Gegevensbeschermingsdag 2014: volledige snelheid bij de hervorming van de EU-gegevensbescherming

Vicevoorzitter Viviane Reding, de EU-commissaris voor Justitie, zei voorafgaand aan de Europese Dag van de gegevensbescherming (28 januari): "Gegevensbescherming in de Europese Unie is een grondrecht. Europa heeft al het hoogste niveau van gegevensbescherming ter wereld. Met de hervorming van de gegevensbescherming in de EU, die precies twee jaar geleden, in januari 2012, werd voorgesteld, heeft Europa de kans om van deze regels een wereldwijde gouden standaard te maken. miljoen consumenten als een onbenutte kans. Het Europees Parlement heeft het voortouw genomen door met een overweldigende meerderheid voor deze regels te stemmen. Ik wil in 500 op volle toeren draaien op het gebied van gegevensbescherming."

Vicevoorzitter Reding hield een belangrijke toespraak op de dag van de gegevensbescherming om 11 uur CET op de Centrum voor Europese beleidsstudies (CEPS) waarin wordt opgeroepen tot "Een nieuw gegevensbeschermingspact voor Europa".

1. Waar staan ​​we twee jaar na de voorstellen van de Commissie?

Twee jaar geleden, in januari 2012, heeft de Europese Commissie een hervorming van de EU-regels voor gegevensbescherming voorgesteld om ze geschikt te maken voor de 21e eeuw (zie IP / 12 / 46). De hervorming bestaat uit een ontwerpverordening tot vaststelling van een algemeen EU-kader voor gegevensbescherming en een ontwerprichtlijn betreffende de bescherming van persoonsgegevens die worden verwerkt met het oog op het voorkomen, opsporen, onderzoeken of vervolgen van strafbare feiten en aanverwante gerechtelijke activiteiten. De voorstellen worden momenteel besproken door de twee medewetgevers van de Europese Unie, het Europees Parlement en de Raad van de EU, waarin de nationale ministers zetelen.

Om wet te worden, moeten de voorstellen door deze medewetgevers worden goedgekeurd.

Europees parlement

Op 21 oktober 2013 steunde de leidende Commissie burgerlijke vrijheden, justitie en binnenlandse zaken (LIBE) van het Europees Parlement de voorstellen van de Commissie met een overweldigende meerderheid en versterkte ze zelfs op bepaalde gebieden (zie MEMO / 13 / 923 voor volledige details). De verslagen van de leden van het Europees Parlement (EP-leden) Jan-Philipp Albrecht en Dimitrios Droutsas, waarover de leden van de LIBE-commissie hebben gestemd, werden verwelkomd als een krachtige bevestiging van de pakketaanpak van de Commissie voor de hervorming van de gegevensbescherming, en een belangrijk signaal van vooruitgang in de wetgevingsprocedure. De LIBE-stemming geeft een mandaat aan de rapporteurs, de leden Albrecht en Droutsas, om onderhandelingen met de Raad van de EU aan te gaan.

advertentie

Raad van de EU

De hervorming van de gegevensbescherming is herhaaldelijk besproken door de nationale ministers in de Raad Justitie. Meest recentelijk bereikten de ministers van Justitie tijdens de Raad in oktober 2013 een beginselakkoord over het "one-stop shop"-mechanisme (het voorstel dat elk bedrijf dat op de interne markt actief is één regelgevende gesprekspartner in de EU moet hebben) (Persbericht van de Raad en SPEECH / 13 / 788). De voorstellen werden opnieuw besproken tijdens de Justitieraad van december (zie SPEECH / 13 / 1029) en op de informele Raad JBZ in Athene, op 23 en 24 januari. Een akkoord over de hervorming is mogelijk voor het einde van dit jaar.

Europese raad

De Europese staatshoofden en regeringsleiders hebben zich ertoe verbonden de nieuwe wetgeving inzake gegevensbescherming 'tijdig' aan te nemen tijdens een top op 24 en 25 oktober 2013, die gericht was op de digitale economie, innovatie en diensten (zie Conclusies).

Wat zijn de volgende stappen?

De hervorming van de gegevensbescherming is een prioriteit voor het Griekse voorzitterschap. Het voorzitterschap belegde een tripartiete bijeenkomst in Athene (op 22 januari) met de Europese Commissie, de twee rapporteurs van het Europees Parlement en het volgende voorzitterschap van de EU (Italië) om een ​​stappenplan uit te werken om snel overeenstemming te bereiken over de hervorming van de gegevensbescherming. Het doel is vóór het einde van het Griekse voorzitterschap overeenstemming te bereiken over een onderhandelingsmandaat met het Europees Parlement.

Het Europees Parlement zal naar verwachting de voorstellen in eerste lezing aannemen tijdens de plenaire vergadering van april 2014.

Een akkoord over de hervorming van de gegevensbescherming is dus mogelijk voor het einde van dit jaar. Ter vergelijking: over de huidige richtlijn gegevensbescherming uit 1995 is vijf jaar onderhandeld.

2. Wat zijn de belangrijkste voordelen van de hervorming van de gegevensbescherming in de EU?

De voorstellen van de Europese Commissie voor een alomvattende hervorming van de EU-richtlijn gegevensbescherming uit 1995 hebben tot doel de privacyrechten te versterken en de digitale economie van Europa te stimuleren. De voorstellen van de Commissie actualiseren en moderniseren de beginselen die zijn verankerd in de richtlijn van 1995, brengen ze in het digitale tijdperk en bouwen voort op het hoge niveau van gegevensbescherming dat sinds 1995 in Europa van kracht is.

Voordelen voor burgers

Er is duidelijk behoefte aan het dichten van de groeiende kloof tussen individuen en de bedrijven die hun gegevens verwerken: negen op de tien Europeanen (92%) zeggen zich zorgen te maken over mobiele apps die hun gegevens verzamelen zonder hun toestemming. Zeven op de tien Europeanen maken zich zorgen over het mogelijke gebruik dat bedrijven kunnen maken van de openbaar gemaakte informatie (zie bijlage).

De hervorming van de gegevensbescherming zal de rechten van burgers versterken en zo het vertrouwen helpen herstellen. Betere regels voor gegevensbescherming betekenen dat u meer vertrouwen kunt hebben in de manier waarop uw persoonlijke gegevens worden behandeld, met name online. De nieuwe regels zullen burgers weer controle geven over hun gegevens, met name door:

1. Een recht om vergeten te worden: Wanneer u niet langer wilt dat uw gegevens worden verwerkt en er geen legitieme redenen zijn om ze te bewaren, worden de gegevens verwijderd. Het gaat hier om het empoweren van individuen, niet om het uitwissen van gebeurtenissen uit het verleden of het inperken van de persvrijheid (zie het aparte gedeelte hierover).
2. Gemakkelijkere toegang tot uw eigen gegevens: een recht op gegevensoverdraagbaarheid maakt het voor u gemakkelijker om uw persoonlijke gegevens tussen serviceproviders over te dragen.
3. U laten beslissen hoe uw gegevens worden gebruikt: Wanneer uw toestemming vereist is om uw gegevens te verwerken, moet u expliciet worden gevraagd om deze te geven. Het kan niet worden aangenomen. Niets zeggen is niet hetzelfde als ja zeggen. Bedrijven en organisaties zullen u ook zonder onnodige vertraging moeten informeren over datalekken die nadelige gevolgen voor u kunnen hebben.
4. Het recht om te weten wanneer uw gegevens zijn gehackt: zo moeten bedrijven en organisaties ernstige datalekken zo snel mogelijk (indien mogelijk binnen 24 uur) melden bij de nationale toezichthouder, zodat gebruikers passende maatregelen kunnen nemen.
5. Gegevensbescherming eerst, geen bijzaak: 'Privacy by design' en 'privacy by default' zullen ook essentiële beginselen worden in de EU-regels voor gegevensbescherming – dit betekent dat gegevensbeschermingswaarborgen in producten en diensten moeten worden ingebouwd vanaf het vroegste ontwikkelingsstadium, en dat privacyvriendelijke standaardinstellingen de norm moeten zijn – bijvoorbeeld op sociale netwerken of mobiele apps.

Voordelen voor bedrijven

Gegevens zijn de valuta van de huidige digitale economie. Verzameld, geanalyseerd en over de hele wereld verspreid, hebben persoonlijke gegevens een enorme economische betekenis gekregen. Volgens sommige schattingen kan de waarde van de persoonsgegevens van Europese burgers tegen 1 oplopen tot bijna 2020 biljoen euro per jaar. Het versterken van de hoge normen voor gegevensbescherming in Europa is een zakelijke kans.

De hervorming van de gegevensbescherming door de Europese Commissie zal de digitale eengemaakte markt helpen dit potentieel te realiseren, met name door middel van vier belangrijke innovaties:

1. Eén continent, één wet: de verordening stelt één pan-Europese wet voor gegevensbescherming vast, ter vervanging van de huidige inconsistente lappendeken van nationale wetten. Bedrijven krijgen te maken met één wet, niet met 28. De voordelen worden geschat op 2.3 miljard euro per jaar.
2. One-stop-shop: de verordening zal een "one-stop-shop" voor bedrijven creëren: bedrijven zullen slechts met één enkele toezichthoudende autoriteit te maken hebben, niet met 28, waardoor het voor bedrijven eenvoudiger en goedkoper wordt om zaken te doen in de EU; en gemakkelijker, sneller en efficiënter voor burgers om hun persoonsgegevens te beschermen.
3. Dezelfde regels voor alle bedrijven – ongeacht hun vestiging: Europese bedrijven moeten zich tegenwoordig aan strengere normen houden dan bedrijven die buiten de EU zijn gevestigd, maar ook zaken doen op onze interne markt. Met de hervorming zullen bedrijven die buiten Europa zijn gevestigd dezelfde regels moeten toepassen. We creëren een gelijk speelveld.
4. Europese regelgevers zullen worden uitgerust met sterke handhavingsbevoegdheden: gegevensbeschermingsautoriteiten zullen bedrijven die de EU-regels niet naleven, kunnen beboeten tot 2% van hun wereldwijde jaaromzet. Het Europees Parlement heeft zelfs voorgesteld om de mogelijke sancties te verhogen tot 5%. Privacyvriendelijke Europese bedrijven zullen op wereldschaal een concurrentievoordeel hebben in een tijd waarin de kwestie steeds gevoeliger wordt.

Voordelen voor het MKB

De hervorming van de gegevensbescherming is erop gericht de economische groei te stimuleren door de kosten en administratieve rompslomp voor het Europese bedrijfsleven te verminderen, met name voor kleine en middelgrote ondernemingen (kmo's). Ten eerste zal de hervorming van de gegevensbescherming van de EU, door één regel te hebben in plaats van 28, kmo's helpen nieuwe markten te betreden. Ten tweede heeft de Commissie voorgesteld het MKB vrij te stellen van verschillende bepalingen van de verordening gegevensbescherming – terwijl de huidige gegevensbeschermingsrichtlijn uit 1995 van toepassing is op alle Europese bedrijven, ongeacht hun omvang. Onder de nieuwe regels profiteren kmo's van vier minder administratieve rompslomp:

1. Functionarissen voor gegevensbescherming: KMO's zijn vrijgesteld van de verplichting om een ​​functionaris voor gegevensbescherming aan te stellen voor zover gegevensverwerking niet hun kernactiviteit is.
2. Geen meldingen meer: ​​Meldingen aan toezichthoudende autoriteiten zijn een formaliteit en bureaucratische rompslomp die voor het bedrijfsleven jaarlijks 130 miljoen euro kosten. De hervorming zal deze volledig schrappen.
3. Elke cent telt: wanneer verzoeken om toegang tot gegevens buitensporig of herhaaldelijk zijn, kunnen kmo's een vergoeding vragen voor het verlenen van toegang.
4. Effectbeoordelingen: kmo's zijn niet verplicht een effectbeoordeling uit te voeren, tenzij er een specifiek risico bestaat.

De regels zullen ook flexibel zijn. De EU-regels zullen adequaat en correct rekening houden met risico's. We willen ervoor zorgen dat er geen verplichtingen worden opgelegd, behalve daar waar ze nodig zijn om persoonsgegevens te beschermen: de bakker op de hoek krijgt niet dezelfde regels als een (multinationale) informaticaspecialist. In een aantal gevallen zijn de verplichtingen van verwerkingsverantwoordelijken en verwerkers afgestemd op de omvang van het bedrijf en de aard van de gegevens die worden verwerkt. Zo krijgt het mkb geen boete voor een eerste en niet-opzettelijke overtreding van de regels.

3. Wat zijn het "éénloketsysteem" en het "consistentiemechanisme" dat wordt voorgesteld in de hervorming van de gegevensbescherming in de EU? Hoe zullen ze helpen?

Binnen een interne markt voor data zijn identieke regels op papier niet voldoende. We moeten ervoor zorgen dat de regels overal op dezelfde manier worden geïnterpreteerd en toegepast. Daarom introduceert onze hervorming een consistentie mechanisme om de samenwerking tussen de gegevensbeschermingsautoriteiten te stroomlijnen over kwesties met implicaties voor heel Europa.

Op dit moment heeft een bedrijf dat gegevens verwerkt in de EU te maken met 28 nationale wetten en met nog meer nationale en lokale toezichthouders. De verordening gegevensbescherming zal één Europese wet voor gegevensbescherming tot stand brengen, ter vervanging van de huidige inconsistente lappendeken van 28 nationale wetten. Het zal ook een regelgevende "one-stop-shop" voor bedrijven creëren: bedrijven zullen slechts met één toezichthoudende autoriteit te maken hebben, niet met 28.

De tekortkomingen van het huidige systeem werden geïllustreerd in de zaak Google Street View. De acties van een enkel bedrijf hadden op dezelfde manier gevolgen voor individuen in verschillende lidstaten. Toch leidden ze tot ongecoördineerde en uiteenlopende reacties van de nationale gegevensbeschermingsautoriteiten.

Het éénloketsysteem zorgt voor rechtszekerheid voor bedrijven die in de hele EU actief zijn en biedt voordelen voor personen en gegevensbeschermingsautoriteiten.

Bedrijven zullen profiteren van snellere beslissingen, van één enkele gesprekspartner (meerdere contactpunten overbodig) en van minder administratieve rompslomp. Zij zullen baat hebben bij consistente besluiten wanneer dezelfde verwerkingsactiviteit in verschillende lidstaten plaatsvindt.

Tegelijkertijd zullen individuen hun bescherming zien toenemen via hun lokale toezichthoudende autoriteiten, omdat individuen altijd terecht zullen kunnen bij hun lokale gegevensbeschermingsautoriteit. Het doel is om het huidige systeem te verbeteren waarin personen die in een lidstaat wonen, naar een andere lidstaat moeten reizen om een ​​klacht in te dienen bij een gegevensbeschermingsautoriteit alleen maar omdat het bedrijf buiten hun eigen land is gevestigd. Op dit moment is, wanneer een bedrijf in één lidstaat is gevestigd, alleen de gegevensbeschermingsautoriteit van die lidstaat bevoegd, ook als het bedrijf gegevens verwerkt in heel Europa. Met de voorstellen wordt beoogd deze anomalie te corrigeren.

De nieuwe regels brengen de oplossing van een klacht dichter bij huis voor burgers, vereenvoudigen procedures en nemen complexiteit weg, waardoor problemen gemakkelijker en sneller kunnen worden opgelost. Dit zou burgers doorslaggevend helpen in zaken die vergelijkbaar zijn met die van de Oostenrijkse student, die zijn klacht tegen Facebook in het Engels moest indienen bij de autoriteit in Ierland, waar Facebook is gevestigd.

De voorstellen verankeren ook het recht van een burger om een ​​bedrijf dat zijn gegevens verwerkt voor de rechter te dagen in zijn eigen lidstaat. Iedere burger heeft dus recht op administratief en gerechtelijk verhaal in eigen land.

4. Hoe zal de EU-gegevensbescherming de digitale interne markt van de EU helpen?

De wereld is ingrijpend veranderd sinds 1995, het jaar waarin het bestaande EU-kader voor gegevensbescherming werd aangenomen. Technologische revoluties hebben geleid tot een explosie van de kwantiteit en kwaliteit van persoonsgegevens die beschikbaar zijn in de digitale eengemaakte markt. Bedrijven hebben geleerd het potentieel ervan te benutten in uiteenlopende sectoren als verzekeringen, gezondheidszorg en reclame. Door deze bedrijven verzameld, geanalyseerd en verplaatst, hebben persoonsgegevens een enorme economische waarde gekregen. Volgens de Boston Consulting Group bedroeg de waarde van de gegevens van EU-burgers in 315 2011 miljard euro en kan deze in 1 groeien tot bijna 2020 biljoen euro.

De hervorming van de gegevensbescherming zal de digitale eengemaakte markt helpen dit potentieel te verwezenlijken. De voordelen van vereenvoudiging via de hervorming van de EU-gegevensbescherming worden geraamd op 2.3 miljard euro per jaar.

De grootste uitdaging voor groei in sectoren die afhankelijk zijn van persoonlijke gegevens is een gebrek aan vertrouwen. Alleen als mensen bereid zijn hun persoonlijke gegevens vrij te geven, zullen bedrijven de volle vruchten plukken van onze digitale eengemaakte markt. Op dit moment neemt het vertrouwen van mensen in de manier waarop particuliere bedrijven met hun gegevens omgaan af.

Gegevensbescherming speelt een belangrijke rol bij het aanpakken van dit gebrek aan vertrouwen. Mensen moeten ervoor zorgen dat hun rechten op een zinvolle manier worden gehandhaafd. De hervorming zal de burgerrechten actualiseren, zoals het recht om vergeten te worden, het recht op dataportabiliteit en het recht om geïnformeerd te worden over inbreuken op persoonsgegevens (zie hierboven). De hervorming zal er ook voor zorgen dat de regels van de Unie correct worden toegepast. Het voorziet in een effectief handhavingsmechanisme en stelt nationale regelgevers in staat om boetes op te leggen tot 2% van de jaarlijkse wereldwijde omzet van een bedrijf.

5. Wat is het recht om vergeten te worden? Zal het de persvrijheid en de historische archieven aantasten?

De voorstellen van de Commissie uit 2012 bevatten een versterkt recht om vergeten te worden. De hervormingsvoorstellen bouwen voort op het bestaande recht om te eisen dat persoonsgegevens worden gewist als deze niet langer nodig zijn voor enig legitiem doel. Dit omvat allerlei alledaagse situaties. Kinderen begrijpen bijvoorbeeld misschien niet de risico's die verbonden zijn aan het beschikbaar stellen van hun persoonlijke informatie - om er later spijt van te krijgen als ze opgroeien. Ze moeten die informatie kunnen verwijderen als ze dat willen.

Het recht om vergeten te worden gaat niet over het herschrijven van de geschiedenis. Het voorstel van de Commissie beschermt de vrijheid van meningsuiting en de vrijheid van de media, evenals historisch en wetenschappelijk onderzoek. Het voorziet in vrijstellingen voor deze sectoren en vraagt ​​de lidstaten om nationale wetten aan te nemen om de eerbiediging van deze grondrechten te garanderen. Hierdoor kunnen archieven blijven werken volgens dezelfde principes als nu. Evenzo mogen persoonsgegevens worden bewaard zolang dit nodig is om een ​​contract uit te voeren of om aan een wettelijke verplichting te voldoen (bijvoorbeeld wanneer burgers een leningscontract hebben met hun bank). Kortom, het recht om vergeten te worden is niet absoluut en tast historisch onderzoek of de persvrijheid niet aan.

Ook de rechten van bedrijven worden beschermd. Als de persoonsgegevens in kwestie openbaar zijn gemaakt (bijvoorbeeld op internet geplaatst), moet een bedrijf zich echt inspannen om ervoor te zorgen dat derden op de hoogte zijn van het verzoek van de burger om de gegevens te verwijderen. Het is duidelijk dat een bedrijf niet verplicht is om elk spoor in zoekindexen uit te wissen en dat is niet waar de Commissie om vraagt. Bedrijven moeten gewoon redelijke stappen ondernemen om ervoor te zorgen dat derden, aan wie de informatie is doorgegeven, ervan op de hoogte worden gebracht dat het individu deze wil laten verwijderen. In de meeste gevallen zal dit niets anders zijn dan het schrijven van een e-mail.

6. Welke invloed zal de hervorming van de gegevensbescherming in de EU hebben op wetenschappelijk onderzoek?

Wetenschappelijk onderzoek in de EU zal profiteren van de voorgestelde hervorming van de gegevensbescherming. Persoonsgegevens met betrekking tot de gezondheid zijn gevoelige gegevens en mogen over het algemeen niet worden verwerkt, tenzij dit noodzakelijk is om redenen van algemeen belang of wanneer de geïdentificeerde persoon zijn toestemming heeft gegeven. De regels voor gegevensbescherming die we momenteel in Europa hebben, harmoniseren de voorwaarden voor de verwerking van gezondheidsgegevens niet. Dit heeft geleid tot versnippering, kosten en negatieve prikkels voor betrokken wetenschappers en bedrijven.

Het hervormingspakket van de Commissie heeft tot doel versnippering tegen te gaan en te zorgen voor consistentie en coherentie in de hele Unie. Dit moet met name de onderzoekssector ten goede komen. De Algemene Verordening Gegevensbescherming heeft specifieke bepalingen over verwerking voor gezondheidsdoeleinden en over historische, statistische en wetenschappelijke onderzoeksdoeleinden. Deze bepalingen zullen volledig worden geharmoniseerd, waardoor er één reeks regels voor onderzoeksgegevens in de hele Unie komt.

Het recht om vergeten te worden geldt niet voor deze sectoren.

De uniformiteit van de regels zal de kosten en de complexiteit verminderen en zal een sterke motor zijn voor de ontwikkeling van grensoverschrijdende gezondheidsdiensten, publiek-private gezondheidsinitiatieven en e-gezondheidstoepassingen die in cruciale mate afhankelijk zijn van de verwerking van persoonsgegevens.

7. Wat is het antwoord van de EU op beschuldigingen van surveillance van Europese burgers door Amerikaanse inlichtingendiensten?

Het vertrouwen in de transatlantische relatie is geschaad door de onthullingen. De Europese Commissie reageerde op de Amerikaanse surveillanceprogramma's door duidelijk te maken dat massale surveillance van burgers onaanvaardbaar is. De gegevensverzameling moet gericht zijn en beperkt blijven tot wat in verhouding staat tot de gestelde doelen. Nationale veiligheid betekent niet dat alles mag.

De surveillance onthullingen hebben ook een economische impact. Uit een onderzoek dat is uitgevoerd door de Cloud Security Alliance na de recente onthullingen over bewaking, bleek dat 56% van de respondenten aarzelde om met een in de VS gevestigde cloudserviceprovider te werken. Dat is de impact van het wantrouwen van de consument. In monetaire termen schat de Information Technology and Innovation Foundation dat de onthullingen over toezicht de Amerikaanse cloud computing-industrie de komende drie jaar 22 tot 35 miljard dollar aan verloren inkomsten zullen kosten. Kortom: verloren vertrouwen betekent verloren inkomsten.

Het antwoord van de Europese Unie

In november 2013 heeft de Europese Commissie de maatregelen uiteengezet die moeten worden genomen om het vertrouwen in de gegevensstromen tussen de EU en de VS te herstellen (IP / 13 / 1166). Het antwoord van de Commissie bestond uit (1) een strategiedocument (een mededeling) over transatlantische gegevensstromen, waarin de uitdagingen en risico's worden uiteengezet na de onthullingen van Amerikaanse programma's voor het verzamelen van inlichtingen, evenals de stappen die moeten worden genomen om deze zorgen weg te nemen; (2) een analyse van het functioneren van 'Safe Harbour', dat de overdracht van gegevens voor commerciële doeleinden tussen de EU en de VS regelt; en (3) een rapport over de bevindingen van de EU-VS-werkgroep (zie MEMO / 13 / 1059) over gegevensbescherming, opgericht in juli 2013.

In het strategiedocument van de Commissie wordt opgeroepen tot actie op zes gebieden:

1. Een snelle goedkeuring van de hervorming van de gegevensbescherming door de EU: het sterke wetgevingskader met duidelijke regels die ook afdwingbaar zijn in situaties waarin gegevens naar het buitenland worden overgedragen en verwerkt, is meer dan ooit een noodzaak.
2. Safe Harbor veiliger maken: de Commissie deed 13 aanbevelingen om de werking van de Safe Harbor-regeling te verbeteren, nadat uit een analyse was gebleken dat de werking van de regeling op verschillende punten gebrekkig was. Tegen de zomer van 2014 moeten oplossingen zijn gevonden. De Commissie zal vervolgens de werking van de regeling evalueren op basis van de tenuitvoerlegging van deze 13 aanbevelingen en een besluit nemen over de toekomst van de veilige haven.
3. Versterking van de gegevensbeschermingswaarborgen op het gebied van wetshandhaving: de huidige onderhandelingen over een "overkoepelende overeenkomst" tussen de EU en de VS (IP / 10 / 1661) voor de doorgifte en verwerking van gegevens in het kader van politiële en justitiële samenwerking moet snel worden afgerond. Een overeenkomst moet een hoog niveau van bescherming garanderen voor burgers die aan beide zijden van de Atlantische Oceaan dezelfde rechten moeten genieten. Met name EU-burgers die niet in de VS wonen, zouden moeten profiteren van gerechtelijke verhaalmechanismen. Tijdens de laatste ministeriële bijeenkomst EU-VS-Justitie en Binnenlandse Zaken (van 18 november) is goede vooruitgang geboekt (MEMO / 13 / 1010).
4. Gebruikmaken van de bestaande wederzijdse rechtshulp en sectorale overeenkomsten om gegevens te verkrijgen: de Amerikaanse regering moet zich ertoe verbinden om, als algemeen beginsel, gebruik te maken van een wettelijk kader zoals de wederzijdse rechtshulp en sectorale overeenkomsten tussen de EU en de VS, zoals de Passenger Name Records Agreement en het Terrorist Financing Tracking Program wanneer de doorgifte van gegevens vereist is voor wetshandhavingsdoeleinden. Rechtstreeks vragen aan bedrijven zou alleen mogelijk moeten zijn in duidelijk omschreven, uitzonderlijke en gerechtelijk toetsbare situaties.
5. Aanpakken van Europese zorgen in het lopende hervormingsproces in de VS:
   De Europese Commissie verwelkomde de opmerkingen van president Obama en de presidentiële richtlijn over de herziening van Amerikaanse inlichtingenprogramma's (MEMO / 14 / 30). Hij verwelkomde met name de bereidheid van president Obama om de waarborgen die momenteel beschikbaar zijn voor Amerikaanse burgers met betrekking tot het verzamelen van gegevens voor nationale veiligheidsdoeleinden uit te breiden tot niet-Amerikaanse staatsburgers. Deze toezeggingen moeten nu worden gevolgd door wetgevende maatregelen.
6. Internationaal bevorderen van privacynormen: de VS moeten toetreden tot het Verdrag van de Raad van Europa inzake de bescherming van personen met betrekking tot de automatische verwerking van persoonsgegevens ("Verdrag 108"), zoals het is toegetreden tot het Verdrag inzake cybercriminaliteit van 2001.

De Commissie heeft ook duidelijk gemaakt dat normen voor gegevensbescherming geen deel zullen uitmaken van de lopende onderhandelingen over een transatlantisch handels- en investeringspartnerschap.

De EU-VS-werkgroep

De ad hoc EU-VS-werkgroep voor gegevensbescherming is in juli 2013 opgericht om kwesties te onderzoeken die voortvloeien uit onthullingen van een aantal Amerikaanse surveillanceprogramma's waarbij op grote schaal persoonsgegevens worden verzameld en verwerkt. Het doel was om de feiten vast te stellen rond Amerikaanse surveillanceprogramma's en hun impact op persoonlijke gegevens van EU-burgers.

De belangrijkste bevindingen van de werkgroep waren de volgende:

1. Een aantal Amerikaanse wetten staat het op grote schaal verzamelen en verwerken van persoonsgegevens toe die zijn overgedragen aan de VS of worden verwerkt door Amerikaanse bedrijven, voor buitenlandse inlichtingendoeleinden. De VS bevestigden het bestaan ​​en de belangrijkste elementen van bepaalde aspecten van deze programma's, waarbij gegevens worden verzameld en verwerkt op basis van de Amerikaanse wetgeving waarin specifieke voorwaarden en waarborgen zijn vastgelegd.
2. Er zijn verschillen in de waarborgen die van toepassing zijn op EU-burgers in vergelijking met Amerikaanse burgers wier gegevens worden verwerkt. Er is een lager niveau van waarborgen dat van toepassing is op EU-burgers, evenals een lagere drempel voor het verzamelen van hun persoonsgegevens. Hoewel Amerikaanse burgers grondwettelijke bescherming genieten, zijn deze niet van toepassing op EU-burgers die niet in de VS wonen
3. Aangezien de bevelen van de Foreign Intelligence Surveillance Court geheim zijn en bedrijven verplicht zijn tot geheimhouding met betrekking tot de assistentie die zij moeten verlenen, zijn er geen mogelijkheden (juridisch of administratief) voor betrokkenen in de EU of de VS om te weten of hun persoonsgegevens worden verzameld of verder verwerkt. Er zijn geen mogelijkheden voor personen om toegang tot, rectificatie of verwijdering van gegevens, of administratief of gerechtelijk verhaal te verkrijgen.
4. Hoewel er een zekere mate van toezicht is door de drie takken van de regering, wat van toepassing is in specifieke gevallen, inclusief gerechtelijk toezicht op activiteiten die een vermogen impliceren om informatie af te dwingen, is er geen rechterlijke goedkeuring voor hoe de verzamelde gegevens worden opgevraagd: rechters wordt niet gevraagd om de 'kiezers' en criteria goed te keuren die worden gebruikt om de gegevens te onderzoeken en bruikbare stukjes informatie te ontginnen.

Safe Harbor veiliger maken

De Europese Commissie deed 13 aanbevelingen aan de werking van de veiligehavenregeling te verbeteren. De Commissie heeft de Amerikaanse autoriteiten specifiek opgeroepen om tegen de zomer van 2014 corrigerende maatregelen te nemen. De Commissie zal vervolgens de werking van de veiligehavenregeling evalueren op basis van de tenuitvoerlegging van deze 13 aanbevelingen en een besluit nemen over de toekomst ervan.

De 13 aanbevelingen zijn (zie ook MEMO / 13 / 1059):

Transparantie

1. Zelfgecertificeerde bedrijven moeten hun privacybeleid openbaar maken.
2. Het privacybeleid van websites van zelfgecertificeerde bedrijven moet altijd een link bevatten naar de Safe Harbor-website van het Department of Commerce waarop alle 'huidige' deelnemers aan het schema staan ​​vermeld.
3. Zelfgecertificeerde bedrijven moeten privacyvoorwaarden publiceren van alle contracten die ze sluiten met onderaannemers, bijvoorbeeld cloud computing-diensten.
4. Markeer op de website van het ministerie van Handel duidelijk alle bedrijven die momenteel geen lid zijn van de regeling.

verhaal

1. Het privacybeleid op de websites van bedrijven moet een link naar de aanbieder van alternatieve geschillenbeslechting (ADR) bevatten.
2. ADR moet direct beschikbaar en betaalbaar zijn.
3. Het Ministerie van Handel zou ADR-aanbieders systematischer moeten monitoren op de transparantie en toegankelijkheid van de informatie die zij verstrekken over de door hen gehanteerde procedure en het gevolg dat zij geven aan klachten.

Handhaving

1. Na de certificering of hercertificering van bedrijven in het kader van de veilige haven, zou een bepaald percentage van deze bedrijven ambtshalve moeten worden onderzocht op de effectieve naleving van hun privacybeleid (dat verder gaat dan de controle op de naleving van formele vereisten).
2. Telkens wanneer na een klacht of een onderzoek wordt vastgesteld dat de voorschriften niet worden nageleefd, moet het bedrijf na 1 jaar aan een specifiek vervolgonderzoek worden onderworpen.
3. In geval van twijfel over de naleving door een bedrijf of in behandeling zijnde klachten, moet het ministerie van Handel de bevoegde EU-gegevensbeschermingsautoriteit op de hoogte stellen.
4. Valse beweringen over naleving van de veilige haven moeten verder worden onderzocht.

Toegang door Amerikaanse autoriteiten

1. Het privacybeleid van zelfgecertificeerde bedrijven moet informatie bevatten over de mate waarin de Amerikaanse wet overheidsinstanties toestaat gegevens te verzamelen en te verwerken die onder de veilige haven worden overgedragen. Bedrijven moeten met name worden aangemoedigd om in hun privacybeleid aan te geven wanneer zij uitzonderingen op de Beginselen toepassen om te voldoen aan de eisen van de nationale veiligheid, het openbaar belang of wetshandhaving.
2. Het is belangrijk dat de uitzondering op het gebied van de nationale veiligheid waarin het veiligehavenbesluit voorziet, alleen wordt gebruikt in de mate die strikt noodzakelijk of evenredig is.

Onderhandelingen tussen de EU en de VS over een 'parapluovereenkomst' over gegevensbescherming

De EU en de VS onderhandelen momenteel over een raamovereenkomst inzake gegevensbescherming op het gebied van politiële en justitiële samenwerking ("overkoepelende overeenkomst") (IP / 10 / 1661). Het doel van de EU bij deze onderhandelingen is een hoog niveau van gegevensbescherming te waarborgen, in overeenstemming met de EU-regels voor gegevensbescherming, voor burgers van wie gegevens over de Atlantische Oceaan worden overgedragen, waardoor de samenwerking tussen de EU en de VS in de strijd tegen misdaad en terrorisme verder wordt versterkt.

Het sluiten van een dergelijke overeenkomst, die voorziet in een hoog niveau van bescherming van persoonsgegevens, zou een belangrijke bijdrage leveren aan het versterken van het vertrouwen aan de andere kant van de Atlantische Oceaan.

Tijdens de laatste ministeriële bijeenkomst EU-VS-Justitie en Binnenlandse Zaken (van 18 november) hebben we goede vorderingen gemaakt:

1. Ten eerste hebben de VS toegezegd te zullen werken aan het oplossen van een van de onopgeloste kwesties voor de EU, namelijk om EU-burgers die niet in de VS wonen het recht op verhaal in rechte te geven als hun gegevens verkeerd zijn behandeld.
2. Ten tweede benadrukten de VS hun toezegging om de overeenkomst tussen de EU en de VS inzake wederzijdse rechtshulp ruimer en doeltreffender te gebruiken wanneer zij gegevens van EU-burgers willen verkrijgen voor bewijsdoeleinden in strafprocedures.

De EU en de VS hebben zich ertoe verbonden "de onderhandelingen over de overeenkomst vóór de zomer van 2014 afronden"(MEMO / 13 / 1010).

BIJLAGE

1. Eurobarometer: Zeven op de tien Europeanen maken zich zorgen over het mogelijke gebruik dat bedrijven kunnen maken van de openbaar gemaakte informatie.

Bron: Flits-Eurobarometer 359: Houdingen over gegevensbescherming en elektronische identiteit in de Europese Unie, juni 2011

Meer informatie

Persbericht - Reding-toespraak bij CEPS
Hervorming van gegevensbescherming
Europese Commissie – gegevensbescherming
Homepage van Vice President Viviane Reding
Directoraat-generaal Newsroom van Justitie
Volg de vice-president op Twitter:@ VivianeRedingEU
Volg EU Justitie op Twitter: EU_Justice

Deel dit artikel: