NL Publicatieblad van de Europese Unie C 378/16

Samenvatting van het voorlopig advies van de Europese Toezichthouder voor gegevensbescherming over de herziening van de e-privacyrichtlijn (2002/58/EG)

(De volledige tekst van dit advies is beschikbaar in het Engels, Frans en Duits op de EDPS-website: www.edps.europa.eu)

(2016/C 378/09)

SAMENVATTING

In dit advies wordt, naar aanleiding van een daartoe strekkend verzoek van de Europese Commissie, het standpunt van de EDPS ten aanzien van de belangrijkste kwesties in verband met de herziening van Richtlijn 2002/58/EG betreffende privacy en elektronische communicatie (e-privacyrichtlijn) uiteengezet.

We hebben een nieuw wettelijk kader voor e-privacy nodig, maar dat kader moet ook intelligenter, duidelijker en krachtiger worden: het moet duidelijker, maar ook de handhaving moet beter. Dat is nodig om de vertrouwelijkheid van het communicatieverkeer te waarborgen, een recht dat in artikel 7 van het Handvest van de grondrechten van de Europese Unie is verankerd. Daarnaast hebben we ook bepalingen nodig ter aanvulling en, waar nodig, nadere invulling van de bescherming die de algemene verordening gegevensbescherming biedt. Verder moeten we het huidige, hogere beschermingsniveau handhaven in de gevallen waarin de e-privacyrichtlijn specifiekere waarborgen dan de algemene verordening gegevensbescherming biedt. De definities van de algemene verordening gegevensbescherming, het territoriale toepassingsgebied ervan, het mechanisme voor samenwerking tussen handhavingsautoriteiten en het coherentiemechanisme, alsook de mogelijkheid om te voorzien in flexibiliteit en richtsnoeren, zouden ook voor e-privacy beschikbaar moeten zijn.

Het toepassingsgebied van het nieuwe wettelijke kader moet worden uitgebreid. Dat is nodig vanwege technologische en maatschappelijke veranderingen en om te verzekeren dat voor alle functioneel vergelijkbare diensten hetzelfde beschermingsniveau wordt geboden, of het nu gaat om diensten die bijvoorbeeld door traditionele telefoonmaatschappijen worden geleverd, om Voice over IP-diensten of om het versturen van tekstberichten via de mobiele telefoon. De reikwijdte van de bescherming zou zich echter nog verder moeten uitstrekken dan alleen „functioneel vergelijkbare” diensten. Ook diensten die nieuwe communicatiemogelijkheden bieden, zouden eronder moeten vallen. De nieuwe regels zouden ook op ondubbelzinnige wijze van toepassing moeten blijven op de communicatie tussen machines, in de context van het „internet der dingen”, ongeacht het type netwerk of communicatiedienst dat wordt gebruikt. De nieuwe regels dienen ook de vertrouwelijkheid van alle communicatie van gebruikers die via openbare netwerken plaatsvindt, te beschermen. Daarbij moet onder andere worden gedacht aan wifi-netwerken in hotels, coffeeshops, winkels en luchthavens, netwerken in ziekenhuizen en op universiteiten die toegankelijk zijn voor patiënten respectievelijk studenten, en hotspots die door overheidsinstanties zijn gecreëerd.

Overeenkomstig de algemene verordening gegevensbescherming dient de toestemming van gebruikers alleen als „echt” te worden beschouwd als deze in vrijheid is gegeven. Er mogen geen „cookiemuren” meer zijn. Een reeks duidelijk omschreven uitzonderingen daargelaten (zoals „first party analytics”) mag de communicatie van gebruikers niet met cookies, elektronische vingerafdruklezers of andere technologische middelen worden gevolgd of gemonitord zonder dat daarvoor in vrijheid toestemming is gegeven. Ook moet het geven en intrekken van toestemming op een gebruiksvriendelijke en effectieve manier kunnen gebeuren via de browser (of andere software of besturingssystemen van pc’s of applicaties).

Teneinde de vertrouwelijkheid van elektronische communicatie beter te beschermen, moet ook het huidige toestemmingsvereiste voor verkeers- en locatiegegevens gehandhaafd en versterkt worden. Het toepassingsgebied van de betreffende bepaling zou uitgebreid moeten worden tot iedereen en niet beperkt moeten blijven tot alleen maar de traditionele telefoonmaatschappijen en internetproviders.

De nieuwe regels zouden gebruikers ook onmiskenbaar moeten toestaan om eind-tot-eindversleuteling (zonder „backdoors”) te gebruiken om hun elektronische communicatie te beschermen. Ontsleuteling, „reverse engineering” en het monitoren van versleutelde communicatie zouden verboden moeten worden.

Tot slot zouden de nieuwe e-privacyregels bescherming moeten bieden tegen ongewenste communicatie en zouden de vigerende regels ter zake geactualiseerd en versterkt moeten worden. Voor elke vorm van elektronische communicatie zou vooraf om toestemming moeten worden gevraagd, ongeacht het middel van communicatie.

I. INLEIDING EN ACHTERGROND

Dit voorlopig advies (advies) wordt gegeven naar aanleiding van een daartoe strekkend verzoek van de Europese Commissie aan de Europese Toezichthouder voor gegevensbescherming (EDPS), als onafhankelijke toezichthoudende autoriteit en onafhankelijk adviesorgaan, tot het uitbrengen van een advies over de herziening van de e-privacyrichtlijn (1).

Tegelijk met de raadpleging van de EDPS hield de Commissie ook een openbare raadpleging, die tot 5 juli 2016 openstond voor deelname (2). De Commissie heeft ook de Groep gegevensbescherming artikel 29 om een advies verzocht, waaraan de EDPS als gewoon lid heeft bijgedragen (3).

Dit advies bevat het voorlopig standpunt van de EDPS ten aanzien van de herziening van de e-privacyrichtlijn. De nadruk is gelegd op die kwesties waarover de Commissie de EDPS specifiek om advies heeft gevraagd. Aangezien dit advies tevens de bijdrage van de EDPS aan de openbare raadpleging vormt, worden daarnaast ook andere kwesties behandeld. Mogelijk volgen in latere fasen van de wetgevingsprocedure nog meer adviezen.

De herziening van de e-privacyrichtlijn is een van de kerninitiatieven van de strategie voor de digitale eengemaakte markt (4), die is gericht op de versterking van het vertrouwen in en de veiligheid van digitale diensten in de EU, met als zwaartepunt het realiseren van een hoog beschermingsniveau voor burgers en het creëren van een gelijk speelveld voor alle marktpartijen in de EU.

Met de herziening wordt beoogd de e-privacyrichtlijn te moderniseren en te actualiseren als onderdeel van een bredere inspanning om te komen tot een samenhangend en geharmoniseerd wettelijk kader voor gegevensbescherming in Europa. De e-privacyrichtlijn vormt een nadere specificatie van en aanvulling op Richtlijn 95/46/EG (5), die wordt vervangen door de recentelijk vastgestelde algemene verordening gegevensbescherming (6). De e-privacyrichtlijn bevat specifieke voorschriften en heeft als hoofddoel om het vertrouwen in en de veiligheid van elektronische communicatie te vergroten. Verder beschermt de richtlijn de rechtmatige belangen van abonnees die rechtspersoon zijn.

XI. CONCLUSIES

Het belang van de vertrouwelijkheid van communicatie, zoals neergelegd in artikel 7 van het Handvest, wordt met de groeiende rol van elektronische communicatie in onze maatschappij en economie alleen maar groter. De in dit advies geschetste waarborgen vormen een cruciale factor bij het realiseren van de strategische langetermijndoelstellingen die de Commissie in haar strategie voor de digitale eengemaakte markt heeft geformuleerd.

Gedaan te Brussel, 22 juli 2016. Giovanni BUTTARELLI Europese Toezichthouder voor gegevensbescherming

(1) Ref. Ares(2016)2310042 — 18/5/2016.

(2) Zie https://ec.europa.eu/digital-single-market/en/news/public-consultation-evaluation-and-review-eprivacy-directive. De vragenlijst is beschikbaar op: https://ec.europa.eu/eusurvey/runner/EPRIVACYReview2016

(3) „WP29 Opinion 3/2016 on the evaluation and review of the ePrivacy Directive (2002/58/EC) (WP240)”, vastgesteld op 19 juli 2016.

(4) „Strategie voor een digitale eengemaakte markt voor Europa”, mededeling van de Commissie aan het Europees Parlement, de Raad, het Europees Economisch en Sociaal Comité en het Comité van de Regio’s van 6 mei 2015 (COM(2015) 192 final), beschikbaar op: http://eur-lex.europa.eu/legal-content/NL/TXT/PDF/?uri=CELEX:52015DC0192&from=NL

(5) Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB L 281 van 23.11.1995, blz. 31).

(6) Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB L 119 van 4.5.2016, blz. 1).