CELEX ID: 22023A0220(01)

--- ENGLISH ---

Document:
20.2.2023
EN
Official Journal of the European Union
L 51/4
AGREEMENT BETWEEN THE EUROPEAN UNION, OF THE ONE PART, AND NEW ZEALAND, OF THE OTHER PART, ON THE EXCHANGE OF PERSONAL DATA BETWEEN THE EUROPEAN UNION AGENCY FOR LAW ENFORCEMENT COOPERATION (EUROPOL) AND THE AUTHORITIES OF NEW ZEALAND COMPETENT FOR FIGHTING SERIOUS CRIME AND TERRORISM
THE EUROPEAN UNION, hereinafter also referred to as the "Union" or "EU",
and
NEW ZEALAND,
hereinafter jointly referred to as "the Contracting Parties",
CONSIDERING that by allowing the exchange of personal data between the European Union Agency for Law Enforcement Cooperation (Europol) and the competent authorities of New Zealand, this Agreement will create the framework for an enhanced operational cooperation between the Union and New Zealand in the field of law enforcement, while safeguarding the human rights and fundamental freedoms of all individuals concerned, including the right to privacy and data protection,
CONSIDERING that this Agreement is without prejudice to mutual legal assistance arrangements between New Zealand and the Member States of the Union allowing for the exchange of personal data,
CONSIDERING that this Agreement does not impose any requirement on the competent authorities to transfer personal data and that the sharing of any personal data requested under this Agreement remains voluntary,
RECOGNISING that the Contracting Parties apply comparable principles of proportionality and reasonableness; the common essence of those principles is the requirement of ensuring a fair balance between all the interests concerned, whether public or private, in the light of all the circumstances of the case at hand. Such balancing involves, on the one hand, the right to privacy of individuals together with other human rights and interests and, on the other hand, the countervailing legitimate objectives that may be pursued, such as the purposes of processing personal data reflected in this Agreement,
HAVE AGREED AS FOLLOWS:
CHAPTER I
GENERAL PROVISIONS
ARTICLE 1
Objective
The objective of this Agreement is to allow the transfer of personal data between the European Union Agency for Law Enforcement Cooperation (Europol) and the competent authorities of New Zealand, in order to support and strengthen the action by the authorities of the Member States of the Union and those of New Zealand, as well as their mutual cooperation in preventing and fighting criminal offences, including serious crime and terrorism, while ensuring appropriate safeguards with respect to the human rights and fundamental freedoms of individuals, including the right to privacy and data protection.
ARTICLE 2
Definitions
For the purposes of this Agreement, the following definitions apply:
(1)
'Contracting Parties' means the European Union and New Zealand;
(2)
'Europol' is the European Union Agency for Law Enforcement Cooperation, set up under Regulation (EU) 2016/794 
(
1
)
 or any amendment thereto ("Europol Regulation");
(3)
'competent authorities' means, for New Zealand, the domestic law enforcement authorities that under New Zealand national law are responsible for preventing and combatting criminal offences as listed in Annex II ("competent authorities of New Zealand"), and, for the Union, Europol;
(4)
'Union bodies' means institutions, bodies, missions, offices and agencies set up by, or on the basis of the Treaty on European Union ("TEU") and the Treaty on the Functioning of the European Union ("TFEU"), listed in Annex III;
(5)
'criminal offences' are the types of crime listed in Annex I and related criminal offences; criminal offences are considered to be related to the types of crime listed in Annex I if they are committed in order to procure the means of perpetrating, to facilitate or perpetrate, or to ensure the impunity of those committing such types of crime;
(6)
'personal data' means any information relating to a data subject;
(7)
'data subject' means an identified or identifiable natural person; an identifiable person being a person who can be identified, directly or indirectly, in particular by reference to an identifier such as a name, an identification number, location data, an online identifier or to one or more factors specific to the physical, physiological, genetic, mental, economic, cultural or social identity of that person;
(8)
'genetic data' means all personal data relating to the genetic characteristics of an individual that have been inherited or acquired, which give unique information about the physiology or the health of that individual, resulting in particular from an analysis of a biological sample from the individual in question;
(9)
'processing' means any operation or set of operations which is performed on personal data or sets of personal data, whether or not by automated means, such as collection, recording, organisation, structuring, storage, adaptation or alteration, retrieval, consultation, use, disclosure by transmission, dissemination or otherwise making available, alignment or combination, restriction, erasure or destruction;
(10)
'personal data breach' means a breach of security leading to the accidental or unlawful destruction, loss, alteration, unauthorised disclosure of, or access to, personal data transmitted, stored or otherwise processed;
(11)
'supervisory authority' means one or more domestic independent authorities that are, alone or cumulatively, responsible for data protection in accordance with Article 16, and that have been notified according to that Article; this may include authorities whose responsibility also covers other human rights;
(12)
'international organisation' means an organisation and its subordinate bodies governed by public international law, or any other body, which is set up by, or on the basis of, an agreement between two or more countries.
ARTICLE 3
Purposes of processing personal data
1.   Personal data requested and received under this Agreement shall be processed only for the purposes of the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties within the limits of Article 4(5) and the respective mandates of the competent authorities.
2.   The competent authorities shall clearly indicate, at the latest at the moment of transferring personal data, the specific purpose or purposes for which the data are being transferred. For transfers to Europol, the purpose or purposes for such transfer shall be specified in line with the specific purpose or purposes of processing set out in Europol’s mandate.
CHAPTER II
INFORMATION EXCHANGE AND DATA PROTECTION
ARTICLE 4
General data protection principles
1.   Each Contracting Party shall provide for personal data exchanged under this Agreement to be:
(a)
processed fairly, lawfully and only for the purpose or purposes for which they have been transferred in accordance with Article 3;
(b)
adequate, relevant and limited to what is necessary in relation to the purpose or purposes for which they are processed;
(c)
accurate and kept up to date; each Contracting Party shall provide that its competent authorities take every reasonable step to ensure that personal data that are inaccurate, having regard to the purposes for which they are processed, are rectified or erased without undue delay;
(d)
kept in a form which permits identification of data subjects for no longer than is necessary for the purposes for which the personal data are processed;
(e)
processed in a manner that ensures appropriate security of the personal data.
2.   The transferring competent authority, at the moment of transferring personal data, may indicate any restriction on access thereto or the use to be made thereof, in general or specific terms, including as regards its onward transfer, erasure or destruction after a certain period of time, or the further processing of it. Where the need for such restrictions becomes apparent after the information has been provided, the transferring competent authority shall inform the receiving authority accordingly.
3.   Each Contracting Party shall ensure that the receiving competent authority complies with any restriction on access or further use of the personal data indicated by the transferring competent authority as described in paragraph 2.
4.   Each Contracting Party shall provide that its competent authorities implement appropriate technical and organisational measures in such a way as to be able to demonstrate that the processing will comply with this Agreement and the rights of the data subjects concerned are protected.
5.   Each Contracting Party shall ensure that its competent authorities do not transfer personal data which have been obtained in a manifest violation of human rights recognised by the norms of international law binding on the Contracting Parties. Each Contracting Party shall ensure that the personal data received are not used to request, hand down or execute a death penalty or any form of cruel or inhuman treatment.
6.   Each Contracting Party shall ensure that a record is kept of all transfers of personal data under this Agreement and of the purpose or purposes for those transfers.
ARTICLE 5
Special categories of personal data and different categories of data subjects
1.   The transfer of personal data in respect of victims of a criminal offence, witnesses or other persons who can provide information concerning criminal offences, or in respect of persons under the age of 18, shall be prohibited unless such transfer is strictly necessary as well as reasonable and proportionate in individual cases for preventing or fighting a criminal offence.
2.   The transfer of personal data revealing racial or ethnic origin, political opinions, religious or philosophical beliefs, or trade union membership, genetic data, biometric data for the purpose of uniquely identifying a natural person, or data concerning health, or data concerning a natural person’s sex life or sexual orientation shall be allowed only where strictly necessary as well as reasonable and proportionate in individual cases for preventing or fighting a criminal offence, and if those data, except biometric data, supplement other personal data.
3.   The Contracting Parties shall ensure that the processing of personal data under paragraphs 1 and 2 of this Article is subject to appropriate safeguards guarding against the specific risks involved, including restrictions on access, measures for data security within the meaning of Article 15 and limitations on onward transfers under Article 7.
ARTICLE 6
Automated processing of personal data
Decisions based solely on automated processing of the personal data exchanged, including profiling, without human intervention, which may produce an adverse legal effect on the data subject or significantly affect him or her, shall be prohibited, unless authorised at law for preventing or fighting a criminal offence and with appropriate safeguards for the rights and freedoms of the data subject, including at least the right to obtain human intervention.
ARTICLE 7
Onward transfer of the personal data received
1.   New Zealand shall ensure that its competent authorities only transfer personal data received under this Agreement to other authorities in New Zealand if:
(a)
Europol has given its prior explicit authorisation;
(b)
the purpose or purposes of the onward transfer is the same as the original purpose or purposes of the transfer by Europol, or, within the limits of Article 3(1), is directly related to that original purpose or purposes; and
(c)
the onward transfer is subject to the same conditions and safeguards as those applying to the original transfer.
Without prejudice to Article 4(2), no prior authorisation is required when the receiving authority is itself a competent authority of New Zealand. The same applies to the ability of Europol to share personal data with authorities responsible in the Member States of the Union for preventing and fighting criminal offences, and with Union bodies.
2.   New Zealand shall ensure that onward transfers of personal data received by its competent authorities under this Agreement to the authorities of a third country or to an international organisation are prohibited, unless the following conditions are fulfilled:
(a)
the transfer concerns personal data other than that covered by Article 5;
(b)
Europol has given its prior explicit authorisation;
(c)
the purpose or purposes of the onward transfer is the same as the original purpose or purposes of the transfer by Europol; and
(d)
the onward transfer is subject to the same conditions and safeguards as those applying to the original transfer.
3.   Europol may only grant its authorisation under paragraph 2, point b, of this Article for an onward transfer to the authority of a third country or to an international organisation if and insofar as an adequacy decision, an international agreement providing appropriate safeguards with respect to the protection of the right to privacy and fundamental rights and freedoms of individuals, a cooperation agreement or any other legal ground for transfers of personal data within the meaning of the Europol Regulation covering the onward transfer is in place.
4.   The Union shall ensure that onward transfers of personal data received by Europol under this Agreement to Union bodies not listed in Annex III, authorities of third countries or an international organisation are prohibited, unless:
(a)
the transfer concerns personal data other than that covered by Article 5;
(b)
New Zealand has given its prior explicit authorisation;
(c)
the purpose or purposes of the onward transfer is the same as the original purpose of the transfer by New Zealand; and
(d)
an adequacy decision, an international agreement providing appropriate safeguards with respect to the protection of the right to privacy and fundamental rights and freedoms of individuals or a cooperation agreement within the meaning of the Europol Regulation is in place with that third country or international organisation or unless Europol is able to rely on any other legal ground for transfers of personal data within the meaning of the Europol Regulation.
ARTICLE 8
Assessment of reliability of the source of and accuracy of information
1.   The competent authorities shall indicate as far as possible, at latest at the moment of transferring personal data, the reliability of the source of the information on the basis of one or more of the following criteria:
(a)
where there is no doubt about the authenticity, trustworthiness and competence of the source, or if the information is supplied by a source who, in the past, has in all instances proved to be reliable;
(b)
where the information is provided by a source from whom information received has in most instances proved to be reliable;
(c)
where the information is provided by a source from whom information received has in most instances proved to be unreliable;
(d)
where the reliability of the source cannot be assessed.
2.   The competent authorities shall indicate as far as possible, at the latest at the moment of transferring personal data, the accuracy of the information on the basis of one or more of the following criteria:
(a)
information, the accuracy of which is not in doubt at the time of transfer;
(b)
information known personally to the source but not known personally to the official passing it on;
(c)
information not known personally to the source but corroborated by other information already recorded;
(d)
information which is not known personally to the source and cannot be corroborated.
3.   Where the receiving competent authority, on the basis of information already in its possession, comes to the conclusion that the assessment of information supplied by the transferring competent authority or of its source carried out in accordance with paragraphs 1 and 2 needs correction, it shall inform that competent authority and shall attempt to agree on an amendment to the assessment. The receiving competent authority shall not change the assessment of information received or of its source without such an agreement.
4.   If a competent authority receives information without an assessment, it shall attempt as far as possible and where possible in agreement with the transferring competent authority to assess the reliability of the source or the accuracy of the information on the basis of information already in its possession.
5.   If no reliable assessment can be made, the information shall be evaluated in accordance with paragraph 1, point d, and paragraph 2, point (d), as applicable.
RIGHTS OF DATA SUBJECTS
ARTICLE 9
Right of access
1.   The Contracting Parties shall ensure that the data subject has the right, at reasonable intervals, to obtain information on whether personal data relating to him or her are processed under this Agreement, and when that is the case, access to at least the following information:
(a)
confirmation as to whether or not data related to him or her have been processed;
(b)
information on at least the purpose or purposes of processing, the categories of data concerned, and where applicable the recipients or categories of recipients to whom the data are disclosed;
(c)
the existence of the right to request from the competent authority rectification/correction, erasure/deletion of personal data or restriction of processing of personal data concerning the data subject;
(d)
an indication of the legal ground for the processing;
(e)
where possible, the envisaged period for which the personal data will be stored, or, if that is not possible, the criteria used to determine that period;
(f)
communication in an intelligible form of the personal data undergoing processing and of any available information as to its sources.
2.   In cases where the right of access is exercised, the transferring Contracting Party will be consulted on a non-binding basis before a final decision on the request for access is taken.
3.   The Contracting Parties may provide for the provision of information in response to any request under paragraph 1 to be delayed, refused or restricted if and as long as such delay, refusal or restriction constitutes a measure that is necessary as well as reasonable and proportionate taking into account the fundamental rights and interests of the data subject, in order to:
(a)
ensure that any criminal investigation and prosecution will not be jeopardised;
(b)
protect the rights and freedoms of third parties; or
(c)
protect national security and public order or prevent crime.
4.   The Contracting Parties shall ensure that the competent authority informs the data subject in writing of any delay, refusal or restriction of access and of the reasons for such delay, refusal or restriction of access. Those reasons may be omitted if and as long as this would undermine the purpose of the delay, refusal or restriction under paragraph 3. The competent authority shall inform the data subject of the possibility of lodging a complaint with the respective supervisory authorities and of other available means of redress provided for in their respective legal frameworks.
ARTICLE 10
Right to rectification/correction, erasure/deletion and restriction
1.   The Contracting Parties shall ensure that the data subject has the right to request the competent authorities to rectify/correct inaccurate personal data that concern that data subject and have been transferred under this Agreement. Taking into account the purpose or purposes of the processing, this includes the right to have incomplete personal data transferred under this Agreement completed.
2.   Rectification/correction shall include erasure/deletion of personal data that are no longer required for the purpose or purposes for which they are processed.
3.   The Contracting Parties may provide for the restriction of processing rather than the erasure/deletion of personal data if there are reasonable grounds to believe that such erasure/deletion could affect the legitimate interests of the data subject.
4.   The competent authorities shall inform each other of measures taken pursuant to paragraphs 1, 2 and 3. The receiving competent authority shall rectify/correct, erase or restrict the processing in accordance with the action taken by the transferring competent authority.
5.   The Contracting Parties shall provide for the competent authority which has received the request to inform the data subject in writing without undue delay, and in any case within three months of receipt of a request in accordance with paragraph 1 or 2, that data concerning the data subject have been rectified/corrected, erased/deleted or the processing has been restricted.
6.   The Contracting Parties shall provide for the competent authority which has received the request to inform the data subject in writing, without undue delay and in any case within three months of receipt of a request of any refusal of rectification/correction, erasure/deletion or restriction of processing, of the reasons for such a refusal and of the possibility of lodging a complaint with the respective supervisory authorities and other available means of redress provided for in their respective legal frameworks.
ARTICLE 11
Notification of a personal data breach to the authorities concerned
1.   The Contracting Parties shall ensure, in the event of a personal data breach affecting personal data transferred under this Agreement, that the respective competent authorities notify each other as well as their respective supervisory authority of that personal data breach without delay, and to take measures to mitigate its possible adverse effects.
2.   The notification shall at least:
(a)
describe the nature of the personal data breach including, where possible, the categories and number of data subjects concerned and the categories and number of personal data records concerned;
(b)
describe the likely consequences of the personal data breach;
(c)
describe the measures taken or proposed to be taken by the competent authority to address the personal data breach, including the measures taken to mitigate its possible adverse effects.
3.   To the extent that it is not possible to provide all the required information at the same time, it may be provided in phases. Outstanding information shall be provided without undue further delay.
4.   The Contracting Parties shall ensure that their respective competent authorities document any personal data breaches affecting personal data transferred under this Agreement, including the facts surrounding the personal data breach, its effects and the remedial action taken, thereby enabling their respective supervisory authority to verify compliance with applicable legal requirements.
ARTICLE 12
Communication of a personal data breach to the data subject
1.   The Contracting Parties shall, where a personal data breach as referred to in Article 11 is likely to have a serious adverse effect upon the rights and freedoms of the data subject, provide for their respective competent authorities to communicate the personal data breach to the data subject without undue delay.
2.   The communication to the data subject pursuant to paragraph 1 shall describe, where possible, the nature of the personal data breach, recommend measures to mitigate the possible adverse effects of the personal data breach, and provide the name and contact details of the contact point where more information can be obtained.
3.   The communication to the data subject pursuant to paragraph 1 shall not be required if:
(a)
the personal data concerned by the breach were subject to appropriate technological protection measures that render the data unintelligible to any person who is not authorised to have access to that data;
(b)
subsequent measures have been taken which ensure that the rights and freedoms of the data subject are no longer likely to be severely affected; or
(c)
communication to the data subject pursuant to paragraph 1 would involve disproportionate effort, in particular owing to the number of cases involved; in such a case, there shall instead be a public communication or similar measure whereby the data subject is informed in an equally effective manner.
4.   The communication to the data subject pursuant to paragraph 1 may be delayed, restricted or omitted where such communication would be likely to:
(a)
obstruct official or legal inquiries, investigations or procedures;
(b)
prejudice the prevention, detection, investigation and prosecution of criminal offences or the execution of criminal penalties, public order or national security;
(c)
affect the rights and freedoms of third parties;
where this constitutes a necessary as well as reasonable and proportionate measure with due regard for the legitimate interests of the data subject concerned.
ARTICLE 13
Storage, review, correction and deletion of personal data
1.   The Contracting Parties shall provide for appropriate time limits to be established for the storage of personal data received under this Agreement or for a periodic review of the need for the storage of personal data, so that personal data are stored only as long as is necessary for the purpose or purposes for which they are transferred.
2.   In any case, the need for continued storage of personal data shall be reviewed no later than three years after the personal data has been transferred, and if no justified and documented decision is taken on the continued storage of personal data, personal data shall be erased automatically after three years.
3.   Where a competent authority has reason to believe that personal data previously transferred by it are incorrect, inaccurate, no longer up to date or should not have been transferred, it shall inform the receiving competent authority, which shall correct or delete that data, and provide notification thereof to the transferring competent authority.
4.   Where a competent authority has reason to believe that personal data previously received are incorrect, inaccurate, no longer up to date or should not have been transferred, it shall inform the transferring competent authority, which shall provide its position on the matter. Where the transferring competent authority concludes that the personal data are incorrect, inaccurate, no longer up to date or should not have been transferred, it shall inform the receiving competent authority, which shall correct or delete that data, and provide notification thereof to the transferring competent authority.
ARTICLE 14
Logging and documentation
1.   The Contracting Parties shall provide for the keeping of logs or documentation of the collection, alteration, access, disclosure including onward transfers, combination and erasure of personal data.
2.   Logs or documentation referred to in paragraph 1 shall be made available to the respective supervisory authority upon request for the purpose of verification of the lawfulness of processing, self-monitoring and ensuring proper data integrity and security.
ARTICLE 15
Data security
1.   The Contracting Parties shall ensure the implementation of technical and organisational measures to protect personal data exchanged under this Agreement.
2.   In respect of automated processing, the Contracting Parties shall ensure the implementation of measures designed to:
(a)
deny unauthorised persons access to processing equipment used for processing personal data (equipment access control);
(b)
prevent the unauthorised reading, copying, modification or removal of data media (data media control);
(c)
prevent the unauthorised input of personal data and the unauthorised inspection, modification or deletion of stored personal data (storage control);
(d)
prevent the use of automated processing systems by unauthorised persons using data communication equipment (user control);
(e)
ensure that persons authorised to use an automated processing system have access only to the personal data covered by their access authorisation (data access control);
(f)
ensure that it is possible to verify and establish to which bodies personal data may be or have been transmitted using data communication equipment (communication control);
(g)
ensure that it is possible to verify and establish which personal data have been input into automated processing systems and when and by whom the personal data were input (input control);
(h)
ensure that it is possible to verify and establish what personal data have been accessed by which member of personnel and at what time (access log);
(i)
prevent the unauthorised reading, copying, modification or deletion of personal data during transfers of personal data or during transportation of data media (transport control);
(j)
ensure that installed systems may, in the event of interruption, be restored immediately (recovery);
(k)
ensure that the functions of the system perform without fault, that the appearance of faults in the functions is immediately reported (reliability) and that stored personal data cannot be corrupted by system malfunctions (integrity).
ARTICLE 16
Supervisory authority
1.   Each Contracting Party shall ensure that there is an independent public authority responsible for data protection (supervisory authority) to oversee matters affecting the right to privacy of individuals, including the domestic rules relevant under this Agreement, in order to protect the fundamental rights and freedoms of natural persons in relation to the processing of personal data. The Contracting Parties shall notify each other of the authority that each of them considers as the supervisory authority.
2.   The Contracting Parties shall ensure that each supervisory authority:
(a)
acts with complete independence in performing its tasks and exercising its powers; it shall act free from external influence and neither seek nor accept instructions; its members shall have a secure term of office, including safeguards against arbitrary removal;
(b)
has the human, technical and financial resources, premises and infrastructure necessary for the effective performance of its tasks and exercise of its powers;
(c)
has effective powers of investigation and intervention to exercise oversight over the bodies it supervises and to engage in legal proceedings;
(d)
has powers to hear complaints from individuals about the use of their personal data by the competent authorities under its supervision.
ARTICLE 17
Administrative and judicial redress
Data subjects shall have the right to effective administrative and judicial redress for violations of the rights and safeguards recognised in this Agreement resulting from the processing of their personal data. The Contracting Parties shall notify each other of the domestic legislation that each of them considers as providing for the rights guaranteed under this Article.
CHAPTER III
DISPUTES
ARTICLE 18
Settlement of disputes
All disputes which may emerge in connection with the interpretation, application or implementation of this Agreement and any matters related thereto shall give rise to consultations and negotiations between representatives of the Contracting Parties with a view to reaching a mutually agreeable solution.
ARTICLE 19
Suspension clause
1.   In the event of a material breach or of non-fulfilment of obligations stemming from this Agreement, either Contracting Party may suspend this Agreement temporarily in part or in whole by written notification to the other Contracting Party through diplomatic channels. Such written notification shall not be made until after the Contracting Parties have engaged in a reasonable period of consultation without reaching a resolution and suspension shall take effect 20 days from the date of receipt of such notification. Such suspension may be lifted by the suspending Contracting Party upon written notification to the other Contracting Party. The suspension shall be lifted immediately upon receipt of such notification.
2.   Notwithstanding any suspension of this Agreement, personal data falling within the scope of this Agreement and transferred prior to the suspension of this Agreement shall continue to be processed in accordance with this Agreement.
ARTICLE 20
Termination
1.   This Agreement may be terminated at any time by either of the Contracting Parties by written notification through diplomatic channels, with three months’ notice.
2.   Personal data falling within the scope of this Agreement and transferred prior to the termination of this Agreement shall continue to be processed in accordance with this Agreement at the time of termination.
3.   In case of termination of this Agreement, the Contracting Parties shall reach an agreement on the continued use and storage of the information that has already been communicated between them.
CHAPTER IV
FINAL PROVISIONS
ARTICLE 21
Relation to other international instruments
1.   This Agreement shall not prejudice or otherwise affect or impact the legal provisions with regard to the exchange of information provided for by any mutual legal assistance treaty, any other cooperation agreement or arrangement, or working law enforcement relationship for the exchange of information between New Zealand and any Member State of the Union.
2.   This Agreement shall be complemented by the Working Arrangement establishing cooperative relations between New Zealand Police and the European Union Agency for Law Enforcement Cooperation.
ARTICLE 22
Implementing administrative arrangement
The details of cooperation between the Contracting Parties, as appropriate, to implement this Agreement shall be the subject of an implementing administrative arrangement concluded between Europol and the competent authorities of New Zealand, in accordance with the Europol Regulation.
ARTICLE 23
Administrative arrangement on confidentiality
Where necessary under this Agreement, the exchange of EU classified information shall be regulated by an Administrative Arrangement on Confidentiality concluded between Europol and the competent authorities of New Zealand.
ARTICLE 24
National contact point and liaison officers
1.   New Zealand shall designate a national contact point to act as the central point of contact between Europol and competent authorities of New Zealand. The specific tasks of the national contact point shall be listed in the implementing administrative arrangement referred to in Article 22. The designated national contact point for New Zealand is indicated in Annex IV.
2.   Europol and New Zealand shall enhance their cooperation as laid down in this Agreement through the deployment of liaison officer(s) by New Zealand. Europol may deploy one or more liaison officer(s) to New Zealand.
ARTICLE 25
Expenses
The Contracting Parties shall ensure that the competent authorities bear their own expenses, which arise in the course of the implementation of this Agreement, unless otherwise provided for in this Agreement or stipulated in the implementing administrative arrangement referred to in Article 22.
ARTICLE 26
Notification of implementation
1.   Each Contracting Party shall provide for its competent authorities to make publicly available a document setting out in an intelligible form the provisions regarding the processing of personal data transferred under this Agreement, including the means available for the exercise of the rights of data subjects. Each Contracting Party shall ensure that a copy of that document is notified to the other Contracting Party.
2.   Where not already in place, the competent authorities shall adopt rules specifying how compliance with the provisions regarding the processing of personal data transferred under this Agreement will be enforced in practice. A copy of those rules shall be notified to the other Contracting Party and the respective supervisory authorities.
ARTICLE 27
Entry into force and application
1.
This Agreement shall be approved by the Contracting Parties in accordance with their own procedures.
2.
This Agreement shall enter into force on the date of the receipt of the last written notification by which the Contracting Parties have notified each other through diplomatic channels that the procedures referred to in paragraph 1 have been completed.
3.
This Agreement shall be applicable on the first day after the date when all of the following conditions have been fulfilled:
(a)
the implementing administrative arrangement referred to in Article 22 has become applicable; and
(b)
the Contracting Parties have notified one another that the obligations laid down in this Agreement have been implemented, including those laid down in Article 26, and such notification has been accepted.
4.   The Contracting Parties shall exchange written notifications confirming the fulfilment of the conditions set out in paragraph 3 through diplomatic channels.
ARTICLE 28
Amendments and supplements
1.   This Agreement may be amended in writing, at any time by mutual consent between the Contracting Parties by written notification exchanged through diplomatic channels. The amendments to this Agreement shall enter into force in accordance with the legal procedure provided for in Article 27(1) and (2).
2.   The Annexes to this Agreement may be updated, as necessary, by exchange of diplomatic notes. Such updates shall enter into force in accordance with the legal procedure provided for in Article 27(1) and (2).
3.   The Contracting Parties shall enter into consultations with respect to the amendment to this Agreement or its Annexes at the request of either Contracting Party.
ARTICLE 29
Review and evaluation
1.   The Contracting Parties shall jointly review the implementation of this Agreement one year after its entry into force, and at regular intervals thereafter, and additionally if requested by either Contracting Party and jointly decided.
2.   The Contracting Parties shall jointly evaluate this Agreement four years after the date of its application.
3.   The Contracting Parties shall decide in advance on the modalities of the review of the implementation of this Agreement and shall communicate to each other the composition of their respective teams. The teams shall include relevant experts on data protection and law enforcement. Subject to applicable laws, any participants in a review shall be required to respect the confidentiality of the discussions and have appropriate security clearances. For the purposes of any review, the Union and New Zealand shall ensure access to relevant documentation, systems and personnel.
ARTICLE 30
Territorial applicability
1.   This Agreement shall apply to the territory in which, and in so far as, the TEU and TFEU are applicable, and to the territory of New Zealand.
2.   This Agreement shall only apply to the territory of Denmark if the Union notifies New Zealand in writing that Denmark has chosen to be bound by this Agreement.
3.   If the Union notifies New Zealand before the date of application of this Agreement that this Agreement will apply to the territory of Denmark, this Agreement shall apply to the territory of Denmark on the same day that this Agreement applies to the other Member States of the Union.
4.   If the Union notifies New Zealand after the entry into force of this Agreement, that this Agreement applies to the territory of Denmark, this Agreement shall apply to the territory of Denmark 30 days following the date of such notification.
ARTICLE 31
This Agreement shall be drawn up in duplicate in the Bulgarian, Croatian, Czech, Danish, Dutch, English, Estonian, Finnish, French, German, Greek, Hungarian, Irish, Italian, Latvian, Lithuanian, Maltese, Polish, Portuguese, Romanian, Slovak, Slovenian, Spanish and Swedish, each text being equally authentic.
IN WITNESS WHEREOF, the undersigned Plenipotentiaries, duly authorised to this effect, have signed this Agreement.
Съставено в Брюксел на тридесети юни две хиляди двадесет и втора година.
Hecho en Bruselas, el treinta de junio de dos mil veintidós.
V Bruselu dne třicátého června dva tisíce dvacet dva.
Udfærdiget i Bruxelles den tredivte juni to tusind og toogtyve.
Geschehen zu Brüssel am dreißigsten Juni zweitausendzweiundzwanzig.
Kahe tuhande kahekümne teise aasta juunikuu kolmekümnendal päeval Brüsselis.
Έγινε στις Βρυξέλλες, στις τριάντα Ιουνίου δύο χιλιάδες είκοσι δύο.
Done at Brussels on the thirtieth day of June in the year two thousand and twenty two.
Fait à Bruxelles, le trente juin deux mille vingt-deux.
Arna dhéanamh sa Bhruiséil, an tríochadú lá de Mheitheamh sa bhliain dhá mhíle fiche agus a dó.
Sastavljeno u Bruxellesu tridesetog lipnja godine dvije tisuće dvadeset druge.
Fatto a Bruxelles, addì trenta giugno duemilaventidue.
Briselē, divi tūkstoši divdesmit otrā gada trīsdesmitajā jūnijā.
Priimta du tūkstančiai dvidešimt antrų metų birželio trisdešimtą dieną Briuselyje.
Kelt Brüsszelben, a kétezer-huszonkettedik év június havának harmincadik napján.
Magħmul fi Brussell, fit-tletin jum ta’ Ġunju fis-sena elfejn u tnejn u għoxrin.
Gedaan te Brussel, dertig juni tweeduizend tweeëntwintig.
Sporządzono w Brukseli dnia trzydziestego czerwca roku dwa tysiące dwudziestego drugiego.
Feito em Bruxelas, em trinta de junho de dois mil e vinte e dois.
Întocmit la Bruxelles la treizeci iunie două mii douăzeci și doi.
V Bruseli tridsiateho júna dvetisícdvadsaťdva.
V Bruslju, tridesetega junija dva tisoč dvaindvajset.
Tehty Brysselissä kolmantenakymmenentenä päivänä kesäkuuta vuonna kaksituhattakaksikymmentäkaksi.
Som skedde i Bryssel den trettionde juni år tjugohundratjugotvå.
(
1
)
  Regulation (EU) 2016/794 of the European Parliament and of the Council of 11 May 2016 on the European Union Agency for Law Enforcement Cooperation (Europol) and replacing and repealing Council Decisions 2009/371/JHA, 2009/934/JHA, 2009/935/JHA, 2009/936/JHA and 2009/968/JHA (
OJ EU L 135, 24.5.2016, p. 53
).
ANNEX I
AREAS OF CRIME
Criminal offences are:
—
terrorism,
—
organised crime,
—
drug trafficking,
—
money-laundering activities,
—
crime connected with nuclear and radioactive substances,
—
immigrant smuggling,
—
trafficking in human beings,
—
motor vehicle crime,
—
murder, grievous bodily injury,
—
illicit trade in human organs and tissue,
—
kidnapping, illegal restraint and hostage taking,
—
racism and xenophobia,
—
robbery and aggravated theft,
—
illicit trafficking in cultural goods, including antiquities and works of art,
—
swindling and fraud,
—
crime against the financial interests of the Union,
—
insider dealing and financial market manipulation,
—
racketeering and extortion,
—
counterfeiting and product piracy,
—
forgery of administrative documents and trafficking therein,
—
forgery of money and means of payment,
—
computer crime,
—
corruption,
—
illicit trafficking in arms, ammunition and explosives,
—
illicit trafficking in endangered animal species,
—
illicit trafficking in endangered plant species and varieties,
—
environmental crime, including ship-source pollution,
—
illicit trafficking in hormonal substances and other growth promoters,
—
sexual abuse and sexual exploitation, including child abuse material and solicitation of children for sexual purposes,
—
genocide, crimes against humanity and war crimes.
The forms of crime referred to in this Annex shall be assessed by the competent authorities of New Zealand in accordance with the law of New Zealand.
ANNEX II
COMPETENT AUTHORITIES OF NEW ZEALAND AND THEIR COMPETENCES
The competent authorities of New Zealand to which Europol may transfer personal data are as follows:
New Zealand Police (as principal competent authority of New Zealand)
New Zealand Customs Service
New Zealand Immigration Service
ANNEX III
LIST OF UNION BODIES
Common Security and Defence Policy Missions/Operations, limited to law enforcement activities
European Anti-Fraud Office (OLAF)
European Border and Coast Guard Agency (Frontex)
European Central Bank (ECB)
European Public Prosecutor's Office (EPPO)
European Union Agency for Criminal Justice Cooperation (Eurojust)
European Union Intellectual Property Office (EUIPO)
ANNEX IV
NATIONAL CONTACT POINT
The national contact point for New Zealand to act as the central point of contact between Europol and competent authorities of New Zealand is
New Zealand Police
New Zealand has the duty to inform Europol in case the national contact point for New Zealand changes

Summary:
EU–New Zealand agreement on the exchange of personal data
SUMMARY OF:
Agreement between the European Union and New Zealand on the exchange of personal data between the European Union Agency for Law Enforcement Cooperation (Europol) and the authorities of New Zealand competent for fighting serious crime and terrorism
Decision (EU) 2022/1090 on the signing of the Agreement between the European Union and New Zealand on the exchange of personal data between Europol and the New Zealand authorities
Decision (EU) 2023/368 – conclusion of the Agreement between the European Union and New Zealand on the exchange of personal data between Europol and the New Zealand authorities
WHAT IS THE AIM OF THE AGREEMENT AND THE DECISIONS?
The agreement sets out rules whereby personal data may be transferred between the 
European Union Agency for Law Enforcement Cooperation
 (Europol) and New Zealand law enforcement authorities (police, customs service and immigration service) aiming to:
support and strengthen cooperation on preventing and fighting serious crime
 and terrorism by the competent authorities of both parties;
safeguard human rights and individual freedoms
, including the right to privacy and 
data protection
.
The decisions mark the signing and the conclusion by the 
European Union
 (EU) of the agreement with New Zealand.
KEY POINTS
Personal data under this agreement must be used only to prevent, investigate, detect or prosecute crimes or for carrying out penalties. The authorities must indicate the purposes for which data are transferred. Data must be:
adequate, relevant and processed fairly and lawfully;
accurate, up to date and rectified or erased without delay;
kept in a form which identifies individuals for no longer than is necessary for the stated purpose;
processed in a way that ensures appropriate security of the personal data.
The agreement terms include:
special categories of personal data and different categories of data subject
, such as victims of a crime, witnesses or persons under the age of 18;
specific safeguards for automated processing
 of personal data;
guidance on onward transfer
 of personal data;
the need to assess the reliability of the source and accuracy
 of the information;
the right of access
, ensuring that the data subject has the right to information on whether their personal data are processed under the agreement;
the right to correct, delete and restrict data
, ensuring individuals have the right to request the competent authorities correct inaccurate personal data transferred under the agreement;
notifying data breaches
: 
ensuring that the respective 
authorities notify each other as well as their supervisory authority
 and mitigate any adverse effects,
communicating to the data subject
 without delay where a personal data breach is likely to have a serious adverse effect on their 
fundamental rights
 and freedoms;
guidance on the storage, review, correction and deletion
 of personal data;
keeping logs
 of the collection, alteration, access, disclosure, onward transfer, combining and erasure of personal data;
implementing technical and organisational measures
 to protect personal data;
independent supervisory authorities
 ensuring data protection and to protect fundamental rights and freedoms;
administrative and judicial redress for violating
 the rights and safeguards in the agreement;
dispute settlement
 involving consultations and negotiations between representatives of the EU and New Zealand to reach a mutually agreeable solution;
national contact points and liaison officers
.
The EU bodies concerned are:
Common security and defence policy (CSDP)
 missions/operations, concerning law enforcement only;
the 
European Anti-Fraud Office (OLAF)
;
the 
European Border and Coast Guard Agency (Frontex)
;
the 
European Central Bank (ECB)
;
the 
European Public Prosecutor’s Office (EPPO)
;
the 
European Union Agency for Criminal Justice Cooperation (Eurojust)
; and
the 
European Union Intellectual Property Office (EUIPO)
.
DATE OF ENTRY INTO FORCE
The agreement enters into force on the date of the receipt of the last written notification by which the contracting parties have informed each other through diplomatic channels that their respective approval procedures have been completed.
The agreement will apply from the first day after the date when the following conditions have been fulfilled:
the administrative arrangement foreseen therein becomes applicable, and
the contracting parties notify each other that the obligations foreseen therein have been implemented and such notifications are accepted.
BACKGROUND
For more information, see:
Data protection in the EU
 (European Commission).
MAIN DOCUMENTS
Agreement
 between the European Union, of the one part, and New Zealand, of the other part, on the exchange of personal data between the European Union Agency for Law Enforcement Cooperation (Europol) and the authorities of New Zealand competent for fighting serious crime and terrorism (OJ L 51, 
20.2.2023
, 
pp. 4–22
).
Council Decision (EU) 
2022/1090
 of 
27 June 2022
 on the signing, on behalf of the Union, of the Agreement between the European Union, of the one part, and New Zealand, of the other part, on the exchange of personal data between the European Union Agency for Law Enforcement Cooperation (Europol) and the authorities of New Zealand competent for fighting serious crime and terrorism (OJ L 176, 
1.7.2022
, 
pp. 3–4
).
Council Decision (EU) 
2023/368
 of 
14 February 2023
 on the conclusion of the Agreement between the European Union, of the one part, and New Zealand, of the other part, on the exchange of personal data between the European Union Agency for Law Enforcement Cooperation (Europol) and the authorities of New Zealand competent for fighting serious crime and terrorism (OJ L 51, 
20.2.2023
, 
pp. 1–3
).
RELATED DOCUMENTS
Communication from the Commission to the European Parliament and the Council – Exchanging and Protecting Personal Data in a Globalised World (
COM(2017) 7 final
, 
10.1.2017
).
last update 
3.4.2023

--- DANISH ---

Document:
20.2.2023
DA
Den Europæiske Unions Tidende
L 51/4
AFTALE MELLEM DEN EUROPÆISKE UNION PÅ DEN ENE SIDE OG NEW ZEALAND PÅ DEN ANDEN SIDE OM UDVEKSLING AF PERSONOPLYSNINGER MELLEM DEN EUROPÆISKE UNIONS AGENTUR FOR RETSHÅNDHÆVELSESSAMARBEJDE (EUROPOL) OG NEW ZEALANDS KOMPETENTE MYNDIGHEDER FOR BEKÆMPELSE AF GROV KRIMINALITET OG TERRORISME
DEN EUROPÆISKE UNION, i det følgende også benævnt »Unionen« eller »EU«,
og
NEW ZEALAND,
i det følgende under ét benævnt »parterne«,
SOM TAGER I BETRAGTNING, at ved at muliggøre udveksling af personoplysninger mellem Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol) og New Zealands kompetente myndigheder vil denne aftale skabe rammerne for et styrket operationelt samarbejde mellem Unionen og New Zealand inden for retshåndhævelse, samtidig med at alle berørte fysiske personers menneskerettigheder og grundlæggende frihedsrettigheder, herunder retten til privatlivets fred og databeskyttelse, sikres.
SOM TAGER I BETRAGTNING, at denne aftale ikke berører ordninger om gensidig retlig bistand mellem New Zealand og EU-medlemsstaterne, som giver mulighed for udveksling af personoplysninger.
SOM TAGER I BETRAGTNING, at denne aftale ikke pålægger de kompetente myndigheder at videregive personoplysninger og at videregivelsen af de personoplysninger, der anmodes om i henhold til denne aftale, fortsat sker på frivillig basis.
SOM ANERKENDER, at de kontraherende parter anvender et proportionalitetsprincip og et rimelighedsprincip, der er sammenlignelige; fælles for disse principper er kravet om at sikre en rimelig balance mellem alle involverede interesser, både offentlige og private, i lyset af alle omstændigheder i den foreliggende sag. En sådan balance omfatter på den ene side fysiske personers ret til privatlivets fred sammen med andre menneskerettigheder og interesser og på den anden side de opvejende legitime mål, der kan forfølges, såsom formålene med behandling af personoplysninger som omhandlet i denne aftale,
ER BLEVET ENIGE OM FØLGENDE:
KAPITEL I
ALMINDELIGE BESTEMMELSER
ARTIKEL 1
Formål
Formålet med denne aftale er at tillade videregivelse af personoplysninger mellem Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol) og New Zealands kompetente myndigheder for at støtte og styrke den indsats, der gøres af myndighederne i EU-medlemsstaterne og i New Zealand, samt deres gensidige samarbejde om forebyggelse og bekæmpelse af strafbare handlinger, herunder grov kriminalitet og terrorisme, samtidig med at der sikres passende garantier med hensyn til fysiske personers menneskerettigheder og grundlæggende frihedsrettigheder, herunder retten til privatlivets fred og databeskyttelse.
ARTIKEL 2
Definitioner
I denne aftale forstås ved:
1)
»kontraherende parter«: Den Europæiske Union og New Zealand
2)
»Europol«: Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde, der er oprettet ved forordning (EU) 2016/794 
(
1
)
 og enhver ændring heraf (»Europolforordningen«)
3)
»kompetent myndighed«: for New Zealands vedkommende de nationale retshåndhævende myndigheder, der i henhold til New Zealands nationale ret er ansvarlige for forebyggelse og bekæmpelse af de strafbare handlinger, der er opført i bilag II (»New Zealands kompetente myndigheder«), og for Unionens vedkommende Europol
4)
»EU-organer«: de institutioner, organer, missioner, kontorer og agenturer, der er oprettet ved traktaten om Den Europæiske Union (»TEU«) og traktaten om Den Europæiske Unions funktionsmåde (»TEUF«), og som er opført i bilag III
5)
»strafbare handlinger«: de former for kriminalitet, der er opført i bilag I, samt relaterede strafbare handlinger; strafbare handlinger anses for at være relaterede til de former for kriminalitet, der er opført i bilag I, hvis de begås for at skaffe midler til at begå sådanne handlinger, for at lette eller begå sådanne handlinger eller for at sikre straffrihed for dem, der begår sådanne former for kriminalitet
6)
»personoplysninger«: enhver form for information om en registreret
7)
»en registreret«: en identificeret eller identificerbar fysisk person; en identificerbar person er en person, der direkte eller indirekte kan identificeres, navnlig ved en identifikator som f.eks. et navn, et identifikationsnummer, lokaliseringsdata, et online-ID eller ved et eller flere elementer, der er særlige for denne persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sociale identitet
8)
»genetiske data«: alle personoplysninger vedrørende en fysisk persons genetiske karakteristika, der er arvet eller blevet erhvervet, som giver entydig information om personens fysiologi eller helbred, og som navnlig foreligger efter en analyse af en biologisk prøve fra den pågældende fysiske person
9)
»behandling«: enhver operation eller række af operationer, med eller uden brug af automatisk databehandling, som personoplysninger eller sæt af personoplysninger gøres til genstand for, f.eks. indsamling, registrering, systematisering, strukturering, opbevaring, tilpasning eller ændring, fremfinding, søgning, brug, videregivelse ved transmission, formidling eller anden tilrådighedsstillelse, sammenstilling eller samkøring samt begrænsning, sletning eller tilintetgørelse
10)
»brud på persondatasikkerheden«: et brud på sikkerheden, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring, ubeføjet videregivelse af eller adgang til personoplysninger, der er videresendt, opbevaret eller på anden måde behandlet
11)
»tilsynsmyndighed«: en eller flere uafhængige nationale myndigheder, der alene eller sammen er ansvarlige for databeskyttelse i henhold til artikel 16, og som er blevet meddelt i henhold til nævnte artikel; disse kan omfatte myndigheder, hvis ansvar også omfatter andre menneskerettigheder
12)
»international organisation«: en folkeretlig organisation og organer, der er underordnet den, eller ethvert andet organ, der er oprettet ved eller med hjemmel i en aftale mellem to eller flere lande.
ARTIKEL 3
Formål med behandling af personoplysninger
1.   Personoplysninger, der anmodes om og modtages i henhold til denne aftale, må kun behandles med henblik på at forebygge, efterforske, opdage eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner inden for rammerne af artikel 4, stk. 5, og de kompetente myndigheders respektive mandater.
2.   De kompetente myndigheder angiver senest ved videregivelsen af personoplysninger klart det eller de formål, hvortil personoplysningerne videregives. Ved videregivelser til Europol angives formålet eller formålene med en sådan videregivelse i overensstemmelse med det eller de specifikke formål med behandlingen som fastlagt i Europols mandat.
KAPITEL II
UDVEKSLING AF OPLYSNINGER OG DATABESKYTTELSE
ARTIKEL 4
Almindelige databeskyttelsesprincipper
1.   Hver kontraherende part sikrer, at de personoplysninger, der udveksles i henhold til denne aftale:
a)
behandles loyalt og lovligt og kun til det eller de formål, hvortil de er blevet videregivet, jf. artikel 3
b)
er tilstrækkelige og relevante og begrænses til det, der er nødvendigt i forhold til det eller de formål, hvortil de behandles
c)
er korrekte og ajourførte; hver kontraherende part sikrer, at dens kompetente myndigheder træffer alle rimelige foranstaltninger for at sikre, at personoplysninger, der er urigtige, under hensyntagen til de formål, hvortil de behandles, berigtiges eller slettes uden unødig forsinkelse
d)
opbevares på en sådan måde, at det ikke er muligt at identificere de registrerede i længere tid end nødvendigt af hensyn til de formål, hvortil personoplysningerne behandles
e)
behandles på en måde, der sikrer tilstrækkelig sikkerhed for personoplysningerne.
2.   Den kompetente myndighed, der videregiver personoplysninger, kan på tidspunktet for videregivelsen angive eventuelle begrænsninger i adgangen til eller anvendelsen af dem generelt eller specifikt, herunder for så vidt angår yderligere videregivelse, sletning eller tilintetgørelse efter et vist tidsrum, eller yderligere behandling af dem. Hvis der opstår behov for sådanne begrænsninger, efter at oplysningerne er blevet meddelt, informerer den kompetente myndighed, der har videregivet oplysninger, den modtagende myndighed herom.
3.   Hver kontraherende part sikrer, at den modtagende kompetente myndighed overholder enhver begrænsning i adgangen til eller den videre anvendelse af de personoplysninger, som den kompetente myndighed, der har videregivet oplysningerne, har angivet, jf. stk. 2.
4.   Hver kontraherende part sikrer, at dens kompetente myndigheder gennemfører passende tekniske og organisatoriske foranstaltninger på en sådan måde, at de kan påvise, at behandlingen vil være i overensstemmelse med denne aftale, og at de berørte registreredes rettigheder er beskyttet.
5.   Hver kontraherende part sikrer, at dens kompetente myndigheder ikke videregiver personoplysninger, der er indhentet gennem en åbenbar krænkelse af menneskerettighederne, som er anerkendt i folkerettens principper og standarder, der er bindende for de kontraherende parter. Hver kontraherende part sikrer, at de modtagne personoplysninger ikke anvendes til at kræve, idømme eller fuldbyrde dødsstraf eller nogen former for grusom eller umenneskelig behandling.
6.   Hver kontraherende part sikrer, at der føres et register over al videregivelse af personoplysninger i henhold til denne aftale og over formålet eller formålene med disse videregivelser.
ARTIKEL 5
Særlige kategorier af personoplysninger og forskellige kategorier af registrerede
1.   Videregivelse af personoplysninger om ofre for strafbare handlinger, vidner eller andre personer, som kan give oplysninger vedrørende strafbare handlinger, samt om personer under 18 år er forbudt, medmindre en sådan videregivelse er strengt nødvendig og rimelig og står i rimeligt forhold til formålet i konkrete sager med henblik på at forebygge eller bekæmpestrafbare handlinger.
2.   Videregivelse af personoplysninger om race eller etnisk oprindelse, politiske anskuelser, religiøs eller filosofisk overbevisning eller medlemskab af en fagforening, genetiske data, biometriske data med henblik på entydig identifikation af en fysisk person eller oplysninger om en persons helbredsforhold eller oplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering er kun tilladt, hvis det er strengt nødvendigt og rimeligt og står i et rimeligt forhold til formålet i konkrete sager med henblik på at forebygge eller bekæmpe strafbare handlinger, og disse oplysninger, bortset fra biometriske oplysninger, supplerer andre personoplysninger.
3.   I henhold til denne artikels stk. 1 og 2 sikrer de kontraherende parter, at behandlingen af personoplysninger er omfattet af passende garantier mod de særlige risici, der er forbundet hermed, herunder begrænsninger i adgangen, datasikkerhedsforanstaltninger som omhandlet i artikel 15 og begrænsninger for yderligere videregivelse, jf. artikel 7.
ARTIKEL 6
Automatisk behandling af personoplysninger
Afgørelser, der udelukkende bygger på automatisk behandling af de udvekslede personoplysninger, herunder profilering, uden menneskelig indgriben, som kan have en negativ retsvirkning for den registrerede eller påvirke vedkommende i væsentlig grad, er forbudt, medmindre det er tilladt i henhold til retsregler med henblik på at forebygge eller bekæmpe strafbare handlinger og med passende garantier for den registreredes rettigheder og friheder, herunder som minimum retten til menneskelig indgriben.
ARTIKEL 7
Yderligere videregivelse af de modtagne personoplysninger
1.   New Zealand sikrer, at dets kompetente myndigheder kun videregiver personoplysninger, der er modtaget i henhold til denne aftale, til andre myndigheder i New Zealand, hvis:
a)
Europol har givet sin forudgående udtrykkelige tilladelse
b)
formålet eller formålene med den yderligere videregivelse er det samme som det eller de oprindelige formål med Europols videregivelse eller inden for begrænsningerne i artikel 3, stk. 1, er direkte knyttet til dette eller disse oprindelige formål og
c)
den yderligere videregivelse er underlagt de samme betingelser og garantier som dem, der gælder for den oprindelige videregivelse.
Der kræves ingen forudgående tilladelse, når den modtagende myndighed selv er en kompetent myndighed i New Zealand, jf. dog artikel 4, stk. 2. Det samme gælder Europols mulighed for at dele personoplysninger med de myndigheder i EU-medlemsstaterne, der er ansvarlige for forebyggelse og bekæmpelse af strafbare handlinger, samt med EU-organer.
2.   New Zealand sikrer, at yderligere videregivelse af personoplysninger, som landets kompetente myndigheder modtager i henhold til denne aftale, til myndighederne i et tredjeland eller til en international organisation forbydes, medmindre følgende betingelser er opfyldt:
a)
Videregivelsen vedrører andre personoplysninger end dem, der er omfattet af artikel 5
b)
Europol har givet sin forudgående udtrykkelige tilladelse
c)
Formålet eller formålene med den yderligere videregivelse er det samme som det eller de oprindelige formål med Europols videregivelse
d)
Den yderligere videregivelse er underlagt de samme betingelser og garantier som dem, der gælder for den oprindelige videregivelse.
3.   Europol kan kun give sin tilladelse i henhold til denne artikels stk. 2, litra b), til yderligere videregivelse til myndigheden i et tredjeland eller til en international organisation, hvis og i det omfang der foreligger en afgørelse om tilstrækkeligheden af beskyttelsesniveauet, en international aftale, der giver passende garantier med hensyn til beskyttelse af retten til privatlivets fred og fysiske personers grundlæggende rettigheder og friheder, en samarbejdsaftale eller et andet juridisk grundlag for videregivelse af personoplysninger, jf. Europolforordningen, som omfatter yderligere videregivelse.
4.   Unionen sikrer, at yderligere videregivelse af personoplysninger, som Europol modtager i henhold til denne aftale, til de EU-organer, der ikke er opført på listen i bilag III, myndigheder i tredjelande eller en international organisation forbydes, medmindre:
a)
videregivelsen vedrører andre personoplysninger end dem, der er omfattet af artikel 5
b)
New Zealand har givet sin forudgående udtrykkelige tilladelse
c)
formålet eller formålene med den yderligere videregivelse er det samme som det oprindelige formål med New Zealands videregivelse
d)
der er indgået en afgørelse om tilstrækkeligheden af beskyttelsesniveauet, en international aftale, der indeholder passende garantier med hensyn til beskyttelse af retten til privatlivets fred og fysiske personers grundlæggende rettigheder og friheder, eller en samarbejdsaftale som omhandlet i Europolforordningen med det pågældende tredjeland eller den pågældende internationale organisation, eller medmindre Europol kan påberåbe sig et andet juridisk grundlag for videregivelse af personoplysninger, jf. Europolforordningen.
ARTIKEL 8
Vurdering af en kildes pålidelighed og oplysningers nøjagtighed
1.   De kompetente myndigheder angiver så vidt muligt og senest ved videregivelsen af personoplysninger, hvor pålidelig kilden til oplysningerne er, på grundlag af et eller flere af følgende kriterier:
a)
der hersker ingen tvivl om kildens ægthed, pålidelighed og kompetence, eller oplysningerne er meddelt af en kilde, der tidligere i alle tilfælde har vist sig at være pålidelig
b)
oplysningerne er meddelt af en kilde, hvorfra oplysningerne i de fleste tilfælde har vist sig at være pålidelige
c)
oplysningerne er meddelt af en kilde, hvorfra oplysningerne i de fleste tilfælde har vist sig at være upålidelige
d)
kildens pålidelighed kan ikke vurderes.
2.   De kompetente myndigheder angiver så vidt muligt og senest ved videregivelsen af personoplysninger, hvor nøjagtige oplysningerne er, på grundlag af et eller flere af følgende kriterier:
a)
oplysninger, hvis rigtighed der ikke er tvivl om på tidspunktet for videregivelsen
b)
oplysninger, som kilden har personligt kendskab til, men som den embedsmand, der videregiver oplysningerne, ikke har personligt kendskab til
c)
oplysninger, som kilden ikke har personligt kendskab til, men som underbygges af andre allerede registrerede oplysninger
d)
oplysninger, som kilden ikke har personligt kendskab til, og som ikke kan underbygges.
3.   Hvis den modtagende kompetente myndighed på grundlag af de oplysninger, den allerede er i besiddelse af, kommer til den konklusion, at det er nødvendigt at korrigere den vurdering af oplysningerne eller af deres kilde, som den kompetente myndighed, der har videregivet oplysningerne, har foretaget i overensstemmelse med stk. 1 og 2, underretter den den pågældende kompetente myndighed og forsøger at nå til enighed om en ændring af vurderingen. Den modtagende kompetente myndighed ændrer ikke ved vurderingen af de modtagne oplysninger eller deres kilde uden en sådan aftale.
4.   Hvis en kompetent myndighed modtager oplysninger uden en vurdering, søger den så vidt muligt og om muligt efter aftale med den kompetente myndighed, der har videregivet oplysningerne, at vurdere kildens pålidelighed eller oplysningernes nøjagtighed på grundlag af de oplysninger, den allerede er i besiddelse af.
5.   Hvis der ikke kan foretages en pålidelig vurdering, vurderes oplysningerne i overensstemmelse med stk. 1, litra d), og stk. 2, litra d), alt efter hvad der er relevant.
DE REGISTREREDES RETTIGHEDER
ARTIKEL 9
Ret til indsigt
1.   De kontraherende parter sikrer, at den registrerede har ret til med rimelige mellemrum at få oplysninger om, hvorvidt personoplysninger om vedkommende behandles i henhold til denne aftale, og i givet fald som minimum få adgang til følgende:
a)
en bekræftelse af, om personoplysninger om den pågældende er blevet behandlet
b)
oplysninger, der mindst skal omfatte formålet eller formålene med behandlingen, kategorierne af de oplysninger, der er tale om, og, hvis det er relevant, modtagerne eller kategorierne af modtagere, som de videregives til
c)
retten til at anmode den kompetente myndighed om at få berigtiget, slettet personoplysninger om den registrerede eller begrænset behandlingen heraf
d)
en angivelse af det juridiske grundlag for behandlingen
e)
om muligt det påtænkte tidsrum, hvori personoplysningerne vil blive opbevaret, eller hvis dette ikke er muligt, de kriterier, der anvendes til fastlæggelse af dette tidsrum
f)
meddelelse i forståelig form af de personoplysninger, der er genstand for behandling, og af alle foreliggende oplysninger om, hvor de stammer fra.
2.   Når den registrerede udøver sin ret til indsigt, vil den kontraherende part, der videregiver oplysninger, blive hørt på et ikkebindende grundlag, inden der træffes endelig afgørelse om indsigtsanmodningen.
3.   De kontraherende parter kan fastsætte, at meddelelsen af oplysninger som svar på en anmodning i henhold til stk. 1 udsættes, afslås eller begrænses, hvis og så længe en sådan udsættelse, et sådant afslag eller en sådan begrænsning udgør en foranstaltning, der er nødvendig og rimelig og står i et rimeligt forhold til formålet under hensyntagen til den registreredes grundlæggende rettigheder og interesser, med henblik på at:
a)
sikre, at en eventuel strafferetlig efterforskning og retsforfølgning ikke bringes i fare
b)
beskytte tredjemands rettigheder og friheder, eller
c)
beskytte den nationale sikkerhed og den offentlige orden eller forebygge kriminalitet.
4.   De kontraherende parter sikrer, at den kompetente myndighed underretter den registrerede skriftligt om eventuelle udsættelser af, afslag på eller begrænsninger af retten til indsigt og om årsagerne til sådanne udsættelser af, afslag på eller begrænsninger af retten til indsigt. Disse årsager kan udelades, hvis og så længe dette ville skade formålet med udsættelsen, afslaget eller begrænsningen i henhold til stk. 3. Den kompetente myndighed underretter den registrerede om muligheden for at indgive en klage til de respektive tilsynsmyndigheder og om andre tilgængelige klagemuligheder i henhold til de respektive retlige rammer.
ARTIKEL 10
Ret til berigtigelse, sletning og begrænsning
1.   De kontraherende parter sikrer, at den registrerede har ret til at anmode de kompetente myndigheder om at berigtige urigtige personoplysninger om den pågældende registrerede, som blev videregivet i henhold til denne aftale. Under hensyntagen til formålet eller formålene med behandlingen omfatter dette retten til at få ufuldstændige personoplysninger, der er videregivet i henhold til denne aftale, kompletteret.
2.   Berigtigelse skal omfatte sletning af personoplysninger, der ikke længere er nødvendige til det eller de formål, hvortil de behandles.
3.   De kontraherende parter kan fastsætte bestemmelser om begrænsning af behandling i stedet for sletning af personoplysninger, hvis der er rimelig grund til at antage, at sådan sletning kunne skade den registreredes legitime interesser.
4.   De kompetente myndigheder underretter hinanden om de foranstaltninger, der træffes i henhold til stk. 1, 2 og 3. Den modtagende kompetente myndighed berigtiger, sletter eller begrænser behandlingen i overensstemmelse med de foranstaltninger, der træffes af den kompetente myndighed, der videregiver oplysninger.
5.   De kontraherende parter fastsætter bestemmelser om, at den kompetente myndighed, der har modtaget anmodningen, uden unødig forsinkelse og under alle omstændigheder inden for tre måneder efter modtagelsen af en anmodning i henhold til stk. 1 eller 2 underretter den registrerede skriftligt om, at oplysningerne vedrørende den pågældende er blevet berigtiget, slettet eller behandlingen er blevet begrænset.
6.   De kontraherende parter fastsætter bestemmelser om, at den kompetente myndighed, der har modtaget anmodningen, uden unødig forsinkelse og under alle omstændigheder senest tre måneder efter modtagelsen af en anmodning underretter den registrerede skriftligt om afslag på berigtigelse, sletning eller begrænsning af behandlingen, om årsagerne til et sådant afslag og om muligheden for at indgive en klage til de respektive tilsynsmyndigheder samt andre tilgængelige klagemuligheder i henhold til deres respektive retlige rammer.
ARTIKEL 11
Underretning om brud på persondatasikkerheden til de berørte myndigheder
1.   I tilfælde af et brud på persondatasikkerheden, som berører de personoplysninger, der videregives i henhold til denne aftale, sikrer de kontraherende parter, at de respektive kompetente myndigheder omgående underretter hinanden og deres respektive tilsynsmyndighed om bruddet på persondatasikkerheden, og at der træffes foranstaltninger til at afbøde de mulige negative virkninger heraf.
2.   Underretningen skal som minimum indeholde en beskrivelse af:
a)
karakteren af bruddet på persondatasikkerheden, herunder, hvis det er muligt, kategorierne og antallet af berørte registrerede samt kategorierne og antallet af berørte registreringer af personoplysninger
b)
de sandsynlige konsekvenser af bruddet på persondatasikkerheden
c)
de foranstaltninger, som den kompetente myndighed har truffet eller foreslår truffet for at håndtere bruddet på persondatasikkerheden, herunder de foranstaltninger, der er truffet for at begrænse dets mulige skadevirkninger.
3.   I det omfang det ikke er muligt at give alle de påkrævede oplysninger samtidig, kan de indgives gradvist. De manglende oplysninger skal indgives uden yderligere unødig forsinkelse.
4.   De kontraherende parter sikrer, at deres respektive kompetente myndigheder dokumenterer alle brud på persondatasikkerheden, som påvirker personoplysninger, der videregives i henhold til denne aftale, herunder kendsgerningerne i forbindelse med bruddet på persondatasikkerheden, dets virkninger og de trufne afhjælpende foranstaltninger, således at deres respektive tilsynsmyndigheder kan kontrollere overholdelsen af gældende lovkrav.
ARTIKEL 12
Meddelelse af brud på persondatasikkerheden til den registrerede
1.   Hvis et brud på persondatasikkerheden som omhandlet i artikel 11 sandsynligvis vil have en alvorlig negativ virkning for den registreredes rettigheder og friheder, fastsætter de kontraherende parter bestemmelser om, at deres respektive kompetente myndigheder skal underrette den registrerede om bruddet på persondatasikkerheden uden unødig forsinkelse.
2.   Meddelelsen til den registrerede i henhold til stk. 1 skal, hvis dette er muligt, indeholde en beskrivelse af arten af bruddet på persondatasikkerheden og anbefalinger af foranstaltninger til at begrænse de mulige skadevirkninger af bruddet på persondatasikkerheden samt angive den databeskyttelsesansvarliges navn og kontaktoplysninger for det kontaktpunkt, hvor der kan indhentes yderligere oplysninger.
3.   Meddelelsen til den registrerede i henhold til stk. 1 er ikke nødvendig, hvis:
a)
de personoplysninger, som bruddet vedrører, var omfattet af passende teknologiske beskyttelsesforanstaltninger, der gør oplysningerne uforståelige for alle, der ikke har lovlig adgang til oplysningerne
b)
der er truffet efterfølgende foranstaltninger, der sikrer, at den registreredes rettigheder og friheder sandsynligvis ikke længere i alvorlig grad vil blive krænket, eller
c)
meddelelsen til den registrerede i henhold til stk. 1 ville kræve en uforholdsmæssig indsats, navnlig på grund af antallet af berørte registrerede; i et sådant tilfælde skal der i stedet foretages en offentlig meddelelse eller træffes en tilsvarende foranstaltning, hvorved den registrerede underrettes på en tilsvarende effektiv måde.
4.   Meddelelsen til den registrerede i henhold til stk. 1 kan udsættes, begrænses eller udelades, hvis en sådan meddelelse sandsynligvis vil:
a)
lægge hindringer i vejen for officielle eller retlige undersøgelser, efterforskninger eller procedurer
b)
skade forebyggelsen, opdagelsen og efterforskningen af samt retsforfølgningen i forbindelse med strafbare handlinger eller fuldbyrdelsen af strafferetlige sanktioner, den offentlige orden eller den nationale sikkerhed
c)
beskytte tredjemands rettigheder og friheder
hvor dette udgør en foranstaltning, der er nødvendig og rimelig og står i et rimeligt forhold til formålet under behørig hensyntagen til den registreredes legitime interesser.
ARTIKEL 13
Opbevaring, revision, berigtigelse og sletning af personoplysninger.
1.   De kontraherende parter fastsætter passende frister for opbevaring af personoplysninger, der modtages i henhold til denne aftale, eller for regelmæssig vurdering af behovet for opbevaring af personoplysninger, således at personoplysningerne kun opbevares, så længe det er nødvendigt til det eller de formål, hvortil de videregives.
2.   Under alle omstændigheder tages behovet for fortsat opbevaring af personoplysninger op til fornyet overvejelse senest tre år efter, at personoplysningerne er blevet videregivet, og hvis der ikke er truffet en begrundet og dokumenteret afgørelse om fortsat at opbevare personoplysningerne, skal personoplysningerne automatisk slettes efter tre år.
3.   Hvis en kompetent myndighed har grund til at tro, at personoplysninger, som den tidligere har videregivet, er forkerte, unøjagtige, ikke længere ajourførte eller ikke burde have været videregivet, skal den underrette den modtagende kompetente myndighed, som skal berigtige eller slette disse oplysninger og underrette den kompetente myndighed, der videregav oplysningerne, herom.
4.   Hvis en kompetent myndighed har grund til at tro, at personoplysninger, som den tidligere har modtaget, er forkerte, unøjagtige, ikke længere ajourførte eller ikke burde have været videregivet, skal den underrette den kompetente myndighed, der videregav oplysningerne, som redegør for sin holdning til sagen. Hvis den kompetente myndighed, der videregav oplysningerne, konkluderer, at personoplysningerne er forkerte, unøjagtige, ikke længere ajourførte eller ikke burde have været videregivet, skal den underrette den modtagende kompetente myndighed, som skal berigtige eller slette disse oplysninger og underrette den kompetente myndighed, der videregav oplysningerne, herom.
ARTIKEL 14
Logning og dokumentation
1.   De kontraherende parter sørger for logning og dokumentation af indsamling, ændring, adgang, videregivelse, herunder yderligere videregivelse, samkøring og sletning af personoplysninger.
2.   Logning eller dokumentation, jf. stk. 1, stilles efter anmodning til rådighed for de respektive tilsynsmyndigheder med henblik på kontrol af lovligheden af behandlingen, egenkontrol og sikring af dataenes integritet og sikkerhed.
ARTIKEL 15
Datasikkerhed
1.   De kontraherende parter sikrer gennemførelsen af tekniske og organisatoriske foranstaltninger til beskyttelse af personoplysninger, der udveksles inden for rammerne af denne aftale.
2.   Med henblik på automatisk behandling sikrer de kontraherende parter gennemførelse af foranstaltninger til at:
a)
forhindre, at uautoriserede personer får adgang til det behandlingsudstyr, der benyttes til behandling af personoplysninger (fysisk adgangskontrol)
b)
forhindre uautoriseret læsning, kopiering, ændring eller fjernelse af datamedier (kontrol med datamedier)
c)
forhindre uautoriseret indlæsning af personoplysninger samt uautoriseret adgang til og ændring og sletning af de opbevarede personoplysninger (kontrol med opbevaring)
d)
forhindre, at uautoriserede personer benytter automatiske behandlingssystemer ved hjælp af datatransmissionsudstyr (brugerkontrol)
e)
sikre, at autoriserede brugere af et automatisk behandlingssystem kun får adgang til de personoplysninger, som henhører under deres adgangsautorisation (adgangskontrol)
f)
sikre, at det er muligt at undersøge og fastslå, til hvilke organer der kan videregives eller er blevet videregivet personoplysninger via datatransmissionsudstyr (kontrol med videregivelse)
g)
sikre, at det kan efterprøves og fastslås, hvilke personoplysninger der er blevet indlæst i automatiske behandlingssystemer, og hvornår og af hvem oplysningerne blev indlæst (kontrol med indlæsning)
h)
sikre, at det er muligt at kontrollere og fastslå, hvilke medarbejdere der har haft adgang til hvilke personoplysninger og hvornår (adgangslogning)
i)
forhindre uautoriseret læsning, kopiering, ændring eller sletning af personoplysninger i forbindelse med videregivelse af personoplysninger eller transport af datamedier (kontrol med transport)
j)
sikre, at de anvendte systemer i tilfælde af tekniske forstyrrelser straks kan genetableres (genopretning)
k)
sikre, at systemet fungerer fejlfrit, at indtrufne fejl straks meldes (pålidelighed), og at lagrede personoplysninger ikke bliver forkerte som følge af fejlfunktioner i systemet (integritet).
ARTIKEL 16
Tilsynsmyndighed
1.   Hver kontraherende part sikrer, at der er en uafhængig offentlig myndighed med ansvar for databeskyttelse (tilsynsmyndighed) til at føre tilsyn med spørgsmål, der berører fysiske personers ret til privatliv, herunder de nationale regler, der er relevante i henhold til denne aftale, for at beskytte fysiske personers grundlæggende rettigheder og friheder i forbindelse med behandling af personoplysninger. De kontraherende parter underretter hinanden om, hvilken myndighed de hver især betragter som tilsynsmyndighed.
2.   De kontraherende parter sikrer, at hver tilsynsmyndighed:
a)
udfører sine opgaver og udøver sine beføjelser fuldstændig uafhængigt; den skal handle uden udefrakommende påvirkning og må hverken søge eller modtage instrukser; dens medlemmer skal have en sikker embedsperiode, herunder beskyttelse mod vilkårlig fjernelse
b)
råder over de menneskelige, tekniske og økonomiske ressourcer, lokaler og infrastrukturer, der er nødvendige for, at de effektivt kan udføre deres opgaver og udøve deres beføjelser.
c)
har effektive undersøgelses- og interventionsbeføjelser til at føre tilsyn med de organer, den overvåger, og til at indbringe sager for domstolene.
d)
har beføjelse til at behandle klager fra enkeltpersoner om de kompetente myndigheders anvendelse af deres personoplysninger under dennes tilsyn.
ARTIKEL 17
Administrativ klageadgang og adgang til domstolsprøvelse
Registrerede har ret til effektiv administrativ klageadgang og adgang til domstolsprøvelse i tilfælde af overtrædelser af de rettigheder og garantier, der anerkendes i denne aftale, som følge af behandlingen af deres personoplysninger. De kontraherende parter underretter hinanden om den nationale lovgivning, som de hver især anser for at garantere de rettigheder, der er sikret ved denne artikel.
KAPITEL III
TVISTER
ARTIKEL 18
Bilæggelse af tvister
Alle tvister, der måtte opstå i forbindelse med fortolkningen, anvendelsen eller gennemførelsen af denne aftale og alle spørgsmål i tilknytning hertil, skal føre til konsultationer og forhandlinger mellem repræsentanter for de kontraherende parter med henblik på at nå frem til en gensidigt acceptabel løsning.
ARTIKEL 19
Suspensionsklausul
1.   I tilfælde af væsentlig tilsidesættelse eller manglende opfyldelse af de forpligtelser, der følger af denne aftale, kan hver af de kontraherende parter delvist eller helt suspendere denne aftale midlertidigt ved skriftlig meddelelse til den anden kontraherende part via diplomatiske kanaler. En sådan skriftlig meddelelse fremsendes først, når de kontraherende parter har gennemført en rimelig konsultationsperiode uden at nå frem til en løsning, og suspensionen får virkning 20 dage efter datoen for modtagelsen af den pågældende meddelelse. Den suspenderende kontraherende part kan ophæve suspensionen efter skriftlig meddelelse til den anden kontraherende part. Suspensionen ophæves straks efter modtagelsen af en sådan meddelelse.
2.   Uanset suspensionen af denne aftale behandles alle personoplysninger, der henhører under denne aftales anvendelsesområde, og som er videregivet inden denne aftales suspension, fortsat i overensstemmelse med denne aftale.
ARTIKEL 20
Ophør
1.   Denne aftale kan til enhver tid bringes til ophør af en af de kontraherende parter ved skriftlig meddelelse via diplomatiske kanaler med tre måneders varsel.
2.   Personoplysninger, der er omfattet af denne aftale, og som videregives forud for denne aftales ophør, behandles fortsat i overensstemmelse med denne aftale på tidspunktet for ophøret.
3.   I tilfælde af denne aftales ophør skal de kontraherende parter nå til enighed om fortsat anvendelse og opbevaring af de oplysninger, som de allerede har udvekslet med hinanden.
KAPITEL IV
AFSLUTTENDE BESTEMMELSER
ARTIKEL 21
Forholdet til andre internationale instrumenter
1.   Denne aftale må ikke berøre eller på anden vis påvirke de retlige bestemmelser om udveksling af oplysninger, der er fastsat i en traktat om gensidig retlig bistand, andre samarbejdsaftaler eller -ordninger eller samarbejdsforhold på retshåndhævelsesområdet med henblik på udveksling af oplysninger mellem New Zealand og en af EU-medlemsstaterne.
2.   Denne aftale supplerer bestemmelserne i samarbejdsordningen om fastlæggelse af samarbejdsforbindelser mellem det newzealandske politi og Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Working Arrangement establishing cooperative relations between New Zealand Police and the European Union Agency for Law Enforcement Cooperation).
ARTIKEL 22
Administrativ gennemførelsesordning
De nærmere bestemmelser for samarbejdet mellem de kontraherende parter i det omfang, det er relevant for gennemførelsen af denne aftale, fastlægges i en administrativ gennemførelsesordning, der indgås mellem Europol og New Zealands kompetente myndigheder i overensstemmelse med Europolforordningen.
ARTIKEL 23
Administrativ ordning om fortrolighed
Hvor det er nødvendigt i henhold til denne aftale, reguleres udvekslingen af EU-klassificerede oplysninger af en administrativ ordning om fortrolighed, der indgås mellem Europol og New Zealands kompetente myndigheder.
ARTIKEL 24
Nationalt kontaktpunkt og forbindelsesofficerer
1.   New Zealand udpeger et nationalt kontaktpunkt, der skal fungere som det fælles kontaktpunkt mellem Europol og de kompetente myndigheder i New Zealand. Det nationale kontaktpunkts særlige opgaver anføres i den administrative gennemførelsesordning, jf. artikel 22. Det nationale kontaktpunkt, der er udpeget for New Zealand, er anført i bilag IV.
2.   Europol og New Zealand styrker deres samarbejde som fastsat i denne aftale gennem New Zealands udsendelse af en eller flere forbindelsesofficerer. Europol kan udsende en eller flere forbindelsesofficerer til indsættelse i New Zealand.
ARTIKEL 25
Udgifter
De kontraherende parter sørger for, at de kompetente myndigheder afholder deres egne udgifter i forbindelse med gennemførelsen af denne aftale, medmindre andet er fastsat i denne aftale eller i den administrative gennemførelsesordning, jf. artikel 22.
ARTIKEL 26
Meddelelse om gennemførelse
1.   Hver kontraherende part henstiller til sine kompetente myndigheder, at de offentliggør et dokument, hvori der på forståelig vis redegøres for bestemmelserne om behandling af personoplysninger, der videregives i overensstemmelse med denne aftale, herunder hvilke midler der står til rådighed for de registreredes udøvelse af deres rettigheder. Hver kontraherende part sørger for, at den anden kontraherende part får tilsendt en kopi af dette dokument.
2.   De kompetente myndigheder vedtager, hvis der ikke allerede findes sådanne, regler om, hvordan overholdelsen af bestemmelserne om behandling af personoplysninger, der videregives i henhold til denne aftale, vil blive håndhævet i praksis. En kopi af disse regler meddeles den anden kontraherende part og de respektive tilsynsmyndigheder.
ARTIKEL 27
Ikrafttrædelse og anvendelse
1.
Denne aftale skal godkendes af de kontraherende parter i overensstemmelse med deres egne procedurer.
2.
Denne aftale træder i kraft på datoen for modtagelsen af den sidste skriftlige meddelelse, hvorved de kontraherende parter via diplomatiske kanaler har meddelt hinanden, at de i stk. 1 omhandlede procedurer er afsluttet.
3.
Denne aftale finder anvendelse fra den første dag efter den dato, hvor alle de følgende betingelser er opfyldt:
a)
Den administrative gennemførelsesordning, jf. artikel 22, finder anvendelse og
b)
de kontraherende parter har meddelt hinanden, at de forpligtelser, der er fastsat i denne aftale, er blevet gennemført, herunder dem, som er fastsat i artikel 26, og at sådan meddelelse er accepteret.
4.   De kontraherende parter udveksler via diplomatiske kanaler skriftlige meddelelser, der bekræfter, at betingelserne i stk. 3 er opfyldt.
ARTIKEL 28
Ændringer og tillæg
1.   Denne aftale kan til enhver tid ændres skriftligt efter gensidigt samtykke mellem de kontraherende parter ved skriftlig meddelelse, der udveksles via diplomatiske kanaler. Ændringerne til denne aftale træder i kraft efter den retlige procedure som fastsat i artikel 27, stk. 1 og 2.
2.   Bilagene til denne aftale kan om nødvendigt ajourføres ved udveksling af diplomatiske noter. Sådanne ajourføringer træder i kraft efter den retlige procedure som fastsat i artikel 27, stk. 1 og 2.
3.   De kontraherende parter indleder konsultationer om ændring af denne aftale eller bilagene hertil på anmodning af en af de kontraherende parter.
ARTIKEL 29
Gennemgang og evaluering
1.   De kontraherende parter evaluerer i fællesskab gennemførelsen af denne aftale et år efter dens ikrafttræden og derefter med regelmæssige mellemrum, og derudover, hvis en af de kontraherende parter anmoder herom, og parterne i fællesskab træffer afgørelse herom.
2.   De kontraherende parter evaluerer i fællesskab denne aftale fire år efter datoen for dens anvendelse.
3.   De kontraherende parter træffer på forhånd afgørelse om de nærmere bestemmelser for evaluering af denne aftales gennemførelse og meddeler hinanden sammensætningen af deres respektive hold. Holdene skal omfatte relevante eksperter inden for databeskyttelse og retshåndhævelse. Med forbehold af gældende lovgivning kræves det, at enhver, der deltager i en evaluering, respekterer tavshedspligten vedrørende drøftelserne og har den fornødne sikkerhedsgodkendelse. Med henblik på enhver evaluering sikrer Unionen og New Zealand adgang til relevant dokumentation, relevante systemer og relevant personale.
ARTIKEL 30
Territorial anvendelse
1.   Denne aftale finder anvendelse på det område, hvor og i det omfang TEU og TEUF finder anvendelse, samt på New Zealands område.
2.   Denne aftale finder kun anvendelse på Danmarks område, hvis Unionen skriftligt meddeler New Zealand, at Danmark har valgt at være bundet af aftalen.
3.   Hvis Unionen inden datoen for ikrafttrædelsen af denne aftale meddeler New Zealand, at denne aftalen vil finde anvendelse på Danmarks område, finder den anvendelse på Danmarks område samme dag, som den finder anvendelse på de øvrige EU-medlemsstater.
4.   Hvis Unionen efter ikrafttrædelsen af denne aftale meddeler New Zealand, at denne aftale finder anvendelse på Danmarks område, finder aftalen anvendelse på Danmarks område 30 dage efter datoen for en sådan meddelelse.
ARTIKEL 31
Denne aftale er udfærdiget i to eksemplarer på bulgarsk, dansk, engelsk, estisk, finsk, fransk, græsk, irsk, italiensk, kroatisk, lettisk, litauisk, maltesisk, nederlandsk, polsk, portugisisk, rumænsk, slovakisk, slovensk, spansk, svensk, tjekkisk, tysk og ungarsk, idet hver af disse tekster har samme gyldighed.
TIL BEKRÆFTELSE HERAF har undertegnede befuldmægtigede, behørigt bemyndigede i så henseende, undertegnet denne aftale.
Съставено в Брюксел на тридесети юни две хиляди двадесет и втора година.
Hecho en Bruselas, el treinta de junio de dos mil veintidós.
V Bruselu dne třicátého června dva tisíce dvacet dva.
Udfærdiget i Bruxelles den tredivte juni to tusind og toogtyve.
Geschehen zu Brüssel am dreißigsten Juni zweitausendzweiundzwanzig.
Kahe tuhande kahekümne teise aasta juunikuu kolmekümnendal päeval Brüsselis.
Έγινε στις Βρυξέλλες, στις τριάντα Ιουνίου δύο χιλιάδες είκοσι δύο.
Done at Brussels on the thirtieth day of June in the year two thousand and twenty two.
Fait à Bruxelles, le trente juin deux mille vingt-deux.
Arna dhéanamh sa Bhruiséil, an tríochadú lá de Mheitheamh sa bhliain dhá mhíle fiche agus a dó.
Sastavljeno u Bruxellesu tridesetog lipnja godine dvije tisuće dvadeset druge.
Fatto a Bruxelles, addì trenta giugno duemilaventidue.
Briselē, divi tūkstoši divdesmit otrā gada trīsdesmitajā jūnijā.
Priimta du tūkstančiai dvidešimt antrų metų birželio trisdešimtą dieną Briuselyje.
Kelt Brüsszelben, a kétezer-huszonkettedik év június havának harmincadik napján.
Magħmul fi Brussell, fit-tletin jum ta’ Ġunju fis-sena elfejn u tnejn u għoxrin.
Gedaan te Brussel, dertig juni tweeduizend tweeëntwintig.
Sporządzono w Brukseli dnia trzydziestego czerwca roku dwa tysiące dwudziestego drugiego.
Feito em Bruxelas, em trinta de junho de dois mil e vinte e dois.
Întocmit la Bruxelles la treizeci iunie două mii douăzeci și doi.
V Bruseli tridsiateho júna dvetisícdvadsaťdva.
V Bruslju, tridesetega junija dva tisoč dvaindvajset.
Tehty Brysselissä kolmantenakymmenentenä päivänä kesäkuuta vuonna kaksituhattakaksikymmentäkaksi.
Som skedde i Bryssel den trettionde juni år tjugohundratjugotvå.
(
1
)
  Europa-Parlamentets og Rådets forordning (EU) 2016/794 af 11. maj 2016 om Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol) og om erstatning og ophævelse af Rådets afgørelse 2009/371/RIA, 2009/934/RIA, 2009/935/RIA, 2009/936/RIA og 2009/968/RIA (
EUT L 135 af 24.5.2016, s. 53
).
BILAG I
KRIMINALITETSOMRÅDER
Strafbare handlinger er:
—
terrorisme
—
organiseret kriminalitet
—
narkotikahandel
—
hvidvask af penge
—
kriminalitet i forbindelse med nukleare og radioaktive materialer
—
menneskesmugling
—
menneskehandel
—
kriminalitet i forbindelse med motorkøretøjer
—
manddrab, grov legemsbeskadigelse
—
ulovlig handel med menneskeorganer og -væv
—
bortførelse, frihedsberøvelse og gidseltagning
—
racisme og fremmedhad
—
røveri og tyveri af særlig grov beskaffenhed
—
ulovlig handel med kulturgenstande, herunder antikviteter og kunstgenstande
—
underslæb og bedrageri
—
kriminalitet, der skader Unionens finansielle interesser
—
insiderhandel og kursmanipulation på finansmarkederne
—
afkrævning af beskyttelsespenge og pengeafpresning
—
efterligninger og fremstilling af piratudgaver af produkter
—
forfalskning af officielle dokumenter og ulovlig handel med disse
—
falskmøntneri, forfalskning af betalingsmidler
—
cyberkriminalitet
—
korruption
—
ulovlig handel med våben, ammunition og eksplosive stoffer
—
ulovlig handel med truede dyrearter
—
ulovlig handel med truede plantearter og -sorter
—
miljøkriminalitet, herunder forurening fra skibe
—
ulovlig handel med hormonpræparater og andre vækstfremmende stoffer
—
seksuelt misbrug og seksuel udnyttelse, herunder materiale, der viser misbrug af børn, og hvervning af børn til seksuelle formål
—
folkedrab, forbrydelser mod menneskeheden og krigsforbrydelser.
De former for kriminalitet, der er omhandlet i dette bilag, vurderes af de kompetente myndigheder i New Zealand i overensstemmelse med New Zealands lovgivning.
BILAG II
KOMPETENTE MYNDIGHEDER I NEW ZEALAND OG DERES KOMPETENCER
Kompetente myndigheder i New Zealand, som Europol kan videregive personoplysninger til:
Det newzealandske politi (som New Zealands øverste kompetente myndighed)
New Zealand Customs Service (New Zealands toldmyndigheder)
New Zealand Immigration Service (New Zealands immigrationsmyndighed)
BILAG III
LISTE OVER EU-ORGANER
Missioner/operationer under den fælles sikkerheds- og forsvarspolitik, begrænset til retshåndhævelsesaktiviteter
Det Europæiske Kontor for Bekæmpelse af Svig (OLAF)
Det Europæiske Agentur for Grænse- og Kystbevogtning (Frontex)
Den Europæiske Centralbank (ECB)
Den Europæiske Anklagemyndighed (EPPO)
Den Europæiske Unions Agentur for Strafferetligt Samarbejde (Eurojust)
Den Europæiske Unions Kontor for Intellektuel Ejendomsret (EUIPO)
BILAG IV
NATIONALT KONTAKTPUNKT
Det nationale kontaktpunkt for New Zealand, der skal fungere som det fælles kontaktpunkt mellem Europol og de kompetente myndigheder i New Zealand, er
Det newzealandske politi
New Zealand har pligt til at underrette Europol, hvis det nationale kontaktpunkt for New Zealand ændres.

Summary:
Aftale mellem EU og New Zealand om udveksling af personoplysninger
RESUMÉ AF:
Aftale mellem Den Europæiske Union og New Zealand om udveksling af personoplysninger mellem Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol) og New Zealands kompetente myndigheder for bekæmpelse af grov kriminalitet og terrorisme
Afgørelse (EU) 2022/1090 om undertegnelse af aftalen mellem Den Europæiske Union og New Zealand om udveksling af personoplysninger mellem Europol og myndighederne i New Zealand
Afgørelse (EU) 2023/368 om indgåelse af aftalen mellem Den Europæiske Union og New Zealand om udveksling af personoplysninger mellem Europol og myndighederne i New Zealand
HVAD ER FORMÅLET MED AFTALEN OG AFGØRELSERNE?
Aftalen fastsætter regler for, hvordan personoplysninger kan overføres mellem 
Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde
 (Europol) og de retshåndhævende myndigheder i New Zealand (politi, toldvæsen og immigrationstjeneste) med henblik på at:
støtte og styrke samarbejdet om forebyggelse og bekæmpelse af grov kriminalitet
 og terrorisme af begge parters kompetente myndigheder
beskytte menneskerettigheder og individuelle frihedsrettigheder
, herunder retten til privatlivets fred og 
databeskyttelse
.
Afgørelserne markerer Den 
Europæiske Union
s (EU) undertegnelse og indgåelse af aftalen med New Zealand.
HOVEDPUNKTER
Personoplysninger i henhold til denne aftale må kun anvendes til at forebygge, efterforske, afsløre eller retsforfølge lovovertrædelser eller til at fuldbyrde sanktioner. Myndighederne skal angive de formål, hvortil dataene overføres. Dataene skal:
være tilstrækkelige, relevante og behandles rimeligt og lovligt
være korrekte, ajourførte og kunne rettes eller slettes uden forsinkelse
opbevares i en form, der ikke længere identificerer enkeltpersoner i den udstrækning, det er nødvendigt til det anførte formål
behandles på en måde, der sikrer passende sikkerhed af personoplysninger.
Aftalens vilkår omfatter:
særlige kategorier af personoplysninger og forskellige kategorier af registrerede
, såsom ofre for en forbrydelse, vidner eller personer under 18 år
særlige beskyttelsesforanstaltninger for automatiseret behandling
 af personoplysninger
vejledning om den videre overførsel af
 personoplysninger
behovet for at vurdere kildens pålidelighed og oplysningernes nøjagtighed
retten til adgang til
 og til at sikre, at den registrerede har ret til information om, hvorvidt vedkommendes personoplysninger behandles i henhold til aftalen
retten til at rette, slette og begrænse oplysninger
, der sikrer, at fysiske personer har ret til at anmode de kompetente myndigheder om at rette urigtige personoplysninger, der overføres i henhold til aftalen
indberetning af brud på datasikkerheden
:
Sikring af, at de respektive 
myndigheder underretter hinanden samt deres tilsynsmyndighed
 og afbøder eventuelle negative virkninger
straks at kommunikere med den registrerede
, hvis brud på persondatasikkerheden sandsynligvis vil få en alvorlig negativ indvirkning på deres 
grundlæggende rettigheder
 og frihedsrettigheder
vejledning i lagring, gennemgang, rettelse og sletning
 af personoplysninger
føre logbøger
 over indsamling, ændring, adgang, videregivelse, viderespredning, kombination og sletning af personoplysninger
gennemførelse af tekniske og organisatoriske foranstaltninger
 til beskyttelse af personoplysninger
uafhængige tilsynsmyndigheder
, der sikrer databeskyttelse og beskyttelse af grundlæggende rettigheder og frihedsrettigheder
administrative og retslige klagemuligheder i forbindelse med krænkelse
 af aftalens rettigheder og garantier
tvistbilæggelse
, der omfatter konsultationer og forhandlinger mellem repræsentanter for EU og New Zealand med henblik på at nå en gensidigt forståelig løsning
nationale kontaktpunkter og forbindelsesofficerer
.
De berørte EU-organer er:
Missioner/operationer under 
Den fælles sikkerheds- og forsvarspolitik
 (FSFP), der udelukkende vedrører retshåndhævelse
Det Europæiske Kontor for Bekæmpelse af Svig (OLAF)
;
Det Europæiske Agentur for Grænse- og Kystbevogtning (Frontex)
;
Den Europæiske Centralbank (ECB)
;
Den Europæiske Anklagemyndighed (EPPO)
Den Europæiske Unions Agentur for Strafferetligt Samarbejde (Eurojust)
Den Europæiske Unions Kontor for Intellektuel Ejendomsret (EUIPO)
.
IKRAFTTRÆDELSESDATO
Aftalen træder i kraft på datoen for modtagelsen af den sidste skriftlige meddelelse, hvorved de kontraherende parter ved hjælp af diplomatiske kanaler har meddelt hinanden, at deres respektive godkendelsesprocedurer er gennemført.
Aftalen træder i kraft den første dag efter den dato, hvor følgende betingelser er opfyldt:
den administrative ordning, der er fastsat i denne forordning, træder i kraft, og
de kontraherende parter giver hinanden meddelelse om, at de forpligtelser, der er fastsat heri, er blevet gennemført, og at sådanne meddelelser er accepteret.
BAGGRUND
For yderligere oplysninger henvises til:
Databeskyttelse i EU
 (Europa-Kommissionen).
HOVEDDOKUMENTER
Aftale
 mellem Den Europæiske Union på den ene side og New Zealand på den anden side om udveksling af personoplysninger mellem Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol) og New Zealands kompetente myndigheder for bekæmpelse af grov kriminalitet og terrorisme (EUT L 51 af 
20.2.2023
, 
s. 4-22
).
Rådets afgørelse (EU) 
2022/1090
 af 
27. juni 2022
 om undertegnelse på Unionens vegne af aftalen mellem Den Europæiske Union på den ene side og New Zealand på den anden side om udveksling af personoplysninger mellem Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol) og New Zealands kompetente myndigheder for bekæmpelse af grov kriminalitet og terrorisme (EUT L 176 af 
1.7.2022
, 
s. 3-4
).
Rådets afgørelse (EU) 
2023/368
 af 
14. februar 2023
 om indgåelse af aftalen mellem Den Europæiske Union på den ene side og New Zealand på den anden side om udveksling af personoplysninger mellem Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol) og New Zealands kompetente myndigheder for bekæmpelse af grov kriminalitet og terrorisme (EUT L 51 af 
20.2.2023
, 
s. 1-3
).
TILHØRENDE DOKUMENTER
Meddelelse fra Kommissionen til Europa-Parlamentet og Rådet om udveksling og beskyttelse af personoplysninger i en globaliseret verden (
COM(2017) 7 final
, 
10.1.2017
).
seneste ajourføring 
3.4.2023