Het Europees Parlement, – gezien het Handvest van de grondrechten van de Europese Unie (het “Handvest”), en met name de artikelen 7, 8, 16, 47 en 52, – gezien het arrest van het Hof van Justitie van de Europese Unie (HvJ-EU) van 16 juli 2020 in zaak C-311/18, Data Protection Commissioner/Facebook Ireland Limited, Maximillian Schrems (Schrems II-arrest), (1) – gezien het arrest van het HvJ-EU van 6 oktober 2015 in zaak C-362/14, Maximillian Schrems/Data Protection Commissioner (Schrems I-arrest) (2) , – gezien het arrest van het HvJ-EU van 6 oktober 2020 in zaak C-623/17, Privacy International/Secretary of State for Foreign and Commonwealth Affairs (3) , – gezien zijn resolutie van 12 maart 2014 over het surveillanceprogramma van de NSA in de VS, toezichthoudende instanties in verschillende lidstaten en gevolgen voor de grondrechten van EU-burgers en voor de trans-Atlantische samenwerking op het gebied van justitie en binnenlandse zaken (4) , – gezien zijn resolutie van 5 juli 2018 over de gepastheid van de door het EU-VS-privacyschild geboden bescherming (5) , – gezien zijn resolutie van 25 oktober 2018 over het gebruik van gegevens van Facebookgebruikers door Cambridge Analytica en gevolgen voor de gegevensbescherming (6) , – gezien zijn resolutie van 20 mei 2021 over de uitspraak van het HvJ-EU van 16 juli 2020 – Data Protection Commissioner/Facebook Ireland Limited, Maximilian Schrems (“Schrems II”), Zaak C-311/18 (7) , – gezien zijn resolutie van 26 november 2020 over de toetsing van het handelsbeleid van de EU (8) , – gezien de handels- en samenwerkingsovereenkomst van 31 december 2020 tussen de Europese Unie en de Europese Gemeenschap voor Atoomenergie, enerzijds, en het Verenigd Koninkrijk van Groot-Brittannië en Noord-Ierland, anderzijds (9) , – gezien zijn resolutie van 28 april 2021 over het resultaat van de onderhandelingen tussen de EU en het VK (10) , – gezien Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (algemene verordening gegevensbescherming) (11) (AVG), – gezien Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens (12) (richtlijn gegevensbescherming bij rechtshandhaving), – gezien Richtlĳn 2002/58/EG van het Europees Parlement en de Raad van 12 juli 2002 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlĳke levenssfeer in de sector elektronische communicatie (13) , – gezien het voorstel van de Commissie van 10 januari 2017 voor een verordening van het Europees Parlement en de Raad met betrekking tot de eerbiediging van het privéleven en de bescherming van persoonsgegevens in elektronische communicatie ( COM(2017)0010 ) en het standpunt van het Europees Parlement van 20 oktober 2017 hierover (14) , – gezien de aanbevelingen van het Europees Comité voor gegevensbescherming (EDPB), met inbegrip van zijn verklaring van 9 maart 2021 over de e-privacyverordening en zijn aanbevelingen 01/2020 van 10 november 2020 inzake maatregelen ter aanvulling op doorgifte-instrumenten teneinde naleving van het beschermingsniveau van persoonsgegevens in de Unie te waarborgen, – gezien de adequaatheidsreferentie die op 6 februari 2018 is vastgesteld door de Groep gegevensbescherming artikel 29 en die door het EDPB is goedgekeurd, – gezien de aanbevelingen 01/2021 van het EDPB van 2 februari 2021 over de adequaatheidsreferentie in het kader van de richtlijn gegevensbescherming bij rechtshandhaving, – gezien de ontwerpadequaatheidsbesluiten die de Commissie op 19 februari 2021 heeft gepubliceerd, een op grond van de AVG (15) en de andere op grond van de richtlijn gegevensbescherming bij rechtshandhaving (16) , – gezien de adviezen 14/2021 en 15/2021 van het EDPB van 13 april 2021 inzake het ontwerp van uitvoeringsbesluit van de Europese Commissie overeenkomstig Richtlijn (EU) 2016/680 betreffende de adequate bescherming van persoonsgegevens in het Verenigd Koninkrijk, – gezien het Europees Verdrag voor de rechten van de mens (EVRM) en het Verdrag van de Raad van Europa tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens, alsmede het protocol tot wijziging daarvan (“Verdrag nr. 108+”), waarbij het VK partij is, – gezien Verordening (EU) nr. 182/2011 van het Europees Parlement en de Raad van 16 februari 2011 tot vaststelling van de algemene voorschriften en beginselen die van toepassing zijn op de wijze waarop de lidstaten de uitoefening van de uitvoeringsbevoegdheden door de Commissie controleren, – gezien artikel 132, lid 2, van zijn Reglement, – gezien de ontwerpresolutie van de Commissie burgerlijke vrijheden, justitie en binnenlandse zaken, A. overwegende dat de mogelijkheid tot grensoverschrijdende doorgifte van persoonsgegevens een belangrijke aanjager van innovatie, productiviteit en economisch concurrentievermogen kan zijn, en van het allergrootste belang is voor een doeltreffende samenwerking op het gebied van de bestrijding van grensoverschrijdende georganiseerde en zware misdaad en de bestrijding van terrorisme, in het kader waarvan steeds meer gebruikgemaakt wordt van de uitwisseling van persoonsgegevens; B. overwegende dat het HvJ-EU er in zijn Schrems I-arrest op heeft gewezen dat ongedifferentieerde toegang van inlichtingendiensten tot de inhoud van elektronische communicatie beschouwd moet worden als een aantasting van de wezenlijke inhoud van het recht op vertrouwelijkheid van communicatie, zoals door artikel 7 van het Handvest gewaarborgd, en dat de Verenigde Staten niet voorzien in voldoende rechtsmiddelen voor niet-Amerikanen tegen grootschalige surveillance, hetgeen in strijd is met artikel 47 van het Handvest; C. overwegende dat het VK van oudsher een belangrijke handelspartner van vele EU-lidstaten en een nauwe bondgenoot op veiligheidsgebied is; overwegende dat de EU en het VK deze nauwe samenwerking ondanks de terugtrekking van het VK uit de EU moeten voortzetten, aangezien dat gunstig is voor beide partijen; D. overwegende dat Europese ondernemingen behoefte hebben aan juridische duidelijkheid en rechtszekerheid, aangezien de mogelijkheid van grensoverschrijdende doorgifte van persoonsgegevens steeds belangrijker is geworden voor allerlei soorten ondernemingen die internationaal goederen en diensten leveren; overwegende dat een adequaatheidsbesluit voor het VK in het kader van de AVG van het allergrootste belang is aangezien veel Europese ondernemingen handel drijven met het VK, met name omdat de brexit nog maar kort geleden heeft plaatsgevonden en de gegevensstromen binnen de Unie niet aan beperkingen onderworpen zijn; overwegende dat het uitblijven van een robuust adequaatheidskader kan leiden tot verstoringen in de commerciële grensoverschrijdende doorgifte van persoonsgegevens tussen de EU en het VK, alsmede tot hoge nalevingskosten; E. overwegende dat de handels- en samenwerkingsovereenkomst (TCA) een aantal waarborgen en voorwaarden omvat voor de uitwisseling van relevante persoonsgegevens in de context van rechtshandhaving; overwegende dat de onderhandelingen over het verkeer van persoonsgegevens gelijktijdig met de onderhandelingen over de TCA werden gevoerd, maar aan het eind van de overgangsperiode op 31 december 2020 nog niet waren afgerond; overwegende dat er in de TCA als tussentijdse oplossing een overbruggingsclausule werd opgenomen om de voortzetting van het verkeer van persoonsgegevens tussen het VK en de EU te waarborgen totdat er een adequaatheidsbesluit is genomen, waarbij als voorwaarde geldt dat het VK zijn toezegging om zijn geldende rechtskader inzake gegevensbescherming niet te zullen wijzigen gestand doet; overwegende dat de aanvankelijke termijn van vier maanden inmiddels is verlengd en eind juni 2021 zal verstrijken; F. overwegende dat de beoordeling die de Commissie heeft verricht alvorens zij haar ontwerpuitvoeringsbesluit voorstelde onvolledig is en niet voldoet aan de vereisten van het HvJ-EU inzake beoordelingen van de adequaatheid, hetgeen door het EDPB reeds werd aangegeven in zijn adviezen inzake de gepastheid van de geboden bescherming, waarin het de Commissie de aanbeveling deed om bepaalde aspecten van de wetgeving van het VK of de praktijk inzake het grootschalig verzamelen van gegevens, het verstrekken van informatie aan het buitenland en internationale overeenkomsten op het gebied van de uitwisseling van inlichtingen, het verder gebruiken van voor rechtshandhavingsdoeleinden verzamelde informatie en de onafhankelijkheid van zogeheten “judicial commissioners” aan een nader onderzoek te onderwerpen; G. overwegende dat bepaalde aspecten van de wetgeving en/of de praktijk van het VK door de Commissie buiten beschouwing zijn gelaten, waardoor ontwerpuitvoeringsbesluiten zijn opgesteld die niet stroken met het Unierecht; overwegende dat in artikel 45 van de AVG wordt bepaald dat de Commissie bij de beoordeling van de vraag of het beschermingsniveau adequaat is, met name rekening houdt met: “de toepasselijke algemene en sectorale wetgeving, onder meer inzake openbare veiligheid, defensie, nationale veiligheid en strafrecht en de toegang van overheidsinstanties tot persoonsgegevens, evenals de tenuitvoerlegging van die wetgeving, gegevensbeschermingsregels, beroepsregels en veiligheidsmaatregelen, met inbegrip van regels voor de verdere doorgifte van persoonsgegevens aan een ander derde land of een andere internationale organisatie die in dat land of die internationale organisatie worden nageleefd, precedenten in de rechtspraak”, alsmede “de internationale toezeggingen die het derde land of de internationale organisatie in kwestie heeft gedaan, of andere verplichtingen die voortvloeien uit juridisch bindende overeenkomsten of instrumenten, alsmede uit de deelname van dat derde land of die internationale organisatie aan multilaterale of regionale regelingen, in het bijzonder met betrekking tot de bescherming van persoonsgegevens”, met inbegrip van internationale overeenkomsten op andere gebieden in verband met de toegang tot gegevens of het delen van informatie, en dat die internationale overeenkomsten derhalve moeten worden getoetst; H. overwegende dat het HvJ-EU in zijn Schrems I-arrest duidelijk stelt dat “de Commissie bij het onderzoek van het door een derde land geboden beschermingsniveau verplicht [is] om de inhoud van de in dat land toepasselijke regels, zoals die blijken uit de nationale wetgeving of de internationale verbintenissen, te beoordelen alsook de praktijk waarmee voor naleving van die regels wordt gezorgd, waarbij deze instelling overeenkomstig artikel 25, lid 2, van richtlijn 95/46/EG alle omstandigheden die op de doorgifte van persoonsgegevens naar dat derde land van invloed zijn, in aanmerking moet nemen” (paragraaf 75); I. overwegende dat de activiteiten van inlichtingendiensten en het delen van inlichtingen met derde landen volgens de Verdragen buiten de werkingssfeer van het EU-recht vallen waar het om de lidstaten gaat, maar wel het voorwerp zijn van de noodzakelijke toetsing van de adequaatheid van het door derde landen geboden beschermingsniveau inzake persoonsgegevens, zoals bevestigd door het HvJ-EU in het Schrems I- en het Schrems II-arrest; J. overwegende dat voor het niveau van de gegevensbescherming niet alleen de geldende wetgeving bepalend is, maar ook hoe die wetgeving in de praktijk wordt toegepast, en overwegende dat de Commissie bij het opstellen van haar besluit uitsluitend de wetgeving heeft beoordeeld, maar niet gekeken heeft hoe die wetgeving daadwerkelijk in de praktijk wordt toegepast; K. overwegende dat de Commissie momenteel twaalf derde landen erkent als landen die passende bescherming bieden in het kader van de AVG en onlangs in dit kader besprekingen heeft afgerond met de Republiek Korea; overwegende dat het VK het eerste land is met betrekking waartoe de Commissie voorstelt een adequaatheidsbesluit toe te kennen in het kader van de richtlijn gegevensbescherming bij rechtshandhaving; L. overwegende dat het geval van het VK anders is dan alle eerdere adequaatheidsbeoordelingen aangezien het bij het VK gaat om een voormalige EU-lidstaat die de bepalingen van de AVG volledig in nationale wetgeving heeft omgezet en bovendien heeft bepaald dat alle aan de EU ontleende binnenlandse wetgeving, waaronder de wetgeving tot omzetting van de richtlijn gegevensbescherming bij rechtshandhaving, na afloop van de overgangsperiode van kracht blijft; I. ALGEMENE VERORDENING GEGEVENSBESCHERMING Algemene opmerkingen 1. merkt op dat het VK het EVRM en het Verdrag van de Raad van Europa tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens heeft ondertekend; verwacht van het VK dat het hetzelfde minimumkader voor gegevensbescherming waarborgt, ondanks het feit dat het de Europese Unie heeft verlaten; 2. is ingenomen met de toezegging van het VK om de democratie en de rechtsstaat te eerbiedigen, en de grondrechten, zoals die onder meer in het EVRM zijn vastgelegd, te beschermen en in het eigen rechtsstelsel te integreren, en onder meer te zorgen voor een hoog niveau van gegevensbescherming; benadrukt dat dit een noodzakelijke voorwaarde is voor de samenwerking van de EU met het VK; herinnert eraan dat ondanks het feit dat artikel 8 van het EVRM inzake het recht op privacy via de Human Rights Act 1998 deel uitmaakt van het nationale recht van het VK en via de nieuwe onrechtmatige daad van misbruik van privégegevens deel uitmaakt van de common law, de inspanningen om een grondrecht op gegevensbescherming vast te stellen door de regering werden verworpen; 3. wijst erop dat de EU gekozen heeft voor een op mensenrechten gebaseerde benadering van gegevensbeheer door in het kader van de AVG te voorzien in robuuste gegevensbeschermingsregels, en is derhalve uiterst bezorgd over de publieke verklaringen van de premier van het VK waaruit blijkt dat het VK wenst af te wijken van de gegevensbeschermingsregels van de EU en zijn eigen soevereine controles op dit gebied zal instellen; is van mening dat de nationale datastrategie 2020 van het VK een verschuiving inhoudt van de bescherming van persoonsgegevens naar een ruimer gebruik en het op ruimere schaal delen van gegevens, hetgeen onverenigbaar is met de beginselen van behoorlijkheid, minimale gegevensverwerking en doelbinding als bedoeld in de AVG; merkt op dat het EDPB in zijn adviezen inzake de gepastheid van de geboden bescherming benadrukt dat dit mogelijke risico’s kan opleveren bij de bescherming van persoonsgegevens die vanuit de EU worden doorgegeven; 4. wijst erop dat geldige adequaatheidsbesluiten een belangrijke bijdrage leveren aan de bescherming van de grondrechten van personen en aan de rechtszekerheid voor bedrijven; wijst erop dat adequaatheidsbesluiten die gebaseerd zijn op onvolledige beoordelingen en die niet naar behoren door de Commissie worden gehandhaafd het tegenovergestelde effect kunnen hebben als ze voor de rechter worden aangevochten; 5. wijst erop dat de beoordeling die de Commissie heeft verricht alvorens zij haar ontwerpuitvoeringsbesluit voorstelde onvolledig is en niet voldoet aan de vereisten van het HvJ-EU inzake beoordelingen van de adequaatheid, hetgeen door het EDPB reeds werd aangegeven in zijn adviezen inzake de gepastheid van de geboden bescherming, waarin het de Commissie de aanbeveling deed om bepaalde aspecten van de wetgeving van het VK en de praktijk inzake het grootschalig verzamelen van gegevens, het verstrekken van informatie aan het buitenland en internationale overeenkomsten op het gebied van de uitwisseling van inlichtingen, het verder gebruiken van voor rechtshandhavingsdoeleinden verzamelde informatie en de onafhankelijkheid van zogeheten “judicial commissioners” aan een nader onderzoek te onderwerpen; Handhaving van de AVG 6. ziet het als een slecht teken dat het VK, toen het nog lid was van de EU de AVG ook al op gebrekkige wijze en vaak zelfs helemaal niet handhaafde; wijst met name op het gebrek aan behoorlijke handhaving door de gegevensbeschermingsautoriteit van het VK (Information Commissioner’s Office, ICO) in het verleden; illustreert dit door erop te wijzen dat de ICO de behandeling van een klacht over de adtech-sector afsloot na het organiseren van twee bijeenkomsten met belanghebbenden en het opstellen van een rapport (“Update Report on Adtech”) waarin zij verklaarde dat de adtech-sector vooralsnog een gebrekkig begrip lijkt te hebben van de gegevensbeschermingsvereisten, maar vervolgens geen gebruikmaakte van haar handhavingsbevoegdheden (17) ; is bezorgd over het feit dat niet-handhaving een structureel probleem is, hetgeen volgt uit het beleidsdocument “Regulatory Action Policy” van de ICO, waarin uitdrukkelijk wordt gesteld dat zij in beginsel alleen met betrekking tot de ernstigste gevallen, waarin sprake is van zeer ernstige niet-naleving van de verplichtingen inzake informatierechten (gevallen van opzettelijk of doelbewust handelen, nalatigheid of herhaalde inbreuken op de verplichtingen inzake informatierechten, waardoor individuen nadeel of schade wordt berokkend) gebruik zal maken van haar bevoegdheden; benadrukt dat dit er in de praktijk toe heeft geleid dat er tegen zeer veel inbreuken op de wetgeving inzake gegevensbescherming in het VK niet is opgetreden; 7. neemt kennis van de nationale datastrategie van het VK, zoals bijgewerkt op 9 december 2020, waaruit kan worden afgeleid dat er een verschuiving zal plaatsvinden van de bescherming van persoonsgegevens naar een ruimer gebruik en het op ruimere schaal delen van gegevens; wijst erop dat het standpunt dat in de strategie wordt verkondigd dat het niet-vrijgeven van gegevens nadelig kan zijn voor de samenleving, onverenigbaar is met de beginselen van behoorlijkheid, minimale gegevensverwerking en doelbinding als bedoeld in de AVG en het primair recht; 8. neemt er kennis van dat de Commissie constitutionele zaken in 2004 (18) en de Commissie openbaar bestuur van het Britse parlement in 2014 (19) de aanbeveling hebben gedaan de onafhankelijkheid van de ICO te waarborgen door de ICO-commissaris tot functionaris van het parlement te maken die verslag moet uitbrengen aan het parlement, en de ICO-commissaris niet langer te laten benoemen door de minister voor Digitale Media en Sport; betreurt dat deze aanbeveling niet is opgevolgd; Verwerking van persoonsgegevens voor immigratiecontrole 9. merkt op dat de gegevensbeschermingswetgeving van het VK voorziet in een mogelijkheid om af te wijken van bepaalde aspecten van de grondbeginselen en -rechten inzake gegevensbescherming, bijvoorbeeld met betrekking tot het recht op toegang tot gegevens en het recht van de betrokkene om te weten met wie zijn gegevens zijn gedeeld, als de eerbiediging van het recht op gegevensbescherming “in de weg zou staan aan een doeltreffende immigratiecontrole”; benadrukt dat het toezicht op en de naleving van de regels inzake het gebruik van de mogelijkheid tot afwijking moeten voldoen aan de normen van de adequaatheidsreferentie, waarin staat dat gekeken moet worden naar zowel de praktijk als de beginselen door erop te wijzen dat “er [...] dus niet alleen [moet] worden gekeken naar de inhoud van de toepasselijke regelgeving voor de doorgifte van persoonsgegevens aan een derde land [...], maar ook naar het systeem waarmee de doeltreffendheid van deze regelgeving wordt gewaarborgd”; onderkent dat deze mogelijkheid tot afwijking, die voor alle verwerkingsverantwoordelijken in het VK geldt, door de ICO en door de rechter is goedgekeurd, en alleen per geval en op noodzakelijke en evenredige wijze kan worden toegepast; herinnert aan recentelijk naar buiten gebrachte informatie dat er tussen 1 april 2018 en 31 maart 2019 bij het Ministerie van Binnenlandse Zaken 17 780 verzoeken om toegang tot gegevens zijn ingediend in verband met de verwerking van gegevens van 146,75 miljoen betrokkenen en dat er in 2020 bij meer dan 70 % van de verzoeken van betrokkenen aan het Ministerie van Binnenlandse Zaken gebruik is gemaakt van de mogelijkheid tot afwijking van aspecten van de gegevensbeschermingswetgeving in het kader van immigratiecontrole (20) benadrukt dat zelfs in gevallen waarin het Ministerie van Binnenlandse Zaken van de mogelijkheid tot afwijking gebruik heeft gemaakt, de toegang tot informatie niet volledig werd geweigerd maar beperkt bleef tot documenten waarin bepaalde informatie onleesbaar was gemaakt; 10. merkt op dat deze mogelijkheid om af te wijken nu ook van toepassing is op EU-burgers die in het VK wonen of voornemens zijn daar te gaan wonen; is ernstig bezorgd over het feit dat hiermee belangrijke kansen worden weggenomen om iemand aansprakelijk te stellen en om rechtsmiddelen in te zetten, en onderstreept dat dit geen passend beschermingsniveau is; 11. uit nogmaals zijn ernstige bezorgdheid het feit dat in het kader van het immigratiebeleid van het VK kan worden afgeweken van de rechten van betrokkenen; herhaalt zijn standpunt dat de afwijking van de gegevensbeschermingswetgeving in het kader van de verwerking van persoonsgegevens voor immigratiedoeleinden, zoals neergelegd in de Britse Data Protection Act, gewijzigd moet worden voordat er een geldig adequaatheidsbesluit kan worden afgegeven, zoals reeds eerder verwoord in zijn resolutie van 12 februari 2020 over het voorgestelde mandaat voor onderhandelingen over een nieuw partnerschap met het Verenigd Koninkrijk van Groot Brittannië en Noord-Ierland (21) en in het advies van de Commissie burgerlijke vrijheden, justitie en binnenlandse zaken van 5 februari 2021 (22) ; verzoekt de Commissie aan te dringen op het schrappen van de mogelijkheid tot afwijking van aspecten van de gegevensbeschermingswetgeving in het kader van immigratiecontrole dan wel erop toe te zien dat die zodanig wordt herzien dat er voldoende waarborgen voor de betrokkenen worden geboden en de normen waaraan een derde land wordt geacht te voldoen niet worden geschonden; Massasurveillance 12. wijst er nogmaals op dat de VS en het VK gebruikmaken van massasurveillance, zoals onthuld door klokkenluider Edward Snowden; herinnert eraan dat het programma “Tempora” van het VK dat door de GCHQ (de Britse inlichtingendienst die zich bezighoudt met informatiebeveiliging) wordt beheerd, in real time communicatie via glasvezelbackbonekabels onderschept en de gegevens opslaat, zodat deze op een later tijdstip kunnen worden verwerkt en doorzocht; herinnert eraan dat dit grootschalige toezicht op communicatie-inhoud en metadata op willekeurige wijze wordt uitgeoefend, ongeacht of er sprake is van specifieke verdenkingen; 13. herinnert eraan dat het HvJ-EU in het Schrems I-arrest en het Schrems II-arrest oordeelde dat toegang, op grote schaal, tot de inhoud van persoonlijke communicatie een aantasting vormt van de wezenlijke inhoud van het recht op privacy, en dat in een dergelijk geval de noodzakelijkheid en evenredigheid niet meer hoeven te worden getoetst; wijst erop dat deze beginselen van toepassing zijn op de doorgifte van gegevens aan andere derde landen dan de VS, waaronder het Verenigd Koninkrijk; 14. herinnert aan zijn resolutie van 12 maart 2014, waarin het Parlement stelt dat de grootschalige toezichtprogramma’s die de Britse inlichtingendienst GCHQ op willekeurige wijze uitvoert zonder zich op concrete verdenkingen te baseren onverenigbaar zijn met de beginselen van noodzakelijkheid en evenredigheid in een democratische samenleving en niet stroken met de EU-wetgeving inzake gegevensbescherming; onderkent dat het VK zijn surveillancewetgeving ingrijpend heeft gewijzigd en waarborgen heeft ingevoerd die verder gaan dan de door het Hof van Justitie van de Europese Unie (HvJ-EU) in het Schrems II-arrest (23) vastgestelde voorwaarden en de waarborgen van de surveillancewetgeving van de meeste lidstaten; is bijzonder ingenomen met de bepaling inzake volledige toegang tot doeltreffende rechtsmiddelen; herinnert eraan dat de speciale VN-rapporteur voor het recht op privacy aangegeven heeft ingenomen te zijn met het feit dat bij de Investigatory Powers Act (IPA) 2016 krachtige waarborgen zijn ingevoerd wat betreft noodzakelijkheid, evenredigheid en toestemming door een onafhankelijke rechterlijke instantie; 15. herinnert eraan dat het Europees Hof voor de Rechten van de Mens in september 2018 heeft bevestigd dat de programma’s van het VK in het kader waarvan gegevens op grote schaal worden onderschept en bewaard, waaronder Tempora, onrechtmatig zijn en niet voldoen aan de vereisten waaraan in een democratische samenleving moet worden voldaan (24) ; 16. acht het onaanvaardbaar dat in de ontwerpadequaatheidsbesluiten geen rekening wordt gehouden met het feit dat er geen beperkingen gelden voor het gebruik door het VK van zijn bevoegdheden ten aanzien van bulkgegevens en geen rekening wordt gehouden met de wijze waarop de surveillanceoperaties tussen het VK en de VS in de praktijk worden ingezet, zoals aan het licht gebracht door Edward Snowden, en wijst daarbij op de volgende feiten: wijst er voorts op dat voor de burgers van het VK wat betreft de doorgifte van gegevens aan de VS bepaalde informele waarborgen gelden, die door de GCHQ en de NSA in acht genomen moeten worden; is zeer bezorgd dat deze waarborgen de EU-burgers en ingezetenen van de EU van wie de gegevens mogelijk verder worden doorgegeven en worden gedeeld met de NSA, niet beschermen; 17. verzoekt de lidstaten om met het VK niet-spionage-akkoorden te sluiten en verzoekt de Commissie om haar Britse tegenhangers op het hart te drukken dat, als wijziging van de Britse surveillancewetgeving en -praktijk uitblijft, alleen het sluiten van niet-spionage-akkoorden met de lidstaten de weg kan vrijmaken voor de adequaatheidsbesluiten; Verdere doorgiften 18. wijst met klem op het feit dat in de Britse wet van 2018 betreffende de terugtrekking uit de Europese Unie wordt bepaald dat jurisprudentie van het HvJ-EU die vóór het einde van de overgangsperiode tot stand is gekomen, “overgenomen EU-recht” zal worden en dus juridisch bindend zal zijn voor het VK; wijst erop dat het VK bij de beoordeling van de gepastheid van de bescherming die geboden wordt door andere derde landen gebonden is aan de beginselen en voorwaarden die in het Schrems I- en Schrems II-arrest van het HvJ-EU zijn bepaald; vreest dat de Britse rechter het EU-Handvest van de grondrechten desondanks niet langer zal toepassen; wijst erop dat het VK niet meer onderworpen is aan de rechtspraak van het HvJ-EU, dat wat de uitlegging van het Handvest betreft de hoogste instantie is; 19. wijst erop dat de voorschriften van het VK inzake het delen van persoonsgegevens in het kader van de Britse wet van 2017 inzake elektronischecommunicatie-infrastructuur en -diensten en inzake de verdere doorgifte van onderzoeksgegevens duidelijk niet “in grote lijnen overeenkomen” met de voorschriften van de AVG, zoals uitgelegd door het HvJ-EU; 20. maakt zich zorgen over het feit dat het VK zichzelf het recht heeft toegekend om te verklaren dat andere derde landen of gebieden voorzien in een passend niveau van gegevensbescherming, ongeacht of het derde land of gebied in kwestie die bescherming naar het oordeel van de EU ook biedt; herinnert eraan dat het VK inmiddels heeft verklaard dat Gibraltar voorziet in passende bescherming, maar dat de EU een dergelijke verklaring niet heeft afgegeven; vreest daarom dat toekenning van de adequaatheidsstatus aan het VK zal leiden tot het omzeilen van de EU-voorschriften inzake doorgiften van gegevens aan landen of gebieden waar de gegevensbescherming niet adequaat wordt geacht in de zin van het EU-recht; 21. neemt kennis van het feit dat het VK op 1 februari 2021 een verzoek heeft ingediend om toe te treden tot het alomvattend en vooruitstrevend trans-Pacifisch partnerschap (CPTPP), met name om te kunnen profiteren van moderne regels inzake digitale handel die het mogelijk maken gegevens vrij uit te wisselen tussen de leden van het partnerschap, onnodige belemmeringen voor bedrijven weg te nemen, etc.; stelt met bezorgdheid vast dat er met betrekking tot acht van de elf leden van het CPTTP geen adequaatheidsbesluit van de EU is afgegeven; is zeer bezorgd over mogelijke verdere doorgiften van persoonsgegevens van EU-burgers en ingezetenen van de EU aan deze landen als aan het VK een adequaatheidsbesluit wordt toegekend (26) ; 22. betreurt dat de Commissie heeft nagelaten de impact en de mogelijke risico’s van de overeenkomst tussen het Verenigd Koninkrijk van Groot-Brittannië en Noord-Ierland en Japan inzake een breed economisch partnerschap, met onder meer bepalingen inzake persoonsgegevens en het niveau van gegevensbescherming, te beoordelen; 23. is bezorgd dat indien het VK bepalingen over doorgiften van gegevens opneemt in toekomstige handelsovereenkomsten, zoals handelsovereenkomsten tussen de VS en het VK, het door de AVG geboden beschermingsniveau wordt ondermijnd; II. RICHTLIJN GEGEVENSBESCHERMING BIJ RECHTSHANDHAVING 24. wijst erop dat het VK het eerste land is waarvoor de Commissie heeft voorgesteld om een adequaatheidsbesluit vast te stellen op grond van Richtlijn (EU) 2016/680; 25. wijst op de overeenkomst over grensoverschrijdende toegang tot gegevens die het VK met de VS heeft gesloten (27) in het kader van de Cloud Act van de VS, op grond waarvan gegevens kunnen worden doorgegeven voor rechtshandhavingsdoeleinden; vreest ten zeerste dat de Amerikaanse autoriteiten hierdoor op onrechtmatige wijze toegang zullen krijgen tot de persoonsgegevens van EU-burgers en ingezetenen van de EU; deelt de bezorgdheid van het EDPB dat de waarborgen waarin de Raamovereenkomst EU-VS (28) voorziet, bij toepassing mutatis mutandis mogelijkerwijs niet voldoen aan het criterium dat er sprake moet zijn van duidelijke, nauwkeurige en toegankelijke regels inzake de toegang tot persoonsgegevens, of dat dergelijke waarborgen mogelijkerwijs onvoldoende in de overeenkomst tussen het VK en de VS zijn vastgelegd om doeltreffend te zijn en in het Britse recht afdwingbaar te zijn; 26. herinnert eraan dat het arrest in zaak C-623/17 van het HvJ-EU zo moet worden uitgelegd dat een nationale regeling op grond waarvan een overheidsorgaan ten behoeve van de bescherming van de nationale veiligheid aan aanbieders van elektronischecommunicatiediensten een verplichting tot algemene en ongedifferentieerde doorzending van verkeers- en locatiegegevens aan de veiligheids- en inlichtingendiensten kan opleggen, niet is toegestaan; 27. merkt op dat het HvJ-EU in deze zaak heeft geoordeeld dat het verzamelen van bulkgegevens in het VK op grond van de Britse wet van 2000 houdende regeling van de onderzoeksbevoegdheden illegaal was; wijst erop dat deze wet sindsdien is vervangen door de Britse wet betreffende onderzoeksbevoegdheden 2016 (de IPA 2016) waarmee de beginselen van noodzakelijkheid en evenredigheid werden versterkt; benadrukt dat in de IPA 2016 wordt bepaald dat het onderscheppen van gegevens aan rechterlijk toezicht is onderworpen en dat personen toegang hebben tot hun gegevens en een klacht kunnen indienen bij de rechter die toezicht uitoefent op de onderzoeksbevoegdheden van de overheid (Investigatory Powers Tribunal); betreurt echter dat het op grond van de IPA 2016 nog altijd mogelijk is om bulkgegevens te bewaren; 28. is bezorgd over recente berichten dat een regeling voor het op grote schaal verzamelen en bewaren van gegevens deel uitmaakt van een door het Britse Ministerie van Binnenlandse Zaken uitgevoerde proef in het kader van IPA 2016; 29. herinnert eraan dat het Europees Parlement in zijn resolutie van 12 februari 2020 benadrukte dat “het VK geen rechtstreekse toegang mag hebben tot de gegevens van de EU-informatiesystemen en dat het niet mag deelnemen aan de bestuursstructuren van de EU-agentschappen op het gebied van vrijheid, veiligheid en recht, terwijl het delen van informatie met het VK, met inbegrip van persoonsgegevens, onderworpen moet zijn aan strikte waarborgen en controle- en toezichtsvoorwaarden, inclusief een gelijkwaardig beschermingsniveau voor persoonsgegevens als hetgeen waarin voorzien is in het EU-recht”; neemt kennis van de tekortkomingen die werden vastgesteld bij de tenuitvoerlegging van de gegevensbeschermingswetgeving door het VK toen het land nog lid was van de EU; wijst erop dat het VK een kopie van het Schengeninformatiesysteem (SIS) heeft gemaakt en bewaard; verwacht dat de Britse rechtshandhavingsinstanties bij de uitwisseling van persoonsgegevens in de toekomst volledig zullen voldoen aan de toepasselijke voorschriften; herinnert eraan dat het VK enkel nog op “hit/no hit”-basis toegang heeft tot bepaalde EU-rechtshandhavingsdatabanken en wettelijk gezien geen toegang meer heeft tot het SIS; 30. uit zijn bezorgdheid over het bericht dat in januari 2021 naar buiten kwam dat er per ongeluk 400 000 strafdossiers gewist zijn uit de nationale politiecomputer van het VK; wijst erop dat dit het vertrouwen in de inspanningen van het VK op het gebied van gegevensbescherming voor rechtshandhavingsdoeleinden niet ten goede komt; 31. merkt op dat het ontwerpadequaatheidsbesluit een grondige beoordeling omvat van de rechten van elke Britse autoriteit die krachtens het nationale recht bevoegd is persoonsgegevens te onderscheppen en te bewaren om redenen van nationale veiligheid; is voorts ingenomen met het feit dat gedetailleerde toezichtverslagen over de autoriteiten die verantwoordelijk zijn voor inlichtingendiensten informatie verschaffen over de huidige toezichtpraktijken van het VK; verzoekt de Commissie de beoordeling van en het toezicht op de soorten communicatiegegevens die onder de Britse bevoegdheid inzake gegevensbewaring en rechtsgeldige onderschepping vallen voort te zetten; 32. wijst erop dat de handels- en samenwerkingsovereenkomst (TCA) tussen de EU en het VK onderdelen bevat die betrekking hebben op de uitwisseling van DNA, vingerafdrukken en voertuigregistratiegegevens, de doorgifte en verwerking van persoonsgegevens van passagiers (PNR-gegevens), samenwerking op het gebied van operationele informatie en samenwerking met Europol en Eurojust, die van toepassing zullen zijn ongeacht het adequaatheidsbesluit; wijst echter nogmaals op de punten van zorg die in het advies van de Commissie burgerlijke vrijheden, justitie en binnenlandse zaken van februari 2021 inzake de TCA zijn geuit met betrekking tot de mogelijkheid die het VK heeft om gegevens voor speciale doeleinden te gebruiken en de mogelijkheid die het VK heeft om persoonsgegevens gedurende een langere tijd te bewaren, zoals voorzien in het Prümonderdeel en het onderdeel over PNR-gegevens van de TCA, waarmee afgeweken wordt van de regels inzake het gebruik en bewaring van persoonsgegevens die gelden voor de lidstaten; herinnert aan het recht om een procedure bij het HvJ-EU in te leiden met het oog op de toetsing van de verenigbaarheid van de voorgenomen internationale overeenkomst met het recht van de Unie en, in het bijzonder, met de bescherming van een grondrecht (29) ; Conclusies 33. verzoekt de Commissie om ondernemingen in de EU de zekerheid te bieden dat het adequaatheidsbesluit een solide, toereikende en toekomstgerichte rechtsgrondslag voor de doorgifte van gegevens zal bieden; benadrukt dat het belangrijk is ervoor te zorgen dat dit adequaatheidsbesluit aanvaardbaar wordt geacht als het aan het HvJ-EU wordt voorgelegd en benadrukt dat alle aanbevelingen in het advies van het EDPB derhalve in aanmerking moeten worden genomen; 34. is ingenomen met het feit dat de adequaatheidsbesluiten slechts voor vier jaar zullen gelden, aangezien het VK kan besluiten de wetgeving waarop de adequaatheidsbeoordeling van de Commissie betrekking heeft te wijzigen nu het land niet langer lid is van de EU; verzoekt de Commissie om in de tussentijd toezicht te blijven houden op het niveau van gegevensbescherming in het VK in de wetgeving en in de praktijk, en een grondige beoordeling uit te voeren alvorens het adequaatheidsbesluit in 2025 te verlengen; 35. is van mening dat de Commissie, als zij de twee uitvoeringsbesluiten die niet stroken met het EU-recht vaststelt zonder aandacht te besteden aan alle punten van zorg die in deze resolutie onder de aandacht worden gebracht, de haar bij Verordening (EU) 2016/679 en Richtlijn (EU) 2016/680 verleende uitvoeringsbevoegdheden overschrijdt; maakt derhalve bezwaar tegen de twee uitvoeringshandelingen omdat de ontwerpuitvoeringsbesluiten niet in overeenstemming zijn met het EU-recht; 36. dringt er bij de Commissie op aan de twee ontwerpuitvoeringsbesluiten aldus te wijzigen dat zij volledig overeenstemmen met het EU-recht en de jurisprudentie; 37. verzoekt de nationale gegevensbeschermingsautoriteiten tot opschorting van de doorgifte van persoonsgegevens, waartoe de inlichtingendiensten van het VK mogelijk onbeperkte toegang hebben als de Commissie haar adequaatheidsbesluiten voor het VK vaststelt voordat het VK de hierboven beschreven problemen heeft opgelost; 38. verzoekt de Commissie en de bevoegde autoriteiten van het VK een actieplan op te stellen om de in de adviezen van het EDPB vermelde tekortkomingen en andere onopgeloste problemen in verband met de gegevensbescherming in het VK zo spoedig mogelijk aan te pakken, en beschouwt dit als noodzakelijke voorwaarde voor vaststelling van het definitieve adequaatheidsbesluit; 39. verzoekt de Commissie om het niveau van gegevensbescherming en de wetgeving en praktijk inzake massasurveillance in het VK nauwlettend te blijven monitoren; wijst erop dat hoofdstuk V van de AVG andere wettelijke mogelijkheden biedt om persoonsgegevens aan het VK door te geven; herinnert eraan dat overeenkomstig de richtsnoeren van het EDPB de doorgifte van gegevens op basis van afwijkingen in specifieke gevallen uit hoofde van artikel 49 AVG een uitzondering moet blijven; 40. betreurt dat de Commissie de verzoeken van het Parlement om het privacyschild op te schorten totdat de Amerikaanse autoriteiten aan de voorwaarden ervan voldoen, heeft genegeerd, en er in plaats daarvan altijd de voorkeur aan heeft gegeven “de situatie van nabij te volgen”, zonder enig concreet resultaat op het gebied van de gegevensbescherming voor burgers of rechtszekerheid voor bedrijven; verzoekt de Commissie met klem lering te trekken uit het verleden en verzoeken van het Parlement en deskundigen met betrekking tot de vaststelling van en het toezicht op adequaatheidsbesluiten niet langer naast zich neer te leggen, en ervoor te zorgen dat de EU-wetgeving inzake gegevensbescherming naar behoren wordt gehandhaafd en dit niet alleen aan het HvJ-EU over te laten in het kader van procedures naar aanleiding van klachten van individuele burgers; 41. verzoekt de Commissie de wetgeving en praktijken op het gebied van gegevensbescherming in het VK nauwlettend te volgen, het Parlement onverwijld te informeren en te raadplegen over toekomstige wijzigingen in de wet- en regelgeving inzake gegevensbescherming van het VK, en het Parlement een controlerende rol te laten spelen in het nieuwe institutionele kader, waaronder in het Gespecialiseerd Comité voor samenwerking inzake rechtshandhaving en justitie; o o o 42. verzoekt zijn Voorzitter deze resolutie te doen toekomen aan de Commissie, de lidstaten en de regering van het VK.