CELEX: 52021PC0021
Language: nl
Date: 2021-01-20
Title: Voorstel voor een RICHTLIJN VAN HET EUROPEES PARLEMENT EN DE RAAD tot wijziging van Richtlijn 2014/41/EU, met betrekking tot de aanpassing aan de EU-voorschriften inzake de bescherming van persoonsgegevens

EUROPESE COMMISSIE
            Brussel, 20.1.2021
            COM(2021) 21 final
            2021/0009(COD)
            Voorstel voor een
            RICHTLIJN VAN HET EUROPEES PARLEMENT EN DE RAAD 
            tot wijziging van Richtlijn 2014/41/EU, met betrekking tot de aanpassing aan de EU-voorschriften inzake de bescherming van persoonsgegevens
            
               
         
         
            
               TOELICHTING
            
            
               1.ACHTERGROND VAN HET VOORSTEL
            
            
               •Motivering en doel van het voorstel
            
            
               Richtlijn (EU) 2016/680
                  1
                (hierna “richtlijn gegevensbescherming bij rechtshandhaving” genoemd) is op 6 mei 2016 in werking getreden. De lidstaten hadden tot 6 mei 2018 de tijd om deze in nationaal recht om te zetten. Kaderbesluit 2008/977/JBZ van de Raad
                  2
                werd door Richtlijn (EU) 2016/680 ingetrokken en vervangen, maar de richtlijn is een veel uitgebreider en algemener instrument voor gegevensbescherming. Van belang is dat de richtlijn van toepassing is op zowel binnenlandse als grensoverschrijdende verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid (artikel 1, lid 1).
            
            
               In artikel 62, lid 6, van de richtlijn gegevensbescherming bij rechtshandhaving wordt bepaald dat de Commissie uiterlijk op 6 mei 2019 moet nagaan of andere handelingen van de EU in verband met de verwerking van persoonsgegevens voor rechtshandhavingsdoeleinden door de bevoegde instanties aan de richtlijn gegevensbescherming bij rechtshandhaving moeten worden aangepast, en dat zij in voorkomend geval voorstellen moet indienen om die handelingen te wijzigen teneinde een consequente aanpak van de bescherming van persoonsgegevens binnen het toepassingsgebied van de richtlijn te waarborgen.
            
            
               De Commissie heeft de resultaten van haar evaluatie uiteengezet in haar mededeling Volgende stappen om het acquis van de voormalige derde pijler aan de gegevensbeschermingsregels aan te passen van 24 juni 2020
                  3
               , waarin tien handelingen worden gespecificeerd die aan de richtlijn gegevensbescherming bij rechtshandhaving moeten worden aangepast en daarvoor een tijdschema wordt vastgesteld. Richtlijn 2014/41/EU van het Europees Parlement en de Raad betreffende het Europees onderzoeksbevel in strafzaken
                  4
                is een van die handelingen. De Commissie heeft aangegeven dat zij in het laatste kwartaal van 2020 gerichte wijzigingen van die richtlijn zou voorstellen; dat is nu het doel van dit voorstel.
            
            
               
                  Dit initiatief valt niet onder het programma voor gezonde en resultaatgerichte regelgeving (Refit).
               
            
            
               •Verenigbaarheid met bestaande bepalingen op het beleidsterrein
            
            
               Het voorstel heeft tot doel de gegevensbeschermingsregels van Richtlijn 2014/41/EU in overeenstemming te brengen met de beginselen en regels die zijn vastgelegd in de richtlijn gegevensbescherming bij rechtshandhaving, teneinde een sterk en samenhangend kader voor gegevensbescherming in de Unie tot stand te brengen.
            
            
               •Verenigbaarheid met andere beleidsterreinen van de Unie
            
            
               
                  Niet van toepassing.
               
            
            
               2.RECHTSGRONDSLAG, SUBSIDIARITEIT EN EVENREDIGHEID
            
            
               •Rechtsgrondslag
            
            
               Dit voorstel is gebaseerd op artikel 16, lid 2, van het Verdrag betreffende de werking van de Europese Unie (VWEU). 
            
            
               De oorspronkelijke handeling was gebaseerd op artikel 34, lid 2, punt b), van het vroegere Verdrag betreffende de Europese Unie, dat veeleer overeenstemt met artikel 82, lid 1, VWEU. Zowel het doel als de inhoud van de voorgestelde wijziging is echter duidelijk beperkt tot de bescherming van persoonsgegevens.
            
            
               
                  In dit verband is artikel 16, lid 2, VWEU de meest geschikte rechtsgrondslag. Deze maakt het mogelijk voorschriften vast te stellen betreffende de bescherming van natuurlijke personen ten aanzien van de verwerking van persoonsgegevens door de lidstaten, bij de uitoefening van activiteiten die binnen het toepassingsgebied van het recht van de Unie vallen, alsmede voorschriften betreffende het vrij verkeer van die gegevens.
               
               
                  Overeenkomstig artikel 2 bis van protocol nr. 22 is Denemarken niet gebonden door op grond van artikel 16 VWEU vastgestelde regels die betrekking hebben op de verwerking van persoonsgegevens bij de uitvoering van activiteiten binnen het toepassingsgebied van deel III, titel IV, hoofdstuk 4 of 5, van het VWEU. Hetzelfde geldt voor Ierland overeenkomstig artikel 6 bis van Protocol nr. 21.
               
            
            
               •Subsidiariteit (bij niet-exclusieve bevoegdheid)
            
            
               
                  Alleen de Unie kan een wetgevingshandeling vaststellen tot wijziging van Richtlijn 2014/41/EU.
               
            
         
         
            
               •Evenredigheid
            
            
               
                  Dit voorstel is beperkt tot hetgeen noodzakelijk is om Richtlijn 2014/41/EU in overeenstemming te brengen met de Uniewetgeving betreffende de bescherming van persoonsgegevens (met name de richtlijn gegevensbescherming bij rechtshandhaving), zonder het toepassingsgebied van de richtlijn op enigerlei wijze te wijzigen. Deze richtlijn gaat overeenkomstig artikel 5, lid 4, van het Verdrag betreffende de Europese Unie niet verder dan hetgeen nodig is om de beoogde doelstellingen te verwezenlijken.
               
            
            
               •Keuze van het instrument
            
            
               
                  Voor de wijziging van Richtlijn 2014/41/EU is een richtlijn het meest geschikte instrument.
               
            
            
               3.EVALUATIE, RAADPLEGING VAN BELANGHEBBENDEN EN EFFECTBEOORDELING
            
            
               •Evaluatie van bestaande wetgeving en controle van de resultaatgerichtheid ervan
            
            
               Dit voorstel sluit aan bij de resultaten van de evaluatie die de Commissie heeft verricht uit hoofde van artikel 62, lid 6, van de richtlijn gegevensbescherming bij rechtshandhaving, en gepresenteerd in de mededeling Volgende stappen om het acquis van de voormalige derde pijler aan de gegevensbeschermingsregels aan te passen. In die mededeling worden punten opgesomd waarvoor aanpassing noodzakelijk is. Er wordt met name gewezen op de noodzaak om te verduidelijken dat elke verwerking van persoonsgegevens krachtens Richtlijn 2014/41/EU onderworpen is aan de richtlijn gegevensbescherming bij rechtshandhaving of aan Verordening (EU) 2016/679
                  5
                (algemene verordening gegevensbescherming — AVG), afhankelijk van de vraag of de verwerking plaatsvindt in het kader van een strafrechtelijke of een niet-strafrechtelijke procedure. Bij de aanpassing moet worden verduidelijkt dat krachtens Richtlijn 2014/41/EU verkregen gegevens enkel onder de voorwaarden van de richtlijn gegevensbescherming bij rechtshandhaving (artikel 4, lid 2, of artikel 9, lid 1) of de AVG (artikel 6) mogen worden verwerkt voor andere doeleinden dan waarvoor zij zijn verzameld.
            
            
               
                  Door de schrapping van artikel 20 van Richtlijn 2014/41/EU voor te stellen, blijft dit voorstel beperkt tot hetgeen nodig is om genoemde punten te realiseren.
               
            
            
                •Raadpleging van belanghebbenden
            
            
               
                  Niet van toepassing.
               
            
            
               •Bijeenbrengen en gebruik van expertise
            
            
               
                  Bij de evaluatie heeft de Commissie rekening gehouden met de studie die is uitgevoerd in het kader van het proefproject voor de evaluatie vanuit het oogpunt van de grondrechten van instrumenten en programma’s van de EU voor het vergaren van gegevens
                     6
                  . In die studie werd een overzicht gegeven van de in artikel 62, lid 6, van richtlijn gegevensbescherming bij rechtshandhaving bedoelde Uniehandelingen en werd vastgesteld welke bepalingen mogelijk een aanpassing behoefden uit het oogpunt van gegevensbescherming.
               
            
            
               •Effectbeoordeling
            
            
               Het effect van dit voorstel is beperkt tot de verwerking van persoonsgegevens door de bevoegde autoriteiten in de specifieke gevallen die door Richtlijn 2014/41/EU worden geregeld. Het effect van de nieuwe verplichtingen die voortvloeien uit de richtlijn gegevensbescherming bij rechtshandhaving is beoordeeld in het kader van de voorbereidende werkzaamheden voor die richtlijn. Een specifieke effectbeoordeling voor dit voorstel is dan ook onnodig.
            
            
                •Resultaatgerichtheid en vereenvoudiging
            
            
               
                  Niet van toepassing.
               
            
            
                •Grondrechten
            
            
               Het recht op de bescherming van persoonsgegevens is vastgelegd in artikel 8 van het Handvest van de grondrechten van de Europese Unie en in artikel 16 VWEU. Zoals het Hof van Justitie van de Europese Unie heeft beklemtoond
                  7
               , heeft het recht op bescherming van persoonsgegevens geen absolute gelding, maar moet het in relatie tot de functie ervan in de maatschappij worden beschouwd
                  8
               . Er is ook een nauw verband tussen gegevensbescherming en de eerbiediging van het privéleven en het familie- en gezinsleven, dat door artikel 7 van het Handvest wordt beschermd.
            
            
               Dit voorstel waarborgt dat elke verwerking van persoonsgegevens krachtens Richtlijn 2014/41/EU onderworpen is aan de “horizontale” beginselen en regels van de EU-wetgeving inzake gegevensbescherming, waardoor artikel 8 van het Handvest verder ten uitvoer wordt gelegd. Deze wetgeving beoogt een hoog niveau van bescherming van persoonsgegevens te waarborgen en te verduidelijken dat de beginselen en regels van Richtlijn (EU) 2016/680 van toepassing zijn op de gegevensverwerking krachtens Richtlijn 2014/41/EU, wat de grondrechten op privacy en gegevensbescherming ten goede zal komen.
            
            
               4.GEVOLGEN VOOR DE BEGROTING
            
         
         
            
               
                  Niet van toepassing.
               
            
            
               5.OVERIGE ELEMENTEN
            
            
               •Uitvoeringsplanning en regelingen betreffende controle, evaluatie en rapportage
            
            
               
                  Niet van toepassing.
               
            
            
               •Toelichtende stukken (bij richtlijnen)
            
            
               
                  Voor dit voorstel zijn geen toelichtende stukken over de omzetting vereist, aangezien het slechts de schrapping van één artikel van Richtlijn 2014/41/EU beoogt.
               
            
            
               •Artikelsgewijze toelichting
            
            
               
                  Bij artikel 1 wordt artikel 20 van Richtlijn 2014/41/EU geschrapt. Op die manier blijft dit voorstel beperkt tot hetgeen nodig is om de bovengenoemde punten te realiseren. Artikel 20 bepaalt dat elke verwerking van persoonsgegevens uit hoofde van de richtlijn in overeenstemming moet zijn met Kaderbesluit 2008/977/JBZ van de Raad en met de beginselen van het Verdrag van de Raad van Europa tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens van 28 januari 1981 en het aanvullende protocol.
               
               
                  Het kaderbesluit is bij de richtlijn gegevensbescherming bij rechtshandhaving ingetrokken met ingang van 6 mei 2018. Volgens artikel 59 van de richtlijn gegevensbescherming bij rechtshandhaving gelden verwijzingen naar het kaderbesluit als verwijzingen naar de richtlijn gegevensbescherming bij rechtshandhaving.
               
               
                  Op grond van artikel 2, punt 1, van de richtlijn gegevensbescherming bij rechtshandhaving is deze van toepassing op de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de doeleinden van artikel 1, lid 1, ervan, namelijk de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid. Richtlijn 2014/41/EU is echter ook van toepassing op bepaalde soorten niet-strafrechtelijke procedures, en die vallen onder de algemene verordening gegevensbescherming.
               
               
                  De verwijzing in artikel 20 van Richtlijn 2014/41/EU naar het kaderbesluit zou tot verwarring kunnen leiden over de vraag of de richtlijn gegevensbescherming bij rechtshandhaving ook van toepassing is op de verwerking van persoonsgegevens in verband met Europese onderzoeksbevelen in het kader van niet-strafrechtelijke procedures (die niet binnen de werkingssfeer van de richtlijn gegevensbescherming bij rechtshandhaving vallen). Schrapping van artikel 20 volstaat om deze situatie te verhelpen. De richtlijn gegevensbescherming bij rechtshandhaving blijft van toepassing op binnen het toepassingsgebied van Richtlijn 2014/41/EU vallende verwerkingen van persoonsgegevens.
               
               
                  Aangezien de richtlijn gegevensbescherming bij rechtshandhaving en de AVG (elk binnen hun toepassingsgebied) van toepassing zijn op de verwerking van persoonsgegevens in het kader van Richtlijn 2014/41/EU, wordt de verwerking van dergelijke gegevens voor andere doeleinden dan die waarvoor zij zijn verzameld, verricht overeenkomstig de richtlijn gegevensbescherming bij rechtshandhaving (artikel 4, lid 2, en artikel 9, lid 1) of de AVG (artikel 6, lid 4). Daarvoor is geen nieuwe bepaling nodig.
               
               
                  Artikel 20 van Richtlijn 2014/41/EU schrijft ook voor dat de toegang tot persoonsgegevens wordt beperkt, onverminderd rechten van de betrokkene, en dat alleen bevoegde personen toegang tot die gegevens mogen hebben. Bij de richtlijn gegevensbescherming bij rechtshandhaving en de AVG is een alomvattend kader vastgesteld voor de rechten van betrokkenen en de verplichtingen van de verwerkingsverantwoordelijke, onder meer wat betreft gegevensbescherming door ontwerp en door standaardinstellingen, en beveiliging van de verwerking. De tweede alinea van artikel 20 is derhalve redundant.
               
               
                  Aangezien Richtlijn 2014/41/EU geen specifieke gegevensbeschermingsregels bevat, zijn er geen verdere wijzigingen in verband met gegevensbescherming nodig.
               
               
                  In artikel 2 wordt de termijn voor de omzetting van de voorgestelde nieuwe richtlijn vastgesteld.
               
               
                  In artikel 3 wordt de datum van inwerkingtreding van de richtlijn vastgesteld.
               
               
                  In artikel 4 wordt bepaald dat de richtlijn tot de lidstaten is gericht.
               
            
            
               2021/0009 (COD)
            
            
               Voorstel voor een
            
            
               RICHTLIJN VAN HET EUROPEES PARLEMENT EN DE RAAD
            
         
         
            
               tot wijziging van Richtlijn 2014/41/EU, met betrekking tot de aanpassing aan de EU-voorschriften inzake de bescherming van persoonsgegevens
            
            
               HET EUROPEES PARLEMENT EN DE RAAD VAN DE EUROPESE UNIE,
            
            
               Gezien het Verdrag betreffende de werking van de Europese Unie, en met name artikel 16, lid 2,
            
            
               Gezien het voorstel van de Europese Commissie,
            
            
               Na toezending van het ontwerp van wetgevingshandeling aan de nationale parlementen,
            
            
               Handelend volgens de gewone wetgevingsprocedure,
            
            
               Overwegende hetgeen volgt:
            
            
               (1)Overeenkomstig artikel 62, lid 6, van Richtlijn (EU) 2016/680
                  9
                moet de Commissie met betrekking tot andere handelingen van de Unie die de verwerking van persoonsgegevens door de bevoegde autoriteiten voor de doeleinden van artikel 1, lid 1, van die richtlijn regelen, nagaan of die handelingen aan Richtlijn (EU) 2016/680 moeten worden aangepast en in voorkomend geval de nodige voorstellen doen om die handelingen te wijzigen teneinde een consequente aanpak van de bescherming van persoonsgegevens binnen het toepassingsgebied van die richtlijn te waarborgen. Die evaluatie heeft ertoe geleid dat Richtlijn 2014/41/EU
                  10
                als een van die andere te wijzigen handelingen is aangemerkt.
            
            
               (2)Met het oog op een consequente aanpak en een doeltreffende bescherming van persoonsgegevens moeten bij de verwerking van persoonsgegevens krachtens Richtlijn 2014/41/EU in voorkomend geval de voorschriften van Richtlijn (EU) 2016/680 in acht worden genomen. Verordening (EU) nr. 2016/679
                  11
                moet van toepassing zijn op de verwerking van persoonsgegevens in verband met procedures als bedoeld in artikel 4, punten b), c) en d), van Richtlijn 2014/41/EU, voor zover deze niet onder Richtlijn (EU) 2016/680 vallen.
            
            
               (3)Overeenkomstig de artikelen 1 en 2 en artikel 4 bis, lid 1, van Protocol nr. 21 betreffende de positie van het Verenigd Koninkrijk en Ierland ten aanzien van de ruimte van vrijheid, veiligheid en recht, gehecht aan het Verdrag betreffende de Europese Unie en het Verdrag betreffende de werking van de Europese Unie, en onverminderd artikel 4 van dat protocol, neemt Ierland niet deel aan de vaststelling van deze richtlijn en is deze niet bindend voor, noch van toepassing op deze lidstaat.
            
            
               (4)Overeenkomstig de artikelen 1 en 2 van Protocol nr. 22 betreffende de positie van Denemarken, gehecht aan het Verdrag betreffende de Europese Unie en het Verdrag betreffende de werking van de Europese Unie, neemt Denemarken niet deel aan de vaststelling van deze richtlijn en is deze niet bindend voor, noch van toepassing op deze lidstaat.
            
            
               (5)Richtlijn 2014/41/EU moet daarom dienovereenkomstig worden gewijzigd.
            
            
               (6)De Europese Toezichthouder voor gegevensbescherming is geraadpleegd overeenkomstig artikel 42 van Verordening (EU) 2018/1725
                  12
                en heeft op XX XXXX
                  13
                advies uitgebracht,
            
            
               HEBBEN DE VOLGENDE RICHTLIJN VASTGESTELD:
            
            
               Artikel 1
            
            
               Wijzigingen van Richtlijn 2014/41/EU
            
            
               Artikel 20 van Richtlijn 2014/41/EU wordt geschrapt.
            
            
               Artikel 2
            
            
               1.De lidstaten doen de nodige wettelijke en bestuursrechtelijke bepalingen in werking treden om uiterlijk op [een jaar na de vaststelling] aan deze richtlijn te voldoen. Zij stellen de Commissie daarvan onmiddellijk in kennis.
            
            
               Wanneer de lidstaten die bepalingen vaststellen, wordt in de bepalingen zelf of bij de officiële bekendmaking daarvan naar deze richtlijn verwezen. De regels voor de verwijzing worden vastgesteld door de lidstaten.
            
         
         
            
               2.De lidstaten delen de Commissie de tekst van de belangrijkste bepalingen van intern recht mee die zij op het onder deze richtlijn vallende gebied vaststellen.
            
            
               Artikel 3
            
            
               Deze richtlijn treedt in werking op de twintigste dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie.
            
            
               Artikel 4
            
            
               Deze richtlijn is gericht tot de lidstaten overeenkomstig de Verdragen.
            
            
               Gedaan te Brussel,
            
            
               
                  Voor het Europees Parlement
                        Voor de Raad
               
               
                  De voorzitter
                        De voorzitter
               
            
         
         
            
                  
                     (1)
                  
                        Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van Kaderbesluit 2008/977/JBZ van de Raad (PB L 119 van 4.5.2016, blz. 89).
               
               
                  
                     (2)
                  
                        Kaderbesluit 2008/977/JBZ van de Raad van 27 november 2008 over de bescherming van persoonsgegevens die worden verwerkt in het kader van de politiële en justitiële samenwerking in strafzaken (PB L 350 van 30.12.2008, blz. 60).
               
               
                  
                     (3)
                  
                        COM(2020) 262 final.
               
               
                  
                     (4)
                  
                        PB L 130 van 1.5.2014, blz. 1.
               
               
                  
                     (5)
                  
                        Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB L 119 van 4.5.2016, blz. 1).
               
               
                  
                     (6)
                  
                        Het proefproject kwam tot stand op verzoek van het Europees Parlement en werd beheerd door de Commissie en uitgevoerd door een contractant (groep van onafhankelijke deskundigen). De Commissie heeft de contractant geselecteerd op basis van door het Parlement vastgestelde criteria. De resultaten van het project weerspiegelen uitsluitend de standpunten en adviezen van de contractant, en de Commissie kan niet verantwoordelijk worden gesteld voor het gebruik van de erin opgenomen informatie. De resultaten zijn gepubliceerd op 
                  http://www.fondazionebrodolini.it/en/projects/pilot-project-fundamental-rights-review-eu-data-collectioninstruments-and-programmes
                   
               
               
                  
                     (7)
                  
                        Arrest van het HvJEU van 9 november 2010, Volker und Markus Schecke en Eifert, gevoegde zaken C-92/09 en C-93/09 (ECLI:EU:C:2009:284, punt 48).
               
               
                  
                     (8)
                  
                        Overeenkomstig artikel 52, lid 1, van het Handvest van de grondrechten mogen op de uitoefening van het recht op gegevensbescherming beperkingen worden gesteld bij wet, mits zij de wezenlijke inhoud van die rechten en vrijheden eerbiedigen. Met inachtneming van het evenredigheidsbeginsel mogen slechts beperkingen worden gesteld die noodzakelijk zijn en daadwerkelijk beantwoorden aan door de Unie erkende doelstellingen van algemeen belang of aan de eisen van de bescherming van de rechten en vrijheden van anderen.
               
               
                  
                     (9)
                  
                        Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van Kaderbesluit 2008/977/JBZ van de Raad (PB L 119 van 4.5.2016, blz. 89).
               
               
                  
                     (10)
                  
                        Richtlijn 2014/41/EU van het Europees Parlement en de Raad van 3 april 2014 betreffende het Europees onderzoeksbevel in strafzaken (PB L 130 van 1.5.2014, blz. 1). 
               
               
                  
                     (11)
                  
                        Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB L 119 van 4.5.2016, blz. 1).
               
               
                  
                     (12)
                  
                        Verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit nr. 1247/2002/EG (PB L 295 van 21.11.2018, blz. 39).