassing zijn.

(13) In dit kaderbesluit dient te worden beschreven volgens welke procedure de maatregelen die nodig zijn om het niveau van gegevensbescherming in een derde land of een internationaal orgaan te kunnen beoordelen, moeten worden vastgesteld.

(14) Om de bescherming van persoonsgegevens te waarborgen zonder strafrechtelijke onderzoeken te ondermijnen, dienen de rechten van de betrokkenen te worden beschreven.

(15) Er dienen gemeenschappelijke regels te worden vastgesteld met betrekking tot de vertrouwelijkheid en de beveiliging van de gegevensverwerking, aansprakelijkheid en sancties voor onrechtmatig gebruik door de bevoegde instanties, alsook rechtsmiddelen voor degenen op wie de gegevens betrekking hebben. Bovendien moeten de lidstaten strafrechtelijke sancties vaststellen voor bijzonder ernstige en opzettelijke schendingen van de gegevensbeschermingsvoorschriften.

(16) Als essentieel onderdeel van de bescherming van persoonsgegevens die worden verwerkt in het kader van de politiële en justitiële samenwerking in strafzaken tussen de lidstaten, dienen de lidstaten toezichthoudende autoriteiten aan te wijzen.

(17) Die autoriteiten dienen over de nodige middelen te beschikken om hun taak te vervullen, of het nu gaat om onderzoeksbevoegdheden, om het recht om actief in te grijpen, met name wanneer zij klachten van particulieren krijgen, dan wel om de bevoegdheid om in rechte op te treden. En deze autoriteiten moeten bijdragen tot de transparantie van de gegevensverwerking in hun lidstaat. De bevoegdheden van deze autoriteiten mogen echter geen afbreuk doen aan bestaande regels voor strafrechtelijke procedures en de onafhankelijkheid van de rechterlijke macht

(18) Er moet een werkgroep worden ingesteld voor de bescherming van personen in verband met de verwerking van persoonsgegevens met het oog op het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten, die haar taken in volstrekte onafhankelijkheid moet kunnen vervullen. De werkgroep moet de Commissie en de lidstaten adviseren en met name bijdragen tot een uniforme toepassing van de nationale voorschriften die ter uitvoering van dit kaderbesluit zijn vastgesteld.

(19) Artikel 47 van het Verdrag betreffende de Europese Unie bepaalt dat geen enkele bepaling van dit verdrag afbreuk doet aan de verdragen tot oprichting van de Europese Gemeenschappen, noch aan de verdragen en akten waarbij deze verdragen zijn gewijzigd of aangevuld. Dit kaderbesluit doet dan ook geen afbreuk aan de bescherming van persoonsgegevens zoals die is geregeld bij het Gemeenschapsrecht, met name bij Richtlijn 95/46/EG van het Europees Parlement en de Raad, Verordening (EG) nr. 45/2001 van het Europees Parlement en de Raad van 18 december 2000 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de communautaire instellingen en organen en betreffende het vrije verkeer van die gegevens[27], en Richtlĳn 2002/58/EG van het Europees Parlement en de Raad van 12 juli 2002 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlĳke levenssfeer in de sector elektronische communicatie (richtlĳn betreffende privacy en elektronische communicatie)[28].

(20) Dit kaderbesluit laat ook de specifieke gegevensbeschermingsvoorschriften van de rechtsinstrumenten betreffende de verwerking en bescherming van persoonsgegevens door Europol, Eurojust en het douane-informatiesysteem onverlet.

(21) De gegevensbeschermingsbepalingen van titel IV van de in 1990 gesloten overeenkomst ter uitvoering van het Schengenakkoord van 14 juni 1985 betreffende de geleidelijke afschaffing van de controles aan de gemeenschappelijke grenzen[29] (hierna de "Schengenuitvoeringsovereenkomst" genoemd), die in het kader van de Europese Unie zijn opgenomen volgens het Protocol dat aan het Verdrag betreffende de Europese Unie en het Verdrag tot oprichting van de Europese Gemeenschap is gehecht, moeten voor zaken die onder het EU-Verdrag vallen, worden vervangen door de voorschriften van dit kaderbesluit.

(22) Dit kaderbesluit dient van toepassing te zijn op de persoonsgegevens die worden verwerkt in het kader van het Schengeninformatiesysteem van de tweede generatie en de daarmee verband houdende uitwisseling van aanvullende informatie op grond van Besluit JBZ/2006/… betreffende de instelling, de werking en het gebruik van het Schengeninformatiesysteem van de tweede generatie (SIS II).

(23) Dit kaderbesluit doet geen afbreuk aan de regels betreffende onrechtmatige toegang tot gegevens die zijn vastgelegd in Kaderbesluit 2005/222/JBZ van de Raad van 24 februari 2005 over aanvallen op informatiesystemen[30].

(24) Artikel 23 van de Overeenkomst betreffende de wederzijdse rechtshulp in strafzaken tussen de lidstaten van de Europese Unie dient te worden vervangen[31].

(25) Iedere verwijzing naar het Verdrag van de Raad van Europa van 28 januari 1981 tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens, moet worden gelezen als een verwijzing naar dit kaderbesluit.

(26) Daar de doelstelling van het overwogen optreden, namelijk het vaststellen van gemeenschappelijke regels voor de bescherming van persoonsgegevens die worden verwerkt in het kader van de politiële en justitiële samenwerking in strafzaken, niet voldoende door de lidstaten kan worden verwezenlijkt en derhalve vanwege de omvang en de gevolgen van het optreden beter door de Gemeenschap kan worden verwezenlijkt, kan de Gemeenschap, overeenkomstig het in artikel 5 van het EG-Verdrag neergelegde subsidiariteitsbeginsel, waarnaar in artikel 2 van het EU-Verdrag wordt verwezen, maatregelen nemen. Overeenkomstig het in artikel 5 van het EG-Verdrag neergelegde evenredigheidsbeginsel gaat dit kaderbesluit niet verder dan nodig is om deze doelstelling te verwezenlijken.

(27) Het Verenigd Koninkrijk neemt deel aan dit kaderbesluit overeenkomstig artikel 5 van het Protocol tot opneming van het Schengenacquis in het kader van de Europese Unie, dat aan het EU-Verdrag en het EG-Verdrag is gehecht, en artikel 8, lid 2, van Besluit 2000/365/EG van de Raad van 29 mei 2000 betreffende het verzoek van het Verenigd Koninkrijk van Groot-Brittannië en Noord-Ierland deel te mogen nemen aan enkele van de bepalingen van het Schengenacquis[32].

(28) Ierland neemt deel aan dit besluit overeenkomstig artikel 5 van het Protocol tot opneming van het Schengenacquis in het kader van de Europese Unie, dat aan het EU-Verdrag en het EG-Verdrag is gehecht, en artikel 6, lid 2, van Besluit 2002/192/EG van de Raad van 28 februari 2002 betreffende het verzoek van Ierland deel te mogen nemen aan bepalingen van het Schengenacquis.

(29) Wat IJsland en Noorwegen betreft, houdt dit kaderbesluit een ontwikkeling in van de bepalingen van het Schengenacquis in de zin van de door de Raad van de Europese Unie en de Republiek IJsland en het Koninkrijk Noorwegen gesloten Overeenkomst inzake de wijze waarop deze twee staten worden betrokken bij de uitvoering, de toepassing en de ontwikkeling van het Schengenacquis, die vallen onder het gebied dat is bedoeld in artikel 1, onder (H), van Besluit 1999/437/EG van de Raad van 17 mei 1999 inzake bepaalde toepassingsbepalingen van die overeenkomst[33].

(30) Wat Zwitserland betreft, houdt dit kaderbesluit een ontwikkeling in van de bepalingen van het Schengenacquis in de zin van de Overeenkomst die is gesloten door de Europese Unie, de Europese Gemeenschap en de Zwitserse Bondsstaat betreffende de wijze waarop Zwitserland wordt betrokken bij de uitvoering, de toepassing en de ontwikkeling van het Schengenacquis, die vallen onder het gebied dat is bedoeld in artikel 1, onder H, van Besluit 1999/437/EG van de Raad van 17 mei 1999, juncto artikel 4, lid 1, van Besluit 2004/849/EG van de Raad betreffende de ondertekening van de overeenkomst namens de Europese Unie en de voorlopige toepassing van enkele bepalingen van deze overeenkomst[34].

(31) Dit kaderbesluit vormt een rechtsbesluit dat voortbouwt op het Schengenacquis of daaraan op een andere is gerelateerd in de zin van artikel 3, lid 1, van de Toetredingsakte van 2003.

(32) In dit kaderbesluit worden de grondrechten geëerbiedigd en de beginselen die met name in het Handvest van de grondrechten van de Europese Unie zijn vastgelegd, in acht genomen. Dit kaderbesluit is erop gericht het recht op eerbiediging van het privé-leven en het recht op bescherming van persoonsgegevens, vastgelegd in artikel 7 respectievelijk artikel 8 van het Handvest van de grondrechten, volledig na te leven,

HEEFT HET VOLGENDE KADERBESLUIT VASTGESTELD:

HOOFDSTUK 1 ONDERWERP, DEFINITIES EN TOEPASSINGSGEBIED

Artikel 1 Onderwerp

1. Dit kaderbesluit stelt gemeenschappelijke normen vast voor de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens in het kader van de politiële en justitiële samenwerking in strafzaken volgens titel VI van het Verdrag betreffende de Europese Unie.

2. De lidstaten zorgen ervoor dat de verstrekking van persoonsgegevens aan de bevoegde instanties van andere lidstaten niet wordt beperkt of verboden in verband met de bescherming van persoonsgegevens uit hoofde van dit kaderbesluit.

Artikel 2 Definities

In dit kaderbesluit wordt verstaan onder:

a) "persoonsgegevens": iedere informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon, hierna "betrokkene" genoemd; als identificeerbaar wordt beschouwd een persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificatienummer of van een of meer specifieke elementen die kenmerkend zijn voor zijn of haar fysieke, fysiologische, psychische, economische, culturele of sociale identiteit;

b) "verwerking van persoonsgegevens" (hierna "verwerking" genoemd): elke bewerking of elk geheel van bewerkingen met betrekking tot persoonsgegevens, al dan niet uitgevoerd met behulp van geautomatiseerde procédés, zoals het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op enigerlei andere wijze ter beschikking stellen, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens;

c) "bestand van persoonsgegevens" (hierna "bestand" genoemd): elk gestructureerd geheel van persoonsgegevens die volgens bepaalde criteria toegankelijk zijn, ongeacht of dit geheel gecentraliseerd dan wel gedecentraliseerd is of verspreid op een functioneel of geografisch bepaalde wijze;

d) "voor de verwerking verantwoordelijke": de natuurlijke of rechtspersoon, de overheidsinstantie, de dienst of enig ander lichaam die, respectievelijk dat, alleen of tezamen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer het doel van en de middelen voor de verwerking worden vastgesteld bij nationale of op grond van titel VI van het Verdrag betreffende de Europese Unie vastgestelde wettelijke bepalingen, kan in het nationale of op grond van titel VI van het verdrag betreffende de Europese Unie vastgestelde recht worden bepaald wie de voor de verwerking verantwoordelijke is of volgens welke criteria deze wordt aangewezen;

e) "verwerker": de natuurlijke of rechtspersoon, de overheidsinstantie, de dienst of enig ander lichaam die, respectievelijk dat ten behoeve van de voor de verwerking verantwoordelijke persoonsgegevens verwerkt;

f) "derde": de natuurlijke of rechtspersoon, de overheidsinstantie, de dienst of enig ander lichaam, niet zijnde de betrokkene, noch de voor de verwerking verantwoordelijke, noch de verwerker, noch de personen die onder rechtstreeks gezag van de voor de verwerking verantwoordelijke of de verwerker gemachtigd zijn om de gegevens te verwerken;

g) "ontvanger": de natuurlijke of rechtspersoon, de overheidsinstantie, de dienst of enig ander lichaam aan wie, respectievelijk waaraan de gegevens worden meegedeeld, ongeacht of het al dan niet een derde betreft;

h) "toestemming van de betrokkene": elke vrije, specifieke en op informatie berustende wilsuiting waarmee de betrokkene aanvaardt dat hem/haar betreffende persoonsgegevens worden verwerkt;

i) "internationale organen": organen of organisaties die bij internationale overeenkomst zijn opgericht;

j) "bevoegde instanties": politie, douane, justitiële en andere bevoegde instanties van de lidstaten in de zin van artikel 29 van het Verdrag betreffende de Europese Unie.

Artikel 3 Toepassingsgebied

1. Dit kaderbesluit is van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens, alsmede op de niet-geautomatiseerde verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen, door een bevoegde instantie met het oog op het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten.

2. Dit kaderbesluit is niet van toepassing op de verwerking van persoonsgegevens door:

- de Europese politiedienst (Europol),

- de Europese eenheid voor justitiële samenwerking (Eurojust),

- het douane-informatiesysteem in de zin van de Overeenkomst opgesteld op grond van artikel K.3 van het Verdrag betreffende de Europese Unie inzake het gebruik van informatica op douanegebied en alle wijzigingen daarvan.

HOOFDSTUK IIALGEMENE VOORWAARDEN VOOR DE RECHTMATIGHEID VAN DE VERWERKING VAN PERSOONSGEGEVENS

Artikel 4 Beginselen betreffende de kwaliteit van de gegevens

1. De lidstaten schrijven voor dat de persoonsgegevens:

a) eerlijk en rechtmatig worden verwerkt;

b) voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verkregen en vervolgens niet worden verwerkt op een wijze die onverenigbaar is met die doeleinden. Verdere verwerking van de gegevens voor historische, statistische of wetenschappelijke doeleinden wordt niet als onverenigbaar beschouwd, mits de lidstaten passende garanties bieden;

c) toereikend, ter zake dienend en niet bovenmatig zijn, uitgaande van de doeleinden waarvoor zij worden verzameld of waarvoor zij vervolgens worden verwerkt;

d) nauwkeurig zijn en, zo nodig, worden bijgewerkt. Alle redelijke maatregelen moeten worden getroffen om de gegevens die, uitgaande van de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, onnauwkeurig of onvolledig zijn, te wissen of te corrigeren. De lidstaten kunnen bepalen dat gegevens volgens verschillende nauwkeurigheids- en betrouwbaarheidseisen kunnen worden verwerkt, en zorgen er in dat geval voor dat de gegevens worden onderscheiden naar de mate van nauwkeurigheid en betrouwbaarheid, waarbij met name gegevens die zijn gebaseerd op feiten worden onderscheiden van gegevens die zijn gebaseerd op meningen of persoonlijke oordelen;

e) in een vorm die het mogelijk maakt de betrokkenen te identificeren, niet langer worden bewaard dan voor de verwezenlijking van de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, noodzakelijk is. De lidstaten bieden passende waarborgen voor persoonsgegevens die langer dan hierboven bepaald voor historische, statistische of wetenschappelijke doeleinden worden bewaard.

2. De voor de verwerking verantwoordelijke zorgt ervoor dat lid 1 wordt nageleefd.

3. De lidstaten schrijven voor dat er een duidelijk onderscheid wordt gemaakt tussen persoonsgegevens van

- iemand die ervan wordt verdacht een strafbaar feit te hebben gepleegd of daarbij betrokken te zijn geweest,

- iemand die is veroordeeld voor een strafbaar feit,

- iemand ten aanzien van wie gegronde vermoedens bestaan dat hij of zij een strafbaar feit zal plegen,

- iemand die als getuige kan worden opgeroepen in een onderzoek naar strafbare feiten of in een daarop volgende strafprocedure,

- iemand die het slachtoffer is geworden van een strafbaar feit of van wie op basis van bepaalde feiten wordt vermoed dat hij of zij het slachtoffer van een strafbaar feit zou kunnen worden,

- iemand die informatie kan verstrekken over strafbare feiten,

- iemand die contact heeft of banden onderhoudt met een van de hierboven bedoelde personen, en

- iemand die onder geen van de hierboven genoemde categorieën valt.

4. De lidstaten schrijven voor dat persoonsgegevens alleen worden verwerkt indien:

- er op basis van feiten gegronde redenen zijn om aan te nemen dat de betrokken persoonsgegevens het voorkomen, onderzoeken, opsporen of vervolgen van een strafbaar feit mogelijk of gemakkelijker zouden maken of sneller zouden doen verlopen, en

- er geen andere middelen zijn die minder belastend zijn voor de betrokkene en

- de verwerking van de gegevens niet bovenmatig is in verhouding tot het betrokken strafbare feit.

Artikel 5 Beginselen betreffende de rechtmatigheid van gegevensverwerking

De lidstaten schrijven voor dat persoonsgegevens alleen door de bevoegde instanties worden verwerkt indien wettelijk is bepaald dat de verwerking noodzakelijk is voor het vervullen van de wettelijke taak van de betrokken instantie en voor het voorkomen, onderzoeken, opsporen of vervolgen van strafbare feiten.

Artikel 6 Verwerking van bijzondere categorieën gegevens

1. De lidstaten verbieden de verwerking van persoonsgegevens waaruit de raciale of etnische afkomst, de politieke opvattingen, de godsdienstige of levensbeschouwelijke overtuiging, of het lidmaatschap van een vakvereniging blijkt, alsook de verwerking van gegevens die de gezondheid of het seksleven betreffen.

2. Lid 1 is niet van toepassing wanneer:

- de verwerking van de gegevens wettelijk is voorgeschreven en onontbeerlijk is voor de vervulling van de wettelijke taak van de betrokken instantie met het oog op het voorkomen, onderzoeken, opsporen of vervolgen van strafbare feiten of wanneer de betrokkene uitdrukkelijk toestemming heeft gegeven voor de verwerking, en

- de lidstaten passende waarborgen bieden, door bijvoorbeeld uitsluitend personeel dat belast is met de wettelijke taak waarvoor de gegevens moeten worden verwerkt, toegang tot de gegevens te geven.

Artikel 7 Termijnen voor het bewaren van persoonsgegevens

1. De lidstaten schrijven voor dat persoonsgegevens niet langer worden bewaard dan nodig is voor het doel waarvoor ze werden verkregen, tenzij het nationale recht anders bepaalt. Persoonsgegevens betreffende de in artikel 4, lid 3, laatste streepje, bedoelde personen worden niet langer bewaard dan absoluut noodzakelijk is voor het doel waarvoor ze werden verkregen.

2. De lidstaten treffen passende procedurele en technische maatregelen om ervoor te zorgen dat de termijnen voor het bewaren van persoonsgegevens niet worden overschreden. De inachtneming van de termijnen wordt regelmatig gecontroleerd.

HOOFDSTUK III – Specifieke vormen van verwerking

AFDELING I - VERSTREKKING EN BESCHIKBAARSTELLING VAN PERSOONSGEGEVENS AAN DE BEVOEGDE INSTANTIES VAN ANDERE LIDSTATEN

Artikel 8 Verstrekking en beschikbaarstelling van persoonsgegevens aan de bevoegde instanties van andere lidstaten

De lidstaten schrijven voor dat persoonsgegevens alleen aan de bevoegde instanties van andere lidstaten worden verstrekt of beschikbaar gesteld indien dat nodig is voor de vervulling van de wettelijke taak van de verstrekkende of ontvangende instantie en voor het voorkomen, onderzoeken, opsporen of vervolgen van strafbare feiten.

Artikel 9 Controle van de kwaliteit van de verstrekte of beschikbaar gestelde gegevens

1. De lidstaten schrijven voor dat de kwaliteit van de persoonsgegevens wordt gecontroleerd voordat de gegevens worden verstrekt of beschikbaar gesteld. Voor zover mogelijk worden bij alle verstrekte gegevens rechterlijke beslissingen en beslissingen om niet te vervolgen vermeld en worden gegevens op basis van meningen of persoonlijke oordelen, voordat ze worden verstrekt, gecontroleerd bij de bron, waarbij tevens de mate van nauwkeurigheid of betrouwbaarheid wordt vermeld.

2. De lidstaten schrijven voor dat de kwaliteit van persoonsgegevens die door middel van directe geautomatiseerde toegang beschikbaar worden gesteld aan de bevoegde instanties van andere lidstaten, regelmatig wordt gecontroleerd, om er zeker van te zijn dat de betrokken gegevens nauwkeurig en bijgewerkt zijn.

3. De lidstaten schrijven voor dat persoonsgegevens die niet langer nauwkeurig of niet bijgewerkt zijn, niet worden verstrekt of beschikbaar gesteld.

4. De lidstaten schrijven voor dat een bevoegde instantie die persoonsgegevens heeft verstrekt of beschikbaar gesteld aan een bevoegde instantie van een andere lidstaat, deze laatstgenoemde instantie onmiddellijk inlicht indien zij op eigen initiatief of naar aanleiding van een verzoek van de betrokkene vaststelt dat de betrokken gegevens niet hadden mogen worden verstrekt of beschikbaar gesteld of dat onjuiste of achterhaalde gegevens zijn verstrekt of beschikbaar gesteld.

5. De lidstaten schrijven voor dat een bevoegde instantie die overeenkomstig lid 4 is ingelicht, de betrokken gegevens wist of corrigeert. Bovendien corrigeert de bevoegde instantie de betrokken gegevens indien zij ontdekt dat deze onjuist zijn. Indien deze instantie gegronde redenen heeft om aan te nemen dat de ontvangen persoonsgegevens onjuist zijn of moeten worden gewist, stelt zij de bevoegde instantie die de gegevens heeft verstrekt of beschikbaar gesteld, daarvan onmiddellijk op de hoogte.

6. Onverminderd het nationale strafprocesrecht schrijven de lidstaten voor dat persoonsgegevens op verzoek van de betrokkene worden gemarkeerd indien deze de juistheid van de gegevens ontkent en de juistheid of onjuistheid van de gegevens niet kan worden vastgesteld. Deze markering wordt alleen verwijderd met toestemming van de betrokkene of op grond van een beslissing van de bevoegde rechter of van de bevoegde toezichthoudende autoriteit.

7. De lidstaten schrijven voor dat persoonsgegevens die door de bevoegde instantie van een andere lidstaat zijn verstrekt, worden gewist

- indien deze gegevens niet hadden mogen worden verstrekt, beschikbaar gesteld of ontvangen;

- na een in die andere lidstaat wettelijk vastgestelde termijn indien de instantie die de betrokken gegevens heeft verstrekt of beschikbaar gesteld, de ontvangende instantie bij de verstrekking of beschikbaarstelling heeft ingelicht over deze termijn, tenzij de persoonsgegevens nodig zijn voor gerechtelijke procedures;

- indien de gegevens niet of niet langer nodig zijn voor het doel waarvoor ze werden verstrekt of beschikbaar gesteld.

8. Indien persoonsgegevens zonder verzoek daartoe worden verstrekt, gaat de ontvangende instantie onmiddellijk na of deze gegevens nodig zijn voor het doel waarvoor zij werden verstrekt.

9. Persoonsgegevens worden niet gewist maar overeenkomstig het nationale recht afgeschermd wanneer er redelijke gronden zijn om aan te nemen dat het wissen van de gegevens de belangen van de betrokkene zou kunnen schaden. Afgeschermde gegevens worden alleen gebruikt of verstrekt voor het doel waarvoor zij niet werden gewist.

Artikel 10 Vastlegging en documentatie

1. De lidstaten schrijven voor dat elke geautomatiseerde verstrekking en ontvangst van persoonsgegevens, met name in het geval van direct geautomatiseerde toegang, wordt vastgelegd zodat later kan worden nagegaan waarom de gegevens werden verstrekt, welke gegevens werden verstrekt, wanneer dat gebeurde, welke instanties erbij waren betrokken en, wat de ontvangende instantie betreft, welke personen de gegevens hebben ontvangen en om verstrekking hebben gevraagd.

2. De lidstaten schrijven voor dat elke geautomatiseerde verstrekking en ontvangst van persoonsgegevens wordt gedocumenteerd zodat later kan worden nagegaan waarom de gegevens werden verstrekt, welke gegevens werden verstrekt, wanneer dat gebeurde, welke instanties erbij waren betrokken en, wat de ontvangende instantie betreft, welke personen de gegevens hebben ontvangen en om verstrekking hebben gevraagd.

3. De instantie die deze informatie heeft vastgelegd of gedocumenteerd geeft deze onmiddellijk door aan de bevoegde toezichthoudende autoriteit indien die daarom verzoekt. De informatie wordt alleen gebruikt om de gegevensbescherming te controleren en om een correcte gegevensverwerking en de integriteit en de beveiliging van de gegevens te waarborgen.

Afdeling II – Verdere verwerking, met name verderde verstrekking en doorgifte van gegevens die zijn verstrekt of beschikbaar gesteld door de bevoegde instaties van andere lidstaten

Artikel 11 Verdere verwerking van persoonsgegevens die zijn verstrekt of beschikbaar gesteld door de bevoegde instantie van een andere lidstaat

1. De lidstaten schrijven voor dat persoonsgegevens die zijn verstrekt of beschikbaar gesteld door de bevoegde instantie van een andere lidstaat, alleen overeenkomstig dit kaderbesluit, met name de artikelen 4, 5, en 6 daarvan, verder worden verwerkt

a) voor het doel waarvoor zij zijn verstrekt of beschikbaar gesteld, of

b) indien nodig voor het voorkomen, onderzoeken, opsporen of vervolgen van strafbare feiten of voor het voorkomen van bedreigingen van de openbare veiligheid of van een persoon, behalve wanneer de bescherming van de belangen of van de grondrechten van de betrokkene prevaleert.

2. De betrokken persoonsgegevens worden alleen met toestemming van de instantie die de persoonsgegevens heeft verstrekt of beschikbaar gesteld, verder verwerkt voor het in lid 1, onder b) bedoelde doel.

3. Lid 1, onder b), is niet van toepassing indien specifieke wetgeving in het kader van titel VI van het Verdrag betreffende de Europese Unie uitdrukkelijk bepaalt dat persoonsgegevens die door de bevoegde instantie van een andere lidstaat worden verstrekt of beschikbaar gesteld, alleen verder mogen worden verwerkt voor het doel waarvoor zij werden verstrekt of beschikbaar gesteld.

Artikel 12 Verstrekking aan andere bevoegde instanties

De lidstaten schrijven voor dat persoonsgegevens die door de bevoegde instantie van een andere lidstaat zijn verstrekt of beschikbaar gesteld, alleen aan andere bevoegde instanties van een lidstaat worden doorgegeven of beschikbaar gesteld als aan alle onderstaande voorwaarden is voldaan:

a) de verstrekking of beschikbaarstelling is wettelijk verplicht of toegestaan;

b) de verstrekking of beschikbaarstelling is noodzakelijk voor de vervulling van de wettelijke taak van de instantie die de betrokken gegevens heeft ontvangen of van de instantie waaraan deze de gegevens verstrekt;

c) de verstrekking of beschikbaarstelling is noodzakelijk voor het specifieke doel waarvoor de gegevens werden verstrekt of beschikbaar gesteld, om strafbare feiten te voorkomen, te onderzoeken, op te sporen of te vervolgen, of om bedreigingen van de openbare veiligheid of van een persoon te voorkomen, behalve wanneer de bescherming van de belangen of van de grondrechten van de betrokkene prevaleert;

d) de bevoegde instantie van de lidstaat die de betrokken gegevens heeft verstrekt of beschikbaar gesteld aan de bevoegde instantie die de gegevens wil doorgeven of beschikbaar stellen, heeft daarvoor vooraf toestemming gegeven.

Artikel 13 Verstrekking aan andere dan bevoegde instanties

De lidstaten schrijven voor dat persoonsgegevens die door de bevoegde instantie van een andere lidstaat zijn verstrekt of beschikbaar gesteld, alleen in bepaalde gevallen en alleen als aan alle onderstaande voorwaarden is voldaan aan andere dan de bevoegde instanties van een lidstaat worden doorgegeven of beschikbaar gesteld:

a) de verstrekking is wettelijk verplicht of toegestaan en

b) de verstrekking is

noodzakelijk voor het specifieke doel waarvoor de gegevens werden verstrekt of beschikbaar gesteld, om strafbare feiten te voorkomen, te onderzoeken, op te sporen of te vervolgen, of om bedreigingen van de openbare veiligheid of van een persoon te voorkomen, behalve wanneer de bescherming van de belangen of van de grondrechten van de betrokkene prevaleert;

of

noodzakelijk omdat de instantie waaraan de gegevens worden doorgegeven, zonder de betrokken gegevens haar wettelijke taak niet kan vervullen, mits het doel waarvoor de gegevens door die instantie worden verkregen of verwerkt niet onverenigbaar is met de oorspronkelijke verwerking en mits de verstrekking niet strijdig is met de wettelijke verplichtingen van de bevoegde instantie die de gegevens wil doorgeven,

of

onmiskenbaar in het belang van de betrokkene en de betrokkene heeft toestemming gegeven of de omstandigheden zijn van dien aard dat duidelijk kan worden uitgegaan van deze toestemming;

c) de bevoegde instantie van de lidstaat die de betrokken gegevens heeft verstrekt of beschikbaar gesteld aan de bevoegde instantie die de gegevens wil doorgeven, heeft daarvoor vooraf toestemming gegeven.

Artikel 14 Verstrekking aan particuliere instanties

De lidstaten schrijven voor, onverminderd het nationale strafprocesrecht, dat persoonsgegevens die door een bevoegde instantie van een andere lidstaat zijn verstrekt of beschikbaar gesteld, alleen in bepaalde gevallen en alleen als aan alle onderstaande voorwaarden is voldaan, aan particuliere instanties van een lidstaat worden doorgegeven of beschikbaar gesteld:

(a) de verstrekking is wettelijk verplicht of toegestaan en

b) de verstrekking is noodzakelijk voor het doel waarvoor de gegevens werden verstrekt of beschikbaar gesteld, om strafbare feiten te voorkomen, te onderzoeken, op te sporen of te vervolgen, of om bedreigingen van de openbare veiligheid of van een persoon te voorkomen, behalve wanneer de bescherming van de belangen of van de grondrechten van de betrokkene prevaleert, en

c) de bevoegde instantie van de lidstaat die de betrokken gegevens heeft verstrekt of beschikbaar gesteld aan de bevoegde instantie die de gegevens wil doorgeven, heeft vooraf toestemming gegeven om de gegevens door te geven aan particuliere instanties.

Artikel 15 Doorgifte aan bevoegde instanties in derde landen of aan internationale organen

1. De lidstaten schrijven voor dat persoonsgegevens die zijn verstrekt of beschikbaar gesteld door de bevoegde instantie van een andere lidstaat, niet worden doorgegeven aan bevoegde instanties van derde landen of aan internationale organen tenzij deze doorgifte in overeenstemming is met dit kaderbesluit en aan alle onderstaande voorwaarden is voldaan:

a) de doorgifte is wettelijk verplicht of toegestaan;

b) de doorgifte is noodzakelijk voor het doel waarvoor de gegevens werden verstrekt of beschikbaar gesteld, om strafbare feiten te voorkomen, te onderzoeken, op te sporen of te vervolgen, of om bedreigingen van de openbare veiligheid of van een persoon te voorkomen, behalve wanneer de bescherming van de belangen of van de grondrechten van de betrokkene prevaleert;

c) de bevoegde instantie van een andere lidstaat die de betrokken gegevens heeft verstrekt of beschikbaar gesteld aan de bevoegde instantie die de gegevens wil doorgeven, heeft vooraf toestemming gegeven voor deze doorgifte.

d) in het derde land of het internationale orgaan waaraan de gegevens zullen worden doorgegevens, is een passend niveau van gegevensbescherming gewaarborgd.

2. De lidstaten zorgen ervoor dat voor elke doorgifte of doorgiftecategorie het beschermingsniveau in het derde land of het internationale orgaan wordt getoetst in het licht van alle omstandigheden die zich daarbij voordoen. Bij deze toetsing wordt met name gekeken naar het soort gegevens, het doel en de duur van de verwerking waarvoor de gegevens worden doorgegeven, het land van oorsprong en het land van uiteindelijke bestemming, de algemene en sectorale rechtsregels die van toepassing zijn in het betrokken derde land of internationale orgaan, de beroepscodes en veiligheidsregels die er gelden, alsmede het bestaan van voldoende waarborgen bij de ontvanger van de door te geven gegevens.

3. De lidstaten en de Commissie brengen elkaar op de hoogte van de gevallen waarin, naar hun oordeel, een derde land of internationaal orgaan geen waarborgen voor een passend beschermingsniveau in de zin van lid 2 biedt.

4. Wanneer volgens de procedure van artikel 16 wordt vastgesteld dat een derde land of een internationaal orgaan geen waarborgen voor een passend beschermingsniveau in de zin van lid 2 biedt, nemen de lidstaten de nodige maatregelen om doorgifte van persoonsgegevens naar het betrokken land of internationaal orgaan te voorkomen.

5. Volgens de procedure van artikel 16 kan worden vastgesteld dat een derde land of internationaal orgaan op grond van zijn nationale wetgeving of de internationale verbintenissen die het is aangegaan inzake de bescherming van de persoonlijke levenssfeer en de fundamentele vrijheden en rechten van personen, een passend beschermingsniveau biedt in de zin van lid 2.

6. Bij wijze van uitzondering mogen persoonsgegevens die door een bevoegde instantie van een andere lidstaat zijn verstrekt worden doorgegeven aan de bevoegde instanties van derde landen of aan internationale organen die geen passend niveau van gegevensbescherming bieden, indien dit absoluut noodzakelijk is om een ernstige bedreiging van de openbare veiligheid of van een bepaalde persoon of bepaalde personen te voorkomen.

Artikel 16 Comité

1. Wanneer wordt verwezen naar dit artikel, wordt de Commissie bijgestaan door een comité bestaande uit vertegenwoordigers van de lidstaten en voorgezeten door de vertegenwoordiger van de Commissie.

2. Het comité stelt op voorstel van de voorzitter zijn reglement van orde vast op basis van het standaardreglement dat is gepubliceerd in het Publicatieblad van de Europese Unie.

3. De vertegenwoordiger van de Commissie legt het comité een ontwerp voor van de te nemen maatregelen. Het comité brengt advies uit over dit ontwerp binnen een termijn die de voorzitter kan vaststellen naar gelang van de urgentie van de materie. Het comité spreekt zich uit met de meerderheid van stemmen die in artikel 205, lid 2, van het Verdrag tot oprichting van de Europese Gemeenschap is voorgeschreven voor de besluiten die de Raad op voorstel van de Commissie moet aannemen. De stemmen van de vertegenwoordigers van de lidstaten in het comité worden gewogen overeenkomstig genoemd artikel. De voorzitter neemt niet aan de stemming deel.

4. De Commissie stelt de beoogde maatregelen vast wanneer zij in overeenstemming zijn met het advies van het comité. Wanneer de beoogde maatregelen niet in overeenstemming zijn met het advies van het comité of indien geen advies is uitgebracht, dient de Commissie onverwijld bij de Raad een voorstel in betreffende de te nemen maatregelen en stelt zij het Europees Parlement daarvan in kennis.

5. De Raad kan binnen twee maanden na de datum van verwijzing naar de Raad met gekwalificeerde meerderheid van stemmen een besluit over het voorstel nemen.

Als de Raad zich binnen die termijn met gekwalificeerde meerderheid tegen het voorstel heeft uitgesproken, onderzoekt de Commissie het voorstel opnieuw. Zij kan bij de Raad een gewijzigd voorstel indienen, haar voorstel opnieuw indienen of een wetgevingsvoorstel indienen. Wanneer de Raad na het verstrijken van die termijn het voorgestelde uitvoeringsbesluit niet heeft goedgekeurd en zich niet tegen het voorstel voor uitvoeringsmaatregelen heeft uitgesproken, wordt het voorgestelde uitvoeringsbesluit door de Commissie vastgesteld.

Artikel 17 Uitzonderingen op de artikelen 12, 13, 14 en 15

De artikelen 12, 13, 14 en 15 zijn niet van toepassing indien specifieke wetgeving in het kader van titel VI van het Verdrag betreffende de Europese Unie uitdrukkelijk bepaalt dat persoonsgegevens die door de bevoegde instantie van een andere lidstaat worden verstrekt of beschikbaar gesteld, niet mogen worden doorgegeven of alleen mogen worden doorgegeven onder nader uitgewerkte voorwaarden.

Artikel 18 Het op verzoek informeren van de bevoegde instantie

De lidstaten schrijven voor dat de bevoegde instantie die persoonsgegevens heeft verstrekt of beschikbaar heeft gesteld op verzoek wordt ingelicht over de verdere verwerking van de gegevens en over de bereikte resultaten.

HOOFDSTUK IVRECHTEN VAN DE BETROKKENE

Artikel 19 Recht op informatie in het geval met medeweten van de betrokkene gegevens van hem worden verkregen

1. De lidstaten schrijven voor dat de voor de verwerking verantwoordelijke of diens vertegenwoordiger de betrokkene wiens gegevens met zijn medeweten worden verkregen, kosteloos ten minste de hierna volgende informatie verstrekt, tenzij de betrokkene daarover reeds beschikt:

a) de identiteit van de voor de verwerking verantwoordelijke en van zijn eventuele vertegenwoordiger,

b) de doeleinden van de verwerking waarvoor de gegevens zijn bestemd,

c) verdere informatie, zoals

- de rechtsgrond van de verwerking,

- de ontvangers of de categorieën ontvangers van de gegevens,

- of het beantwoorden van vragen of andere vormen van medewerking al dan niet verplicht zijn en de eventuele gevolgen indien dit wordt geweigerd,

- het bestaan van het recht van toegang tot de eigen persoonsgegevens en op correctie van die gegevens,

voorzover die informatie, met inachtneming van de specifieke omstandigheden waaronder de gegevens worden verzameld, nodig is om tegenover de betrokkene een eerlijke verwerking te waarborgen.

2. Verstrekking van de in lid 1 beschreven informatie wordt alleen geweigerd of beperkt indien dit nodig is om

a) de voor de verwerking verantwoordelijke in staat te stellen zijn wettelijke taken goed te vervullen;

b) te voorkomen dat lopende onderzoeken of procedures worden verstoord of dat de bevoegde instanties hun wettelijke taken niet kunnen uitvoeren;

c) de openbare veiligheid en de openbare orde in een lidstaat te beschermen;

d) de rechten en vrijheden van derden te beschermen;

behalve wanneer de bescherming van de belangen of van de grondrechten van de betrokkene prevaleert.

3. Indien verstrekking van de in lid 1 beschreven informatie wordt geweigerd of beperkt, wijst de voor de verwerking verantwoordelijke de betrokkene erop dat hij zich tot de bevoegde toezichthoudende autoriteit kan wenden, onverminderd de mogelijkheden tot beroep op de rechter en onverminderd het nationale strafprocesrecht.

4. De redenen voor de weigering of beperking op grond van artikel 2 worden niet gegeven indien mededeling ervan het doel van de weigering ondermijnt. In dergelijke gevallen deelt de voor de verwerking verantwoordelijke de betrokkene mee dat hij zich tot de bevoegde toezichthoudende autoriteit kan wenden, onverminderd de mogelijkheden tot beroep op de rechter en onverminderd het nationale strafprocesrecht. Indien de betrokkene beroep instelt bij de toezichthoudende autoriteit, neemt deze het beroep in behandeling. De toezichthoudende autoriteit deelt de betrokkene na behandeling van het beroep uitsluitend mee of de gegevens al dan niet correct zijn verwerkt en, indien dat niet het geval was, of er correcties zijn aangebracht.

Artikel 20 Recht op informatie in het geval gegevens niet van de betrokkene zijn verkregen of zonder zijn medeweten van hem zijn verkregen

1. De lidstaten schrijven voor dat, indien de gegevens niet van de betrokkene zijn verkregen of van hem zijn verkregen zonder zijn medeweten of zonder dat hij zich bewust was dat er gegevens over hem werden verzameld, de voor de verwerking verantwoordelijke de betrokkene op het tijdstip van registratie van de persoonsgegevens of wanneer verstrekking van de gegevens aan een derde wordt overwogen, binnen een redelijke termijn na de eerste verstrekking van de gegevens kosteloos ten minste de volgende informatie meedeelt, tenzij de betrokkene daarover reeds beschikt of de verstrekking ervan onmogelijk blijkt of onevenredig veel moeite kost:

(a) de identiteit van de voor de verwerking verantwoordelijke en van zijn eventuele vertegenwoordiger,

b) de doeleinden van de verwerking,

c) verdere informatie, zoals

- de rechtsgrond van de verwerking,

- de betrokken gegevenscategorieën,

- de ontvangers of de categorieën ontvangers,

- het bestaan van het recht van toegang tot de eigen persoonsgegevens en op correctie van die gegevens,

voorzover die informatie, met inachtneming van de specifieke omstandigheden waaronder de gegevens worden verzameld, nodig is om tegenover de betrokkene een eerlijke verwerking te waarborgen.

2. Verstrekking van de in lid 1 beschreven informatie blijft achterwege indien dit noodzakelijk is om

a) de voor de verwerking verantwoordelijke in staat te stellen zijn wettelijke taken goed te vervullen;

b) te voorkomen dat lopende onderzoeken of procedures worden verstoord of dat de bevoegde instanties hun wettelijke taken niet kunnen uitvoeren;

c) de openbare veiligheid en de openbare orde in een lidstaat te beschermen;

d) de rechten en vrijheden van derden te beschermen;

behalve wanneer de bescherming van de belangen of van de grondrechten van de betrokkene prevaleert.

Artikel 21 Recht op toegang, correctie, wissen of afscherming

1. De lidstaten waarborgen elke betrokkene het recht om van de voor de verwerking verantwoordelijke:

a) vrijelijk en zonder beperking, met redelijke tussenpozen en zonder bovenmatige vertraging of kosten:

- uitsluitsel te verkrijgen over het al dan niet plaatsvinden van gegevensverwerking die de betrokkene betreft, alsmede ten minste informatie over de doeleinden van deze verwerking, de categorieën gegevens waarop de verwerking betrekking heeft, de rechtsgrond van de verwerking en de ontvangers of categorieën ontvangers aan wie de gegevens zijn verstrekt;

- de gegevens die verwerking ondergaan, alsmede elke beschikbare informatie over de oorsprong van die gegevens, in begrijpelijke vorm verstrekt te krijgen;

b) te verlangen dat gegevens waarvan de verwerking niet overeenstemt met de bepalingen van dit kaderbesluit, met name omdat de gegevens onvolledig of onjuist zijn, naar gelang van het geval worden gecorrigeerd, gewist of afgeschermd;

c) te verlangen dat derden aan wie de gegevens zijn verstrekt, in kennis worden gesteld van het feit dat gegevens overeenkomstig punt b) zijn gecorrigeerd, gewist of afgeschermd, tenzij zulks onmogelijk blijkt of onevenredig veel moeite kost.

2. Elke handeling waarop de betrokkene recht heeft volgens lid 1 wordt geweigerd indien dit noodzakelijk is om:

a) de voor de verwerking verantwoordelijke in staat te stellen zijn wettelijke taken goed te vervullen;

b) te voorkomen dat lopende onderzoeken of procedures worden verstoord of dat de bevoegde instanties hun wettelijke taken niet kunnen uitvoeren;

c) de openbare veiligheid en de openbare orde in een lidstaat te beschermen;

d) de rechten en vrijheden van derden te beschermen;

behalve wanneer de bescherming van de belangen of van de grondrechten van de betrokkene prevaleert.

3. Weigering of beperking van de in lid 1 bedoelde rechten wordt schriftelijk toegelicht. Indien de in lid 1 beschreven rechten worden geweigerd of beperkt, wijst de voor de verwerking verantwoordelijke de betrokkene erop dat hij zich tot de bevoegde toezichthoudende autoriteit kan wenden, onverminderd de mogelijkheden tot beroep op de rechter en onverminderd het nationale strafprocesrecht.

4. De redenen voor de weigering op grond van artikel 2 worden niet aan de betrokkene meegedeeld indien dit het doel van de weigering ondermijnt. In dergelijke gevallen deelt de voor de verwerking verantwoordelijke de betrokkene mee dat hij zich tot de bevoegde toezichthoudende autoriteit kan wenden, onverminderd de mogelijkheden tot beroep op de rechter en onverminderd het nationale strafprocesrecht. Indien de betrokkene beroep instelt bij de toezichthoudende autoriteit, neemt deze het beroep in behandeling. De toezichthoudende autoriteit deelt de betrokkene na behandeling van het beroep uitsluitend mee of de gegevens al dan niet correct zijn verwerkt en, indien dat niet het geval was, of er correcties zijn aangebracht.

Artikel 22 Inkennisstelling van derden nadat gegevens zijn gecorrigeerd, afgeschermd of gewist

De lidstaten schrijven voor dat de nodige technische maatregelen worden genomen om ervoor te zorgen dat wanneer persoonsgegevens door de voor de verwerking verantwoordelijke op verzoek worden gecorrigeerd, afgeschermd of gewist, automatisch een lijst van verstrekkers en ontvangers van deze gegevens wordt geproduceerd. De voor de verwerking verantwoordelijke zorgt ervoor dat degenen die op de lijst staan vermeld, in kennis worden gesteld van de wijzigingen die de persoonsgegevens hebben ondergaan.

HOOFDSTUK VVertrouwelijkheid en beveiliging van de verwerking

Artikel 23 Vertrouwelijkheid

Eenieder die handelt onder het gezag van de voor de verwerking verantwoordelijke of van de verwerker alsmede de verwerker zelf en die toegang heeft tot persoonsgegevens, mag deze slechts in opdracht van de voor de verwerking verantwoordelijke verwerken, tenzij hij wettelijk verplicht is tot de verwerking. Eenieder die werkt met of bij een bevoegde instantie van een lidstaat is gebonden aan strikte geheimhoudingsregels.

Artikel 24 Beveiliging

1. De lidstaten schrijven voor dat de voor de verwerking verantwoordelijke passende technische en organisatorische maatregelen ten uitvoer legt om persoonsgegevens te beveiligen tegen toevallige of onrechtmatige vernietiging, tegen wijziging, ongeoorloofde verstrekking of toegang, met name wanneer de verwerking verzending van gegevens via een netwerk of beschikbaarstelling via direct geautomatiseerde toegang omvat, en tegen alle andere vormen van onrechtmatige verwerking, waarbij met name rekening wordt gehouden met de risico's van de verwerking en de aard van de te beschermen gegevens.

Deze maatregelen moeten, rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau garanderen gelet op de risico's die de verwerking en de aard van te beschermen gegevens met zich brengen. Maatregelen worden geacht nodig te zijn als de kosten en moeite die ermee gepaard gaan, niet bovenmatig zijn in verhouding tot het beoogde beschermingsdoel.

2. Elke lidstaat treft ten aanzien van de geautomatiseerde verwerking van gegevens maatregelen om:

a) te verhinderen dat onbevoegden toegang krijgen tot apparatuur voor de verwerking van persoonsgegevens (controle op de toegang tot de apparatuur);

b) te voorkomen dat onbevoegden de gegevensdragers lezen, kopiëren, wijzigen of verwijderen (controle op de gegevensdragers);

c) te voorkomen dat onbevoegden gegevens in het bestand invoeren of opgeslagen persoonsgegevens lezen, wijzigen of verwijderen (opslagcontrole);

d) te voorkomen dat onbevoegden de systemen voor geautomatiseerde gegevensverwerking gebruiken met behulp van datatransmissieapparatuur (gebruikscontrole);

e) ervoor te zorgen dat degenen die bevoegd zijn een systeem voor automatische gegevensverwerking te gebruiken, uitsluitend toegang hebben tot de gegevens waarop hun toegangsbevoegdheid betrekking heeft (controle op de toegang tot de gegevens);

f) ervoor te zorgen dat kan worden nagegaan en vastgesteld aan welke organen persoonsgegevens zijn of kunnen worden verstrekt of beschikbaar gesteld met behulp van datatransmissieapparatuur (verstrekkingscontrole);

g) ervoor te zorgen dat naderhand kan worden nagegaan en vastgesteld welke persoonsgegevens wanneer en door wie in een geautomatiseerd gegevensverwerkingssysteem zijn ingevoerd (invoercontrole);

h) te voorkomen dat onbevoegden de persoonsgegevens lezen, kopiëren, wijzigen of verwijderen bij de overdracht van persoonsgegevens of het vervoer van gegevensdragers (vervoerscontrole);

i) ervoor te zorgen dat de gebruikte systemen in geval van storing onverwijld opnieuw ingezet kunnen worden (herstel);

j) ervoor te zorgen dat de functies van het systeem foutloos verlopen, dat eventuele functionele storingen onmiddellijk gesignaleerd worden (betrouwbaarheid) en dat opgeslagen gegevens niet door verkeerd functioneren van het systeem beschadigd kunnen worden (integriteit).

3. De lidstaten schrijven voor dat de voor de verwerking verantwoordelijke, wanneer namens hem gegevens worden verwerkt, een verwerker kiest die voldoende waarborgen biedt ten aanzien van de technische en organisatorische beveiligingsmaatregelen met betrekking tot de te verrichten verwerking, en dat hij toeziet op de naleving van die maatregelen.

4. Verwerking door een verwerker wordt geregeld in een overeenkomst of een rechtshandeling die de verwerker bindt jegens de voor de verwerking verantwoordelijke en waarin met name wordt bepaald dat:

- de verwerker slechts handelt in opdracht van de voor de verwerking verantwoordelijke;

- de in lid 1 en lid 2 bedoelde verplichtingen, zoals gedefinieerd door de wetgeving van de lidstaat waarin de verwerker is gevestigd, ook voor de verwerker gelden.

5. Om over bewijsstukken te beschikken, worden die onderdelen van de overeenkomst of van de rechtshandeling die de bescherming van de gegevens betreffen en de vereisten inzake de in artikel 1 bedoelde maatregelen schriftelijk of in een andere, gelijkwaardige vorm vastgelegd.

Artikel 25 Register

1. De lidstaten schrijven voor dat elke voor de verwerking verantwoordelijke een register bijhoudt van elke verwerkingshandeling of reeks verwerkingshandelingen die hetzelfde doel of verschillende, met elkaar verband houdende doelen dienen. Het register moet de volgende informatie bevatten:

a) de naam en het adres van de voor verwerking verantwoordelijke en zijn eventuele vertegenwoordiger,

b) het doeleinde of de doeleinden van de verwerking,

c) een beschrijving van de categorie(ën) betrokkenen en van de gegevens of categorieën gegevens die op hen betrekking hebben,

d) de rechtsgrond van de verwerking waarvoor de gegevens bestemd zijn,

e) de ontvangers of categorieën ontvangers aan wie de gegevens kunnen worden verstrekt,

f) de voorgenomen doorgifte van gegevens naar derde landen,

g) een algemene beschrijving om vooraf te kunnen beoordelen of de op grond van artikel 24 genomen maatregelen om de beveiliging van de verwerking te waarborgen, afdoende zijn.

2. De lidstaten geven nader aan volgens welke voorwaarden en procedures wijzigingen in de in lid 1 bedoelde informatie bij de toezichthoudende autoriteit moeten worden aangemeld.

Artikel 26 Voorafgaand onderzoek

1. De lidstaten geven aan welke verwerkingen mogelijk specifieke risico's voor de rechten en vrijheden van de betrokkenen inhouden en zien erop toe dat deze verwerkingen worden onderzocht voordat zij plaatsvinden.

2. Dit voorafgaande onderzoek wordt uitgevoerd door de toezichthoudende autoriteit na ontvangst van een aanmelding van de voor de verwerking verantwoordelijke, of door de functionaris voor de gegevensbescherming, die in twijfelgevallen de toezichthoudende autoriteit raadpleegt.

3. De lidstaten kunnen een dergelijk onderzoek ook uitvoeren in het kader van de voorbereiding van een maatregel van het nationale parlement ofwel van een op een dergelijke wetgevende maatregel gebaseerde maatregel waarin de aard van de verwerking is omschreven en passende waarborgen zijn opgenomen.

HOOFDSTUK VI RECHTSMIDDELEN EN AANSPRAKELIJKHEID

Artikel 27 Rechtsmiddelen

Onverminderd de administratieve voorziening die met name bij de in artikel 30 bedoelde toezichthoudende autoriteit kan worden getroffen voordat de zaak aanhangig wordt gemaakt voor de rechter, schrijven de lidstaten voor dat eenieder zich tot de rechter kan wenden wanneer de rechten die hem op grond van dit kaderbesluit worden gegarandeerd door het op de betrokken verwerking toepasselijke nationale recht, geschonden worden.

Artikel 28 Aansprakelijkheid

1. De lidstaten schrijven voor dat eenieder die schade heeft geleden ten gevolge van een onrechtmatige verwerking of van enige andere daad die onverenigbaar is met de ter uitvoering van dit kaderbesluit vastgestelde nationale bepalingen, het recht heeft van de voor de verwerking verantwoordelijke vergoeding van de geleden schade te verkrijgen. De voor de verwerking verantwoordelijke kan geheel of gedeeltelijk van deze aansprakelijkheid worden ontheven indien hij bewijst dat de schade hem niet kan worden toegerekend.

2. Een bevoegde instantie die persoonsgegevens heeft ontvangen van een bevoegde instantie van een andere lidstaat, kan echter door de benadeelde partij aansprakelijk worden gesteld voor de schade die is ontstaan als gevolg van het gebruik van onjuiste of achterhaalde gegevens. Zij kan zich niet aan haar aansprakelijkheid onttrekken op grond van het feit dat zij onjuiste of achterhaalde gegevens van een andere instantie heeft ontvangen. Indien de ontvangende instantie schadevergoeding moet betalen als gevolg van het gebruik van onjuiste gegevens die een bevoegde instantie van een andere lidstaat heeft verstrekt of beschikbaar gesteld, wordt de betaalde schadevergoeding volledig vergoed door de verstrekkende instantie.

Artikel 29 Sancties

1. De lidstaten nemen passende maatregelen om de onverkorte toepassing van de bepalingen van dit kaderbesluit te garanderen en stellen doeltreffende, evenredige en afschrikkende sancties vast die worden opgelegd bij inbreuken op de ter uitvoering van dit kaderbesluit vastgestelde bepalingen.

2. De lidstaten stellen doeltreffende, evenredige en afschrikkende strafrechtelijke sancties vast voor opzettelijk gepleegde feiten waarbij ernstig inbreuk wordt gemaakt op de ter uitvoering van dit kaderbesluit vastgestelde bepalingen, met name de bepalingen die de vertrouwelijkheid en de beveiliging van de verwerking moeten waarborgen.

HOOFDSTUK VII TOEZICHTHOUDENDE AUTORITEIT EN WERKGROEP VOOR DE BESCHERMING VAN PERSONEN IN VERBAND MET DE VERWERKING VAN PERSOONSGEGEVENS

Artikel 30 Toezichthoudende autoriteit

1. Elke lidstaat bepaalt dat een of meer openbare autoriteiten worden belast met het toezicht op de toepassing op zijn grondgebied van de ter uitvoering van dit kaderbesluit door de lidstaten vastgestelde bepalingen. Deze autoriteiten vervullen de hun opgedragen taken in volledige onafhankelijkheid.

2. Elke lidstaat schrijft voor dat de toezichthoudende autoriteiten worden geraadpleegd bij de opstelling van de wettelijke of bestuursrechtelijke bepalingen met betrekking tot de bescherming van de rechten en vrijheden van personen in verband met de verwerking van persoonsgegevens met het oog op het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten.

3. Elke toezichthoudende autoriteit beschikt met name over:

- onderzoeksbevoegdheden, zoals het recht van toegang tot gegevens die het voorwerp vormen van een verwerking en het recht alle inlichtingen in te winnen die voor de uitoefening van haar toezichtstaak noodzakelijk zijn;

- effectieve bevoegdheden om in te grijpen, zoals bijvoorbeeld de bevoegdheid om voorafgaand aan de uitvoering van de verwerking advies uit te brengen, overeenkomstig artikel 26, en te zorgen voor een passende bekendmaking van deze adviezen, of de bevoegdheid om gegevens te laten afschermen, uitwissen of vernietigen, een verwerking voorlopig of definitief te verbieden, de voor de verwerking verantwoordelijke te waarschuwen of te berispen, of de nationale parlementen of andere politieke instellingen in te schakelen;

- de bevoegdheid om in rechte op te treden in geval van inbreuken op ter uitvoering van dit kaderbesluit vastgestelde nationale bepalingen, of om die inbreuken onder de aandacht van het gerecht te brengen.

Tegen beslissingen van de toezichthoudende autoriteit kan beroep bij de rechter worden ingesteld.

4. Eenieder kan bij elke toezichthoudende autoriteit een verzoek indienen met betrekking tot de bescherming van zijn rechten en vrijheden in verband met de verwerking van persoonsgegevens. Degene die een verzoek indient wordt in kennis gesteld van het gevolg dat daaraan wordt gegeven.

5. Elke toezichthoudende autoriteit stelt regelmatig een verslag op over haar activiteiten. Het verslag wordt openbaar gemaakt.

6. Elke toezichthoudende autoriteit is bevoegd, ongeacht welk nationaal recht op de betrokken verwerking van toepassing is, op het grondgebied van haar eigen lidstaat de haar overeenkomstig lid 3 verleende bevoegdheden uit te oefenen. Elke autoriteit kan door een autoriteit van een andere lidstaat worden verzocht haar bevoegdheden uit te oefenen.

7. De toezichthoudende autoriteiten werken zowel onderling als met de controleorganen die in het kader van titel VI van het Verdrag zijn ingesteld en met de Europese Toezichthouder voor gegevensbescherming samen voor zover zulks noodzakelijk is voor de uitvoering van hun taken, met name door de uitwisseling van alle nuttige informatie.

8. De lidstaten schrijven voor dat de leden en personeelsleden van de toezichthoudende autoriteit ook na beëindiging van hun dienstverband aan het beroepsgeheim zijn onderworpen voor wat betreft de vertrouwelijke gegevens waartoe zij toegang hebben.

9. De bevoegdheden van de toezichthoudende autoriteit doen geen afbreuk aan de onafhankelijkheid van de rechterlijke macht en beslissingen van deze autoriteit laten de uitvoering van de wettelijke taken van de rechterlijke macht in strafprocedures onverlet.

Artikel 31 Werkgroep voor de bescherming van personen in verband met de verwerking van persoonsgegevens met het oog op het voorkomen, onderzoeken, opsporen of vervolgen van strafbare feiten

1. Er wordt een werkgroep ingesteld voor de bescherming van personen in verband met de verwerking van persoonsgegevens met het oog op het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten, hierna "de werkgroep" genoemd. Deze werkgroep heeft een adviserende functie en treedt onafhankelijk op.

2. De werkgroep bestaat uit een vertegenwoordiger van de door iedere lidstaat aangewezen toezichthoudende autoriteit(en), een vertegenwoordiger van Europese Toezichthouder voor gegevensbescherming en een vertegenwoordiger van de Commissie.

Elk lid van de werkgroep wordt aangewezen door de instelling of de autoriteit(en) die hij vertegenwoordigt. Wanneer een lidstaat meerdere toezichthoudende autoriteiten heeft aangewezen, benoemen deze een gemeenschappelijke vertegenwoordiger.

De voorzitters van de gemeenschappelijke controleorganen die in het kader van titel VI van het Verdrag betreffende de Europese Unie zijn opgericht, mogen deelnemen aan of vertegenwoordigd zijn in de vergaderingen van de werkgroep. De toezichthoudende instantie(s) van IJsland, Noorwegen en Zwitserland mogen vertegenwoordigd zijn in de vergaderingen van de werkgroep voorzover die betrekking hebben op kwesties die verband houden met het Schengenacquis.

3. De werkgroep neemt haar besluiten met een gewone meerderheid van stemmen van de vertegenwoordigers van de toezichthoudende autoriteiten van de lidstaten.

4. De werkgroep kiest een voorzitter. De ambtstermijn van de voorzitter bedraagt twee jaar. Deze termijn kan worden verlengd.

5. De Commissie is belast met het secretariaat van de werkgroep.

6. De werkgroep stelt haar reglement van orde vast.

7. De werkgroep behandelt alle aangelegenheden die door de voorzitter hetzij op diens initiatief hetzij op verzoek van een vertegenwoordiger van de toezichthoudende autoriteiten, de Commissie, de Europese Toezichthouder voor gegevensbescherming of de voorzitters van de gemeenschappelijke controleorganen op de agenda worden geplaatst.

Artikel 32 Taken

1. De werkgroep heeft tot taak:

a) elke kwestie betreffende de toepassing van de ter uitvoering van dit kaderbesluit vastgestelde nationale bepalingen te bestuderen, teneinde bij te dragen tot een uniforme toepassing daarvan;

b) advies uit te brengen over het beschermingsniveau in de lidstaten en in derde landen en internationale organen, met name om te garanderen dat persoonsgegevens overeenkomstig artikel 15 van dit kaderbesluit worden verstrekt aan derde landen of internationale organen die een passend niveau van gegevensbescherming bieden;

c) de Commissie te adviseren over voorstellen tot wijziging van dit kaderbesluit, over aanvullende of specifieke maatregelen ter bescherming van de rechten en vrijheden van natuurlijke personen in verband met de verwerking van persoonsgegevens met het oog op het voorkomen, onderzoeken, opsporen of vervolgen van strafbare feiten, en over elk ander voorstel voor maatregelen die gevolgen hebben voor die rechten en vrijheden.

2. Wanneer de werkgroep vaststelt dat er tussen de wetgeving of de praktijk van de lidstaten discrepanties ontstaan waardoor afbreuk zou kunnen worden gedaan aan de gelijkwaardigheid van de bescherming van personen in verband met de verwerking van persoonsgegevens in de Europese Unie, brengt zij de Raad en de Commissie daarvan op de hoogte.

3. De werkgroep kan uit eigen beweging of op initiatief van de Commissie of de Raad aanbevelingen doen over elke aangelegenheid die verband houdt met de bescherming van personen in verband met de verwerking van persoonsgegevens in de Europese Unie met het oog op het voorkomen, onderzoeken, opsporen of vervolgen van strafbare feiten.

4. De adviezen en aanbevelingen van de werkgroep worden aan de Raad, de Commissie, het Europees Parlement en het in artikel 16 bedoelde comité toegezonden.

5. De Commissie deelt de werkgroep op basis van door de lidstaten verstrekte informatie mee welk gevolg aan de adviezen en aanbevelingen is gegeven. Zij stelt daartoe een verslag op, dat ook aan het Europees Parlement en aan de Raad wordt toegezonden. Het verslag wordt openbaar gemaakt. De lidstaten stellen de werkgroep in kennis van eventuele maatregelen die zij naar aanleiding van de in lid 1 bedoelde werkzaamheden hebben genomen.

6. De werkgroep stelt jaarlijks een verslag op over de stand van zaken met betrekking tot de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens met het oog op het voorkomen, onderzoeken, opsporen of vervolgen van strafbare feiten in de Europese Unie en in derde landen, dat zij voorlegt aan de Commissie, het Europees Parlement en de Raad. Het verslag wordt openbaar gemaakt.

HOOFDSTUK VIIISlotbepalingen

Artikel 33 Wijziging van de Schengenuitvoeringsovereenkomst

Voor zaken die onder het Verdrag betreffende de Europese Unie vallen, komt dit kaderbesluit in de plaats van de artikelen 126 tot en met 130 van de Schengenuitvoeringsovereenkomst.

Artikel 34 Verhouding tot andere instrumenten betreffende de verwerking en bescherming van persoonsgegevens

1. Dit kaderbesluit komt in de plaats van artikel 23 van de Overeenkomst betreffende de wederzijdse rechtshulp in strafzaken tussen de lidstaten van de Europese Unie.

2. Iedere verwijzing naar het Verdrag van de Raad van Europa van 28 januari 1981 tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens, moet worden gelezen als een verwijzing naar dit kaderbesluit.

Artikel 35 Uitvoering

1. De lidstaten treffen de maatregelen die nodig zijn om uiterlijk op 31 december 2006 aan dit kaderbesluit te voldoen.

2. Uiterlijk op dezelfde datum delen de lidstaten het Secretariaat-generaal van de Raad en de Commissie de tekst mee van de bepalingen waarmee zij de uit dit kaderbesluit voortvloeiende verplichtingen omzetten in nationaal recht, alsmede informatie over de aanwijzing van de in artikel 29 bedoelde toezichthoudende autoriteiten. Op basis van deze informatie en een schriftelijk verslag van de Commissie gaat de Raad voor 31 december 2007 na in hoeverre de lidstaten de nodige maatregelen hebben genomen om aan dit kaderbesluit te voldoen.

Artikel 36 Inwerkingtreding

Dit kaderbesluit treedt in werking op de twintigste dag volgende op die van zijn bekendmaking in het Publicatieblad van de Europese Unie .

Gedaan te Brussel, […]

Voor de Raad

De voorzitter

BIJLAGE

FINANCIEEL MEMORANDUM

Beleidsgebied(en): Justitie en binnenlandse zaken Activiteit(en): 1806 - Totstandbrenging van een ware justitiële ruimte in strafrechtelijke en burgerlijke zaken |

BENAMING VAN DE ACTIE: VOORSTEL VOOR EEN KADERBESLUIT VAN DE RAAD OVER DE BESCHERMING VAN PERSOONSGEGEVENS DIE WORDEN VERWERKT IN HET KADER VAN DE POLITIËLE EN JUSTITIËLE SAMENWERKING IN STRAFZAKEN |

1. BEGROTINGSONDERDELEN + OMSCHRIJVING

Nvt

2. ALGEMENE CIJFERS

2.1 Totale toewijzing voor de actie (deel B): vastleggingskredieten (mln. euro)

Nvt

2.2 Duur:

Beginjaar 2006

2.3 Meerjarenraming van de uitgaven

a) Tijdschema vastleggingskredieten/betalingskredieten (financiering uit de begroting) (zie punt 6.1.1)

mln. euro (tot op 3 decimalen nauwkeurig)

2006 | 2007 | 2008 | 2009 | 2010 | 2011 | Totaal |

Vastleggings-kredieten (VK) |

Betalingskredieten (BK) |

b) Technische en administratieve bijstand en ondersteuningsuitgaven (zie punt 6.1.2)

VK |

BK |

Subtotaal a+b |

VK |

BK |

c) Financiële gevolgen in verband met de personele middelen en andere huishoudelijke uitgaven (zie punten 7.2 en 7.3)

VK/BK | 0,389 | 0,389 | 0,389 | 0,389 | 0,389 | 0,389 | 2,334 |

TOTAAL a+b+c |

VK |

BK |

2.4 Verenigbaarheid met de financiële programmering en de financiële vooruitzichten

Nvt

2.5 Financiële gevolgen voor de ontvangsten

Geen enkele financiële implicatie

3. BEGROTINGSKENMERKEN

Aard van de uitgave | Nieuwe uitgave | Deelname EVA | Deelname kandidaat-lidstaten | Rubriek financiële vooruitzichten |

NVU | NGK | Nvt | Nvt | Nvt | Nvt |

4. RECHTSGROND

Artikel 30, artikel 31 en artikel 34, lid 2, onder b) van het Verdrag betreffende de Europese Unie.

5. OMSCHRIJVING EN MOTIVERING

5.1 Doel van het communautaire optreden

5.1.1 Doelstellingen

In het voorgestelde kaderbesluit worden gemeenschappelijke normen vastgesteld voor de bescherming van persoonsgegevens die door de bevoegde instanties worden verwerkt in het kader van de bij titel VI van het Verdrag betreffende de Europese Unie geregelde activiteiten (politiële en justitiële samenwerking in strafzaken). Onafhankelijke openbare toezichthoudende autoriteiten houden toezicht op de toepassing van de nationale bepalingen ter omzetting van dit kaderbesluit. Op EU-niveau wordt een werkgroep ingesteld voor de bescherming van personen in verband met de verwerking van persoonsgegevens met het oog op het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten, hierna "de werkgroep" genoemd. De werkgroep bestaat uit een vertegenwoordiger van de door iedere lidstaat aangewezen toezichthoudende autoriteit(en), een vertegenwoordiger van de Europese Toezichthouder voor gegevensbescherming en een vertegenwoordiger van de Commissie. De werkgroep behandelt elke kwestie betreffende de toepassing van de ter uitvoering van dit kaderbesluit vastgestelde nationale bepalingen, teneinde bij te dragen tot een uniforme toepassing daarvan. Zij brengt advies uit over het beschermingsniveau in de lidstaten en in derde landen en adviseert de Commissie en de lidstaten over voorstellen tot wijziging van dit kaderbesluit en over aanvullende of specifieke maatregelen ter bescherming van de grondrechten.

Voorst wordt bij artikel 16 van het kaderbesluit een comité opgericht bestaande uit vertegenwoordigers van de lidstaten en voorgezeten door de vertegenwoordiger van de Commissie, dat de Commissie zo nodig bijstaat bij het beoordelen van het gegevensbeschermingsniveau in een derde land.

5.1.2 Genomen maatregelen in verband met de evaluatie vooraf

Er zijn vertegenwoordigers geraadpleegd van de regeringen en van de onafhankelijke toezichthoudende autoriteiten van de lidstaten en IJsland, Noorwegen en Zwitserland, van de Europese Toezichthouder voor gegevensbescherming, van Europol en van Eurojust. Rekening houdend met de verschillende standpunten stelt de Commissie met name de oprichting van de hierboven beschreven werkgroep voor. Bij de raming van de kosten van deze maatregel is de Commissie uitgegaan van de kosten van de Groep die bij artikel 29 van Richtlijn 95/46/EG is opgericht (reiskosten, secretariële ondersteuning bij de voorbereiding en organisatie van vergaderingen).

5.2 Voorgenomen acties en wijze van financiering uit de begroting

De hierboven bedoelde werkgroep vergadert waarschijnlijk regelmatig, ongeveer vijf keer per jaar. Het in artikel 16 bedoelde comité komt bijeen zo vaak als nodig is, mogelijk ook vijf keer per jaar. Per lidstaat en per Schengenstaat (IJsland, Noorwegen) moeten de kosten van één deelnemer worden vergoed. De groep en het comité die respectievelijk bij artikel 29 en 31 van de richtlijn van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens, en betreffende het vrije verkeer van die gegevens, zijn opgericht, kunnen daarbij als richtsnoer dienen.

5.3 Uitvoering

Alle bijeenkomsten zullen worden georganiseerd door de Commissie, die daarvoor ook een ruimte beschikbaar zal stellen. De Commissie zorgt voor secretariële ondersteuning voor de hierboven bedoelde werkgroep en het hierboven bedoelde comité en zal hun vergaderingen voorbereiden/organiseren.

6. FINANCIËLE GEVOLGEN

6.1 Totale financiële gevolgen voor deel B (voor de gehele programmeringsperiode)

6.1.1 Financiering

Nvt

6.1.2 Technische en administratieve bijstand, ondersteuningsuitgaven en IT-uitgaven (vastleggingskredieten)

Nvt

6.2 Berekening van de kosten per overwogen maatregel in deel B (voor de hele programmeringsperiode)

Nvt

7. GEVOLGEN VOOR DE PERSONELE MIDDELEN EN DE HUISHOUDELIJKE UITGAVEN

DE BEHOEFTEN AAN PERSONEEL EN HUIS