EUROPESE COMMISSIE

Brussel, 29.2.2016

COM(2016) 117 final

MEDEDELING VAN DE COMMISSIE AAN HET EUROPEES PARLEMENT EN DE RAAD

Trans-Atlantische gegevensstromen: herstel van vertrouwen door solide waarborgen

1. Inleiding: De rol van uitwisselingen van persoonsgegevens in de betrekkingen tussen de EU en de VS

Een solide trans-Atlantisch partnerschap tussen de Europese Unie en de Verenigde Staten is vandaag van even vitaal belang als vroeger. We delen gemeenschappelijke waarden, streven gedeelde politieke en economische doelstellingen na en werken nauw samen in de strijd tegen gemeenschappelijke bedreigingen van onze veiligheid. De aanhoudende sterkte van onze betrekkingen blijkt uit de omvang van het handelsverkeer tussen de EU en de VS en onze nauwe samenwerking in internationale aangelegenheden.

De overdracht en de uitwisseling van persoonsgegevens is een essentieel onderdeel dat ten grondslag ligt van de nauwe banden tussen de Europese Unie (EU) en de Verenigde Staten (VS) op handelsgebied als met betrekking tot de rechtshandhaving. Voor deze uitwisseling van gegevens zijn een hoog niveau van gegevensbescherming en dienovereenkomstige waarborgen vereist.

In juni 2013 gaf berichtgeving over programma’s voor het op grote schaal verzamelen van inlichtingen in de VS aanleiding tot ernstige bedenkingen zowel op het niveau van de EU als op het niveau van de lidstaten over de gevolgen voor de grondrechten van Europeanen naar aanleiding van de grootschalige verwerking van persoonsgegevens door zowel overheidsinstanties als particuliere ondernemingen in de Verenigde Staten.

Als reactie hierop heeft de Commissie op 27 november 2013 een mededeling gepubliceerd over het herstel van vertrouwen in de gegevensstromen tussen de EU en de VS 1 waarin een actieplan was opgenomen voor het herstel van het vertrouwen in gegevensstromen ten behoeve van de digitale economie, de bescherming van de rechten van Europese burgers en de trans-Atlantische relatie in ruimere zin. In de mededeling worden de volgende belangrijkste maatregelen vastgesteld om deze doelstelling te bereiken:

i)    vaststelling van het hervormingspakket voor gegevensbescherming dat door de Commissie in 2012 was voorgesteld 2 ;

ii)    de veilige haven veiliger maken op grond van de 13 in de mededeling inzake de veilige haven opgenomen aanbevelingen 3 ; en

iii) versterking van de waarborgen inzake gegevensbescherming bij de samenwerking op het gebied van rechtshandhaving, in het bijzonder door de onderhandelingen over de raamovereenkomst inzake gegevensbescherming tussen de EU en de VS af te ronden. Dit had ook betrekking op de doelstelling om toezeggingen van de VS te verkrijgen inzake afdwingbare individuele rechten, inclusief mogelijkheden voor het aanwenden van rechtsmiddelen, in het bijzonder door de bekrachtiging van de Judicial Redress Act waarbij bepaalde in de privacywet van de VS van 1974 verankerde rechten die toen voorbehouden waren aan burgers van de VS en permanent ingezetenen, werden uitgebreid tot EU-burgers.

Deze doelstellingen werden opnieuw bevestigd in de Beleidsrichtsnoeren 4 van de Commissie-Juncker: "Gegevensbescherming is een grondrecht dat in het digitale tijdperk van groot belang is. We moeten niet alleen de wetgevingswerkzaamheden inzake gegevensbeschermingsregels binnen de Europese Unie snel afronden, maar dit recht ook in onze externe betrekkingen hooghouden. Gelet op de recente onthullingen over massale bewaking zullen naaste partners als de Verenigde Staten ons ervan moeten overtuigen dat de huidige veilige-havenregelingen echt betrouwbaar zijn, omdat er anders een einde aan komt. Ook moet door de VS worden gewaarborgd dat alle EU-burgers het recht hebben de naleving van de gegevensbeschermingsrechten in de VS af te dwingen voor de rechter, ongeacht of zij op het grondgebied van de VS wonen. Voor het herstel van het vertrouwen in de trans-Atlantische betrekkingen is dit van essentieel belang."

Sedertdien heeft de Commissie zich ingespannen om deze doelstellingen te bereiken. De Commissie heeft vaart gezet achter de onderhandelingen over de raamovereenkomst die door de partijen op 8 september 2015 zijn geparafeerd. De interinstitutionele besprekingen over het hervormingspakket voor de gegevensbescherming werden geïntensiveerd, hetgeen heeft geresulteerd in een politieke overeenkomst tussen de Raad en het Europees Parlement op 15 december 2015. Wat de trans-Atlantische gegevensoverdracht op commercieel vlak betreft, is de Commissie in januari 2014 besprekingen met de VS begonnen om de veilige haven te versterken. Uit de ongeldigverklaring van het Veiligehavenbesluit door het Hof van Justitie in het arrest Schrems op 6 oktober 2015 5 bleek de noodzaak voor een vernieuwd kader. Het arrest voorzag ook in nadere richtsnoeren met betrekking tot de voorwaarden waaraan het kader moet voldoen. Naar aanleiding van het arrest heeft de Commissie op 6 november 2015 richtsnoeren voor ondernemingen vastgesteld waarbij de alternatieve instrumenten werden opgesomd waarmee de overdracht van persoonsgegevens naar de Verenigde Staten kon worden voortgezet 6 . Op 2 februari 2016 werd een politieke overeenkomst bereikt over een nieuw kader voor trans-Atlantische gegevensstromen, het EU-VS-privacyschild 7 , ter vervanging van de vorige regeling.

Deze verwezenlijkingen zijn bevorderlijk voor de trans-Atlantische betrekkingen en moeten het vertrouwen van de Europeanen in de digitale economie herstellen, waarbij hun grondrechten worden versterkt. Hiermee beschikken de EU en haar lidstaten ook over een robuuster rechtskader voor gegevensbescherming dat zal resulteren in een nauwere integratie van de interne markt, in het bijzonder de digitale eengemaakte markt. Voorts kan de EU hierdoor haar inspanningen intensiveren om de internationale normen voor de bescherming van de privacy en de persoonsgegevens te promoten en te ontwikkelen.

Tegelijkertijd werden belangrijke initiatieven genomen die hebben geresulteerd in aanzienlijke wijzigingen in de rechtsorde van de Verenigde Staten. Op 17 januari 2014 heeft president Obama hervormingen inzake inlichtingen uit berichtenverkeer bekendgemaakt 8 die vervolgens zijn vastgelegd in de presidentiële richtlijn inzake inlichtingen uit berichtenverkeer (Presidential Policy Directive 28, PPD-28) 9 . Van belang is dat deze hervormingen voorzagen in de uitbreiding van bepaalde waarborgen inzake privacybescherming naar niet-Amerikanen, waarbij gegevensverzameling werd geheroriënteerd van gegevensverzameling op grote schaal naar een benadering die is toegespitst op een gerichte verzameling en toegang. De Commissie verwelkomde deze nieuwe beleidslijnen als een belangrijke stap in de juiste richting 10 . Deze hervormingen waren ook een essentiële bijdrage tot het overleg met de Verenigde Staten over het EU-VS-privacyschild. Sedertdien zijn verdere wijzigingen tot stand gekomen. In juni 2015 hebben de VS bijvoorbeeld de USA Freedom Act 11 aangenomen, hetgeen heeft geresulteerd in een wijziging van bepaalde Amerikaanse surveillanceprogramma’s, een versterking van het justitieel toezicht en meer openbare transparantie over de inzet van deze surveillanceprogramma's. Op 10 februari 2016 heeft het Congres van de Verenigde Staten tenslotte de Judicial Redress Act aangenomen, waaraan op 24 februari 2016 door de ondertekening van president Obama kracht van wet werd verleend 12 . 

Tegen deze achtergrond wordt in de onderhavige mededeling een stand van zaken opgemaakt over de vooruitgang die is geboekt bij de verwezenlijking van de mededeling van 2013 vastgelegde doelstellingen. In de mededeling wordt ook de aandacht gevestigd op de terreinen waarop nog inspanningen moeten worden geleverd om het vertrouwen in de trans-Atlantische gegevensstromen te versterken en volledig te herstellen.

2. De hervorming van de gegevensbescherming in de EU

2.1 De context

Om de geboden kansen te grijpen en de uitdagingen van een steeds meer geïntegreerde digitale wereld aan te pakken, heeft de Europese Commissie in januari 2012 haar hervormingspakket voor de gegevensbescherming (hierna "de hervorming" genoemd) voorgesteld. Door de interne EU-regels te versterken en door individuen meer controle te geven over hun persoonsgegevens, wordt met de hervorming ernaar gestreefd het vertrouwen in de digitale economie te bevorderen, ongeacht of persoonsgegevens binnen één lidstaat, in de EU of in derde landen zoals de Verenigde Staten worden verwerkt.

Het hervormingspakket bestaat uit twee rechtsinstrumenten, een algemene verordening gegevensbescherming 13 (hierna "de verordening" genoemd), waarin een gemeenschappelijk EU-kader voor gegevensbescherming wordt vastgesteld, en een gegevensbeschermingsrichtlijn op het gebied van politiële en justitiële samenwerking (hierna "de Politiële Richtlijn" genoemd) 14 . Door een verordening voor te stellen die in de lidstaten rechtstreeks toepasselijk zal zijn, heeft de Commissie gestreefd naar een gemeenschappelijke gegevensbeschermingsnorm, waarbij de verschillen op het vlak van bescherming tussen lidstaten worden weggewerkt. Evenzo wordt met de Politiële Richtlijn voor het eerst een gemeenschappelijke reeks voorschriften op het niveau van de EU vastgesteld, waarbij rekening wordt gehouden met de specifieke kenmerken van de rechts- en rechtshandhavingstradities in de lidstaten.

Op 15 december 2015 hebben het Europees Parlement en de Raad een politieke overeenkomst bereikt over het hervormingspakket. Daarmee werd een van de essentiële maatregelen tot stand gebracht die in de mededeling van 2013 waren aangekondigd.

2.2 Wat is veranderd?

Met deze verordening worden de in de gegevensbeschermingsrichtlijn van 1995 verankerde gegevensbeschermingsbeginselen 15 om de privacyrechten te garanderen, bijgewerkt, gemoderniseerd in sommige gevallen versterkt. De verordening is toegespitst op het versterken van de rechten van individuen, de verdieping van de interne markt van de EU, een sterkere handhaving van de regelgeving, het stroomlijnen van internationale doorgiften van persoonsgegevens en de vaststelling van mondiale normen voor gegevensbescherming. De regels zijn opgesteld om ervoor te zorgen dat de persoonsgegevens van EU-burgers zijn beschermd - ongeacht waar ze worden verwerkt of bewaard of waarnaartoe ze worden gestuurd - zelfs buiten de EU, zoals in de digitale wereld vaak het geval kan zijn. Een aantal kenmerken van de hervorming zijn van bijzonder belang.

Ten eerste, het territoriaal toepassingsgebied: in de verordening wordt duidelijk gesteld dat zij ook van toepassing is op ondernemingen die in een derde land zijn gevestigd wanneer zij in de EU goederen en diensten aanbieden of het gedrag van individuen observeren. Buiten de EU gevestigde ondernemingen zullen dezelfde regels moeten toepassen als in de EU gevestigde ondernemingen. Hiermee is een uitgebreide bescherming van de rechten van EU-burgers gewaarborgd. Voorts ontstaan hierdoor ook gelijke concurrentievoorwaarden tussen Europese en buitenlandse ondernemingen, waarbij concurrentieverstoringen tussen Europese en buitenlandse ondernemingen worden voorkomen wanneer deze ondernemingen in de EU actief zijn of zich richten tot consumenten in de EU.

Ten tweede, een sterkere handhaving van gegevensbeschermingsregels: de verordening voorziet in een doeltreffende sanctieregeling door een harmonisering van de bevoegdheden van nationale gegevensbeschermingsautoriteiten. Zij worden bevoegd om boeten op te leggen die kunnen oplopen tot 20 miljoen EUR of tot 4% van de totale wereldwijde omzet van een onderneming. Deze bevoegdheid om ontradende sancties op te leggen voor de niet-naleving van gegevensbeschermingsregels in combinatie met het hierboven vermelde territoriale toepassingsgebied zal ervoor zorgen dat ondernemingen die zakendoen in de EU op alle mogelijke manieren ertoe worden aangezet om de EU-wetgeving na te leven. Met de nieuwe regels wordt ook een duidelijkere en striktere aansprakelijkheidsregeling ingevoerd voor de voor de verwerking verantwoordelijken en de verwerkers.

Ten derde, geharmoniseerde regels voor samenwerking op het gebied van rechtshandhaving: met de Politiële Richtlijn worden algemene beginselen en regels inzake gegevensbescherming ook van toepassing op de verwerking van persoonsgegevens door de politiële en justitiële autoriteiten in de lidstaten voor strafrechtelijke wetshandhaving. Hierbij gaat het om geharmoniseerde regels voor internationale doorgiften van persoonsgegevens in het kader van samenwerking op het vlak van strafrechtelijke handhaving 16 . De nieuwe richtlijn voorziet in een verhoging van het beschermingsniveau voor individuen, waarbij ervoor gezorgd wordt dat de gegevens van slachtoffers, getuigen en verdachten van misdrijven naar behoren worden beschermd bij strafrechtelijk onderzoek of een rechtshandhaving. Het toezicht wordt gegarandeerd door onafhankelijke nationale gegevensbeschermingsautoriteiten en individuen moet doeltreffende voorzieningen in rechte worden geboden. Tegelijkertijd stelt een meer geharmoniseerde wetgeving politiële en justitiële autoriteiten in staat om doeltreffender samen te werken, zowel tussen lidstaten onderling als tussen lidstaten en hun internationale partners om misdaad en terrorisme doeltreffender te bestrijden. Dit is een essentieel onderdeel van de Europese veiligheidsagenda 17 .

Ten vierde, stringente regels voor veiligere internationale doorgiften: zowel de verordening als de Politiële Richtlijn voorzien in transparante, gedetailleerde en uitgebreide regels voor de doorgifte van persoonsgegevens naar derde landen. Zij hebben betrekking op alle vormen van internationale doorgiften, zowel voor commerciële doeleinden als voor wetshandhaving, tussen particuliere partijen of overheidsinstanties of tussen particuliere entiteiten en overheidsinstanties. De architectuur van de regelgeving inzake internationale overdrachten blijft in essentie dezelfde als die onder de gegevensbeschermingsrichtlijn (bv. adequaatheidsbesluiten, standaard contractclausules en bindende bedrijfsregelingen alsook bepaalde afwijkingen van het algemeen verbod op de overdracht van persoonsgegevens buiten de EU). In het kader van de hervorming worden deze regels evenwel op een aantal punten verduidelijkt en vereenvoudigd, waarbij de administratieve rompslomp wordt teruggedrongen. Met de hervorming worden ook enkele nieuwe instrumenten voor internationale doorgiften ingevoerd.

Voorts worden met de verordening de bevoegdheden versterkt van de gegevensbeschermingsautoriteiten van de EU, inclusief met betrekking tot internationale doorgiften. In vergelijking met de huidige gegevensbeschermingsrichtlijn worden de bepalingen met betrekking tot de onafhankelijkheid, taken en bevoegdheden van de gegevensbeschermingsautoriteiten uit de EU gedetailleerder omschreven en zijn zij gevoelig versterkt. Hierbij gaat het uitdrukkelijk om de bevoegdheid om gegevensstromen naar een ontvanger in een derde land of een internationale organisatie te schorsen. De Politiële Richtlijn bevat soortgelijke bepalingen met betrekking tot de internationale overdrachten en de bevoegdheden van gegevensbeschermingsautoriteiten met betrekking tot de wetshandhaving.

Wat betreft de regeling met betrekking tot de adequaatheidsbesluiten van de Commissie, voorziet de verordening meer specifiek in een nauwkeurige en gedetailleerde catalogus van punten waarmee de Commissie rekening moet houden bij de beoordeling van het niveau van gegevensbescherming waarin de rechtsorde van een derde land voorziet. Dit proces bestaat uit een alomvattende beoordeling die door de Commissie moet worden uitgevoerd en die betrekking moet hebben - en die ook in overeenstemming is met het arrest Schrems - op de regels inzake de toegang tot persoonsgegevens voor overheidsinstanties van een derde land. Een ander essentieel kenmerk van deze beoordeling is dat aan individuen nu doeltreffende en afdwingbare gegevensbeschermingsrechten zijn verleend en dat zij een doeltreffend administratief beroep en een beroep in rechte kunnen uitoefenen.

Bovendien wordt in de verordening uitdrukkelijk bepaalt dat Commissie periodiek, en ten minste om de vier jaar, al haar adequaatheidsbesluiten moet herzien, om op de hoogte te blijven van alle relevante ontwikkelingen in een derde land die een directe of zelfs nadelige invloed kunnen hebben op het beschermingsniveau in de rechtsorde van het desbetreffende land. Deze voortdurende evaluatie van de adequaatheid wordt een meer dynamisch proces aangezien hierbij ook een dialoog tot stand komt met de autoriteiten van het desbetreffende derde land.

Wat betreft de overdrachten naar derde landen waarvoor geen adequaatheidsbesluit is opgesteld, worden in de verordening voorwaarden opgelegd voor het gebruik van alternatieve doorgifte-instrumenten, zoals standaard contractclausules en bindende bedrijfsregelingen. De verordening voorziet ook in andere doorgifte-instrumenten, zoals goedgekeurde gedragscodes en goedgekeurde certificeringsmechanismen. Ten slotte wordt in de verordening de situatie verduidelijkt van de gevallen waarin afwijkingen kunnen worden gebruikt.

2.3 Volgende stappen

De hervorming van de gegevensbescherming is een essentiële stap om de grondrechten van de burgers in het digitale tijdperk te versterken en het handelsverkeer te bevorderen dankzij minder ingewikkelde regels voor bedrijven in de digitale eengemaakte markt. Het consumentenvertrouwen in marktdeelnemers uit de EU en derde landen zal de Europese en wereldwijde digitale economie stimuleren en bevorderen. Het zal een gunstig effect hebben op onze handelsbetrekkingen met de VS, onze belangrijkste handelspartner. Hiermee wordt gezorgd voor duidelijkheid en een stabiele omgeving waarin Europese en buitenlandse ondernemingen kunnen actief zijn. Op hun beurt kunnen bedrijven uit de VS profiteren van rechtszekerheid bij het ondernemen in een geïntegreerde economische ruimte die eenvormige gegevensbeschermingsregels toepast.

Dankzij gemeenschappelijke regels bij de rechtshandhaving worden gegevens van individuen beter beschermd. Voorts staan er doeltreffende middelen voor gerechtelijk beroep ter beschikking. De bevordering van de grensoverschrijdende samenwerking tussen politiële en judiciële autoriteiten in de lidstaten zal de efficiëntie van de strafrechtelijke wetshandhaving verhogen en dus de voorwaarden tot stand brengen voor een meer doeltreffende criminaliteitspreventie in de EU. Tegelijkertijd zal dit resulteren in een vlottere samenwerking met de politiële en judiciële autoriteiten in derde landen.

Verwacht wordt dat de formele goedkeuring van het hervormingspakket door het Europees Parlement en de Raad in het eerste semester van 2016 zal plaatsvinden. De verordening wordt twee jaar na de goedkeuring van toepassing. De Politiële Richtlijn voorziet in een uitvoeringsperiode van twee jaar. De tweejarige overgangsperiode moet door alle betrokken partijen - zowel binnen als buiten de EU - worden benut om zich voor te bereiden op de nieuwe regelgeving. De Commissie zal hierbij haar rol vervullen. Tijdens deze overgangsperiode zal de Commissie nauw samenwerken met de lidstaten, gegevensbeschermingsautoriteiten en andere betrokken partijen om te zorgen voor een uniforme toepassing van de regelgeving, waarbij alles in paraatheid wordt gebracht voor de naleving.

3. Het EU-VS-privacyschild: een nieuw trans-Atlantisch kader voor persoonsgegevensstromen

3.1 De context

Om de persoonsgegevensstromen tussen de EU en de VS voor handelsverkeer te vergemakkelijken en tegelijkertijd de bescherming van deze gegevens te waarborgen, was de Commissie in 2000 van oordeel dat de veiligehavenregeling een afdoend niveau van bescherming bood 18 . Bijgevolg konden - ondanks het ontbreken van een algemene gegevensbeschermingswet in de VS - persoonsgegevens vrij worden overgedragen van EU-lidstaten naar ondernemingen in de VS die de privacybeginselen hadden onderschreven waarop de regeling berustte.

In de Veiligehavenmededeling van 2013 19 heeft de Commissie de aandacht gevestigd op een aantal tekortkomingen die zich mettertijd in de werking van de regeling hebben gemanifesteerd, in het bijzonder een gebrek aan transparantie bij ondernemingen met betrekking tot hun deelname aan de regeling en een gebrek aan doeltreffende handhaving door de Amerikaanse autoriteiten van de naleving van de privacybeginselen van de regeling door de desbetreffende ondernemingen. Voorts hebben onthullingen eerder dat jaar over afluister- en controlepraktijken vragen doen rijzen over de omvang en reikwijdte van bepaalde VS-programma's voor het verzamelen van inlichtingen en het niveau van toegang van overheidsinstanties in de VS tot in het kader van de veiligehavenregeling overgedragen persoonsgegevens van Europeanen. In het licht van deze en andere punten 20 heeft de Commissie geconcludeerd dat de veiligehavenregeling moest worden herzien. Tegen deze achtergrond heeft de Commissie 13 aanbevelingen 21 opgesteld om de in het kader opgenomen gegevensbeschermingswaarborgen te versterken en te actualiseren: Deze aanbevelingen waren toegespitst op: i) versterking van de materiële privacybeginselen en verhoging van de transparantie van de pricacymaatregelen (waarin deze beginselen zijn opgenomen) van de Amerikaanse bedrijven met een zelfcertificering; ii) verbetering van de doeltreffendheid van de door de Amerikaanse autoriteiten uitgeoefende supervisie, monitoring en handhaving van de naleving van deze beginselen door de ondernemingen; iii) de beschikbaarheid van betaalbare regelingen voor geschillenbeslechting bij individuele klachten en iv) de noodzaak om ervoor te zorgen dat het gebruik van de in het Veiligehavenbesluit 2000 opgenomen uitzondering om redenen van nationale veiligheid of wetshandhaving beperkt zou blijven tot hetgeen strikt noodzakelijk en evenredig is.

Op basis van deze 13 aanbevelingen is de Commissie in januari 2014 besprekingen begonnen met de Amerikaanse autoriteiten. Uit de latere ongeldigverklaring van het Veiligehavenbesluit op 6 oktober 2015 door het Hof van Justitie bleek de noodzaak van een robuuster en nieuw kader voor trans-Atlantische commerciële gegevensstromen. In het arrest van het Hof van Justitie wordt verwezen naar de aanbevelingen van de Commissie van 2013 en wordt verder de noodzaak onderstreept van beperkingen, waarborgen en een rechterlijke controle om de blijvende bescherming van de persoonsgegevens van EU-burgers te garanderen, ook wanneer de gegevens worden geraadpleegd en gebruikt door de overheidsinstanties met het oog op de nationale veiligheid, het algemeen belang en rechtshandhaving.

Na twee jaar intensieve besprekingen hebben de EU en de VS op 2 februari 2016 een politieke overeenkomst bereikt over het nieuwe kader, het EU-VS-privacyschild. In deze nieuwe regeling zijn belangrijke nieuwe waarborgen opgenomen. Hiermee wordt een hoog beschermingsniveau van de grondrechten van EU-burgers gegarandeerd. De regeling voorziet in de noodzakelijke rechtszekerheid voor ondernemingen aan weerskanten van de Atlantische Oceaan die samen zaken willen doen. Zij zal ook een nieuwe impuls geven aan het trans-Atlantische partnerschap.

Naar aanleiding van de afronding van de onderhandelingen met de VS zal de Commissie de nieuwe regeling voorleggen aan "de Groep artikel 29" (bestaande uit de gegevensbeschermingsautoriteiten van de EU) voor een advies over het geboden beschermingsniveau. Voorts is de comitéprocedure van toepassing op het adequaatheidsbesluit voordat het kan worden aangenomen. De Europese Toezichthouder voor gegevensbescherming zal eveneens worden geraadpleegd.

3.2 Wat is veranderd?

Het EU-VS-privacyschild voorziet in een robuuste en effectieve respons op zowel de 13 aanbevelingen van de Commissie als het arrest Schrems. Ten opzichte van het vorige kader bevat het een aantal belangrijke verbeteringen, met betrekking tot de verbintenissen die door Amerikaanse ondernemingen moeten worden aangegaan. Voorts bevat het belangrijke nieuwe toezeggingen en gedetailleerde toelichtingen van de desbetreffende Amerikaanse wetgeving en praktijk door de Amerikaanse autoriteiten. In tegenstelling tot de vorige regeling heeft het privacyschild niet alleen betrekking op verbintenissen in de commerciële sfeer maar ook - belangrijk en voor de eerste maal in de betrekkingen tussen de EU en VS - op het vlak van de toegang tot persoonsgegevens door overheidsinstanties, inclusief ten behoeve van de nationale veiligheid. In het licht van de rechtspraak van het Hof van Justitie is dit cruciaal en essentieel om het vertrouwen in de trans-Atlantische betrekkingen te herstellen na de onthullingen over afluister- en controlepraktijken.

De in het kader van deze nieuwe regeling geboekte belangrijkste verwezenlijkingen kunnen worden onderverdeeld in vier hoofdcategorieën

Ten eerste, sterke verplichtingen voor de ondernemingen en robuuste handhaving: de nieuwe regeling zal transparanter zijn en bevat doeltreffende controlemechanismen die ervoor moeten zorgen dat ondernemingen zich houden aan de regels die zij wettelijk verplicht zijn na te leven. Amerikaanse ondernemingen die in het kader van het privacyschild persoonsgegevens uit Europa willen importeren, moeten instemmen met robuuste verplichtingen inzake de verwerking van de persoonsgegevens en de waarborgen van de individuele rechten. Hierbij gaat het om stringentere voorwaarden en striktere aansprakelijkheidsregelingen voor privacyschildondernemingen die EU-gegevens overdragen, bijvoorbeeld voor verdere verwerkingsactiviteiten, aan derde partijen buiten het kader, hetzij in de VS, hetzij in andere derde landen ("doorgifte van gegevens"). Wat supervisie betreft, heeft het ministerie van Handel van de Verenigde Staten toegezegd om een regelmatig en rigoureus toezicht uit te voeren op de wijze waarop ondernemingen hun verbintenissen naleven en om "profiteurs", d.w.z. ondernemingen die valselijk beweren de regeling te onderschrijven, aan de kant te zetten. Onder Amerikaanse wetgeving zijn de verbintenissen die ondernemingen zijn aangegaan, juridisch bindend en afdwingbaar door de Federal Trade Commission en ondernemingen die de verbintenissen niet in acht nemen, zullen worden geconfronteerd met strenge sancties.

Ten tweede, duidelijke grenzen en waarborgen met betrekking tot de toegang van de regering van de Verenigde Staten: voor het eerst heeft de regering van de Verenigde Staten, via het ministerie van Justitie en het bureau van de directeur van de nationale inlichtingendienst als het orgaan dat toezicht houdt op alle Amerikaanse inlichtingendiensten, de EU schriftelijke verklaringen en garanties verstrekt dat de toegang door de overheidsinstanties met het oog op rechtshandhaving, de nationale veiligheid en andere doelstellingen van openbaar belang, zal onderworpen zijn aan duidelijke beperkingen, waarborgen en toezichtsmechanismen. De VS zullen ook een nieuw verhaalmechanisme ontwikkelen voor EU-betrokkenen op het vlak van nationale veiligheid door een ombudsman die onafhankelijk zal zijn van de nationale veiligheidsautoriteiten. De ombudsman wordt belast met de opvolging van klachten en vragen van EU-burgers over raadpleging in het kader van nationale veiligheid en moet aan de burger bevestigen dat de desbetreffende wetgeving in acht is genomen of dat de niet-naleving is gecorrigeerd. Dit is een belangrijke ontwikkeling die niet alleen van toepassing is op de overdrachten in het kader van het privacyschild, maar op alle persoonsgegeven die naar de VS zijn overgedragen voor commerciële doeleinden, ongeacht de grondslag voor de overdracht van deze gegevens.

Ten derde, doeltreffende bescherming van de privacyrechten van EU-burgers met verscheidene verhaalmogelijkheden: iedereen in Europa die van oordeel is dat zijn of haar gegevens in het kader van de nieuwe regeling zijn misbruikt, kan een beroep doen op verscheidene toegankelijke en betaalbare mogelijkheden voor het aanwenden van rechtsmiddelen, met inbegrip van kosteloze, alternatieve arbitrage-organen. Ondernemingen hebben zich ertoe verbonden de klachten binnen een vastgestelde termijn te beantwoorden. Daarnaast moet elke onderneming die gegevens over personele middelen uit Europa verwerkt, zich ertoe verbinden de besluiten van de bevoegde gegevensbeschermingsautoriteit na te leven, terwijl andere ondernemingen op vrijwillige basis een dergelijke verbintenis kunnen aangaan. Individuen kunnen ook een klacht indienen bij hun "eigen" gegevensbeschermingsautoriteit die gebruik zal kunnen maken van een geformaliseerde procedure om klachten voor te leggen aan het Ministerie van Handel en de Federal Trade Commission om het onderzoek en de afhandeling van de desbetreffende klacht binnen een redelijke termijn te vergemakkelijken. Indien een dossier niet met deze middelen kan worden opgelost, kunnen individuen in laatste instantie een beroep doen op het privacyschildpanel, een geschillenbeslechtingsmechanisme dat bindende en afdwingbare besluiten kan nemen ten aanzien van Amerikaanse ondernemingen die de privacyschildregeling hebben onderschreven. Voorts zullen gegevensbeschermingsautoriteiten van de EU bijstand kunnen verlenen aan individuen bij de voorbereiding van hun zaak. Zoals hierboven uiteengezet, wordt voor klachten over een mogelijke raadpleging door nationale inlichtingendiensten een nieuwe ombudsfunctie opgericht, waarbij verhaal kan worden gehaald.

In de vierde en laatste plaats, een mechanisme voor een jaarlijkse gezamenlijke toetsing: hierdoor kan de Commissie op gezette tijden de werking van alle aspecten van het privacyschild controleren, inclusief de beperkingen en de waarborgen met betrekking tot de raadplegingen uit overwegingen van nationale veiligheid. De Commissie en het Amerikaanse ministerie van Handel zullen de toetsing uitvoeren, waarbij de gegevensbeschermingsautoriteiten van de EU, de nationale veiligheidsautoriteiten van de VS en de Ombudsman worden betrokken. Op deze wijze is de VS verantwoording verschuldigd over haar toezeggingen. De toetsing door de Commissie blijft hiertoe niet beperkt: de Commissie zal gebruik maken van alle andere beschikbare informatiebronnen, inclusief de door ondernemingen op vrijwillige basis opgestelde transparantieverslagen over het aantal verzoeken om toegang van regeringen 22 . Met de jaarlijkse toetsing wordt verder gegaan dan hetgeen in de nieuwe verordening is bepaald. Op grond van de verordening moeten dergelijke evaluaties slechts om de vier jaar vinden. Met een jaarlijkse toetsing geven de EU en de VS dus blijk van hun bereidheid om strikt toe te zien op een volledige naleving.

Deze toetsing wordt geen formalistische oefening die zonder verdere gevolgen blijft. Wanneer blijkt dat Amerikaanse ondernemingen of overheidsinstanties hun verbintenissen niet nakomen, zal de Commissie maatregelen nemen die leiden tot de schorsing van het privacyschild. Zoals het Hof van Justitie heeft benadrukt in het arrest Schrems, mag een adequaatheidsbesluit geen dode letter zijn; Amerikaanse ondernemingen en autoriteiten moeten veel het kader dynamiseren en het voortdurend ondersteunen door hun verbintenissen na te komen. Indien zij dit niet doen, is het specifieke voordeel van gegevensoverdracht als gevolg van een vaststelling van gepastheid niet langer gerechtvaardigd en zal het worden ingetrokken.

3.3 Volgende stappen

De met de VS in het kader van het privacyschild gemaakte verbintenissen vormen de grondslag van en komen tot uiting in een nieuw adequaatheidsbesluit van de Commissie. Bedrijven worden aangespoord om zich nu reeds voor te bereiden om zo snel mogelijk paraat te zijn voor de toetreding tot het nieuwe kader zodra het operationeel is na de vaststelling van het besluit van de Commissie. De Amerikaanse regering zal op haar beurt haar verklaringen publiceren in het het Federaal Register van de VS en aldus openbaar en officieel bevestigen dat zij haar verbintenissen zal nakomen.

Het EU-VS-privacyschild vereist maatregelen van verscheidene actoren:

de deelnemende Amerikaanse bedrijven moeten hun verplichtingen in het kader van het privacyschild nakomen waarbij zij zich terdege ervan bewust moeten zijn dat de regeling strikt zal worden gehandhaafd en er sancties zullen worden opgelegd indien zij de regeling niet naleven. Om het vertrouwen van hun klanten te versterken, worden bedrijven ook aangespoord om te kiezen voor gegevensbeschermingsautoriteiten uit de EU bij het oplossen van klachten in het kader van het privacyschild, aangezien Europese burgers zich hoogstwaarschijnlijk tot deze autoriteiten zullen wenden. Evenzo zal de mate waarin ondernemingen bereid zijn om de mogelijkheid te gebruiken die de Amerikaanse wetgeving biedt om transparantieverslagen te publiceren over verzoeken om toegang tot door hen ontvangen EU-gegevens voor nationale veiligheid en rechtshandhavingsdoeleinden bijdragen tot het in stand houden van het vertrouwen dat een dergelijke toegang beperkt is tot hetgeen noodzakelijk en evenredig is 23 ;

de verschillende Amerikaanse autoriteiten die belast zijn met het toezicht en de handhaving van het privacyshildkader, met inachtneming van de beperkingen en de waarborgen inzake toegang tot gegevens voor nationale veiligheid en rechtshandhavingsdoeleinden, en de instanties die ervoor moeten zorgen dat klachten door EU-burgers over het mogelijke misbruik van hun persoonsgegevens tijdig en daadwerkelijk worden beantwoord;

de gegevensbeschermingsautoriteiten uit de EU die een belangrijke rol vervullen bij het garanderen dat burgers hun rechten in het kader van het privacyschild doeltreffend kunnen uitoefenen, onder meer door hun klachten door te geven aan de bevoegde Amerikaanse autoriteiten en met deze laatste samen te werken, een beroep te doen op het mechanisme van de ombudsfunctie, klagers bij te staan wanneer zij zich wenden tot het privacyschildpanel en toezicht uit te oefenen over de overdracht van personeelsgegevens; en

de Commissie die verantwoordelijk is voor het opstellen van een vaststelling van gepastheid en toetsing van deze vaststelling op gezette tijden: deze regelmatige evaluaties zijn een significante wijziging ten opzichte van de vorige statische benadering waarbij de privacyshild vaststelling van gepastheid wordt omgevormd tot een kader dat van nabij wordt gevolgd en permanent in beweging is.

De jaarlijkse gezamenlijke toetsing en het hieruit voortvloeiend verslag van de Commissie - alsook het vooruitzicht dat de regeling wordt geschorst bij niet-naleving - zullen een centrale rol spelen om ervoor te zorgen dat het privacyschild toekomstbestendig is. Onze gemeenschappelijke trans-Atlantische ambitie moet zijn om samen een sterkere cultuur van bescherming van de persoonlijke levenssfeer en individuele rechten te ontwikkelen die het vertrouwen herstelt en in stand houdt.

4. De raamovereenkomst: Versterking van de waarborgen inzake gegevensbescherming bij de samenwerking op het gebied van rechtshandhaving

4.1 De context

Een belangrijke dimensie van onze trans-Atlantische betrekkingen is de capaciteit van de EU, de lidstaten en de VS om doeltreffend, gezamenlijk en op gecoördineerde wijze te reageren op gemeenschappelijke veiligheidsdreigingen en -uitdagingen. Deze collectieve reactie berust in aanzienlijke mate op ons vermogen om persoonsgegevens uit te wisselen in het kader van politiële en judiciële samenwerking in strafzaken. Om dit doel te bereiken, zijn mettertijd tussen de lidstaten en de VS alsook tussen de EU en de VS 24 een aantal bilaterale overeenkomsten gesloten. Tegelijkertijd is het evenzeer van belang dat deze wetshandhavingsovereenkomsten voorzien in doeltreffende waarborgen op het vlak van gegevensbescherming. De dubbele doelstelling om met succes samen te werken met onze Amerikaanse partners bij de bestrijding van ernstige criminaliteit en terrorisme en tegelijkertijd overeenkomstig hun grondrechten en de gegevensbeschermingsregels van de EU het beschermingsniveau van de Europeanen te verhogen wanneer overdrachten plaatsvinden voor deze doeleinden, heeft geleid tot de in maart 2011 opgestarte onderhandelingen over een internationale overeenkomst over gegevensbescherming op het vlak van wetshandhaving, de "raamovereenkomst" inzake gegevensbescherming tussen de EU en de VS 25 .

De EU en de VS hebben hun onderhandelingen in de zomer van 2015 afgerond. Beide partijen hebben de raamovereenkomst op 8 september 2015 in Luxemburg 26 geparafeerd en nu wordt gewacht op de formele ratificatie aan beide zijden van de Atlantische Oceaan. Aan de ondertekening van de raamovereenkomst was evenwel de voorwaarde verbonden dat de Judicial Redress Act door het Amerikaanse Congres zou worden goedgekeurd om voor de eerste maal te voorzien in de gelijke behandeling van burgers van de EU en de VS in het kader van de privacywet van de VS van 1974 27 . De wet is op 10 februari 2016 door het Congres goedgekeurd en is op 24 februari 2016 bekrachtigd.

4.2 Wat is veranderd?

In de raamovereenkomst wordt voor het allereerst een geharmoniseerde en volledige reeks waarborgen voor gegevensbescherming verankerd die van toepassing zullen zijn op alle trans-Atlantische uitwisselingen van persoonsgegevens tussen de desbetreffende autoriteiten op het vlak van strafrechtelijke wetshandhaving. Het is in feite een grondrechtenovereenkomst die voorziet in een hoge beschermingsnorm waartegen alle gegevensuitwisselingen in bestaande en toekomstige overeenkomsten moeten worden beoordeeld.

Ten eerste zullen de bescherming en waarborgen waarin de raamovereenkomst voorziet, horizontaal van toepassing zijn op alle gegevensuitwisselingen die plaatsvinden in het kader van de trans-Atlantische samenwerking op het vlak van strafrechtelijke wetshandhaving. Hierbij gaat het dus om overdrachten op grond van nationale wetgeving, overeenkomsten tussen de EU en de VS, overeenkomsten tussen de lidstaten en de VS (bv. wederzijdse rechtshulpverdragen) alsook specifieke overeenkomsten die voorzien in de overdracht van persoonsgegevens door particuliere entiteiten voor wetshandhavingsdoeleinden. Dankzij de overeengekomen bepalingen zal het aan de betrokkenen uit de EU gegarandeerde beschermingsniveau dus onmiddellijk worden verhoogd bij overdracht van gegevens naar de VS. Door ervoor te zorgen dat bestaande overeenkomsten alle vereiste bescherming bevatten en dus niet eventueel voor de rechter kunnen worden aangevochten, wordt ook de rechtszekerheid van de trans-Atlantische samenwerking op het vlak van wetshandhaving verhoogd.

Ten tweede hebben de bepalingen betrekking op alle essentiële gegevensbeschermingsregels van de EU op het vlak van verwerkingsnormen (bv. kwaliteit en integriteit van gegevens, gegevensbeveiliging, verantwoordingsplicht en toezicht), waarborgen en beperkingen (bv. doel en gebruik van beperkingen, bewaring van gegevens, doorgifte van gegevens, verwerking van gevoelige gegevens) alsook individuele rechten (toegang, rectificatie, administratief beroep en beroep in rechte).

Ten derde voorziet de overeenkomst in de beschikbaarheid van gerechtelijke geschillenbeslechting bij toegangsweigering, rectificatieweigering en onrechtmatige openbaarmaking. Dit is een belangrijke verbetering en zal aanzienlijk bijdragen tot het herstel van het vertrouwen in trans-Atlantische uitwisselingen. Met dit essentiële en lang nagestreefde verzoek van de EU, dat gedurende jaren onbeantwoord was gebleven, wordt reeds rekening gehouden in de Judicial Redress Act die in maart 2015 bij het Amerikaanse Congres is ingediend en die op 10 februari 2016 is aangenomen. Met deze wet worden drie essentiële mogelijkheden voor het aanwenden van rechtsmiddelen waarin de privacywet van de VS van 1974 voorziet en waarop momenteel uitsluitend burgers van de VS en permanent ingezetenen een beroep kunnen doen, uitgebreid tot EU-burgers 28 . Voor het eerst zullen EU-burgers dus gebruik kunnen maken van algemeen toepasselijke rechten voor elke trans-Atlantische doorgifte van gegevens op het vlak van strafrechtelijke wetshandhaving. Hiermee wordt een cruciaal verschil in behandeling tussen burgers uit de EU en de VS weggenomen.

Ten vierde voorziet de raamovereenkomst in een veralgemening en uitbreiding van het beginsel van onafhankelijk toezicht als een essentiële vereiste voor gegevensbescherming tot alle aangelegenheden op het vlak van wetshandhaving, hetgeen momenteel niet het geval is in talrijke bestaande bilaterale overeenkomsten. Hierbij gaat het om werkelijke bevoegdheden om individuele klachten met betrekking tot de naleving van de overeenkomst te onderzoeken en op te lossen.

Ten vijfde zal de daadwerkelijke uitvoering van de raamovereenkomst onderworpen zijn aan periodieke gezamenlijke evaluaties. In deze evaluaties zal bijzondere aandacht worden gegeven aan de bepalingen met betrekking tot de rechten van individuen (toegang, rectificatie, administratief beroep en beroep in rechte).

De raamovereenkomst geeft op zich geen machtiging tot overdrachten van gegevens en evenmin is het een adequaatheidsbesluit.

4.3 Volgende stappen

Met de inwerkingtreding van de Judicial Redress Act 29 wordt het pad geëffend voor de ondertekening van de raamovereenkomst. De Commissie zal binnenkort bij de Raad een voorstel voor een besluit indienen waarbij machtiging wordt verleend voor de ondertekening van de raamovereenkomst. Na de ondertekening zal het besluit tot sluiting van de overeenkomst door de Raad moeten worden vastgesteld na goedkeuring door het Europees Parlement. Met de raamovereenkomst komt een aanzienlijke verbetering tot stand van de huidige situatie die is gekenmerkt door gefragmentariseerde, niet-geharmoniseerde en vaak zwakke databeschermingsregels in een lappendeken van multilaterale, bilaterale, nationale en sectorale instrumenten. De raamovereenkomst heeft een terugwerkende kracht, aangezien het de gegevensbeschermingswaarborgen in de huidige overeenkomsten zal aanvullen wanneer en in de mate dat deze overeenkomsten het vereiste niveau van waarborgen ontberen. In dit verband zal de raamovereenkomst zorgen voor een aanzienlijke toegevoegde waarde, in het bijzonder door de "lacunes" weg te werken in bestaande overeenkomsten met lagere normen inzake gegevensbescherming dan die in de raamovereenkomst. Hierbij wordt gezorgd voor continuïteit in de samenwerking op het vlak van wetshandhaving, waarbij gezorgd wordt voor een grotere rechtszekerheid wanneer overdrachten plaatsvinden. Wat betreft toekomstige overeenkomsten, voorziet de raamovereenkomst in een veiligheidsnet waaronder het beschermingsniveau niet kan vallen. Dit is een belangrijke waarborg voor de toekomst en een belangrijke verbetering ten opzichte van de huidige situatie, waarbij over waarborgen, beschermingen en rechten van voren af aan moet worden onderhandeld voor elke afzonderlijke overeenkomst. De raamovereenkomst is dus een model met de standaardwaarborgen die niet neerwaarts kunnen worden aangepast in het kader van onderhandelingen. Dit is een zeer belangrijk precedent, niet alleen voor de betrekkingen tussen de VS en de EU, maar ook meer in het algemeen, voor alle toekomstige regelingen inzake gegevensbescherming en -uitwisseling op internationaal niveau.

Aangezien de onderhandelingen over de raamovereenkomst gelijktijdig met de hervorming hebben plaatsgevonden, is de overeenkomst in overeenstemming met het EU-acquis op het vlak gegevensbescherming. De interactie tussen de raamovereenkomst en de Politiële Richtlijn is bijzonder relevant gezien het belang van een hoog en eenzelfde niveau van gegevensbescherming, ongeacht of het gaat om een nationale verwerking van persoonsgegevens of een grensoverschrijdende uitwisseling binnen de EU of met derde landen. In dit verband zorgt de raamovereenkomst ervoor dat vaste vorm wordt gegeven aan algemene vereisten van de hervorming in de trans-Atlantische context.

De afronding van de onderhandelingen over de raamovereenkomst waarin gemeenschappelijke normen worden vastgesteld in een complex raakvlak van recht en beleid, is een aanzienlijke prestatie. Met de toekomstige raamovereenkomst wordt het vertrouwen hersteld en versterkt. De raamovereenkomst voorziet ook in waarborgen voor de rechtmatigheid van gegevensoverdrachten en bevordert de samenwerking tussen de VS en de EU op dit vlak.

Wat de toekomst betreft, is het nodig om de gemeenschappelijke uitdagingen op het vlak van politiële en justitiële samenwerking gezamenlijk aan te pakken. Een belangrijk overblijvend knelpunt is de kwestie van de directe toegang door wetshandhavingsinstanties tot persoonsgegevens die in het buitenland door particuliere ondernemingen worden bijgehouden. Een dergelijke toegang moet in beginsel plaatsvinden in het kader van formele samenwerkingskanalen, zoals overeenkomsten betreffende wederzijdse rechtshulp of andere sectorale overeenkomsten. Particuliere bedrijven worden momenteel geconfronteerd met rechtsonzekerheid die gevolgen zou kunnen hebben op hun vermogen om in verschillende rechtsgebieden activiteiten te ontwikkelen wanneer hun zou worden gevraagd toegang te verstrekken tot elektronische gegevens op grond van de wetgeving van een land voor persoonsgegevens die vallen onder de wetgeving van een ander land. In samenhang met de komende herziening van de overeenkomst betreffende wederzijdse rechtsbijstand tussen de EU en de VS 30 zou de EU verder overleg met de VS over deze aangelegenheid op prijs stellen, waarbij onder meer de ontwikkeling van gemeenschappelijke en meer doeltreffende regels voor de inzameling van elektronisch bewijsmateriaal aan de orde zou kunnen komen.

5. Conclusie

De succesvolle verwezenlijking van de in de Mededeling van 2013 opgenomen essentiële maatregelen bewijst dat de EU in staat is problemen op een pragmatische en doelgerichte wijze op te lossen zonder haar robuuste grondrechten, waarden en tradities op te geven. Hieruit blijkt ook dat de EU en de VS in staat zijn om hun meningsverschillen bij te leggen en moeilijke besluiten te nemen om een strategisch partnerschap in stand te houden dat de tijd heeft getrotseerd. Tegelijkertijd blijft waakzaamheid geboden bij deze aanvang van een nieuw hoofdstuk in onze bilaterale betrekkingen, aangezien we geconfronteerd blijven met gemeenschappelijke bedreigingen en uitdagingen in een onzekere wereld.

Zodra het privacyschild en het raamakkoord in werking zijn getreden, is het de taak van beide partijen om ervoor te zorgen dat deze twee belangrijke kaderovereenkomsten voor gegevensoverdracht op een doeltreffende en duurzame wijze functioneren. Het succes van de kaderovereenkomsten hangt grotendeels af van de doeltreffende handhaving en de naleving van de aan individuen toegekende rechten. Hierbij is ook de permanente evaluatie van hun werking van belang; dit vereist een mentaliteitswijziging waarbij van een statisch naar een meer dynamisch proces wordt overgeschakeld.

Tegen deze achtergrond heeft een belangrijk onderdeel van dit proces betrekking op de lopende hervorming van de inlichtingenprogramma's van de VS. In dit verband zal de Commissie de ophanden zijnde verslagen nauwgezet opvolgen die worden opgesteld door de Raad van toezicht op de privacy en de burgerlijke vrijheden (Privacy and Civil Liberties Oversight Board) alsook de in 2017 verwachte herziening van afdeling 702 van het programma van de Foreign Intelligence Surveillance Act (FISA) dat betrekking heeft op buitenlands toezicht. Met name verdere hervormingen die betrekking hebben op transparantie, toezicht en de uitbreiding van de waarborgen naar niet-VS-burgers zullen van nabij worden gevolgd.

Meer in het algemeen zal de EU gezien het belang van de grensoverschrijdende gegevensstromen voor de trans-Atlantische handel de verdere vooruitgang die in de Verenigde Staten op het vlak van de privacy op wetgevend vlak wordt geboekt, nauwlettend opvolgen. Nu dat Europa beschikt over één coherente en robuuste reeks voorschriften hopen we dat ook de VS hun inspanningen zullen voortzetten met het oog op een alomvattend systeem van privacy en gegevensbescherming. Met een dergelijke alomvattende benadering kan op langere termijn een convergentie tussen beide systemen tot stand komen. In dit verband zal de Commissie een jaarlijkse topconferentie over privacy organiseren met belangstellende ngo's en andere betrokken partijen aan beide zijden van de Atlantische Oceaan.

Het partnerschap tussen de VS en de EU kan een drijvende kracht worden voor de ontwikkeling en bevordering van internationale rechtsnormen voor de bescherming van privacy en persoonsgegevens. Initiatieven op het niveau van de VN, met inbegrip van de werkzaamheden van de speciale VN-rapporteur voor het recht op privacy, kunnen in dit verband ook een belangrijke rol spelen. In de komende jaren en gezien de toenemende centrale rol van deze vraagstukken op mondiaal niveau, moeten de EU en de VS van deze gelegenheid gebruik maken om hun gemeenschappelijke waarden van individuele vrijheden en rechten in een geglobaliseerde digitale wereld te bevorderen.

(1)

     Mededeling van de Commissie aan het Europees Parlement en de Raad inzake het herstel van vertrouwen in de gegevensstromen tussen de EU en de VS, COM (2013) 846 final, 27.11.2013 (hierna "de mededeling 2013" of "de mededeling" genoemd), zie: http://ec.europa.eu/justice/data-protection/files/com_2013_846_en.pdf .

(2)

     Voorstel voor een Richtlijn van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens (COM(2012)10 final, 25.1.2012) en Voorstel voor een verordening van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (algemene verordening gegevensbescherming) (COM(2012)11 final, 25.1.2012), zie: http://ec.europa.eu/justice/data-protection/reform/index_en.htm  

(3)

     Mededeling van de Commissie aan het Europees Parlement en de Raad betreffende de werking van de veiligehavenregeling ("Safe Harbour") uit het oogpunt van EU-burgers en in de EU gevestigde ondernemingen, COM(2013) 847 final, 27.11.2013, blz. 18-19 (hierna "de veiligehavenmededeling" genoemd", zie: http://ec.europa.eu/justice/data-protection/files/com_2013_847_en.pdf .

(4)

Een nieuwe start voor Europa: mijn agenda voor banen, groei, billijkheid en democratische verandering. Politieke beleidslijnen voor de volgende Europese Commissie.

(5)

Arrest van 6 oktober 2015, Maximillian Schrems/Data Protection Commissioner, C-362/14, EU:C:2015:650.

(6)

Zie Mededeling van de Commissie aan het Europees Parlement en de Raad over de doorgifte van persoonsgegevens van de EU naar de Verenigde Staten van Amerika krachtens Richtlijn 95/46/EG naar aanleiding van het arrest van het Hof van Justitie in zaak C-362/14 (Schrems), COM(2015) 566 final, 6.11.2015. Zie ook verklaring van Groep gegevensbescherming artikel 29 over de gevolgen van het arrest Schrems op 3 februari 2016: http://ec.europa.eu/justice/data-protection/article-29/press-material/press-release/art29_press_material/2016/20160203_statement_consequences_schrems_judgement_en.pdf  

(7)

Zie http://europa.eu/rapid/press-release_IP-16-216_en.htm?locale=en

(8)

  https://www.whitehouse.gov/the-press-office/2014/01/17/remarks-president-review-signals-intelligence  

(9)

  https://www.whitehouse.gov/the-press-office/2014/01/17/presidential-policy-directive-signals-intelligence-activities  

(10)

      http://europa.eu/rapid/press-release_MEMO-14-30_en.htm  

(11)

     USA FREEDOM Act van 2015, Publicatie: L., Nr. 114-23, § 401, 129 Stat. 268.

(12)

     H.R.1428 - Judicial Redress Act van 2015. Deze wet treedt in werking 90 dagen na de bekrachtiging.

(13)

     COM(2012) 11 final van 25.1.2012: zie voetnoot 2.

(14)

     COM(2012) 10 final van 25.1.2012: zie voetnoot 2.

(15)

Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, PB L 281 van 23.11.95, blz. 31 (hierna de "gegevensbeschermingsrichtlijn" genoemd).

(16)

In tegenstelling tot het kaderbesluit 2008/977/JBZ van de Raad van 27 november 2008 over de bescherming van persoonsgegevens die worden verwerkt in het kader van de politiële en justitiële samenwerking in strafzaken, dat alleen betrekking heeft op grensoverschrijdende uitwisselingen van gegevens tussen de bevoegde autoriteiten van de lidstaten, hangt de toepassing van dergelijke regels in het kader van Politiële Richtlijn niet langer af van het feit of deze gegevens vroeger zijn uitgewisseld tussen de autoriteiten voor strafrechtelijke wetshandhaving van de lidstaten.

(17)

Zie Mededeling van de Commissie aan het Europees Parlement, de Raad, het Europees Economisch en Sociaal Comité en het Comité van de Regio’s, "De Europese veiligheidsagenda", COM(2015) 185 final van 28.4.2015.

(18)

     Besluit 2000/520/EG van de Commissie van 20 juli 2000. In dit besluit, gebaseerd op artikel 25, lid 6, van de gegevensbeschermingsrichtlijn, heeft de Commissie de Veiligehavenbeginselen voor de bescherming van de persoonlijke levenssfeer en de daarmee verband houdende Vaak gestelde vragen, die door het ministerie van Handel van de Verenigde Staten zijn gepubliceerd, erkend als gepaste bescherming voor de overdracht van persoonsgegevens van de EU. De werking van de veiligehavenregeling berustte op verbintenissen en zelfcertificering van deelnemende ondernemingen. De regels waren bindend onder Amerikaanse wetgeving voor deze entiteiten en konden door de Federal Trade Commission van de Verenigde Staten worden afgedwongen.

(19)

     Zie voetnoot 3.

(20)

     Hierbij ging het onder meer over de exponentiële toename van gegevensstromen, het cruciale belang ervan voor de trans-Atlantische economie en de snelle stijging van het aantal Amerikaanse ondernemingen dat de veiligehavenregeling had onderschreven. Zie de Veiligehavenmededeling, blz. 37.

(21)

     Veiligehavenmededeling, blz. 18-19.

(22)

     Belangrijke Amerikaanse internetbedrijven publiceren nu reeds dergelijke verslagen om het vertrouwen van hun klanten terug te winnen. De USA Freedom Act 2015 staat de publicatie toe van vrijwillige verslagen over verzoeken om toegang, althans binnen bepaalde grenzen om de nationale veiligheidsbelangen te beschermen.

(23)

     Dergelijke rapportering moet tot stand komen overeenkomstig de bepalingen van de USA Freedom Act 2015. Zie voetnoot 22.

(24)

     Met name de overeenkomst inzake persoonsgegevens van passagiers tussen de EU en de VS (hierna "PNR-overeenkomst EU-VS" genoemd) en het programma voor het traceren van terrorismefinanciering tussen de EU en de VS (hierna "TFTP" genoemd).

(25)

     Een overeenkomst tussen de EU en de VS over over de bescherming van persoonsgegevens die worden doorgegeven en verwerkt met het oog op het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten, waaronder terrorisme, in het kader van politiële en justitiële samenwerking in strafzaken.

(26)

      http://europa.eu/rapid/press-release_STATEMENT-15-5610_en.htm  

(27)

De Judicial Redress Act verleent rechten aan de burgers van de "bestreken landen", die de door VS-regering zijn aangewezen. Hiervoor moet aan de volgende criteria zijn voldaan: a) het land [of de regionale organisatie] heeft een overeenkomst met de Verenigde Staten over privacybescherming voor gegevens die worden gedeeld met het oog op het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten; b) het land [of de regionale organisatie] staat toe dat persoonsgegevens voor commerciële doeleinden worden doorgegeven tussen het land en de Verenigde Staten; en c) de beleidsmaatregelen met betrekking tot de overdracht van persoonsgegevens voor commerciële doeleinden en de hieraan gerelateerde maatregelen van het land of de regionale organisatie, vormen geen substantiële belemmering voor de nationale veiligheidsbelangen van de Verenigde Staten.

(28)

Overeenkomstig de Judicial Redress Act kunnen niet-EU landen of "organisaties voor regionale economische integratie" eveneens worden beschouwd "bestreken landen" met als gevolg dat hun burgers ook een beroep kunnen doen op een gerechtelijke geschillenbeslechting.

(29)

De Judicial Redress Act treedt 90 dagen na de bekrachtiging ervan in werking.

(30)

Besluit 2009/820/GBVB van de Raad van 23 oktober 2009 betreffende de sluiting namens de Europese Unie van de overeenkomst betreffende uitlevering tussen de Europese Unie en de Verenigde Staten van Amerika en de overeenkomst betreffende wederzijdse rechtshulp in strafzaken tussen de Europese Unie en de Verenigde Staten van Amerika, PB L 291 van 7.11.2009, blz. 40-41.