5.6.2010   

NL

Publicatieblad van de Europese Unie

C 147/1

1.

De Europese Unie neemt deel aan de onderhandelingen over de formulering van een Handelsovereenkomst ter bestrijding van namaak (ACTA). Deze onderhandelingen zijn in 2007 begonnen in een eerste groep van geïnteresseerde partijen en vervolgens voortgezet met een bredere groep deelnemers, die tot nu toe Australië, Canada, de Europese Unie, Japan, Korea, Mexico, Marokko, Nieuw-Zeeland, Singapore, de Verenigde Staten en Zwitserland omvat. De Europese Commissie heeft in 2008 een mandaat van de Raad ontvangen om deze onderhandelingen aan te gaan.

2.

De Europese Toezichthouder voor gegevensbescherming (EDPS) erkent dat de grensoverschrijdende handel in namaakgoederen een punt van toenemende zorg is, waarbij vaak georganiseerde criminele netwerken zijn betrokken en dat vraagt om de uitvoering van passende samenwerkingsmechanismen op internationaal niveau ter bestrijding van deze vorm van criminaliteit.

3.

De EDPS meent dat het sluiten door de Europese Unie van een multilaterale overeenkomst met als kernonderwerp de handhaving van intellectuele-eigendomsrechten belangrijke vragen oproept met betrekking tot het effect van de maatregelen ter bestrijding van namaak en piraterij op de grondrechten van individuele personen, in het bijzonder hun recht op eerbiediging van de persoonlijke levenssfeer en gegevensbescherming.

4.

In dit verband betreurt de EDPS het bijzonder dat hij door de Europese Commissie niet is geraadpleegd over de inhoud van een dergelijke overeenkomst. Op eigen initiatief heeft de EDPS daarom het onderhavige advies opgesteld op basis van artikel 41, lid 2, van Verordening (EG) nr. 45/2001 met het oogmerk de Commissie sturing te geven inzake privacy- en gegevensbeschermingsaspecten die overweging verdienen in de onderhandelingen over de ACTA.

5.

Van 26 tot 29 januari 2010 heeft in Mexico de zevende onderhandelingsronde plaatsgevonden met de bedoeling in de loop van 2010 een overeenkomst te sluiten. Er is echter tot nu toe geen officiële ontwerpovereenkomst vrijgegeven.

6.

De onderhandelingen zijn gericht op aanneming van een nieuwe multilaterale overeenkomst ter versterking van de handhaving van intellectuele-eigendomsrechten en ter bestrijding van namaak en piraterij. Als zij wordt aangenomen, zal deze nieuwe overeenkomst in betere internationale normen voorzien voor het optreden tegen grootschalige overtredingen van intellectuele-eigendomsrechten. Het DG Handel van de Europese Commissie heeft in het bijzonder uitgesproken dat de focus moet liggen op namaak en piraterij die belangrijke schade toebrengen aan handelsbelangen, niet op de activiteiten van gewone burgers (4).

7.

Met betrekking tot de inhoud van de overeenkomst wordt in de Samenvatting van de belangrijkste discussiepunten, in november 2009 uitgegeven door het DG Handel van de Europese Commissie, aangegeven dat het doel van de ACTA — bestrijding van namaak en piraterij — zal worden nagestreefd door middel van drie hoofdonderdelen: i) internationale samenwerking, ii) handhavingspraktijken en iii) de vaststelling van een wettelijk kader voor de handhaving van intellectuele-eigendomsrechten op verschillende aangewezen terreinen, met name in de digitale omgeving (5). De voorziene maatregelen zullen met name betrekking hebben op wettelijke procedures (zoals tussenvonnissen en voorlopige maatregelen), taken en verantwoordelijkheden van internetaanbieders (ISP’s) bij het voorkomen van inbreuken op het auteursrecht op internet, en maatregelen voor internationale samenwerking ter voorkoming van het grensoverschrijdend verkeer van goederen. De gepubliceerde informatie bevat echter slechts de grote lijnen van de overeenkomst en verschaft geen details over specifieke en concrete maatregelen.

8.

De EDPS merkt op dat, zelfs als het beoogde doel van de ACTA alleen de bestrijding van grootschalige inbreuk op intellectuele-eigendomsrechten is, niet kan worden uitgesloten dat activiteiten van gewone burgers door de ACTA worden bestreken, vooral wanneer handhavingsmaatregelen worden genomen in de digitale omgeving. De EDPS benadrukt dat dit passende garanties vereist ter bescherming van de grondrechten van individuele personen. Bovendien bestrijken wetten inzake gegevensbescherming alle burgers, met inbegrip van personen die mogelijk betrokken zijn bij namaak en piraterij, en zal de bestrijding van grootschalige overtredingen zeker ook de verwerking van persoonsgegevens inhouden.

9.

In dit verband moedigt de EDPS de Europese Commissie ten sterkste aan een openbare en transparante dialoog over de ACTA te beginnen, mogelijk door middel van een openbare raadpleging, die ook zou kunnen bijdragen tot de waarborg dat de te nemen maatregelen in overeenstemming zijn met de voorschriften van het EU-recht inzake privacy- en gegevensbescherming.

10.

De EDPS doet een krachtig beroep op de EU, in het bijzonder op de Europese Commissie, die het mandaat heeft ontvangen om de overeenkomst te sluiten, om een goed evenwicht te bewaren tussen enerzijds de roep om bescherming van de intellectuele eigendom en anderzijds het recht op privacy- en gegevensbescherming van het individu.

11.

De EDPS benadrukt dat privacy- en gegevensbescherming als kernwaarden van de Europese Unie zijn erkend in artikel 8 van het EVRM en de artikelen 7 en 8 van het EU-handvest van de grondrechten (6), die moeten worden geëerbiedigd in alle beleidsmaatregelen en regels die door de EU worden vastgesteld uit hoofde van artikel 16 van het Verdrag betreffende de werking van de Europese Unie (VWEU).

12.

Verder onderstreept de EDPS dat een overeenkomst die door de Europese Unie wordt bereikt over de ACTA moet voldoen aan de wettelijke plichten die aan de EU zijn opgelegd met betrekking tot het recht inzake bescherming van de persoonlijke levenssfeer en persoonsgegevens, zoals met name bepaald in Richtlijn 95/46/EG, in Richtlijn 2002/58/EG (7) en in de jurisprudentie van het Europees Hof voor de Rechten van de Mens (8) en het Hof van Justitie (9).

13.

Met privacy en gegevensbescherming moet vanaf het begin van de onderhandelingen rekening worden gehouden, niet pas wanneer de plannen en procedures zijn gedefinieerd en overeengekomen en het derhalve te laat is om alternatieve oplossingen te vinden waarmee de persoonlijke levenssfeer wordt geëerbiedigd.

14.

In het licht van de weinige informatie die openbaar is gemaakt, merkt de EDPS op dat hij zich niet in een positie bevindt om een analyse te geven van de specifieke bepalingen van de ACTA. In dit advies concentreert de EDPS zich daarom op een beschrijving van de mogelijke bedreigingen voor de privacy en gegevensbescherming waartoe mogelijke concrete maatregelen van de overeenkomst, voor zover bekend, zouden kunnen leiden op de volgende twee terreinen: handhaving van intellectuele-eigendomsrechten in de digitale omgeving (hoofdstuk IV) en mechanismen voor internationale samenwerking (hoofdstuk V).

15.

Volgens de Europese Commissie wordt met de ACTA een wettelijk kader geschapen voor de bestrijding van namaak in de digitale omgeving (10). Dit kader moet de voorwaarden bepalen waaronder ISP’s en andere online-intermediairs (11) aansprakelijk kunnen worden gesteld voor inbreuken op het auteursrecht van materiaal dat via hun voorzieningen wordt verwerkt. Het kader kan ook voorzien in het treffen van maatregelen en sancties tegen internetgebruikers nadat inbreuk is gemaakt op het auteursrecht door het uploaden of downloaden van materiaal. Hoewel de details van een dergelijk kader nog niet officieel zijn bekendgemaakt, is gezien de uit verschillende kanalen beschikbare informatie te verwachten dat het de verplichting voor ISP’s bevat om een „drietrapsafsluitbeleid” (three strikes Internet disconnection policy) te hanteren, dat ook wel wordt aangeduid als stapsgewijze respons (graduated response). Zo’n beleid houdt in dat auteursrechthebbenden het gedrag van internetgebruikers mogen controleren en vermeende overtreders van auteursrechten mogen identificeren. Nadat contact is opgenomen met de ISP’s van vermeende overtreders, waarschuwen de ISP’s de gebruikers die als overtreders zijn aangemerkt. Een gebruiker wordt afgesloten van toegang tot het internet na driemaal te zijn gewaarschuwd.

16.

Terwijl de onderhandelingen over de ACTA gaande zijn, wordt in sommige lidstaten, zoals Frankrijk, een drietrapsafsluitbeleid ingevoerd. Het wordt ook besproken op diverse EU-fora, zoals de dialoog van belanghebbenden over illegaal up- en downloaden, die momenteel op instigatie van DG MARKT wordt gevoerd in verband met de goedkeuring van de mededeling van de Commissie over een versterkte handhaving van intellectuele-eigendomsrechten in de interne markt (12). Discussies over dit onderwerp vinden ook plaats in het Europees Parlement in afwachting van het debat over een ontwerpresolutie over versterking van de handhaving van intellectuele-eigendomsrechten in de interne markt (het „Gallo-verslag”).

17.

Zulke praktijken dringen diep door in de persoonlijke levenssfeer van het individu. Ze brengen met zich mee dat de activiteiten van internetgebruikers stelselmatig worden gecontroleerd, met inbegrip van volkomen rechtmatige activiteiten. Ze raken miljoenen internetgebruikers die de wet eerbiedigen, onder wie veel kinderen en jongeren. Ze worden uitgevoerd door particuliere partijen, niet door rechtshandhavingsinstanties. Bovendien speelt het internet tegenwoordig een centrale rol in vrijwel alle aspecten van het moderne leven, zodat het afsluiten van de toegang tot internet enorme gevolgen kan hebben en mensen kan afhouden van werk, cultuur, elektronische overheidsdiensten, enzovoort.

18.

Tegen deze achtergrond is het relevant om te beoordelen in hoeverre dit beleid in overeenstemming is met de Europese wetgeving betreffende gegevensbescherming en privacy, en meer in het bijzonder of een drietrapsafsluitbeleid een noodzakelijke maatregel is voor de handhaving van intellectuele-eigendomsrechten. In dat verband moet ook worden onderzocht of er andere, minder indringende methoden bestaan.

19.

Het is nog onduidelijk of het drietrapsafsluitbeleid deel zal uitmaken van de ACTA. Een dergelijk beleid wordt echter ook op andere terreinen overwogen en kan — potentieel — een enorm effect hebben op de bescherming van persoonsgegevens en privacy. Daarom acht de EDPS het noodzakelijk om het in dit advies te behandelen. Alvorens de genoemde analyse uit te voeren, geeft de EDPS een beknopte beschrijving van het geldende wettelijk kader voor gegevensbescherming en privacy.

20.

Opgemerkt moet worden dat een drietrapsafsluitbeleid inzake internettoegang niet alleen gevolgen heeft voor gegevensbescherming en privacy, maar ook zorgen wekt met betrekking tot andere waarden, zoals een behoorlijke rechtsgang en de vrijheid van meningsuiting. In dit advies wordt echter alleen ingegaan op zaken die verband houden met de bescherming van persoonsgegevens en de individuele privacy.

21.

Kort gezegd betekent het drietrapsafsluitbeleid dat auteursrechthebbenden met behulp van geautomatiseerde technische middelen, mogelijk verschaft door derden, vermeende inbreuken op het auteursrecht opsporen door de activiteiten van internetgebruikers te controleren, bijvoorbeeld via toezicht op fora en blogs of door zich voor te doen als bestandsuitwisselaars in P2P-netwerken teneinde bestandsuitwisselaars te identificeren die materiaal uitwisselen waarop auteursrechten berusten (13).

22.

Na de identificatie, aan de hand van hun Internet Protocol-adressen (IP-adressen), van internetgebruikers die ervan worden verdacht auteursrechten te schenden, zenden de auteursrechthebbenden de IP-adressen van die gebruikers aan de betrokken internetaanbieders (ISP’s). Deze waarschuwen de abonnee aan wie het IP-adres toebehoort over diens mogelijke betrokkenheid bij overtreding van het auteursrecht. Nadat een abonnee een bepaald aantal malen door de ISP is gewaarschuwd, zal de ISP automatisch de internetaansluiting van die abonnee beëindigen of opschorten (14).

23.

Een drietrapsafsluitbeleid moet voldoen aan de voorschriften die voortvloeien uit het recht op privacy zoals vastgelegd in artikel 8 van het EVRM en artikel 7 van het Handvest van de grondrechten, en die voortvloeien uit het recht op gegevensbescherming zoals vastgelegd in artikel 8 van het Handvest van de grondrechten en artikel 16 van het VWEU, zoals ook uitgewerkt in Richtlijn 95/46/EG en Richtlijn 2002/58/EG.

24.

Naar de mening van de EDPS komt de controle van het gedrag van internetgebruikers en het op grond daarvan verzamelen van hun IP-adressen neer op overtreding van hun recht op eerbiediging van het privéleven en hun recht op vrije correspondentie; met andere woorden, er is sprake van inmenging in hun persoonlijke levenssfeer. Deze visie is in overeenstemming met de jurisprudentie van het Europees Hof voor de Rechten van de Mens (15).

25.

Richtlijn 95/46/EG is van toepassing (16) omdat het drietrapsafsluitbeleid de verwerking met zich meebrengt van IP-adressen die — in elk geval onder de relevante omstandigheden — moeten worden beschouwd als persoonsgegevens. IP-adressen zijn identificatienummers die bestaan uit een reeks getallen gescheiden door punten, zoals 122.41.123.45. Een abonnement bij een internetaanbieder geeft de abonnee toegang tot het internet. Telkens wanneer de abonnee het internet op wil gaan, wordt hem een IP-adres toegewezen via het apparaat waarmee hij verbinding maakt met het internet (bijvoorbeeld een computer) (17).

26.

Als een gebruiker een bepaalde activiteit ontplooit en bijvoorbeeld materiaal uploadt naar het internet, kan de gebruiker door derden worden geïdentificeerd via het gebruikte IP-adres. De gebruiker met het IP-adres 122.41.123.45 zou bijvoorbeeld op 1 januari 2010 om 15.00 uur materiaal dat een inbreuk op het auteursrecht vormt, hebben geüpload naar een P2P-dienst. De ISP kan dan een verband leggen tussen het IP-adres en de naam van de abonnee waaraan hij dit adres heeft toegewezen en aldus zijn of haar identiteit vaststellen.

27.

Als men de definitie van persoonsgegevens beschouwt die wordt gegeven in artikel 2 van Richtlijn 95/46/EG, „iedere informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon, hierna „betrokkene” te noemen; als identificeerbaar wordt beschouwd een persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificatienummer” (18), kan men slechts concluderen dat IP-adressen en informatie over de activiteiten die aan die adressen zijn gekoppeld in alle hier ter zake doende gevallen als persoonsgegevens moeten worden opgevat. Een IP-adres fungeert als identificatienummer waarmee de naam kan worden gevonden van de abonnee aan wie dat adres is toegewezen. Verder is het duidelijk dat de informatie die over de abonnee met het IP-adres wordt verzameld („hij/zij heeft bepaald materiaal geüpload naar website ZS op 1 januari 2010 om 15.00 uur”), de activiteiten van een identificeerbaar individu (de houder van het IP-adres) betreft en derhalve moet worden beschouwd als persoonsgegevens.

28.

Deze opvattingen worden geheel gedeeld door de Groep gegevensbescherming artikel 29, die in een document over kwesties van gegevensbescherming in verband met intellectuele eigendom heeft verklaard dat IP-adressen die worden verzameld ten behoeve van de handhaving van intellectuele-eigendomsrechten, dat wil zeggen voor de identificatie van internetgebruikers die vermeende inbreuken zouden maken op intellectuele-eigendomsrechten, persoonsgegevens zijn voor zover ze worden gebruikt voor de handhaving van zulke rechten tegenover een bepaalde persoon (19).

29.

Richtlijn 2002/58/EG is eveneens van toepassing, aangezien een drietrapsafsluitbeleid het vergaren van verkeers- en communicatiegegevens met zich meebrengt. Richtlijn 2002/58/EG reglementeert het gebruik van zulke gegevens en voorziet in het beginsel van vertrouwelijkheid van communicatie via openbare communicatienetwerken en van de gegevens die inherent zijn aan zulke communicatie.

30.

In artikel 8 van het EVRM is het noodzakelijkheidsbeginsel opgenomen op grond waarvan een maatregel die inbreuk maakt op het individuele recht op privacy, slechts is toegestaan indien hij noodzakelijk is om in een democratische samenleving het gerechtvaardigde doel te bereiken dat ermee wordt nagestreefd (20). Het noodzakelijkheidsbeginsel is ook te vinden in de artikelen 7 en 13 van Richtlijn 95/46/EG en in artikel 15 van Richtlijn 2002/58/EG (21). Het beginsel schrijft een analyse van de evenredigheid van de maatregel voor, die moet worden beoordeeld op basis van een evenwicht tussen de betrokken belangen, dat in de context wordt geplaatst van de democratische samenleving als geheel (22). Ook impliceert het een beoordeling van de vraag of er alternatieve maatregelen bestaan die minder indringend zijn.

31.

Hoewel de EDPS het belang van de handhaving van intellectuele-eigendomsrechten erkent, is hij van mening dat een drietrapsafsluitbeleid zoals nu bekend — met zekere elementen van algemene toepasbaarheid — een onevenredige maatregel is die daarom niet kan worden beschouwd als een noodzakelijke maatregel. De EDPS gelooft verder dat er alternatieve, minder indringende oplossingen bestaan of dat het voorziene beleid op minder inbreukmakende wijze of met een beperktere reikwijdte kan worden uitgevoerd. Ook op een meer gedetailleerd wettelijk niveau levert de drietrapsaanpak problemen op. Deze conclusies worden hierna toegelicht.

32.

Het EDPS wenst te onderstrepen hoe verstrekkend van aard de opgelegde maatregelen zijn. De volgende elementen verdienen in dat opzicht vermelding:

33.

De EDPS is er niet van overtuigd dat de voordelen van de maatregelen opwegen tegen de gevolgen voor de grondrechten van individuele burgers. De bescherming van het auteursrecht is in het belang van de rechthebbenden en van de samenleving. Beperkingen van de grondrechten lijken echter niet gerechtvaardigd als de ernst van het ingrijpen, dat wil zeggen de mate van inbreuk in de privésfeer zoals blijkt uit voornoemde elementen, wordt afgezet tegen de verwachte voordelen, te weten de afschrikking van — grotendeels kleinschalige — inbreuken op intellectuele-eigendomsrechten. Zoals het in de conclusie van advocaat-generaal Kokott in de zaak-Promusicae is verwoord: „Het is … niet zeker dat particuliere filesharing, in het bijzonder als dit zonder winstoogmerk geschiedt, een voldoende ernstige bedreiging voor de bescherming van auteursrechten vormt om een beroep op deze uitzondering te rechtvaardigen. Het is namelijk omstreden in hoeverre particuliere filesharing reële schade veroorzaakt.” (25)

34.

In dit verband is het waardevol om te herinneren aan de reactie van het Europees Parlement op plannen voor een „drietrapsafsluitbeleid” in het kader van de herziening van het telecompakket, met name amendement 138 op de kaderrichtlijn (26). In dit amendement werd gesteld dat een beperking van de grondrechten of fundamentele vrijheden alleen mag worden opgelegd als deze in een democratische samenleving redelijk, evenredig en noodzakelijk is, en dat de tenuitvoerlegging onderwerp moet zijn van toereikende procedurele waarborgen in overeenstemming met het EVRM en de algemene beginselen van het Gemeenschapsrecht, met inbegrip van doeltreffende rechtsbescherming en eerlijke rechtspleging (27).

35.

In deze opzicht benadrukt de EDPS verder dat elke beperking van de grondrechten onderwerp moet zijn van zorgvuldig toezicht op EU- en nationaal niveau. In dit verband kan een parallel worden getrokken met Richtlijn 2006/24/EG betreffende de bewaring van gegevens (28), waarin wordt afgeweken van het algemene beginsel dat gegevens dienen te worden verwijderd wanneer ze niet langer noodzakelijk zijn voor het doel waarvoor ze zijn verzameld. De richtlijn schrijft voor dat verkeersgegevens worden bewaard ten behoeve van de bestrijding van ernstige misdrijven. Daarbij moet worden opgemerkt dat bewaring alleen is toegestaan voor „zware criminaliteit”, dat de bewaring beperkt wordt tot „verkeers- en locatiegegevens”, waardoor in beginsel gegevens over de inhoud van de communicatie zijn uitgesloten, en dat strenge waarborgen worden genoemd. Desalniettemin zijn er twijfels gerezen over de verenigbaarheid met grondrechtelijke normen; het Roemeense Constitutionele Hof heeft bepaald dat algemene bewaring onverenigbaar is met de grondrechten (29) en er is op het ogenblik een zaak aanhangig bij het Duitse Constitutionele Hof (30).

36.

Voornoemde bevindingen worden versterkt door het feit dat er minder indringende middelen bestaan om hetzelfde doel te bereiken. De EDPS dringt erop aan dat zulke minder indringende modellen worden onderzocht en beproefd.

37.

In dit verband roept de EDPS in herinnering dat de gewijzigde Richtlijn 2002/22/EG inzake de universele dienst en gebruikersrechten met betrekking tot elektronische-communicatienetwerken en -diensten (de „burgerrechtenrichtlijn”), die onderdeel is van het onlangs herziene telecompakket, bepaalde regels en procedures bevat ter beperking van kleinschalige inbreuken op het auteursrecht bij consumenten (31). Zulke procedures omvatten de verplichting van de lidstaten om gestandaardiseerde informatie van algemeen belang over verschillende onderwerpen te publiceren, waarin specifiek melding wordt gemaakt van inbreuken op het auteursrecht en verwante rechten, en de wettelijke consequenties daarvan (32). De lidstaten kunnen vervolgens ISP’s verzoeken de informatie onder al hun klanten te verspreiden en haar in hun overeenkomsten op te nemen.

38.

Het systeem is bedoeld om mensen te informeren en hen ervan te weerhouden door het auteursrecht beschermde informatie te verspreiden en overtredingen te begaan, en tegelijkertijd de controle van het internetgebruik en de daarmee verband houdende zorgen over privacy en gegevensbescherming te vermijden. De burgerrechtenrichtlijn moet ten uitvoer worden gelegd in mei 2011; zulke procedures bestaan derhalve nog niet. Daarom zijn er nog geen mogelijkheden om de voordelen ervan te beproeven. Het lijkt dan ook prematuur om voorbij te gaan aan de mogelijke positieve uitkomst van deze procedures en in plaats daarvan een „drietrapsafsluitbeleid” te omarmen, dat de grondrechten veel meer beperkt.

39.

In aanvulling op het voorgaande moet in herinnering worden geroepen dat Richtlijn 2004/48/EG van 28 april 2004 betreffende de handhaving van intellectuele-eigendomsrechten („HIER-richtlijn”) in verschillende instrumenten voorziet voor handhaving door de rechterlijke macht (hierna behandeld in paragraaf 43 e.v.) (33).

40.

De HIER-richtlijn is pas onlangs omgezet in wetgeving in de lidstaten. Tot nu toe is er niet voldoende tijd geweest om te beoordelen of haar bepalingen toereikend zijn voor de doelen in verband met de handhaving van intellectuele-eigendomsrechten. Derhalve is de noodzaak van vervanging van het huidige systeem op basis van gerechtelijke procedures, dat nog niet is beproefd, op zijn minst twijfelachtig. Het bovenstaande roept de onvermijdelijke vraag op waarom bestaande overtredingen niet op passende wijze kunnen worden aangepakt met de bestaande civiel- en strafrechtelijke sancties op auteursrechtinbreuken. Voordat zij zulke beleidsmaatregelen voorstelt, dient de Commissie betrouwbare informatie te presenteren waaruit blijkt dat het huidige wettelijke kader niet de beoogde effecten heeft gesorteerd.

41.

Verder is het onduidelijk of er serieus is nagedacht over alternatieve economische bedrijfsmodellen die niet de stelselmatige controle van individuele personen met zich meebrengen. Als auteursrechthebbenden bijvoorbeeld kunnen aantonen dat hun verlies te wijten is aan P2P-gebruik, zouden rechthebbenden en ISP’s bijvoorbeeld gedifferentieerde abonnementen voor internettoegang kunnen uitproberen, waarbij een deel van de prijs voor een abonnement met onbeperkte toegang wordt verdeeld onder auteursrechthebbenden.

42.

Naast het gebruik van volledig andere modellen, dat zoals aangegeven moet worden onderzocht en beproefd, kan gerichte controle in elk geval op een minder inbreukmakende wijze worden uitgevoerd.

43.

De doelstelling van handhaving van intellectuele-eigendomsrechten kan ook worden bereikt door slechts een beperkt aantal mensen te controleren die worden verdacht van het plegen van een niet-alledaagse overtreding van het auteursrecht. De HIER-richtlijn verschaft in dit verband enige richtsnoeren. Zij bepaalt de voorwaarden waaronder autoriteiten, met het oogmerk de intellectuele-eigendomsrechten te handhaven, opdracht mogen geven tot bekendmaking van persoonsgegevens die in het bezit zijn van internetaanbieders. In artikel 8 is bepaald dat ISP’s van de bevoegde rechtshandhavingsinstanties opdracht kunnen krijgen persoonsgegevens te verstrekken die zij van vermeende overtreders in hun bezit hebben (bijvoorbeeld informatie over de oorsprong en de distributienetwerken van de goederen of diensten die inbreuk maken op intellectuele-eigendomsrechten) naar aanleiding van een gerechtvaardigd en evenredig verzoek in geval van overtredingen op commerciële schaal  (34).

44.

Hieruit volgt dat het criterium van de „commerciële schaal” beslissend is. Op grond van dit criterium kan controle evenredig zijn in het kader van beperkte, specifieke ad hoc-situaties waarin gegronde verdenking bestaat van inbreuk op het auteursrecht op commerciële schaal. Dit criterium zou situaties kunnen omvatten van duidelijk misbruik van auteursrecht door particuliere personen met het oogmerk direct of indirect economisch of commercieel voordeel te behalen.

45.

In de praktijk zouden auteursrechthebbenden, om voornoemde methode doeltreffend te doen zijn, gerichte controles van bepaalde IP-adressen kunnen uitvoeren teneinde de schaal van de overtreding van het auteursrecht te verifiëren. Dit zou betekenen dat auteursrechthebbenden ook verslagen van vermeende overtredingen zouden mogen bijhouden voor dezelfde doeleinden. Zulke informatie dient alleen te worden gebruikt nadat het belang van de overtreding is geverifieerd, zoals in duidelijke gevallen van belangrijke overtredingen en bij onbelangrijke, maar aanhoudende overtredingen gedurende een bepaalde periode met het oogmerk van commercieel voordeel of financieel gewin. De noodzaak van continuïteit binnen bepaalde perioden wordt hierna benadrukt en nader toegelicht in verband met het beginsel van bewaring.

46.

Dit zou betekenen dat in zulke gevallen het verzamelen van informatie met de bedoeling vermeende overtredingen aan te tonen, evenredig en noodzakelijk kan worden geacht voor de voorbereiding van gerechtelijke procedures, zoals een rechtsgeding.

47.

De EDPS is van mening dat de wijze van gegevensverwerking die is gericht op het verzamelen van zulke bewijzen als extra waarborg vooraf dient te worden getoetst en goedgekeurd door nationale instanties voor gegevensbescherming. Deze mening is gestoeld op het feit dat de gegevensverwerking specifieke risico’s voor de rechten en vrijheden van burgers met zich meebrengt in het licht van haar oogmerk, te weten de uitvoering van handhavingshandelingen die uiteindelijk strafbaar kunnen zijn gezien de gevoelige aard van de verzamelde gegevens. Het feit dat de verwerking ook de controle van elektronische communicatie inhoudt, is een aanvullende factor die versterkt toezicht vergt.

48.

De EDPS is van mening dat de „commerciële schaal”, opgenomen in de HIER-richtlijn, een bijzonder passend criterium is om grenzen aan de controle te stellen teneinde het evenredigheidsbeginsel te eerbiedigen. Bovendien lijkt er geen betrouwbaar bewijs te zijn dat aantoont dat doeltreffend gerechtelijk optreden tegen overtredingen van het auteursrecht op grond van de criteria van de HIER-richtlijn onmogelijk of niet doeltreffend is. Berichten zoals die bijvoorbeeld uit Duitsland komen, waar sinds 2008 na de omzetting van de HIER-richtlijn ongeveer 3 000 rechterlijke uitspraken zijn gedaan op grond waarvan ISP’s de gegevens van 300 000 abonnees hebben vrijgegeven, lijken eerder het tegendeel aan te tonen.

49.

Nu de HIER-richtlijn twee jaar van kracht is, is het derhalve moeilijk in te zien waarom wetgevers afstand zouden nemen van de criteria in deze richtlijn om over te gaan op indringender methoden, wanneer de EU nog maar net begonnen is met het toepassen van de recentelijk ingevoerde methoden. Om dezelfde reden is het moeilijk de noodzaak in te zien van vervanging van het huidige rechterlijke stelsel door andere soorten maatregelen (nog afgezien van de twijfels over eerlijke rechtspleging, die hier niet worden behandeld).

50.

Er zijn andere, meer specifieke wettelijke redenen waarom de drietrapsafsluitaanpak problematisch is vanuit het oogpunt van gegevensbescherming. De EDPS wil graag de aandacht vestigen op de twijfelachtige rechtsgrondslag voor gegevensverwerking, die wordt voorgeschreven door Richtlijn 95/46/EG, en de in Richtlijn 2002/58/EG opgenomen verplichting om logbestanden te verwijderen.

51.

Plannen voor een drietrapsafsluitbeleid brengen de verwerking van persoonsgegevens met zich mee, waarvan sommige worden gebruikt voor wettelijke of administratieve procedures voor de afsluiting van de toegang tot het internet voor recidiverende overtreders. Vanuit dit oogpunt gelden zulke gegevens als gevoelige gegevens in de zin van artikel 8 van Richtlijn 95/46/EG. In artikel 8, lid 5, wordt bepaald: „Verwerkingen van gegevens inzake overtredingen, strafrechtelijke veroordelingen of veiligheidsmaatregelen mogen alleen worden verricht onder toezicht van de overheid of indien de nationale wetgeving voorziet in passende specifieke waarborgen, behoudens afwijkingen die een lidstaat kan toestaan uit hoofde van nationale bepalingen welke passende en specifieke waarborgen bieden...”

52.

In dit verband is het relevant te herinneren aan voornoemd werkdocument van de Groep gegevensbescherming artikel 29, waarin de kwestie van de verwerking van justitiële gegevens aan de orde komt (35). De Groep verklaart: „Hoewel ieder individu uiteraard het recht heeft data die het verloop van zijn of haar eigen rechtszaak betreffen, te verwerken, gaat dit principe niet zo ver dat uitvoerig onderzoek en het verzamelen en centraliseren van persoonsgegevens door derden geoorloofd is, evenmin als, in het bijzonder, systematisch onderzoek op algemene schaal, zoals het scannen van het internet (…). Dergelijk onderzoek valt onder de bevoegdheid van de gerechtelijke instanties” (36). Ofschoon het gericht verzamelen van specifiek bewijs, met name in gevallen van ernstige overtredingen, noodzakelijk kan zijn om een juridische eis te formuleren en uit te oefenen, is de EDPS het volledig eens met het standpunt van de Groep gegevensbescherming artikel 29 over het gebrek aan legitimering van breedschalig onderzoek waarbij massale hoeveelheden gegevens van internetgebruikers worden verwerkt.

53.

De hiervoor beschreven discussie over het beginsel van evenredigheid en het criterium van de „commerciële schaal” zijn relevant voor de vaststelling onder welke omstandigheden het verzamelen van IP-adressen en daarmee samenhangende informatie gelegitimeerd is.

54.

ISP’s kunnen de verwerking door auteursrechthebbenden trachten te legaliseren door bepalingen in de overeenkomsten met klanten op te nemen die de controle van hun gegevens en de afsluiting van hun abonnement mogelijk maken. Door het sluiten van dergelijke overeenkomsten zouden klanten dan geacht worden te hebben ingestemd met de controle. Deze methode werpt echter de basisvraag op of iemand aan ISP’s wel toestemming kan geven voor gegevensverwerking die niet wordt uitgevoerd door de ISP, maar door derden die niet onder het „gezag” van de ISP staan.

55.

Ten tweede is er de vraag van de geldigheid van de toestemming. In artikel 2, onder h), van Richtlijn 95/46/EG wordt „toestemming van de betrokkene” gedefinieerd als „elke vrije, specifieke en op informatie berustende wilsuiting waarmee de betrokkene aanvaardt dat hem/haar betreffende persoonsgegevens worden verwerkt”. Een belangrijk punt is dat een geldige toestemming, onder welke omstandigheden deze ook wordt gegeven, een vrije, specifieke en op informatie berustende wilsuiting moet zijn van degene wiens persoonsgegeven het betreft, zoals gedefinieerd in artikel 2, onder h), van de richtlijn. De EDPS betwijfelt in ernstige mate of personen aan wie wordt gevraagd toe te stemmen in de controle van hun internetactiviteiten, in de gelegenheid zijn een echte keuze te maken, vooral omdat het alternatief is dat zij geen toegang hebben tot het internet, waardoor mogelijk veel ander aspecten van hun leven worden geschaad.

56.

Ten derde is het hoogst twijfelachtig of zulke controle ooit noodzakelijk kan worden geacht voor de uitoefening van een overeenkomst waarbij degene wiens persoonsgegeven het betreft partij is, zoals voorgeschreven in artikel 7, onder b), van Richtlijn 95/46/EG, aangezien de controle overduidelijk geen onderdeel van de door betrokkene gesloten overeenkomst uitmaakt, maar slechts een middel is waarmee de ISP andere belangen kan dienen.

57.

Uit hoofde van Richtlijn 2002/58/EG, meer in het bijzonder artikel 6, mogen verkeersgegevens zoals IP-adressen alleen worden verzameld en bewaard om redenen die rechtstreeks verband houden met de communicatie zelf, met inbegrip van facturering, verkeersstroombeheer en het oogmerk van fraudepreventie. Na afloop moeten de gegevens worden gewist. Dit doet niets af aan de bepalingen van de richtlijn betreffende de bewaring van gegevens, die — zoals hiervoor besproken — verplicht tot bewaring van verkeersgegevens en overlegging daarvan aan politie en aanklagers ter ondersteuning van het onderzoek naar uitsluitend zware criminaliteit  (37).

58.

Overeenkomstig het bovenstaande moeten internetaanbieders elk logbestand verwijderen waarin activiteiten van internetgebruikers worden bekendgemaakt en dat niet langer noodzakelijk is voor voornoemde doeleinden. Aangezien logbestanden niet noodzakelijk zijn voor factureringsdoeleinden, lijkt een periode van drie of vier weken voor het verkeersstroombeheer door ISP’s toereikend (38).

59.

Dit betekent dat ISP’s, wanneer zij worden benaderd door auteursrechthebbenden, tenzij het contact tot stand komt in voornoemde beperkte periode, niet over de logbestanden mogen beschikken op basis waarvan de IP-adressen in verband kunnen worden gebracht met de relevante abonnees. Aanhouden van logbestanden na een dergelijke periode mag alleen worden toegestaan om gerechtvaardigde redenen binnen de reikwijdte van de in het recht verankerde doelen.

60.

In de praktijk betekent dit dat verzoeken van auteursrechthebbenden aan een ISP niet kunnen worden gehonoreerd tenzij ze heel snel worden ingediend, eenvoudigweg omdat de ISP niet langer over de gevraagde gegevens beschikt. Dit feit op zich bepaalt de grenzen van wat wordt bedoeld met aanvaardbare controlepraktijken zoals hiervoor beschreven.

61.

De EDPS is verder niet alleen bezorgd over de gevolgen voor privacy en gegevensbescherming van het drietrapsafsluitbeleid, maar ook over de doorwerkingseffecten van dat beleid. Als een drietrapsafsluitbeleid wordt toegestaan, kan dat het begin zijn van een hellend vlak waarop wij afglijden in de richting van legalisering van nog grootschaliger controle van de activiteiten van internetgebruikers, op verschillende gebieden en voor verschillende doeleinden.

62.

De EDPS verzoekt de Commissie ervoor te zorgen dat de ACTA niet verder gaat dan en niet ingaat tegen de huidige EU-regeling voor de handhaving van intellectuele-eigendomsrechten, waarin grondrechten, fundamentele vrijheden en burgerrechten, zoals de bescherming van persoonsgegevens, worden geëerbiedigd.

63.

Een van de middelen die door deelnemers aan de ACTA-onderhandelingen naar voren worden gebracht om de kwestie van de handhaving van intellectuele-eigendomsrechten aan te pakken, is uitbreiding van de internationale samenwerking met een aantal maatregelen die een doeltreffende handhaving van intellectuele-eigendomsrechten in de rechtsgebieden van de ACTA-ondertekenaars mogelijk zouden maken.

64.

Gezien de beschikbare informatie kan worden verwacht dat bepaalde maatregelen die worden voorgesteld voor de waarborging van de handhaving van intellectuele-eigendomsrechten, zullen leiden tot internationale uitwisseling van informatie over vermeende inbreuken op intellectuele-eigendomsrechten tussen publieke instanties (zoals douane, politie en justitie), maar ook tussen publieke en private partijen (zoals ISP’s en organisaties van houders van intellectuele-eigendomsrechten). Zulke gegevensoverdrachten zijn in een aantal opzichten problematisch vanuit het gezichtspunt van gegevensbescherming.

65.

Bij de huidige stand van het onderhandelingsproces, waarin een aantal concrete elementen van de gegevensverwerking nog niet vastgesteld of onbekend zijn, kan onmogelijk worden geverifieerd of het voorgestelde raamwerk van maatregelen in overeenstemming is met de fundamentele beginselen van gegevensbescherming en met het EU-recht inzake gegevensbescherming.

66.

Ten eerste is het de vraag of gegevensoverdrachten naar derde landen in het kader van de ACTA legitiem zijn. De relevantie van het treffen van internationale maatregelen op dit vlak kan in twijfel worden getrokken zolang er tussen de EU-lidstaten geen overeenstemming bestaat over de harmonisatie van handhavingsmaatregelen in de digitale omgeving en de soorten strafrechtelijke sancties die moeten worden toegepast (39).

67.

Gezien het bovenstaande lijkt het erop dat de beginselen van noodzakelijkheid en evenredigheid ten aanzien van de gegevensoverdrachten uit hoofde van de ACTA eenvoudiger kunnen worden nageleefd indien de overeenkomst uitdrukkelijk wordt beperkt tot de bestrijding van de ernstigste overtredingen van intellectuele-eigendomsrechten en geen bulkoverdracht van gegevens in verband met elke verdenking van overtreding van intellectuele-eigendomsrechten toestaat. Dit vereist een exacte definitie van de „ernstigste overtredingen van intellectuele-eigendomsrechten” waarvoor gegevensoverdrachten wel zijn toegestaan.

68.

Daarenboven dient bijzondere aandacht te worden besteed aan hen die betrokken zijn bij de gegevensoverdrachten, en aan de vraag of gegevens alleen worden uitgewisseld tussen publieke instanties of dat uitwisseling ook is toegestaan tussen private partijen en publieke instanties. Zoals elders in dit advies is geschetst, roept de betrokkenheid van private partijen op een terrein dat in beginsel tot de bevoegdheid van rechtshandhavingsinstanties behoort, een aantal vragen op (40). De voorwaarden waaronder private partijen worden betrokken bij het verzamelen en uitwisselen met publieke instanties van persoonsgegevens die betrekking hebben op overtredingen van intellectuele-eigendomsrechten, dienen zich strikt te beperken tot specifieke omstandigheden met passende waarborgen.

69.

Het algemene kader voor gegevensbescherming dat in de EU van toepassing is, wordt bepaald door Richtlijn 95/46/EG. De artikelen 25 en 26 van Richtlijn 95/46/EG definiëren het regime dat geldt voor overdrachten van gegevens naar derde landen. Artikel 25 bepaalt dat de doorgifte van gegevens alleen mag plaatsvinden aan landen die een toereikend beschermingsniveau waarborgen; overigens zijn zulke doorgiften in beginsel verboden.

70.

De toereikendheid van de bescherming die derde landen bieden, wordt per geval beoordeeld door de Europese Commissie, die verschillende beschikkingen heeft afgegeven waarin de toereikendheid voor een aantal landen werd erkend na een grondige analyse door de Groep gegevensbescherming artikel 29 (41).

71.

De EDPS merkt op dat de meeste deelnemers aan de ACTA-onderhandelingen geen deel uitmaken van de door de Commissie opgestelde lijst met landen die toereikende gegevensbescherming bieden. Met uitzondering van Zwitserland en — in specifieke omstandigheden — Canada en de Verenigde Staten, wordt geen van de ACTA-deelnemers erkend als land met een toereikend beschermingsniveau. Dit betekent dat voordat er gegevens vanuit de EU naar een van deze landen kunnen worden overgedragen, aan een van de voorwaarden van artikel 26, lid 1, van Richtlijn 95/46/EG moet worden voldaan of dat door partijen toereikende waarborgen moeten worden geboden bij de gegevensoverdracht overeenkomstig artikel 26, lid 2, van de richtlijn.

72.

Richtlijn 95/46/EG vormt weliswaar het belangrijkste instrument voor gegevensbescherming in de EU, maar haar werkingssfeer is op het ogenblik beperkt doordat activiteiten die betrekking hebben op onder meer het optreden van de staat op het gebied van het strafrecht, uitdrukkelijk zijn uitgesloten (artikel 3). Gegevensuitwisselingen met het oog op handhaving van het strafrecht vallen derhalve buiten de werkingssfeer van Richtlijn 95/46/EG en zijn onderworpen aan de algemene beginselen van gegevensbescherming die zijn vastgelegd in Verdrag nr. 108 van de Raad van Europa en het Aanvullend Protocol dat door alle EU-lidstaten is onderschreven (42). Bovendien gelden de regels die door de EU zijn vastgesteld voor de samenwerking van politie en justitie op het terrein van strafzaken, zoals bepaald in het kaderbesluit 2008/877/JHA van de Raad (43).

73.

Deze instrumenten stellen eveneens als beginsel voorop dat er een toereikend niveau van gegevensbescherming moet zijn in het derde land waarnaar de gegevens worden overgedragen. Er is voorzien in een aantal uitzonderingen, met name wanneer het derde land toereikende waarborgen verschaft. Net als bij gegevensuitwisselingen op grond van Richtlijn 95/46/EG, moeten bij gegevensuitwisselingen op het terrein van de strafrechtshandhaving tussen de partijen toereikende waarborgen worden geboden voordat de overdracht kan plaatsvinden.

74.

Naar verwachting zal de EU in de nabije toekomst nieuwe gemeenschappelijke regels voor gegevensbescherming vaststellen op grond van artikel 16 van het VWEU, die van toepassing zullen zijn op alle terreinen waarop de EU actief is. Dit betekent dat er over een paar jaar een alomvattend kader voor gegevensbescherming in de EU kan bestaan, waarin samenhangende regels zijn opgenomen voor de bescherming van gegevens op alle terreinen waarop de EU actief is en dat hetzelfde niveau van waarborgen en garanties zal bieden voor alle gegevensverwerkende activiteiten. Zoals is uiteengezet door Viviane Reding (44), commissaris voor Justitie, grondrechten en burgerschap, moet dit nieuwe kader werken als één „modern en allesomvattend rechtsinstrument” voor gegevensbescherming in de EU. Zo’n kader wordt in het bijzonder toegejuicht omdat het meer duidelijkheid en consistentie zal verschaffen ten aanzien van de regels die in de EU met betrekking tot gegevensbescherming gelden.

75.

In internationaal verband wijst de EDPS ook op de resolutie inzake internationale normen voor de bescherming van persoonsgegevens en privacy die onlangs is aangenomen door gegevensbeschermingsautoriteiten, en die een eerste stap is op weg naar mondiale normen voor gegevensbescherming (45). De internationale normen omvatten een aantal waarborgen voor gegevensbescherming die vergelijkbaar zijn met die van Richtlijn 95/46/EG en Handvest nr. 108. Hoewel de internationale normen nog niet bindend zijn, verschaffen ze wel nuttige richtsnoeren inzake de beginselen van gegevensbescherming, die vrijwillig kunnen worden toegepast door derde landen om hun wettelijk kader verenigbaar te maken met de normen van de EU. De EDPS meent dat ook de ondertekenaars van de ACTA rekening moeten houden met de beginselen van de internationale normen wanneer zij persoonsgegevens uit de EU verwerken.

76.

Als de noodzaak van de overdracht van persoonsgegevens naar derde landen is aangetoond, benadrukt de EDPS dat de Europese Unie met ontvangers in derde landen moet onderhandelen — in aanvulling op de overeenkomst over de ACTA zelf — over specifieke instrumenten die passende waarborgen voor de bescherming van gegevens bevatten waarmee de uitwisseling van persoonsgegevens wordt geregeld.

77.

Passende waarborgen voor gegevensbescherming moeten bij voorkeur worden opgenomen in een bindende overeenkomst tussen de EU en het ontvangende derde land, waarbij de ontvangende partij verklaart het EU-recht inzake gegevensbescherming te eerbiedigen en aan individuen dezelfde rechten en rechtsmiddelen te gunnen als die conform het EU-recht. De noodzaak van een bindende overeenkomst komt voort uit artikel 26, lid 2, van Richtlijn 95/46/EG en artikel 13, lid 3, onder b), van het kaderbesluit, en wordt bovendien ondersteund door de bestaande praktijk van de EU om specifieke overeenkomsten te sluiten voor specifieke gegevensoverdrachten naar derde landen (46).

78.

Evenzo kan de ontvanger op grond van het ontwerp voor de internationale normen worden verplicht te garanderen dat hij voor de overdracht het vereiste beschermingsniveau zal bieden. Zulke garanties kunnen ook de vorm van een overeenkomst aannemen.

79.

De EDPS benadrukt dat internationale uitwisselingen van informatie met rechtshandhaving als doel bijzonder gevoelig zijn vanuit het oogpunt van gegevensbescherming, omdat in dat kader massale gegevensoverdrachten kunnen worden gelegaliseerd op een terrein waar het effect op individuele burgers bijzonder ernstig is en waar strikte en betrouwbare waarborgen des te noodzakelijker zijn.

80.

De EDPS meent dat specifieke voorwaarden en waarborgen alleen per geval kunnen worden gedefinieerd in het licht van alle factoren van de gegevensuitwisselingen. Om toch een leidraad te verschaffen, wordt hieronder ingegaan op een aantal beginselen en waarborgen die door ontvangende derde partijen moeten worden nageleefd voordat de gegevensoverdrachten kunnen plaatsvinden:

81.

De EDPS moedigt de Europese Commissie krachtig aan een openbare en transparante dialoog te beginnen over de ACTA, mogelijk door middel van een openbare raadpleging, waarmee tevens wordt bevorderd dat de te nemen maatregelen voldoen aan de eisen van het EU-recht inzake privacy en gegevensbescherming.

82.

De EDPS doet een beroep op de Europese Commissie om tijdens de lopende onderhandelingen over de ACTA een goed evenwicht te bereiken tussen de roep om bescherming van intellectuele-eigendomsrechten en het recht op persoonlijke levenssfeer en gegevensbescherming. De EDPS onderstreept dat het met name van cruciaal belang is om vanaf het begin van de onderhandelingen rekening te houden met privacy en gegevensbescherming, voordat maatregelen worden overeengekomen, zodat er later niet hoeft te worden gezocht naar alternatieve oplossingen die in overeenstemming zijn met de privacyregels.

83.

Hoewel intellectuele eigendom een belangrijk punt is voor de samenleving en beschermd dient te worden, mag het niet worden geplaatst boven het fundamentele recht van burgers op privacy en gegevensbescherming, of boven andere rechten zoals het vermoeden van onschuld, doeltreffende rechtsbescherming en vrijheid van meningsuiting.

84.

Voor zover het huidige ontwerp van de ACTA een drietrapsafsluitbeleid omvat of daar ten minste indirect op aanstuurt, houdt de ACTA een ingrijpende beperking in van de grondrechten en vrijheden van Europese burgers, met name wat betreft de bescherming van persoonsgegevens en de privacy.

85.

De EDPS is van mening dat een drietrapsafsluitbeleid niet noodzakelijk is om de beoogde handhaving van intellectuele-eigendomsrechten te bereiken. De EDPS is ervan overtuigd dat er andere, minder ingrijpende oplossingen bestaan of dat het voorziene beleid in elk geval op een minder inbreukmakende wijze of met een beperktere reikwijdte kan worden uitgevoerd, met name in de vorm van gerichte ad hoc-controle.

86.

Het drietrapsafsluitbeleid is ook problematisch op een meer gedetailleerd wettelijk niveau, vooral omdat de verwerking van justitiële gegevens, in het bijzonder door private organisaties, moet zijn gebaseerd op een goede rechtsgrondslag. De toepassing van drietrapsregelingen kan verder leiden tot de langdurige opslag van logbestanden, hetgeen in strijd zou zijn met bestaande wetgeving.

87.

Voor zover de ACTA de uitwisseling van persoonsgegevens tussen instanties en/of particuliere organisaties in de deelnemende landen met zich meebrengt, doet de EDPS een beroep op de Europese Unie om toereikende waarborgen in te voeren. Deze waarborgen dienen van toepassing te zijn op alle gegevensoverdrachten die in het kader van de ACTA worden uitgevoerd — ongeacht of deze zich afspelen op het terrein van de strafrechtelijke, civielrechtelijke of digitale rechtshandhaving — en te voldoen aan de beginselen voor gegevensbescherming die zijn vastgelegd in Verdrag nr. 108 en Richtlijn 95/46/EG. De EDPS adviseert de waarborgen de vorm te geven van bindende overeenkomsten tussen de verzenders in de EU en de ontvangers in derde landen.

88.

De EDPS wenst verder te worden geconsulteerd over de maatregelen die moeten worden uitgevoerd met betrekking tot de gegevensoverdrachten die uit hoofde van de ACTA zullen worden uitgevoerd, teneinde hun evenredigheid te verifiëren en na te gaan of ze een toereikend niveau van gegevensbescherming waarborgen.