EUROPESE COMMISSIE

Brussel, 19.11.2025

COM(2025) 837 final

2025/0360(COD)

Voorstel voor een

VERORDENING VAN HET EUROPEES PARLEMENT EN DE RAAD

tot wijziging van Verordeningen (EU) 2016/679, (EU) 2018/1724, (EU) 2018/1725 en (EU) 2023/2854 en Richtlijnen 2002/58/EC, (EU) 2022/2555 en (EU) 2022/2557 wat betreft de vereenvoudiging van het digitale wetgevingskader en tot intrekking van de Verordeningen (EU) 2018/1807, (EU) 2019/1150, (EU) 2022/868 en Richtlijn (EU) 2019/1024 (digitale omnibus)

{SWD(2025) 836 final}

TOELICHTING

1.ACHTERGROND VAN HET VOORSTEL

•Motivering en doel van het voorstel

In haar mededeling over uitvoering en vereenvoudiging (“Een eenvoudiger en sneller Europa”) 1 presenteerde de Commissie haar aanpak om het regelgevingskader van de Unie aan te passen aan een volatielere wereld: een nieuwe impuls om het EU-acquis te vereenvoudigen, te verduidelijken en te verbeteren, als een belangrijke maatregel ter ondersteuning van het concurrentievermogen van de EU.

Deze visie weerspiegelt het bredere plan dat Commissievoorzitter Von der Leyen heeft uiteengezet in haar politieke richtsnoeren voor de zittingsperiode 2024-2029 2 . In het rapport-Draghi 3 en het rapport-Letta 4 wordt ook benadrukt dat de vele regels een negatief effect kunnen hebben op het concurrentievermogen. Er zijn snelle en zichtbare verbeteringen nodig voor zowel burgers als bedrijven, door middel van een kosteneffectievere en innovatievriendelijkere uitvoering van onze regels, met behoud van hoge normen en overeengekomen doelstellingen.

In de conclusies van de Europese Raad van 20 maart 2025 werd de Commissie voorts opgeroepen “het EU-acquis te blijven onderwerpen aan evaluaties en stresstests om in kaart te brengen hoe bestaande wetgeving verder kan worden vereenvoudigd en geconsolideerd” 5 . Ook werd de noodzaak benadrukt van opvolging met nieuwe reeksen vereenvoudigingsinitiatieven. In zijn conclusies van 26 juni onderstreepte de Europese Raad het belang van “eenvoud door ontwerp”-wetgeving, “zonder de voorspelbaarheid, beleidsdoelstellingen en hoge normen te ondermijnen” 6 . In de conclusies van de Europese Raad van 23 oktober 2025 werd opnieuw “de dringende behoefte om vorderingen te maken met een ambitieuze en horizontaal aangestuurde agenda voor vereenvoudiging en betere regelgeving op alle niveaus — EU, nationaal en regionaal — en op alle gebieden teneinde het concurrentievermogen van Europa te waarborgen” benadrukt. De Raad riep de Commissie ook op om “snel met nieuwe ambitieuze vereenvoudigingspakketten te komen, onder meer op het gebied van [...] digitale kwesties” 7 .

In zijn resolutie over “de uitvoering en vereenvoudiging van internemarktregels van de EU om de eengemaakte markt te versterken”, die op 11 september in een plenaire vergadering is aangenomen 8 , benadrukte het Europees Parlement de noodzaak van vereenvoudiging om de naleving door bedrijven te vergemakkelijken zonder de belangrijkste beleidsdoelstellingen van de EU in gevaar te brengen.

In de raadplegings- en betrokkenheidsactiviteiten van de Commissie rond de vereenvoudigingsagenda hebben belanghebbenden die verschillende belangen vertegenwoordigen opgeroepen tot gerichte wijzigingen van bepaalde digitale regels, om zowel de nalevingskosten te stroomlijnen als de wisselwerking tussen regels in hun sector te verduidelijken.

Met een toegevoegde waarde van 791 miljard EUR in de hele Europese Unie in 2022 9 , speelt de ICT-sector een cruciale rol bij het stimuleren van het concurrentievermogen van de EU in alle sectoren van de economie, zowel door de groei van digitale bedrijven als door het aanbieden van belangrijke digitale oplossingen over de hele linie. Digitale regels hebben het kader geschapen voor een eerlijk ondernemingsklimaat in de EU. Dankzij deze regels is een echte interne markt voor digitale diensten tot stand gebracht. De EU heeft een voortrekkersrol gespeeld bij digitale regelgeving en heeft de hoogste normen vastgesteld voor de bescherming van de grondrechten, de consumentenveiligheid en Europese waarden.

De Commissie zet zich in voor een uitgebreide “stresstest” van het digitale rulebook gedurende het gehele wetgevingsmandaat. Het doel is heel duidelijk: ervoor zorgen dat de regels geschikt blijven om innovatie en groei te ondersteunen, dat zij hun doelstellingen verwezenlijken en een impuls voor het concurrentievermogen zijn. Gedurende dit hele proces zal de Commissie trachten overtuigende oplossingen te bieden om de doeltreffendheid van de regels en de handhaving ervan te vereenvoudigen, te verduidelijken en te versterken, met gebruik van alle instrumenten die zij tot haar beschikking heeft; of het nu gaat om aanpassingen van de regelgeving, nauwere samenwerking tussen instanties, bevordering van digitale oplossingen die de naleving van de regelgeving “door ontwerp” vereenvoudigen, of andere begeleidende maatregelen.

Het voorstel voor een digitale omnibus is een eerste stap om de toepassing van het digitale rulebook te optimaliseren. Het voorstel omvat een reeks technische wijzigingen van een groot instrumentarium van digitale wetgeving, geselecteerd om bedrijven, overheidsdiensten en burgers onmiddellijk te ontlasten om zo het concurrentievermogen te stimuleren. Het onmiddellijke doel hiervan is ervoor te zorgen dat naleving van de regels lagere kosten met zich meebrengt, dezelfde doelstellingen verwezenlijkt en op zichzelf een concurrentievoordeel oplevert voor verantwoordelijke bedrijven. De wijzigingen zijn met voorrang behandeld, voortbouwend op het overleg met belanghebbenden en de eerste uitvoeringsdialogen die werden gevoerd door uitvoerend vicevoorzitter Henna Virkkunen en commissaris Michael McGrath.

Om deze redenen zijn de wijzigingen gericht op het ontsluiten van kansen bij het gebruik van gegevens, als fundamentele hulpbron in de EU-economie, niet in de laatste plaats met het oog op de ondersteuning van de ontwikkeling en het gebruik van betrouwbare AI (artificiële intelligentie)-oplossingen op de EU-markt. Deze doelstellingen worden ondersteund door gerichte wijzigingen van de regels inzake gegevensbescherming en privacy, die voorzien in onmiddellijke vereenvoudigingsmaatregelen voor bedrijven en burgers, waardoor zij hun rechten beter kunnen uitoefenen.

Daarnaast zijn de wijzigingen van Verordening (EU) 2024/1689 (de verordening artificiële intelligentie 10 ), die in een afzonderlijk wetgevingsvoorstel deel uitmaken van de digitale omnibus, bedoeld om de soepele en doeltreffende toepassing van de regels voor het op een veilige en betrouwbare wijze ontwikkelen en gebruiken van AI te vergemakkelijken.

In de digitale omnibus wordt ook een zeer duidelijke oplossing voorgesteld voor het stroomlijnen van meldingen van cyberbeveiligingsincidenten, waarbij alle gerelateerde meldingsverplichtingen onder één rapportagemechanisme worden gebracht.

Ten slotte worden met het voorstel verouderde regels op het gebied van platformregulering, die door recentere verordeningen zijn vervangen, ingetrokken.

Met de wijzigingen wordt beoogd de regels te stroomlijnen, het aantal wetten te verminderen en de bepalingen te harmoniseren. De administratieve kosten worden verminderd door een vereenvoudiging van bepalingen en procedures. Naast kleine en micro-ondernemingen die al onder een bijzondere regeling vallen, worden door de wijzigingen in de wetgeving over gegevens en Verordening (EU) 2024/1689 (de verordening artificiële intelligentie 11 ) ook kleine midcap-ondernemingen van bepaalde verplichtingen ontslagen. Met de wijzigingen worden ook kansen voor een levendig ondernemingsklimaat gestimuleerd, wat meer rechtszekerheid geeft en kansen creëert, met name bij het delen en hergebruiken van gegevens, bij de verwerking van persoonsgegevens of bij de training van AI-systemen en -modellen.

Tegelijkertijd blijven de voorgestelde wijzigingen technisch van aard en zijn zij bedoeld om het regelgevingskader aan te passen, maar niet om de onderliggende doelstellingen ervan te wijzigen. De maatregelen zijn afgestemd op het behoud van dezelfde normen voor de bescherming van de grondrechten.

Samen met de digitale omnibus dient de Commissie ook haar voorstel in voor een verordening betreffende Europese portemonnees voor ondernemingen, als een hoeksteen van het initiatief om de naleving van de regelgeving te vereenvoudigen en de administratieve lasten voor bedrijven te verminderen. De portemonnees voor ondernemingen zullen worden ontworpen als veilige digitale instrumenten voor bedrijven en fungeren als één platform, om hun interacties in de hele EU te vereenvoudigen. Door de toepassing van een unieke en permanente identificatiecode krijgen bedrijven de mogelijkheid om met gebruik van één oplossing identiteiten digitaal te verifiëren, documenten te ondertekenen, tijdstempels te gebruiken en geverifieerde digitale informatie naadloos over de grenzen heen uit te wisselen. Door de Europese portemonnees voor ondernemingen vast te stellen, wordt het landschap van naleving gemakkelijker te navigeren voor bedrijven, met name kleine en middelgrote ondernemingen, waardoor essentiële middelen vrijkomen die kunnen worden omgeleid naar groei en innovatie.

Als tweede stap in de verbintenis om een “stresstest” van het digitale rulebook uit te voeren, voert de Commissie ook een digitale geschiktheidscontrole uit. Hoewel de voorstellen voor de digitale omnibus onmiddellijk en doelgericht zijn, zal de analyse die de Commissie in het kader van de digitale geschiktheidscontrole zal uitvoeren, gericht zijn op het cumulatieve effect van de digitale regelgeving, waarbij wordt nagegaan hoe het concurrentievermogen van de EU wordt ondersteund en waar in de tweede helft van het wetgevingsmandaat verdere aanpassingen moeten worden voorgesteld.

De digitale geschiktheidscontrole wordt tegelijk met het omnibusvoorstel gelanceerd, met een brede openbare raadpleging. De Commissie streeft ernaar met alle belanghebbenden samen te werken en op ruime schaal overleg te plegen. Het doel is dit op te volgen met een overzicht en een brede inventarisatie van de wijze waarop het digitale rulebook strategische sectoren van de industrie van de EU bestrijkt, en na te gaan wat de gevolgen zijn van het cumulatieve effect van de regelgeving voor hun concurrentievermogen. Op basis hiervan zal de analyse in een tweede stap dieper ingaan op de synergieën en gebieden die verder op elkaar kunnen worden afgestemd, variërend van definities en rechtsbegrippen tot de doeltreffendheid van en wisselwerking tussen de governancesystemen en andere ondersteunende maatregelen.

De “stresstest” van het digitale acquis zal ook worden voortgezet door middel van uitvoeringsdialogen en evaluaties van alle belangrijke rechtsinstrumenten. In de huidige planning verwacht de Commissie onder meer in 2026 een herziening van de digitalemarktenverordening, van het beleidsprogramma voor het digitale decennium, de chipsverordening, de richtlijn audiovisuele mediadiensten en een evaluatie van de auteursrechtrichtlijn te publiceren. Voor 2027 omvatten de handelingen die naar verwachting zullen worden geëvalueerd onder meer de verordening cybersolidariteit, de verordening open-internettoegang, de NIS 2-richtlijn en de digitaledienstenverordening. In 2028 moet de Commissie bijvoorbeeld de Europese verordening mediavrijheid en de dataverordening evalueren, gevolgd door een evaluatie van de AI-verordening in 2029 en een evaluatie van de vervalclausule van de verordening tot oprichting van het Europees kenniscentrum voor cyberbeveiliging netwerk en van nationale coördinatiecentra.

Belanghebbenden hebben herhaaldelijk benadrukt dat de vereenvoudigingsinspanningen in veel gevallen minder gericht zijn op het wijzigen van de regels, maar meer op het verschaffen van duidelijkheid over de toepassing ervan. De Commissie geeft voorrang aan een reeks richtsnoeren ter ondersteuning van de uniforme toepassing van de regels, onverminderd de interpretaties van het Hof van Justitie.

Wat het regelgevingskader voor gegevens betreft, heeft de Commissie haar prioritering aangekondigd in de strategie voor de Europese data-unie; er zal met name aandacht zijn voor richtsnoeren inzake redelijke compensatie om te verduidelijken welke vergoedingen in rekening kunnen worden gebracht voor het delen van gegevens, het bieden van rechtszekerheid aan zowel gegevenshouders als gegevensontvangers, en richtsnoeren voor het verduidelijken van definities.

Ter ondersteuning van de toepassing van de verordening artificiële intelligentie blijft de Commissie voorrang geven aan het uitvaardigen van richtsnoeren over verschillende aspecten, zoals nader uiteengezet in de toelichting bij het voorstel voor een digitale omnibus tot wijziging van de verordening artificiële intelligentie.

Voorstellen in de digitale omnibus

Wat persoonsgegevens betreft, is Verordening (EU) 2016/679 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (algemene verordening gegevensbescherming, AVG) op 25 mei 2018 van toepassing geworden, waarbij Uniebrede normen, regels en waarborgen voor de verwerking van persoonsgegevens van natuurlijke personen, de rechten van betrokkenen (elders ook “datasubjecten” genoemd) en een algemeen rechtskader voor de verwerking van persoonsgegevens zijn vastgesteld. Hoewel belanghebbenden over het algemeen hebben vastgesteld dat Verordening (EU) 2016/679 (AVG) evenwichtig en solide is en nog steeds geschikt is voor het beoogde doel, hebben sommige entiteiten, met name kleinere ondernemingen en verenigingen met een laag aantal niet-intensieve, vaak risicovolle gegevensverwerkingsactiviteiten, hun bezorgdheid geuit over de toepassing van sommige verplichtingen van de AVG. Sommige van deze problemen kunnen worden aangepakt door een meer consistente en geharmoniseerde uitlegging en handhaving in alle lidstaten, terwijl andere gerichte wijzigingen van de wetgeving vereisen. In dit verband zijn de wijzigingen in dit voorstel bedoeld om deze punten van zorg aan te pakken, met name door bepaalde belangrijke definities te verduidelijken, bijvoorbeeld het begrip persoonsgegevens, door de naleving te vergemakkelijken, bijvoorbeeld door verwerkingsverantwoordelijken te ondersteunen met betrekking tot de criteria en middelen om te bepalen of gegevens die voortvloeien uit pseudonimisering geen persoonsgegevens zijn, met betrekking tot informatievereisten en kennisgevingen van inbreuken in verband met gegevens aan toezichthoudende autoriteiten, en door bepaalde aspecten van de verwerking van gegevens voor training en ontwikkeling op het gebied van AI te verduidelijken. Met de voorgestelde wijzigingen wordt ook het ontbreken aan duidelijkheid over de voorwaarden voor wetenschappelijk onderzoek aangepakt door een definitie te geven van wetenschappelijk onderzoek, verder te verduidelijken dat verdere verwerking voor wetenschappelijke doeleinden verenigbaar is met het oorspronkelijke doel van de verwerking, en te verduidelijken dat wetenschappelijk onderzoek een rechtmatig belang vormt. Ook wordt voorgesteld de uitzonderingen op de informatieverplichting voor verwerking uit te breiden. Waar relevant worden in dit voorstel de wijzigingen van de AVG in Verordening (EU) 2018/1725 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie weerspiegeld.

De in deze verordening voorgestelde wijzigingen zullen een centraal toegangspunt invoeren die entiteiten in staat stelt tegelijkertijd aan hun verplichtingen inzake de melding van incidenten uit hoofde van meerdere rechtshandelingen te voldoen. Door het beginsel “eenmalig melden, veelvoudig delen” te bevorderen, zal het centrale toegangspunt de administratieve lasten voor entiteiten verminderen en tegelijkertijd zorgen voor een doeltreffende en veilige informatiestroom over beveiligingsincidenten naar de in de respectieve wetgeving gedefinieerde ontvangers.

Het voorstel voorziet in de verplichting voor Enisa om het centrale toegangspunt te ontwikkelen, rekening houdend met het centrale meldingsplatform voor kennisgevingen van actief uitgebuite kwetsbaarheden en ernstige incidenten uit hoofde van Verordening (EU) 2024/2847 (de verordening cyberweerbaarheid). Hierbij worden specifieke vereisten verplicht gesteld voor het instrument, als een veilige doorgang van informatie die door entiteiten wordt gerapporteerd en naar de bevoegde autoriteiten wordt verzonden. De onderliggende wettelijke vereisten voor incidentrapportage worden ongewijzigd gelaten, maar de workflow en de benodigde middelen van entiteiten worden aanzienlijk geoptimaliseerd.

Het voorstel schrijft ook het gebruik van het centrale toegangspunt voor voor een reeks nauw met elkaar verbonden verplichtingen inzake de melding van incidenten die zijn vastgesteld in Richtlijn (EU) 2022/2555 (NIS 2-richtlijn), Verordening (EU) 2016/679 (AVG), Verordening (EU) 2022/2554 (verordening digitale operationele weerbaarheid, DORA), Verordening (EU) 910/2014 (eIDAS-verordening) en Richtlijn (EU) 2022/2557 (richtlijn betreffende de weerbaarheid van kritieke entiteiten, CER-richtlijn). Andere sectorale rapportageverplichtingen, zoals die welke zijn vastgesteld in het kader van de netcode voor cyberbeveiligingsaspecten van grensoverschrijdende elektriciteitsstromen en de relevante instrumenten voor de luchtvaartsector, zullen ook onder het centrale toegangspunt worden gebracht door middel van wijzigingen van de respectieve gedelegeerde en uitvoeringshandelingen tot vaststelling van de rapportageverplichtingen uit hoofde van die kaders.

Het voorstel heeft ook tot doel de inhoud van de gerapporteerde informatie te stroomlijnen door bevoegdheidsdelegaties in te voeren voor verschillende rechtshandelingen, voor zover die niet bestaan. In het voorstel wordt verduidelijkt dat de Commissie bij de ontwikkeling van gemeenschappelijke modellen voor rapportage voor Richtlijn (EU) 2022/2555, Richtlijn (EU) 2022/2557 of Verordening (EU) 2016/679, om zo de consistentie te waarborgen, synergieën te bevorderen en de administratieve lasten voor entiteiten te verminderen door het aantal gegevensvelden dat entiteiten moeten invullen tot een minimum te beperken, terdege rekening moet houden met de opgedane ervaring en de gemeenschappelijke modellen die zijn ontwikkeld in het kader van Verordening (EU) 2022/2554 (DORA).

In aanvulling op deze belangrijkste veranderingen, wordt in het voorstel gebruik gemaakt van de mogelijkheid om Verordening (EU) 2019/1150 van het Europees Parlement en de Raad van 20 juni 2019 ter bevordering van billijkheid en transparantie voor zakelijke gebruikers van onlinetussenhandelsdiensten (de P2B-verordening) in te trekken. Deze verordening is sinds 12 juli 2020 van toepassing en was de eerste stap in de richting van een alomvattend rechtskader voor de platformeconomie. Sinds de inwerkingtreding ervan zijn er andere handelingen van het EU-recht gekomen ter reglementering van onlinetussenhandelsdiensten en onlineplatformen. Het gaat onder meer om Verordening (EU) 2022/1925 (digitalemarktenverordening) en Verordening (EU) 2022/2065 (digitaledienstenverordening), die de bepalingen van de P2B-verordening grotendeels hebben ingehaald. Bepaalde bepalingen van de P2B-verordening blijven van kracht om rechtszekerheid te waarborgen voor handelingen die verwijzingen naar deze bepalingen bevatten, bijvoorbeeld Richtlijn (EU) 2023/2831 betreffende de verbetering van de arbeidsvoorwaarden bij platformwerk. In het algemeen zal de vereenvoudiging van het regelgevingskader voor onlineplatformen de nalevingskosten verminderen als gevolg van gelaagde en overlappende regels, zoals de belanghebbenden hebben gevraagd. Aanbieders van onlinetussenhandelsdiensten zullen baat hebben bij een grotere duidelijkheid van de wettelijke bepalingen. De handhaving zal doelgerichter zijn.

•Verenigbaarheid met bestaande bepalingen op het beleidsterrein

•Verenigbaarheid met andere beleidsterreinen van de Unie

2.RECHTSGRONDSLAG, SUBSIDIARITEIT EN EVENREDIGHEID

•Rechtsgrondslag

•Subsidiariteit (bij niet-exclusieve bevoegdheid)

•Evenredigheid

3.EVALUATIE, RAADPLEGING VAN BELANGHEBBENDEN EN EFFECTBEOORDELING

•Evaluatie van bestaande wetgeving en controle van de resultaatgerichtheid ervan

•Raadpleging van belanghebbenden

In het voorjaar van 2025 zijn drie openbare raadplegingen en verzoeken om input over de belangrijkste pijlers van het voorstel gepubliceerd. Van 9 april tot en met 4 juni vond een raadpleging plaats over de AI-toepassingsstrategie 14 , van 11 april tot en met 20 juni over de herziening van Verordening (EU) 2019/881 (de cyberbeveiligingsverordening) 15 en van 23 mei tot en met 20 juli over de strategie voor de Europese data-unie 16 . Elke vragenlijst bevatte een specifieke rubriek (of soms meerdere rubrieken) over punten van zorg over de uitvoering en vereenvoudiging, die rechtstreeks verband hielden met de overwegingen over de digitale omnibus. In het kader van deze eerste ronde raadplegingen zijn 718 unieke reacties verzameld.

Van 16 september tot en met 14 oktober 2025 stond een verzoek om input voor de digitale omnibus open 17 . Het doel van dit verzoek was belanghebbenden de gelegenheid te bieden opmerkingen te maken over een geconsolideerd voorstel voor het toepassingsgebied van de digitale omnibus. Er zijn 513 reacties ontvangen, die zijn ingediend door diverse groepen belanghebbenden, niet in de laatste plaats door bedrijven en bedrijfsverenigingen, het maatschappelijk middenveld, academici, overheden en individuele bijdragen van burgers.

Uitvoerend vicevoorzitter Henna Virkkunen organiseerde twee uitvoeringsdialogen over de belangrijkste onderwerpen die in de digitale omnibus aan bod komen: De eerste over het gegevensbeleid 18 (1 juli 2025) en het tweede over het cyberbeveiligingsbeleid 19 (15 september).

Commissaris McGrath organiseerde een uitvoeringsdialoog over de toepassing van de AVG (16 juli 2025).

De diensten van de Commissie hebben ook verschillende “realiteitscontroles” uitgevoerd, via diepgaande focusgroepen waaraan bedrijven en vertegenwoordigers van het maatschappelijk middenveld deelnamen die zijn georganiseerd tussen 15 september en 6 oktober 2025, om de praktische uitdagingen bij de uitvoering bij dagelijkse activiteiten te bespreken en een raming te maken van de nalevingskosten.

Om met name kleine en middelgrote ondernemingen te raadplegen en hun feedback te verzamelen, is tussen 4 september en 16 oktober 2025 via het Enterprise Europe Network (EEN) 20 een speciaal midden- en kleinbedrijfpanel georganiseerd.

Tot slot ontvingen de diensten van de Commissie talrijke standpuntnota’s en organiseerden zij bilaterale bijeenkomsten met verschillende belanghebbenden. De diensten van de Commissie voerden ook overleg met de lidstaten in rondetafelgesprekken of in het kader van verschillende werkgroepen van de Raad.

Over het geheel genomen bleek uit de feedback dat er behoefte is aan een vereenvoudigde toepassing van bepaalde digitale regels. De belanghebbenden waren positief over de nadruk op samenhang en consolidatie van de regels en optimalisering van de nalevingskosten.

Er werd duidelijk opgeroepen om het gegevensacquis te stroomlijnen en de regels te consolideren. Hierop wordt in het voorstel ingegaan, net als de gerichte wijzigingen die door belanghebbenden worden gesteund, onder meer met betrekking tot de AVG en de toestemmingsmoeheid die door de cookiemeldingen wordt veroorzaakt. Daarnaast gaven bedrijven aan dat de wisselwerking tussen de gegevensregels die een grondigere analyse door middel van de instrumenten voor betere regelgeving rechtvaardigen, met name de komende digitale geschiktheidscontrole, verder moet worden beoordeeld.

Bedrijven in verschillende sectoren wezen ook op de ongerechtvaardigde lasten die voortvloeien uit de dubbele melding van incidenten in meerdere rechtskaders. Aan deze oproep tot actie wordt gevolg gegeven door het voorstel van een centraal toegangspunt voor de melding van incidenten.

Wat de verordening artificiële intelligentie betreft, wezen belanghebbenden op de behoefte aan rechtszekerheid bij de toepassing van de regels, met name op de behoefte aan beschikbare normen en richtsnoeren voordat de regels worden toegepast. Het afzonderlijke regelgevingsvoorstel in het kader van de digitale omnibus komt tegemoet aan hun punten van zorg.

Tot slot hebben de belanghebbenden zich niet uitgelaten over de gevolgen van de P2B-verordening; zij bevestigden de resultaten van het tussentijdse evaluatieverslag dat de regels niet bekend zijn en hun doel niet doeltreffend bereiken. In deze verordening wordt voorgesteld de P2B-regels in te trekken, met name in het licht van de overlapping ervan met recentere regelgeving.

Een gedetailleerd overzicht van deze raadplegingen van belanghebbenden en de wijze waarop deze in het voorstel tot uiting komen, is te vinden in het werkdocument van de diensten van de Commissie ter ondersteuning van de digitale omnibus.

•Bijeenbrengen en gebruik van expertise

•Effectbeoordeling

•Resultaatgerichtheid en vereenvoudiging

•Grondrechten

4.GEVOLGEN VOOR DE BEGROTING

5.OVERIGE ELEMENTEN

•Uitvoeringsplanning en regelingen betreffende controle, evaluatie en rapportage

•Artikelsgewijze toelichting

·In lid 4 worden definities van de in Verordening (EU) 2023/2854 (dataverordening) ingevoegde bepalingen ingevoerd, waarbij de definitie van gegevens en documenten wordt geharmoniseerd door te voorzien in een strikte afbakening tussen digitale (gegevens) en niet-digitale (documenten) inhoud;

·Bij deze verordening wordt ook het nieuwe hoofdstuk VII quater ingevoerd betreffende het hergebruik van gegevens en documenten die in het bezit zijn van overheidsinstanties;

·Er wordt een nieuwe afdeling 1 ingevoerd, waarin de algemene beginselen worden opgenomen die van toepassing zijn op het nieuw ingevoegde hoofdstuk;

·Bij deze verordening worden het onderwerp en het toepassingsgebied van het samengevoegde hoofdstuk ingevoerd, waarbij de gemeenschappelijke regels van hoofdstuk II van Verordening (EU) 2022/868 (datagovernanceverordening) en Richtlijn (EU) 2019/1024 (de richtlijn open data) worden gecombineerd;

·Bij deze verordening wordt het gemeenschappelijke beginsel van non-discriminatie vastgesteld dat van toepassing is op het delen van open overheidsgegevens en bepaalde categorieën beschermde gegevens;

·Bij deze verordening wordt het verbod op exclusieve regelingen vastgesteld, wat gemeenschappelijk is voor het stelsel van open overheidsgegevens en bepaalde categorieën beschermde gegevens;

·Bij deze verordening worden algemene beginselen vastgesteld met betrekking tot het in rekening brengen van een vergoeding voor het hergebruik van open overheidsgegevens of bepaalde categorieën beschermde gegevens. Als nieuwe regel moeten overheidsinstanties ervoor zorgen dat eventuele vergoedingen ook online kunnen worden betaald via algemeen beschikbare grensoverschrijdende betalingsdiensten, zonder discriminatie voor het hergebruik van open overheidsgegevens. Dit is een uitbreiding van deze regel die voorheen alleen bekend was voor het hergebruik van bepaalde categorieën beschermde gegevens uit hoofde van hoofdstuk II van Verordening (EU) 2022/868 (datagovernanceverordening);

·Zo wordt voorzien in het recht van hergebruikers van open overheidsgegevens en bepaalde categorieën beschermde gegevens om te worden geïnformeerd over de beschikbare rechtsmiddelen met betrekking tot besluiten of praktijken die hen betreffen;

·Bij deze verordening wordt de afdeling over de regels voor het hergebruik van open overheidsgegevens, voorheen de regels uit hoofde van Richtlijn (EU) 2019/1024 (richtlijn open data), ingevoegd;

·Bij deze verordening wordt het toepassingsgebied van de afdeling bepaald, met inbegrip van de niet-toepassing op bepaalde categorieën beschermde gegevens binnen het toepassingsgebied van het algemene hoofdstuk over het hergebruik van gegevens en documenten die in het bezit zijn van overheidsinstanties;

·Bij deze verordening wordt het algemene beginsel voor het hergebruik van open overheidsgegevens vastgesteld;

·Bij deze verordening worden de regels voor de verwerking van verzoeken om hergebruik van open overheidsgegevens vastgesteld, waarbij de vorige bepaling van Richtlijn (EU) 2019/1024 (richtlijn open data) wordt ingevoegd;

·Bij deze verordening worden de regels voor de beschikbare formaten voor het hergebruik van open overheidsgegevens, die voorheen waren opgenomen in Richtlijn (EU) 2019/1024 (richtlijn open data), ingevoerd;

·Bij deze verordening worden de regels voor het in rekening brengen van een vergoeding voor open overheidsgegevens, die voorheen onder Richtlijn (EU) 2019/1024 (richtlijn open data) vielen, ingevoerd. Als nieuwe regel kunnen overheidsinstanties hogere vergoedingen in rekening brengen voor het hergebruik door zeer grote ondernemingen. Dergelijke vergoedingen moeten evenredig zijn en het bedrag ervan moet gebaseerd zijn op objectieve criteria;

·Bij deze verordening worden de regels voor standaardlicenties voor het hergebruik van open overheidsgegevens, die voorheen waren opgenomen in Richtlijn (EU) 2019/1024 (richtlijn open data), ingevoerd. Als nieuwe regel kunnen overheidsinstanties voorzien in bijzondere voorwaarden voor zeer grote ondernemingen. Dergelijke voorwaarden moeten evenredig zijn en gebaseerd zijn op objectieve criteria;

·Bij deze verordening worden de regels inzake praktische regelingen die voorheen waren opgenomen in Richtlijn (EU) 2019/1024 (richtlijn open data), om het zoeken naar gegevens of documenten die beschikbaar zijn voor hergebruik in Verordening (EU) 2023/2854 (dataverordening) te vergemakkelijken, ingevoerd;

·Bij deze verordening worden de regels inzake onderzoeksgegevens die voorheen waren opgenomen in Richtlijn (EU) 2019/1024 (de richtlijn open data) ingevoerd in Verordening (EU) 2023/2854 (dataverordening);

·Bij deze verordening worden de regels inzake hoogwaardige datasets, die voorheen waren opgenomen in Richtlijn (EU) 2019/1024 (richtlijn open data) ingevoerd in Verordening (EU) 20232854 (dataverordening);

·Er wordt een nieuwe afdeling toegevoegd voor het hergebruik van bepaalde categorieën beschermde gegevens om de voormalige regels uit hoofde van hoofdstuk II van Verordening (EU) 2022/868 (datagovernanceverordening) in het hoofdstuk op te nemen. In dat punt wordt het toepassingsgebied van afdeling 3 geschetst, waarbij de gegevens en documenten die onder het toepassingsgebied van afdeling 2 vallen en die betrekking hebben op de regeling voor het hergebruik van open overheidsgegevens, van dat toepassingsgebied worden uitgesloten. Als nieuwe regel worden documenten opgenomen in het toepassingsgebied van deze afdeling;

·Bij deze verordening worden de algemene beginselen met betrekking tot het hergebruik bepaalde categorieën beschermde gegevens vastgesteld. Dit is het in hoofdstuk II van Verordening (EU) 2022/868 (datagovernanceverordening) uiteengezette beginsel dat de afdeling geen verplichting schept voor overheidsinstanties om het hergebruik van beschermde gegevens toe te staan, maar veeleer minimumvoorwaarden vaststelt waaronder overheidsinstanties besluiten dergelijke gegevens beschikbaar te stellen voor hergebruik;

·Bij deze verordening worden de regels inzake de voorwaarden voor het hergebruik van bepaalde categorieën beschermde gegevens, die voorheen in hoofdstuk II van Verordening (EU) 2022/868 (datagovernanceverordening) waren opgenomen, in een vereenvoudigde en gestroomlijnde vorm ingevoerd. De verordening bevat een verduidelijking van de regels die van toepassing zijn in gevallen waarin persoonsgegevens zijn geanonimiseerd. De vereisten met betrekking tot de doorgifte van niet-persoonsgebonden gegevens aan derde landen worden gehandhaafd, maar worden opgesplitst in een nieuw artikel onder punt 54);

·Bij deze verordening worden de regels voor het in rekening brengen van vergoedingen, die voorheen deel uitmaakten van hoofdstuk II van Verordening (EU) 2022/868 (datagovernanceverordening), ingevoerd in Verordening (EU) 2023/2854 (dataverordening). Als nieuwe regel kunnen overheidsinstanties hogere vergoedingen voor het hergebruik door zeer grote ondernemingen vaststellen. Dergelijke vergoedingen moeten evenredig en op objectieve criteria gebaseerd zijn. De bijzondere aandacht voor het stimuleren van hergebruik door kleine en middelgrote ondernemingen wordt uitgebreid tot midcap-ondernemingen;

·Bij deze verordening worden de regels inzake bevoegde organen, die voorheen deel uitmaakten van hoofdstuk II van Verordening (EU) 2022/868 (datagovernanceverordening), ingevoerd in Verordening (EU) 2023/2854 (dataverordening). Bevoegde autoriteiten zijn opgezet om overheidsinstanties te helpen bij het beantwoorden van verzoeken om hergebruik van gegevens en documenten die onder afdeling 3 vallen;

·Bij deze verordening worden de regels inzake het centrale informatiepunt, dat voorheen deel uitmaakte van hoofdstuk II van Verordening (EU) 2022/868 (datagovernanceverordening), ingevoerd in Verordening (EU) 2023/2854 (dataverordening). De centrale informatiepunten zijn bedoeld om hergebruikers te helpen op eenvoudige wijze informatie te vinden over het hergebruik van bepaalde categorieën beschermde gegevens;

·Bij deze verordening worden de regels voor de procedure voor verzoeken om hergebruik van bepaalde categorieën beschermde gegevens, die voorheen werden geregeld in hoofdstuk II van Verordening (EU) 2022/868 (datagovernanceverordening), ingevoerd in Verordening (EU) 2023/2854 (dataverordening).

Wijzigingen van Verordening (EU) 2016/679, Verordening (EU) 2018/1725 en Richtlijn 2002/58/EG

Artikel 3 van het voorstel voorziet in gerichte wijzigingen van Verordening (EU) 2016/679 (AVG).

In artikel 3:

Lid 1 verduidelijkt de definitie van persoonsgegevens in artikel 4 van Verordening (EU) 2016/679 (AVG) door te bepalen dat informatie voor een bepaalde entiteit niet als persoonsgegevens wordt beschouwd wanneer deze niet beschikt over de middelen die redelijkerwijs kunnen worden gebruikt om de natuurlijke persoon te identificeren op wie de informatie betrekking heeft. Bijgevolg zou een dergelijke entiteit in beginsel niet binnen het toepassingsgebied van die verordening vallen.

Lid 2 voorziet in twee aanvullende uitzonderingen op de verwerking van bijzondere categorieën gegevens: er wordt voorzien in een vrijstelling van het algemene verbod op de verwerking van biometrische gegevens wanneer dit nodig is om de identiteit van de betrokkene te bevestigen en wanneer de gegevens en middelen voor een dergelijke verificatie onder de uitsluitende controle van die betrokkene vallen. Ook wordt voorzien in een vrijstelling voor de restverwerking van bijzondere categorieën persoonsgegevens voor de ontwikkeling en exploitatie van een AI-systeem of een AI-model, onder bepaalde voorwaarden, met inbegrip van passende organisatorische en technische maatregelen om te voorkomen dat bijzondere categorieën persoonsgegevens worden verzameld en verwijderd.

In lid 3 wordt de situatie uit hoofde van artikel 12 van Verordening (EU) 2016/679 (AVG) verduidelijkt waarin het recht van toegang door betrokkenen wordt misbruikt voor andere doeleinden dan de bescherming van hun persoonsgegevens. Als gevolg hiervan kan de verwerkingsverantwoordelijke weigeren aan het verzoek te voldoen of een redelijke vergoeding in rekening brengen. Bovendien worden de voorwaarden verduidelijkt om aan te tonen dat een verzoek om toegang buitensporig is.

Lid 4 is gericht op de verplichting van de verwerkingsverantwoordelijke om de betrokkene te informeren over de verwerking van hun persoonsgegevens uit hoofde van artikel 13 van Verordening (EU) 2016/679 (AVG) en heft deze verplichting op in situaties waarin er redelijke gronden zijn om aan te nemen dat de betrokkene al over de informatie beschikt, tenzij de verwerkingsverantwoordelijke de gegevens doorgeeft aan andere ontvangers of categorieën ontvangers, de gegevens doorgeeft aan een derde land, geautomatiseerde besluitvorming uitvoert of de verwerking waarschijnlijk een hoog risico voor de rechten van de betrokkene inhoudt.

In lid 5 worden de vereisten voor geautomatiseerde individuele besluitvorming uit hoofde van artikel 22 van Verordening (EU) 2016/679 (AVG) verduidelijkt in het kader van het sluiten of uitvoeren van een overeenkomst tussen de betrokkene en een verwerkingsverantwoordelijke, met name dat het vereiste van “noodzakelijkheid” losstaat van de vraag of het besluit anders dan met uitsluitend geautomatiseerde middelen kan worden genomen.

In lid 6 wordt de verplichting van de verwerkingsverantwoordelijke om inbreuken in verband met persoonsgegevens te melden aan de bevoegde toezichthoudende autoriteit uit hoofde van artikel 33 van Verordening (EU) 2016/679 (AVG) in overeenstemming gebracht met zijn verplichting om betrokkenen in kennis te stellen van dergelijke inbreuken in verband met persoonsgegevens door te bepalen dat de kennisgeving alleen vereist is indien een inbreuk in verband met persoonsgegevens waarschijnlijk een hoog risico voor de rechten van de betrokkene inhoudt. Ook wordt de termijn voor kennisgeving verlengd tot 96 uur. Ook wordt voorgesteld dat verwerkingsverantwoordelijken het centrale toegangspunt gebruiken om inbreuken in verband met persoonsgegevens te melden aan de toezichthoudende autoriteit. Daarnaast wordt het Europees Comité voor gegevensbescherming verplicht een voorstel voor een gemeenschappelijk model voor kennisgevingen van inbreuken in verband met persoonsgegevens op te stellen en bij de Commissie in te dienen, dat de Commissie zou kunnen vaststellen door middel van een uitvoeringshandeling, eventueel na herziening ervan.

In lid 7 worden de lijsten van verwerkingsactiviteiten waarvoor wel en geen gegevensbeschermingseffectbeoordeling vereist is, geharmoniseerd, door te bepalen dat op EU-niveau één enkele lijst van verwerkingsactiviteiten waarvoor wel en geen gegevensbeschermingseffectbeoordeling vereist is, wordt verstrekt, waardoor wordt bijgedragen tot de harmonisatie van het begrip “hoog risico”. Het Europees Comité voor gegevensbescherming wordt verplicht voorstellen voor dergelijke lijsten te doen. Het comité wordt ook verplicht een voorstel te doen voor een gemeenschappelijk model en een gemeenschappelijke methode voor het uitvoeren van gegevensbeschermingseffectbeoordelingen, die de Commissie zou kunnen vaststellen door middel van een uitvoeringshandeling, eventueel na herziening ervan.

In lid 8 wordt bepaald dat de Commissie, samen met het Europees Comité voor gegevensbescherming, verwerkingsverantwoordelijken kan ondersteunen bij de beoordeling of gegevens die voortvloeien uit pseudonimisering geen persoonsgegevens zijn, door middelen en criteria te specificeren die relevant zijn voor een dergelijke beoordeling, met inbegrip van de stand van de beschikbare technieken en criteria om het risico op heridentificatie te beoordelen.

Intrekkingen van handelingen en slotbepalingen

2025/0360 (COD)

Voorstel voor een

VERORDENING VAN HET EUROPEES PARLEMENT EN DE RAAD

tot wijziging van Verordeningen (EU) 2016/679, (EU) 2018/1724, (EU) 2018/1725 en (EU) 2023/2854 en Richtlijnen 2002/58/EC, (EU) 2022/2555 en (EU) 2022/2557 wat betreft de vereenvoudiging van het digitale wetgevingskader en tot intrekking van de Verordeningen (EU) 2018/1807, (EU) 2019/1150, (EU) 2022/868 en Richtlijn (EU) 2019/1024 (digitale omnibus)

HET EUROPEES PARLEMENT EN DE RAAD VAN DE EUROPESE UNIE,

Gezien het Verdrag betreffende de werking van de Europese Unie, en met name de artikelen 16 en 114,

Gezien het voorstel van de Europese Commissie,

Na toezending van het ontwerp van wetgevingshandeling aan de nationale parlementen,

Gezien het advies van het Europees Economisch en Sociaal Comité 21 ,

Gezien het advies van de Europese Centrale Bank 22 ,

Gezien het advies van het Comité van de Regio’s 23 ,

Handelend volgens de gewone wetgevingsprocedure,

Overwegende hetgeen volgt:

(1)In haar mededeling over een eenvoudiger en sneller Europa 24 heeft de Commissie aangekondigd zich te zullen inzetten voor een ambitieus programma ter bevordering van toekomstgericht, innovatief beleid dat het concurrentievermogen van de Unie versterkt en de regeldruk voor burgers, bedrijven en overheden radicaal verlicht, met behoud van de hoogste normen bij de bevordering van de waarden van de Unie. Bijgevolg heeft de Commissie voorrang gegeven aan het voorstel voor onmiddellijke aanpassingen van de wetgeving, met inbegrip van digitale wetgeving, om de uitdagingen van de Unie op het gebied van het concurrentievermogen aan te pakken.

(2)De digitale wetgeving van de Unie stelt hoge normen in de Unie en kan een krachtige bron van concurrentievoordeel zijn voor bedrijven die zich aan de regels houden, om zo te dienen als wereldwijd toonaangevend keurmerk van kwaliteit, veiligheid en betrouwbaarheid. Middels digitale regelgeving zijn duidelijke regels in de Unie voor verantwoordelijke bedrijven opgesteld, waarbij billijkheid en transparantie in de betrekkingen tussen ondernemingen worden gewaarborgd, innovatieve bedrijfsmodellen worden gestimuleerd, een hoog niveau van consumentenbescherming en -veiligheid wordt vastgesteld en de grondrechten, niet in de laatste plaats de privacy en gegevensbescherming, worden geborgd.

(3)De digitale wetgeving van de Unie is de afgelopen jaren geleidelijk geëvolueerd als reactie op de snel groeiende voetafdruk van digitale technologieën in de economie en de maatschappelijke dynamiek van de Unie, en met het oog op het aanpakken van nieuwe uitdagingen en het bevorderen van zakelijke kansen in de EU. Ondanks de inzet van de Commissie voor een systematische “stresstest” van de digitale regels, samen met andere regels van de Unie, die kunnen leiden tot verdere aanpassingen van de regelgeving, met name na de komende digitale geschiktheidscontrole, en andere gerichte evaluaties van de digitale regels, zijn onmiddellijke wijzigingen van de regelgeving noodzakelijk. Bijgevolg wordt in deze verordening een eerste reeks wijzigingen van het digitale wetgevingskader voorgesteld, die tot doel hebben onmiddellijke verduidelijkingen van de regelgeving te verschaffen die innovatie op de markt van de Unie stimuleren en de administratieve nalevingskosten verminderen, met name voor bedrijven, en tegelijkertijd de toezichts- en administratiekosten voor toezichthoudende autoriteiten en adviesorganen stroomlijnen. De wijzigingen hebben ook tot doel duidelijkheid te verschaffen aan burgers.

(4)Gezien de fundamentele rol van gegevens bij het stimuleren van waardecreatie in de digitale economie, en overeenkomstig de doelstellingen van de mededeling over een strategie voor de Europese data-unie, beogen de in deze verordening voorgestelde wijzigingen van het wetgevingskader inzake gegevens een coherent en samenhangend regelgevingskader voor de beschikbaarheid en het gebruik van gegevens tot stand te brengen, waarbij het regelgevingskader voor gegevens wordt gestroomlijnd en geconsolideerd in slechts twee rechtshandelingen, namelijk Verordeningen (EU) 2016/679 25 en (EU) 2023/2854 26 van het Europees Parlement en de Raad, waar er momenteel vijf verschillende toepasselijke handelingen zijn. Met de wijzigingen wordt beoogd onnodige administratiekosten te beperken en de beschikbaarheid van gegevens te stimuleren als voorwaarde voor de ondersteuning van concurrerende digitale ondernemingen in de Unie, met behoud van het hoogste niveau van bescherming van de privacy, de bescherming van persoonsgegevens en eerlijke bedrijfspraktijken, en het waarborgen van de belangrijkste regelgevingsdoelstellingen, met inbegrip van de naleving van het EU- en nationale mededingingsrecht.

(5)Gezien de iteratieve ontwikkeling van horizontale en sectorspecifieke regels is het essentieel om ook overlappingen in specifieke bepalingen aan te pakken die leiden tot onnodige verdubbelen van de administratieve lasten. Dit is het geval voor de vereisten in verschillende voorschriften voor het melden van cyberbeveiligings- en gerelateerde incidenten, waarbij digitale oplossingen, zoals voorgesteld in deze verordening, bedrijven in alle betrokken sectoren onmiddellijk kunnen ontlasten.

(6)Evenzo hebben door de iteratieve reglementering van onlineplatformen in de afgelopen jaren, recentere regels een duidelijker en ambitieuzer kader gecreëerd dan sommige van de eerder toepasselijke regels die nu achterhaald zijn. Het is daarom noodzakelijk dat het rechtskader evolueert en onnodige verdubbelingen die de juridische complexiteit vergroten, worden geëlimineerd.

(7)Bij Verordening (EU) 2022/868 van het Europees Parlement en de Raad 27 zijn regels vastgesteld voor intermediaire functies in drie verschillende contexten: a) functies ter ondersteuning van het hergebruik van beschermde gegevens die onder gecontroleerde omstandigheden in het bezit zijn van overheidsinstanties; b) databemiddelingsdiensten die het delen van gegevens tussen datasubjecten (ook “betrokkenen”), gegevenshouders en gegevensgebruikers vergemakkelijken; en c) organisaties voor data-altruïsme die het gebruik van door datasubjecten en gegevenshouders op altruïstische of filantropische basis beschikbaar gestelde gegevens ondersteunen. Functies ter ondersteuning van het hergebruik van beschermde gegevens in het bezit van de overheidssector houden nauw verband met de regels van Richtlijn (EU) 2019/1024 van het Europees Parlement en de Raad 28 . De wisselwerking hiertussen heeft tot verwarring geleid, met name bij overheidsinstanties. Het is dus noodzakelijk de twee reeksen regels samen te voegen. Uit de evaluatie van de regels inzake databemiddelingsdiensten is gebleken dat de definitie van aanbieders van databemiddelingsdiensten zwakke punten vertoont en dat de regels te streng zijn voor dienstverleners om een duurzaam financieel model te ontwikkelen. Het is dus ook noodzakelijk om het stelsel te stroomlijnen. Wat data-altruïsme betreft, lijken bepaalde regels van Verordening (EU) 2022/868, met name de verplichting voor de lidstaten om nationaal beleid inzake data-altruïsme te voeren, de vaststelling van een “rulebook” en de ontwikkeling van een Europees toestemmingsformulier voor data-altruïsme, onnodige regelgeving, ook in het licht van de lopende activiteiten van het Europees Comité voor gegevensbescherming als bedoeld in artikel 68 van Verordening (EU) 2016/679 van het Europees Parlement en de Raad 29 betreffende richtsnoeren voor de verwerking van persoonsgegevens in het kader van wetenschappelijk onderzoek.

(8)Hoewel het belang van databemiddelingsdiensten wordt erkend in de context van veel initiatieven ter ondersteuning van het delen van gegevens en samenwerking, moeten de regels van Verordening (EU) 2022/868 inzake aanbieders van databemiddelingsdiensten worden verduidelijkt. Met name de definitie van dergelijke aanbieders moet nauwkeuriger worden geformuleerd. Hierin zouden elementen moeten worden geëlimineerd die slechts als illustratieve voorbeelden dienden, in plaats van uitzonderingen. Bovendien moeten lacunes als gevolg van dubbelzinnige formuleringen worden aangepakt, met name wat het begrip “gesloten groep” betreft. Diensten mogen niet in aanmerking komen voor registratie als databemiddelingsdiensten wanneer zij uitsluitend door een gesloten groep ondernemingen worden gebruikt en wanneer een besluit over de uitbreiding van die groep ondernemingen alleen door die groep en niet door de dienstverlener kan worden genomen. Belangrijker nog is dat het onderwerpen van deze opkomende markt aan een verplichte regeling tot onnodige nalevingskosten heeft geleid. In dit stadium van marktontwikkeling lijkt een vrijwillige regeling, die neutrale spelers in staat stelt zich van andere spelers te onderscheiden, te volstaan. Om duurzame bedrijfsmodellen mogelijk te maken, moet de regeling ook minder streng worden gemaakt door de eis van een juridische scheiding tussen databemiddelingsdiensten en andere diensten met toegevoegde waarde die een dienst mag aanbieden, af te schaffen en te vervangen door een functionele scheiding met behoud van bepaalde waarborgen. De regeling voor administratieve controle moet worden vereenvoudigd. In plaats van een nationaal openbaar register en een openbaar register van de Unie voor aanbieders van databemiddelingsdiensten en organisaties voor data-altruïsme, mogen er alleen openbare registers van de Unie bestaan, namelijk een voor aanbieders van databemiddelingsdiensten en een ander voor organisaties voor data-altruïsme. De bevoegde autoriteiten die toezicht houden op de toekenning van het keurmerk en op de naleving door de entiteiten van de vereisten voor het verkrijgen ervan, moeten in deze taak onafhankelijk zijn. Dit betekent dat zij juridisch en functioneel onafhankelijk zijn van een databemiddelingsdienst of een organisatie voor data-altruïsme, ook op het niveau van het hoger management. Overheidsorganisaties moeten databemiddelingsdiensten of organisaties voor data-altruïsme financieel kunnen ondersteunen, met name gezien het feit dat dit opkomende entiteiten zijn, op voorwaarde dat zij juridisch gescheiden entiteiten zijn. Om ervoor te zorgen dat erkende entiteiten in de hele Unie gemakkelijk identificeerbaar zijn, heeft de Commissie Uitvoeringsverordening (EU) 2023/1622 betreffende het ontwerp van gemeenschappelijke logo’s voor de identificatie van in de Unie erkende aanbieders van databemiddelingsdiensten en organisaties voor data-altruïsme vastgesteld.

(9)Bij Verordening (EU) 2023/2854 worden belemmeringen voor de toegang tot en het gebruik van gegevens weggenomen, datagestuurde innovatie en concurrentievermogen ontsloten en de stimulansen van degenen die in datatechnologieën investeren, gewaarborgd.

(10)In hoofdstuk II van Verordening (EU) 2023/2854 is bepaald dat gegevenshouders gegevens, met inbegrip van als bedrijfsgeheim beschermde gegevens, beschikbaar moeten stellen aan gebruikers en door hen geselecteerde derden, mits de door de gegevenshouder vastgestelde vertrouwelijkheidsmaatregelen worden gehandhaafd. Dit vereiste van vertrouwelijkheid vormt een aanvulling op Richtlijn (EU) 2016/943 van het Europees Parlement en de Raad 30 , die de norm bepaalt voor de bescherming van bedrijfsgeheimen binnen de Unie. Openbaarmaking van bedrijfsgeheimen aan entiteiten uit derde landen kan echter de risico’s voor hun integriteit en vertrouwelijkheid vergroten wanneer er sprake is van blootstelling aan rechtsgebieden met onvoldoende bescherming of moeilijkheden bij de daadwerkelijke handhaving daarvan, wat kan leiden tot ongeoorloofd gebruik, economische schade en rechtsonzekerheid.

(11)Verordening (EU) 2023/2854 moet worden versterkt door voor gegevenshouders een aanvullende grond in te voeren om de openbaarmaking van bedrijfsgeheimen te weigeren, ter aanvulling van bestaande bepalingen die weigering mogelijk maken als de gegevenshouder kan aantonen dat er een grote kans op ernstige economische schade bestaat. Op grond van de nieuwe bepaling kunnen gegevenshouders weigeren bedrijfsgeheimen openbaar te maken indien zij een hoog risico op onrechtmatige verkrijging, onrechtmatig gebruik of openbaarmaking aan entiteiten die onderworpen zijn aan regelingen met ontoereikende bescherming, niet-gelijkwaardige of zwakkere rechtskaders dan de toepasselijke Unieregels, kunnen aantonen. De nieuwe bepaling heeft ook betrekking op gevallen waarin het rechtskader van het derde land in theorie robuust is of strengere regels heeft dan de Unie, maar in de praktijk geen passende handhaving kent. Dergelijke risico’s wijzen op de mogelijkheid dat bedrijfsgeheimen kunnen worden verkregen, gebruikt of openbaar gemaakt in strijd met het Unierecht, waardoor de integriteit en vertrouwelijkheid van bedrijfsgeheimen worden bedreigd.

(12)De activering van het weigeringsmechanisme moet vrijwillig blijven en de motivering moet pas na de activering ervan plaatsvinden. Gegevenshouders mogen niet worden verplicht een volledige analyse of motivering uit te voeren van het niveau van bescherming van bedrijfsgeheimen in derde landen of door een entiteit uit een derde land als voorwaarde om hun weigering om gegevens te delen of bedrijfsgeheimen bekend te maken, te kunnen staven. Bij hun motivering kunnen gegevenshouders rekening houden met verschillende factoren, zoals onvoldoende of ontoereikende wettelijke normen, slechte of willekeurige handhaving, historische inbreuken, buitenlandse openbaarmakingsverplichtingen die in strijd zijn met het Unierecht, beperkte beroeps- of rechtsmiddelen voor entiteiten in de Unie, strategisch misbruik van procedurele tactieken om concurrenten te ondermijnen, of ongepaste politieke beïnvloeding. Gezien het uiteenlopende karakter van de betrokken entiteiten, derde landen en scenario’s voor het delen van gegevens moeten gegevenshouders hun beoordeling en motivering toespitsen op relevante risico’s en dienovereenkomstig handelen, onder meer door passende waarborgen vast te stellen of het weigeringsmechanisme in werking te stellen. Weigeringen moeten duidelijk, evenredig en afgestemd op de specifieke omstandigheden van het geval zijn, en niet stelselmatig of algemeen in een heel derde land te worden toegepast.

(13)Een ontoereikende bescherming van bedrijfsgeheimen en de uitdagingen bij de handhaving ervan in derde landen kunnen onherstelbare schade toebrengen aan Europese bedrijven. Het doel is derhalve de waarborgen voor bedrijfsgeheimen te versterken door te voorkomen dat zij worden gelekt naar natuurlijke personen of rechtspersonen die gevestigd zijn in of onderworpen zijn aan rechtsgebieden waar dergelijke risico’s bestaan. Dit omvat in de Unie gevestigde entiteiten die onder zeggenschap staan van entiteiten uit derde landen, die mogelijk te kwader trouw of als stroman voor entiteiten uit derde landen handelen. Daarnaast is het doel directe blootstelling aan entiteiten uit derde landen die binnen de Unie actief zijn en die onder dergelijke rechtsgebieden onderworpen zijn, te voorkomen. Onder onderworpen zijn aan het rechtsgebied van een derde land wordt verstaan dat de natuurlijke persoon of rechtspersoon wettelijk wordt bestuurd, gecontroleerd of anderszins gebonden is door de wetgeving of regelgevende instantie van een derde land. Dochterondernemingen of filialen van moedermaatschappijen uit derde landen kunnen deze rechtsgebieden exploiteren om het recht van de Unie te omzeilen of ontduiken. Onder directe of indirecte zeggenschap wordt verstaan het vermogen om beslissende of overheersende invloed uit te oefenen op de beleidsbepalende of strategische beslissingen van een andere entiteit, hetzij door eigendom van kapitaal of stemrechten, financiële participatie, contractuele regelingen of intermediaire entiteiten. De zeggenschap kan direct of via andere middelen worden uitgeoefend, zelfs zonder meerderheidsbelang. Gegevenshouders moeten alles in het werk stellen om de relevante informatie te verkrijgen, waaronder zoekopdrachten in openbare registers of het rechtstreeks opvragen ervan bij de gebruiker of derde, waarbij ervoor moet worden gezorgd dat de informatie naar behoren niet-intrusief blijft.

(14)Het beschermen van bedrijfsgeheimen tegen deze kwetsbaarheden is van essentieel belang voor de Europese industrie om haar marktpositie en concurrentievoordeel te behouden. Hoewel gegevenshouders een discretionaire bevoegdheid kunnen uitoefenen bij de bescherming van hun bedrijfsgeheimen, moeten weigeringen om gegevens te delen beperkt blijven tot gerechtvaardigde, uitzonderlijke omstandigheden, teneinde de doelstellingen van Verordening (EU) 2023/2854, namelijk het bevorderen van datagestuurde innovatie en een bloeiende digitale economie in de Unie, te behouden. Er moeten waarborgen tegen misbruik van het weigeringsmechanisme blijven bestaan, met inbegrip van de verplichting van de gegevenshouder om op naar behoren gemotiveerde wijze aan te tonen dat openbaarmaking een hoog risico vormt en om de bevoegde autoriteiten daarvan in kennis te stellen. Deze motivering moet zonder onnodige vertraging schriftelijk aan de gebruiker of derde worden verstrekt en in verhouding staan tot het onderhavige geval. Alle betrokken partijen moeten het besluit en de ondersteunende motivering als vertrouwelijk behandelen om het vertrouwelijke karakter van de betrokken bedrijfsgeheimen te handhaven. Gebruikers en derden kunnen, naargelang het geval, het besluit van de gegevenshouder aanvechten bij de bevoegde autoriteit, bij de rechter of een orgaan voor geschillenbeslechting.

(15)Om het kader voor het delen van gegevens tussen bedrijven en overheden uit hoofde van Verordening (EU) 2023/2854 te vereenvoudigen en onduidelijkheden weg te nemen die voorheen bredere verplichtingen oplegden aan bedrijven, moet het toepassingsgebied van hoofdstuk V van die verordening worden beperkt van “uitzonderlijke noodzaak” tot “algemene noodsituaties”. Het begrip “algemene noodsituaties”, dat is gedefinieerd in artikel 2, punt 29), van Verordening (EU) 2023/2854, zorgt er dus voor dat de in dat hoofdstuk vastgestelde verplichtingen alleen worden ingeroepen in welomschreven, dringende situaties, waardoor de technische, administratieve en juridische uitdagingen waarmee bedrijven in het kader van de vorige regeling werden geconfronteerd, worden beperkt. Dit zou ervoor zorgen dat verzoeken om gegevens relevant zijn voor en evenredig zijn aan het reageren op, het beperken van of het ondersteunen van herstelmaatregelen na algemene noodsituaties. Aangezien het geactualiseerde Uniekader betreffende de Europese statistiek uit hoofde van Verordening (EG) nr. 223/2009 van het Europees Parlement en de Raad 31 geen betrekking heeft op algemene noodsituaties, is het van essentieel belang de rol van de officiële statistiek uit hoofde van hoofdstuk V van Verordening (EU) 2023/2854 te behouden om duidelijkheid en doeltreffendheid in dergelijke situaties te waarborgen. Ook moet de compensatieregeling worden verduidelijkt voor situaties waarin micro-ondernemingen en kleine ondernemingen gegevens moeten verstrekken om een algemene noodsituatie aan te pakken, in welk geval dergelijke ondernemingen aanspraak kunnen maken op compensatie.

(16)Om rechtsonzekerheid te beperken, wat innovatieve bedrijfsmodellen zou kunnen ontmoedigen, moeten de aanzienlijke dubbelzinnigheden en lasten in verband met de naleving van de bepalingen met betrekking tot slimme contracten voor het uitvoeren van gegevensdelingsovereenkomsten uit hoofde van artikel 36 van Verordening (EU) 2023/2854 worden aangepakt. Het ontbreken van geharmoniseerde normen en duidelijke definities voor sleutelbegrippen zoals “robuustheid”, “toegangscontrole” en “samenhang met contractuele bedingen”, in combinatie met de vereiste van een “mechanisme voor de veilige beëindiging of onderbreking” dat mogelijk onverenigbaar is met gedecentraliseerde of openbare blockchainarchitecturen die zijn gebouwd op onveranderlijke grootboeken, vormde een uitdaging voor innovatoren vanuit een kosten- en kansenperspectief. Bovendien dreigt de dubbelzinnigheid rond de uitvoering van de conformiteitsbeoordeling uit hoofde van artikel 36, lid 2, van die verordening onevenredige lasten op te leggen. Het schrappen van artikel 36 van Verordening (EU) 2023/2854 zou daarom de ontwikkeling en marktintroductie van nieuwe bedrijfsmodellen bevorderen, innovatie stimuleren en belemmeringen voor opkomende technologieën verminderen.

(17)Bepaalde dataverwerkingsdiensten, die niet onder het leveringsmodel infrastructuur als een dienst (“Infrastructure as a Service” of IaaS) vallen, zijn afgestemd op de behoeften of het ecosysteem van een klant. De levering van dergelijke dataverwerkingsdiensten is gebaseerd op tijdrovende precontractuele en contractuele onderhandelingen om de specifieke behoeften van de klant te bepalen en daaropvolgende technische inspanningen om de dataverwerkingsdienst aan te passen en een oplossing op maat te bieden. Dit zijn diensten die niet kant-en-klaar worden aangeboden en die zijn afgestemd op de behoeften van een klant om een oplossing op maat te bieden waarbij de meeste functies en functionaliteiten van de dataverwerkingsdienst door de aanbieder zijn aangepast aan de specifieke behoeften van de klant, waarbij de meeste functies en functionaliteiten niet bruikbaar zouden zijn voor een klant zonder voorafgaande aanpassing door de aanbieder. Die diensten verschillen van de op maat ontwikkelde dataverwerkingsdiensten als bedoeld in artikel 31, lid 1, van Verordening (EU) 2023/2854. Op maat ontwikkelde dataverwerkingsdiensten zijn diensten waarvan de meeste hoofdkenmerken zijn aangepast om tegemoet te komen aan de specifieke behoeften van een individuele klant of waarbij die dataverwerkingsdiensten niet op brede commerciële schaal worden aangeboden via de dienstencatalogus van de aanbieder. Om extra kosten en administratieve lasten te vermijden in verband met de noodzaak om contracten die vóór of op 12 september 2025 zijn gesloten, openen te breken en opnieuw te onderhandelen, moet worden verduidelijkt dat, met uitzondering van de verplichting om de kosten voor overstappen en gegevensextractie te verlagen en uiteindelijk af te schaffen, diensten op maat die worden verleend overeenkomstig contracten die vóór of op 12 september 2025 zijn gesloten, niet binnen het toepassingsgebied van hoofdstuk VI van Verordening (EU) 2023/2854 mogen vallen.

(18)Om redenen die verband houden met financiële planning en het aantrekken van investeringen, kunnen aanbieders van dataverwerkingsdiensten, met name kleine en middelgrote ondernemingen en midcap-ondernemingen, de voorkeur geven aan contracten met een vaste looptijd en deze aanbieden. Er moet worden verduidelijkt dat aanbieders van dataverwerkingsdiensten in die overeenkomsten bepalingen kunnen opnemen over evenredige boeten voor vroegtijdige beëindiging, zolang deze geen belemmering vormen om over te stappen. Bovendien worden aanbieders van dataverwerkingsdiensten die kleine en middelgrote ondernemingen of midcap-ondernemingen zijn, bijzonder belast door de noodzaak om bestaande contracten voor de verlening van dataverwerkingsdiensten af te stemmen op Verordening (EU) 2023/2854. Daarom moet voor die aanbieders een specifieke regeling worden vastgesteld indien zij andere dataverwerkingsdiensten dan IaaS aanbieden op basis van contracten die vóór of op 12 september 2025 zijn gesloten. Rekening houdend met het doel van Verordening (EU) 2023/2854 om overstappen tussen dataverwerkingsdiensten mogelijk te maken en gezien het feit dat overstapkosten, met inbegrip van gegevensextractiekosten, een ernstige belemmering vormen voor overstappen, mogen de nieuwe lichtere regelingen voor dataverwerkingsdiensten die op maat zijn ontwikkeld of worden aangeboden door kleine en middelgrote ondernemingen of midcap-ondernemingen de geleidelijke intrekking van die kosten niet ondermijnen. Contractuele bepalingen die in strijd zijn met deze doelstelling, moeten worden geacht nooit te hebben bestaan indien zij zijn opgenomen in contractuele overeenkomsten inzake het verrichten van diensten die binnen het toepassingsgebied van deze twee nieuwe specifieke regelingen vallen.

(19)Bij Verordening (EU) 2018/1807 van het Europees Parlement en de Raad 32 is een belangrijk beginsel ingevoerd ter ondersteuning van de data-economie binnen de Unie, dat de vrijheid van vestiging en de vrijheid van dienstverrichting concreet ondersteunt. “Vrij verkeer van gegevens” in de Unie, verduidelijkt door het verbod op het opleggen van gegevenslokalisatie, blijft een fundamenteel beginsel dat rechtszekerheid biedt aan bedrijven, en moet worden behouden in Verordening (EU) 2023/2854. De bepaling laat de dataverwerking onverlet voor zover deze plaatsvindt in het kader van een activiteit die buiten het toepassingsgebied van het recht van de Unie valt, met name op het gebied van de nationale veiligheid, overeenkomstig artikel 4 van het Verdrag betreffende de Europese Unie. Tegelijkertijd worden andere bepalingen van Verordening (EU) 2018/1807 vervangen door recentere regels. Met name is in hoofdstuk VI van Verordening (EU) 2023/2854 een modern horizontaal rechtskader ingevoerd om het overstappen tussen dataverwerkingsdiensten aan te pakken en is artikel 6 van Verordening (EU) 2018/1807 praktisch achterhaald. Het naast elkaar bestaan van deze bepalingen heeft de juridische complexiteit voor bedrijven vergroot. Verordening (EU) 2018/1807 moet derhalve worden ingetrokken.

(20)Het begrip “openbare veiligheid” in de zin van artikel 52 VWEU en zoals uitgelegd door het Hof van Justitie omvat zowel de interne als de externe veiligheid van een lidstaat, alsmede vraagstukken in verband met de openbare veiligheid, met name om ruimte te bieden voor onderzoek, opsporing en vervolging van strafbare feiten. Het veronderstelt dat er sprake is van een reële en voldoende ernstige bedreiging voor een van de fundamentele belangen van de samenleving, zoals een bedreiging voor het functioneren van de instellingen en de essentiële openbare diensten en voor het overleven van de bevolking, het risico van een ernstige verstoring van de externe betrekkingen of van de vreedzame co-existentie van de volkeren, alsook de aantasting van militaire belangen. Overeenkomstig het evenredigheidsbeginsel moeten gegevenslokalisatievereisten die om redenen van openbare veiligheid gerechtvaardigd zijn, geschikt zijn om het nagestreefde doel te bereiken en mogen zij niet verder gaan dan wat nodig is om dat doel te bereiken.

(21)Zowel Richtlijn (EU) 2019/1024 als hoofdstuk II van Verordening (EU) 2022/868 regelen het hergebruik van overheidsinformatie voor innovatiedoeleinden. De wisselwerking tussen de twee reeksen regels heeft rechtsonzekerheid gecreëerd, voornamelijk voor overheidsinstanties. Een onderlinge aanpassing van de regels in één rechtsinstrument is derhalve noodzakelijk om meer juridische samenhang en zekerheid te brengen.

(22) Aangezien zowel Richtlijn (EU) 2019/1024 als Verordening (EU) 2022/868 tot doel hebben het hergebruik van overheidsinformatie te bevorderen, en om de regels vanuit het oogpunt van zowel overheidsinstanties als hergebruikers van overheidsinformatie te vereenvoudigen, is het rationeel om Richtlijn (EU) 2019/1024 en Verordening (EU) 2022/868 in te trekken en de twee regelingen op elkaar af te stemmen en de regels in één hoofdstuk in het kader van deze verordening te consolideren. Deze oplossing zal de harmonisatie van die regels in de hele Unie vergroten, de administratieve lasten in verband met de uitlegging en uitvoering van nationale wetgeving verminderen en het voor bedrijven gemakkelijker maken om grensoverschrijdende diensten en producten te ontwikkelen. Bij de aanwijzing van bevoegde autoriteiten moeten de lidstaten ervoor zorgen dat zelfs wanneer sectorspecifieke bevoegde autoriteiten worden aangewezen, alle relevante sectoren uiteindelijk worden bestreken. De wijzigingen in deze verordening mogen de uitlegging van de verschillende definities en termen niet wijzigen, tenzij duidelijk gespecificeerd.

(23)Gegevens en documenten die openbaar kunnen worden gemaakt voor hergebruik, en gegevens en documenten die worden beschermd op grond van het handelsgeheim, waaronder bedrijfs- of beroepsgeheim, statistische vertrouwelijkheid, de bescherming van intellectuele-eigendomsrechten van derden of de bescherming van persoonsgegevens, zijn vaak in het bezit van dezelfde overheidsinstanties. Daarom moeten de definities en gemeenschappelijke beginselen die van toepassing zijn op alle overheidsinformatie op elkaar worden afgestemd en moeten kwesties met betrekking tot de wisselwerking tussen de twee reeksen regels worden behandeld.

(24)De bestaande regels moeten worden gestroomlijnd om de duidelijkheid en consistentie te vergroten. Niettemin moeten de twee regelingen voor hergebruik verschillend blijven en moet het respectieve toepassingsgebied ervan afhankelijk blijven van de kenmerken van de gegevens of documenten en de context van het hergebruik ervan. Overheidsinstanties moeten waar mogelijk de opendataregeling toepassen. Alleen wanneer zij bepalen dat gegevens of een document informatie bevatten die overeenkomt met bepaalde categorieën beschermde gegevens, mogen zij de openbare beschikbaarheid ervan beperken en overwegen deze beschikbaar te stellen voor hergebruik als beschermde gegevens.

(25)Start-ups, kleine ondernemingen en ondernemingen die kunnen worden aangemerkt als middelgrote ondernemingen uit hoofde van artikel 2 van de bijlage bij Aanbeveling 2003/361/EG 33 en ondernemingen uit sectoren met minder ontwikkelde digitale mogelijkheden hebben moeite om gegevens en documenten te hergebruiken. Tegelijkertijd is een klein aantal zeer grote entiteiten ontstaan met niet alleen een aanzienlijke economische macht in de digitale economie door de accumulatie en de aggregatie van grote hoeveelheden gegevens, maar ook met de technologische infrastructuur om deze te gelde te maken. Tot die zeer grote ondernemingen behoren ondernemingen die kernplatformdiensten aanbieden en die zijn aangewezen als poortwachters uit hoofde van Verordening (EU) 2022/1925 van het Europees Parlement en de Raad 34 en die onderworpen zijn aan bijzondere verplichtingen om de onevenwichtigheden aan te pakken. Om deze onevenwichtigheden aan te pakken en de concurrentie en innovatie te versterken, moeten overheidsinstanties in licenties bijzondere voorwaarden kunnen opnemen met betrekking tot het hergebruik van gegevens en documenten door zeer grote ondernemingen. Dergelijke voorwaarden moeten evenredig en op objectieve criteria gebaseerd zijn, rekening houdend met de economische macht, het vermogen van de entiteit om gegevens te verkrijgen of de aanwijzing als poortwachter uit hoofde van Verordening (EU) 2022/1925, en in voorkomend geval andere zodanige criteria. Dergelijke bijzondere voorwaarden kunnen onder meer betrekking hebben op de kosten en vergoedingen of het doel van hergebruik.

(26)Om innovatie te bevorderen en eerlijke concurrentie op de digitale markt van de Unie in stand te houden, is het absoluut noodzakelijk ervoor te zorgen dat de toegang tot en het hergebruik van overheidsgegevens een breed scala van marktdeelnemers ten goede komen en bestaande machtsposities niet onbedoeld versterken. Zeer grote ondernemingen, en met name ondernemingen die uit hoofde van Verordening (EU) 2022/1925 als poortwachters zijn aangewezen, hebben aanzienlijke macht en invloed op de interne markt. Om te voorkomen dat dergelijke entiteiten hun substantiële middelen aanwenden ten nadele van eerlijke concurrentie en innovatie, moeten overheidsinstanties hogere tarieven en vergoedingen kunnen vaststellen voor het hergebruik van open overheidsgegevens en beschermde gegevens. Dergelijke hogere tarieven en vergoedingen moeten evenredig zijn en gebaseerd zijn op objectieve criteria, rekening houdend met de economische macht en het vermogen van de entiteit om gegevens te verkrijgen. Deze maatregel dient om kleinere bedrijven en nieuwkomers op de markt kansen te bieden om te innoveren en te concurreren in de digitale economie.

(27)In deze verordening wordt ter verduidelijking en vereenvoudiging een reeks gerichte wijzigingen van Verordening (EU) 2016/679 voorgesteld, met behoud van hetzelfde niveau van gegevensbescherming. Volgens artikel 4 van Verordening (EU) 2016/679 wordt onder persoonsgegevens verstaan iedere informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon. Om te bepalen of een natuurlijke persoon identificeerbaar is, moet rekening worden gehouden met alle middelen waarvan redelijkerwijs te verwachten valt dat zij door de verwerkingsverantwoordelijke of door een andere persoon zullen worden gebruikt om de natuurlijke persoon direct of indirect te identificeren. Rekening houdend met de bestaande rechtspraak van het Hof van Justitie van de Europese Unie betreffende de definitie van persoonsgegevens, moet meer duidelijkheid worden verschaft over de vraag wanneer een natuurlijke persoon als identificeerbaar moet worden beschouwd. Het bestaan van aanvullende informatie aan de hand waarvan het datasubject kan worden geïdentificeerd, betekent op zich niet dat gepseudonimiseerde gegevens in alle gevallen en voor elke persoon of entiteit moeten worden beschouwd als persoonsgegevens voor de toepassing van Verordening (EU) 2016/679. Met name moet worden verduidelijkt dat informatie voor een bepaalde entiteit niet als persoonsgegevens mag worden beschouwd indien die entiteit niet beschikt over middelen die redelijkerwijs kunnen worden gebruikt om de natuurlijke persoon op wie de informatie betrekking heeft, te identificeren. Een eventuele latere doorgifte van die informatie aan derden die over middelen beschikken die hen redelijkerwijs in staat stellen de natuurlijke persoon op wie de informatie betrekking heeft te identificeren, zoals kruiscontroles met andere gegevens waarover zij beschikken, maakt die informatie alleen persoonsgegevens voor die derden die over dergelijke middelen beschikken. Een entiteit waarvoor de informatie niet als persoonsgegevens wordt beschouwd, valt in beginsel niet binnen het toepassingsgebied van Verordening (EU) 2016/679. In dit verband heeft het Hof van Justitie van de Europese Unie geoordeeld dat het redelijkerwijs niet waarschijnlijk is dat een middel tot identificatie van de betrokkene wordt gebruikt wanneer het risico van identificatie in werkelijkheid onbeduidend lijkt, aangezien de identificatie van die betrokkene bij wet verboden of in de praktijk onmogelijk is, bijvoorbeeld omdat dit onevenredig veel tijd, kosten en arbeid met zich mee zou brengen. Een voorbeeld van een verbod op heridentificatie is te vinden in de verplichtingen van gebruikers van gezondheidsgegevens in artikel 61, lid 3, van Verordening (EU) 2025/327 van het Europees Parlement en de Raad 35 . De Commissie moet, samen met het Europees Comité voor gegevensbescherming, verwerkingsverantwoordelijken ondersteunen bij de toepassing van deze geactualiseerde definitie door technische criteria vast te stellen in een uitvoeringshandeling.

(28)Om te beoordelen of onderzoek voldoet aan de voorwaarden voor wetenschappelijk onderzoek voor de toepassing van deze verordening, kan rekening worden gehouden met elementen zoals de methodologische en systematische benadering die bij de uitvoering van het onderzoek op het specifieke gebied wordt toegepast. Onderzoek en technologische ontwikkeling moeten worden uitgevoerd in academische, industriële en andere omgevingen, met inbegrip van kleine en middelgrote ondernemingen (artikel 179, lid 2, VWEU), moeten altijd van hoge kwaliteit zijn en moeten voldoen aan de beginselen van betrouwbaarheid, eerlijkheid, respect en verantwoordingsplicht (verifieerbaarheid).

(29)Wel moet worden herhaald dat de verdere verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden, als een met de aanvankelijke doeleinden verenigbare rechtmatige verwerking moet worden beschouwd. In dergelijke gevallen hoeft op grond van artikel 6, lid 4, niet te worden nagegaan of het doel van de verdere verwerking verenigbaar is met het doel waarvoor de persoonsgegevens aanvankelijk zijn verzameld.

(30)Betrouwbare AI is van cruciaal belang voor economische groei en het ondersteunen van innovatie met maatschappelijk gunstige resultaten. De ontwikkeling en het gebruik van AI-systemen en de onderliggende modellen, zoals grote taalmodellen en generatieve videomodellen, zijn afhankelijk van gegevens, met inbegrip van persoonsgegevens, in verschillende fasen van de AI-levenscyclus, zoals de trainings-, test- en valideringsfase, en kunnen in sommige gevallen in het AI-systeem of het AI-model worden bewaard. De verwerking van persoonsgegevens in dit verband kan daarom in voorkomend geval worden uitgevoerd met het oog op een gerechtvaardigd belang in de zin van artikel 6 van Verordening (EU) 2016/679. Dit doet geen afbreuk aan de verplichting van de verwerkingsverantwoordelijke om ervoor te zorgen dat de ontwikkeling of het gebruik (de inzet) van AI in een specifieke context of voor specifieke doeleinden in overeenstemming is met ander Unierecht of nationaal recht, of om naleving te waarborgen wanneer het gebruik ervan bij wet uitdrukkelijk verboden is. Het doet evenmin afbreuk aan de verplichting om ervoor te zorgen dat aan alle andere voorwaarden van artikel 6, lid 1, punt f), van Verordening (EU) 2016/679 en aan alle andere vereisten en beginselen van die verordening wordt voldaan.

(31)Wanneer de verwerkingsverantwoordelijke, in het licht van de risicogebaseerde benadering die ten grondslag ligt aan de schaalbaarheid van de verplichtingen uit hoofde van deze verordening, een afweging maakt tussen het door de verwerkingsverantwoordelijke of een derde nagestreefde gerechtvaardigde belang en de belangen, rechten en vrijheden van de betrokkene, moet worden nagegaan of het door de verwerkingsverantwoordelijke nagestreefde belang gunstig is voor de betrokkene en de samenleving in het algemeen, wat bijvoorbeeld het geval kan zijn wanneer de verwerking van persoonsgegevens noodzakelijk is om vooringenomenheid te herkennen en weg te nemen, waardoor betrokkenen tegen discriminatie worden beschermd, of wanneer de verwerking van persoonsgegevens gericht is op het waarborgen van nauwkeurige en veilige resultaten voor een nuttig gebruik, bijvoorbeeld om de toegankelijkheid van bepaalde diensten te verbeteren. Er moet onder meer ook rekening worden gehouden met redelijke verwachtingen van de betrokkene op basis van zijn relatie met de verwerkingsverantwoordelijke, passende waarborgen om de gevolgen voor de rechten van betrokkenen, zoals het bieden van meer transparantie aan betrokkenen, het verlenen van een onvoorwaardelijk recht om bezwaar te maken tegen de verwerking van persoonsgegevens, tot een minimum te beperken, terwijl de technische aanwijzingen die zijn opgenomen in een dienst die het gebruik van gegevens voor de ontwikkeling van AI door derden beperkt, het gebruik van andere geavanceerde privacybeschermingstechnieken voor AI-training en passende technische maatregelen om de risico’s die bijvoorbeeld voortvloeien uit terugstroom van gegevens, inbreuken in verband met persoonsgegevens en andere beoogde of voorzienbare acties, doeltreffend te minimaliseren, worden geëerbiedigd.

(32)De verwerking van persoonsgegevens voor wetenschappelijk onderzoek en de toepassing van de bepalingen van de AVG inzake wetenschappelijk onderzoek zijn afhankelijk van de vaststelling van passende waarborgen voor de rechten en vrijheden van betrokkenen, overeenkomstig artikel 89, lid 1, AVG. Daartoe brengt de AVG het recht op bescherming van persoonsgegevens uit hoofde van artikel 8 van het Handvest van de grondrechten van de Europese Unie in evenwicht met de vrijheid van wetenschap uit hoofde van artikel 13 van het Handvest van de grondrechten van de Europese Unie. De verwerking van persoonsgegevens met het oog op wetenschappelijk onderzoek heeft derhalve een gerechtvaardigd belang in de zin van artikel 6, lid 1, punt f), van Verordening (EU) 2016/679, mits dat onderzoek niet in strijd is met het Unierecht of het lidstatelijke recht. Dit doet geen afbreuk aan de verplichting van de verwerkingsverantwoordelijke om ervoor te zorgen dat aan alle andere voorwaarden van artikel 6, lid 1, punt f), van Verordening (EU) 2016/679 en aan alle andere vereisten en beginselen van die verordening wordt voldaan.

(33)De ontwikkeling van bepaalde AI-systemen en AI-modellen kan gepaard gaan met het verzamelen van grote hoeveelheden gegevens, met inbegrip van persoonsgegevens en bijzondere categorieën persoonsgegevens. Bijzondere categorieën persoonsgegevens kunnen residueel aanwezig zijn in de gegevensreeksen voor het trainen, testen of valideren of worden bewaard in het AI-systeem of het AI-model, hoewel de bijzondere categorieën persoonsgegevens niet noodzakelijk zijn voor het doel van de verwerking. Om de ontwikkeling en werking van AI niet onevenredig te belemmeren en rekening houdend met de mogelijkheden van de verwerkingsverantwoordelijke om bijzondere categorieën persoonsgegevens te identificeren en te verwijderen, moet worden toegestaan dat wordt afgeweken van het verbod op de verwerking van bijzondere categorieën persoonsgegevens uit hoofde van artikel 9, lid 2, van Verordening (EU) 2016/679. De afwijking mag alleen van toepassing zijn wanneer de verwerkingsverantwoordelijke op doeltreffende wijze passende technische en organisatorische maatregelen heeft genomen om de verwerking van die gegevens te voorkomen, passende maatregelen neemt gedurende de gehele levenscyclus van een AI-systeem of AI-model en, nadat hij dergelijke gegevens heeft geïdentificeerd, deze op doeltreffende wijze verwijdert. Indien verwijdering onevenredige inspanningen zou vergen, met name wanneer de verwijdering van bijzondere categorieën in het AI-systeem of AI-model opgeslagen gegevens de re-engineering van het AI-systeem of AI-model zou vereisen, moet de verwerkingsverantwoordelijke dergelijke gegevens doeltreffend beschermen tegen gebruik om resultaten af te leiden, openbaar te maken of anderszins ter beschikking van derden te stellen. Deze afwijking mag niet van toepassing zijn wanneer de verwerking van bijzondere categorieën persoonsgegevens noodzakelijk is voor het doel van de verwerking. In dat geval moet de verwerkingsverantwoordelijke zich beroepen op de afwijkingen uit hoofde van artikel 9, lid 2, punten a) tot en met j), van Verordening (EU) 2016/679.

(34)Onder biometrische gegevens in de zin van artikel 4, punt 14, van Verordening (EU) 2016/679 wordt verstaan de verwerking van bepaalde kenmerken van een natuurlijke persoon met behulp van specifieke technische middelen die de unieke identificatie van die persoon mogelijk maakt of bevestigt. Het begrip biometrische gegevens omvat twee verschillende functies, namelijk de identificatie van een natuurlijke persoon of de verificatie (ook wel authenticatie genoemd) van zijn of haar beweerde identiteit, die beide op verschillende technische processen berusten. Het identificatieproces is gebaseerd op een “één-op-veel”-zoekopdracht van de biometrische gegevens van de betrokkene in een databank, terwijl het verificatieproces is gebaseerd op een “één-op-één”-vergelijking van door de betrokkene verstrekte biometrische gegevens, als onderbouwing van zijn of haar identiteit. Afwijkingen van het verbod op de verwerking van biometrische gegevens uit hoofde van artikel 9, lid 1, van de verordening moeten ook worden toegestaan wanneer de verificatie van de beweerde identiteit van de betrokkene noodzakelijk is voor een door de verwerkingsverantwoordelijke nagestreefd doel, en er passende waarborgen van toepassing zijn om de betrokkene in staat te stellen uitsluitende zeggenschap over het verificatieproces uit te oefenen. Wanneer de biometrische gegevens bijvoorbeeld uitsluitend aan de zijde van de betrokkene veilig worden opgeslagen of aan de zijde van de verwerkingsverantwoordelijke veilig worden opgeslagen in een geavanceerde versleutelde vorm en de cryptografische sleutel of gelijkwaardige middelen uitsluitend in het bezit zijn van de betrokkene, zal die verwerking waarschijnlijk geen aanzienlijke risico’s voor zijn grondrechten en fundamentele vrijheden met zich meebrengen. De verwerkingsverantwoordelijke verwerft geen kennis van de biometrische gegevens of slechts gedurende een zeer beperkte tijd tijdens het verificatieproces.

(35)In artikel 15 van Verordening (EU) 2016/679 wordt bepaald dat de betrokkene het recht heeft om van de verwerkingsverantwoordelijke uitsluitsel te krijgen over de al dan niet verwerking van hem betreffende persoonsgegevens en, wanneer dat het geval is, om die persoonsgegevens in te zien en om bepaalde informatie te verkrijgen. Het recht van toegang moet de betrokkene in staat stellen de rechtmatigheid van de verwerking te kennen en te verifiëren en hem of haar in staat stellen hun andere rechten uit hoofde van Verordening (EU) 2016/679 uit te oefenen. Daarentegen moet in artikel 12 van de verordening worden verduidelijkt dat het recht van toegang, dat van meet af aan gunstig is voor betrokkenen, niet mag worden misbruikt in die zin dat de betrokkenen er misbruik van maken voor andere doeleinden dan de bescherming van hun gegevens. Een dergelijk misbruik van het recht op toegang zou zich bijvoorbeeld voordoen wanneer de betrokkene van plan is de verwerkingsverantwoordelijke ertoe te brengen een verzoek om toegang te weigeren om vervolgens de betaling van een schadevergoeding te eisen, mogelijk onder dreiging van het instellen van een vordering tot schadevergoeding. Andere voorbeelden van misbruik zijn situaties waarin betrokkenen buitensporig gebruik maken van het recht op toegang met als enige doel de verwerkingsverantwoordelijke schade te berokkenen of wanneer een persoon een verzoek indient, maar tegelijkertijd aanbiedt het verzoek in te trekken in ruil voor een of ander voordeel van de verwerkingsverantwoordelijke. Om hun last redelijk te houden, moeten verwerkingsverantwoordelijken bovendien een lagere bewijslast dragen met betrekking tot het buitensporige karakter van een verzoek dan met betrekking tot het kennelijk ongegronde karakter van een verzoek. De reden hiervoor is dat het kennelijk ongegronde karakter van een verzoek afhangt van feiten die hoofdzakelijk onder de verantwoordelijkheid van de verwerkingsverantwoordelijke vallen, terwijl het buitensporige karakter van een verzoek betrekking heeft op mogelijk misbruik door een betrokkene, wat in de eerste plaats buiten de invloedssfeer van de verwerkingsverantwoordelijke ligt, zodat de verwerkingsverantwoordelijke dergelijk misbruik mogelijk slechts op een redelijk niveau kan bewijzen. Wanneer de betrokkene een verzoek om toegang indient op grond van artikel 15 van Verordening (EU) 2016/679, moet de betrokkene hoe dan ook zo specifiek mogelijk zijn. Te ruime en ongedifferentieerde verzoeken moeten ook als buitensporig worden beschouwd.

(36)Op grond van artikel 13 van Verordening (EU) 2016/679 moet de verwerkingsverantwoordelijke de betrokkene bepaalde informatie verstrekken over de verwerking van zijn of haar persoonsgegevens en bepaalde aanvullende informatie die nodig is om een eerlijke en transparante verwerking te waarborgen, zoals gedefinieerd in de leden 1, 2 en 3 van die bepaling. Volgens artikel 13, lid 4, van Verordening (EU) 2016/679, is die verplichting niet van toepassing indien en voor zover de betrokkene reeds over de informatie beschikt. Om de lasten voor de verwerkingsverantwoordelijken verder te verminderen, zonder afbreuk te doen aan de mogelijkheden van betrokkenen om hun rechten uit hoofde van hoofdstuk III van de verordening uit te oefenen, moet deze afwijking worden uitgebreid tot situaties waarin de verwerking waarschijnlijk geen hoog risico inhoudt in de zin van artikel 35 van de verordening, en er redelijke gronden zijn om aan te nemen dat de betrokkene reeds over de in lid 1, punten a) en c), bedoelde informatie beschikt in het licht van de context waarin de persoonsgegevens zijn verzameld, met name wat betreft de relatie tussen de betrokkenen en de verwerkingsverantwoordelijke. Dit moeten de situaties zijn waarin de context van de relatie tussen de verwerkingsverantwoordelijke en de betrokkene zeer duidelijk en afgebakend is en de activiteiten van de verwerkingsverantwoordelijke niet data-intensief zijn, zoals de relatie tussen een zelfstandige en zijn of haar klanten, waarbij het toepassingsgebied van de verwerking beperkt is tot de minimale gegevens die nodig zijn om de dienst te verrichten. De activiteit van de verwerkingsverantwoordelijke is niet data-intensief wanneer een kleine hoeveelheid persoonsgegevens wordt verzameld en de verwerkingen niet complex zijn, wat bijvoorbeeld niet het geval is op het gebied van werkgelegenheid. In dergelijke omstandigheden, dat wil zeggen wanneer de verwerking niet data-intensief en niet-complex is en wanneer de verwerkingsverantwoordelijke een geringe hoeveelheid persoonsgegevens verzamelt, moet redelijkerwijs kunnen worden verwacht dat de betrokkene bijvoorbeeld beschikt over de informatie over de identiteit en contactgegevens van de verwerkingsverantwoordelijke en over het doel van de verwerking wanneer die verwerking wordt uitgevoerd voor de uitvoering van een overeenkomst waarbij een betrokkene partij is, of wanneer de betrokkene zijn of haar toestemming voor die verwerking heeft gegeven, overeenkomstig de vereisten van Verordening (EU) 2016/679. Hetzelfde moet gelden voor verenigingen en sportclubs waar de verwerking van persoonsgegevens beperkt is tot het beheer van het lidmaatschap, de communicatie met de leden en de organisatie van activiteiten. Deze afwijking van de verplichtingen van artikel 13 doet echter geen afbreuk aan de onafhankelijke verplichtingen van de verwerkingsverantwoordelijke uit hoofde van artikel 15 van die verordening, die van toepassing zijn ingeval de betrokkene om toegang verzoekt op basis van laatstgenoemde bepaling. Wanneer de afwijking van de verplichtingen van artikel 13 niet van toepassing is, kunnen verwerkingsverantwoordelijken, om een evenwicht te vinden tussen de noodzaak van volledigheid en een gemakkelijk begrip door de betrokkene, bij het verstrekken van de vereiste informatie een gelaagde aanpak hanteren, met name door gebruikers in staat te stellen hun weg te vinden naar verdere informatie.

(37)Wanneer de verwerking plaatsvindt met het oog op wetenschappelijk onderzoek en de verstrekking van informatie aan de betrokkene onmogelijk blijkt of onevenredig veel inspanning zou vergen, is het niet nodig de in artikel 13 bedoelde informatie te verstrekken. De verwerkingsverantwoordelijke moet redelijke inspanningen leveren om contactgegevens te verkrijgen indien deze onmiddellijk beschikbaar zijn en de verkrijging ervan geen onevenredige inspanning vergt. Het verstrekken van de informatie vereist met name een onevenredige inspanning wanneer de verwerkingsverantwoordelijke op het moment van het verzamelen van de persoonsgegevens niet wist of kon verwachten dat in een later stadium persoonsgegevens zouden worden verwerkt voor wetenschappelijk onderzoek, in welk geval de contactgegevens van de betrokkenen mogelijk niet gemakkelijk beschikbaar zijn. In dergelijke situaties moet de verwerkingsverantwoordelijke de betrokkenen indirect informeren, bijvoorbeeld door de informatie openbaar te maken. De verstrekking van dergelijke informatie moet ervoor zorgen dat zoveel mogelijk betrokkenen worden bereikt. Afhankelijk van de context van het onderzoeksproject en de betrokkenen moeten relevante middelen worden vastgesteld om de informatie openbaar te maken.

(38)In artikel 22 van Verordening (EU) 2016/679 wordt in regels voorzien voor de verwerking van persoonsgegevens wanneer de verwerkingsverantwoordelijke uitsluitend op geautomatiseerde verwerking gebaseerde besluiten neemt die rechtsgevolgen of vergelijkbare aanzienlijke gevolgen voor de betrokkene hebben. Om meer rechtszekerheid te bieden, moet worden verduidelijkt dat besluiten die uitsluitend op geautomatiseerde verwerking zijn gebaseerd, zijn toegestaan wanneer aan specifieke voorwaarden is voldaan, zoals bepaald in Verordening (EU) 2016/679. Ook moet worden verduidelijkt dat bij de beoordeling of een besluit noodzakelijk is voor het sluiten of uitvoeren van een overeenkomst tussen de betrokkene en een verwerkingsverantwoordelijke, als bedoeld in artikel 22, lid 2, punt a), van Verordening (EU) 2016/679, niet mag worden vereist dat het besluit uitsluitend door middel van geautomatiseerde verwerking kan worden genomen. Dit betekent dat het feit dat het besluit ook door een mens kan worden genomen, de verwerkingsverantwoordelijke er niet van weerhoudt het besluit te nemen door uitsluitend geautomatiseerde verwerking. Wanneer er verschillende even doeltreffende geautomatiseerde verwerkingsoplossingen bestaan, moet de verwerkingsverantwoordelijke de minder ingrijpende daarvan gebruiken.

(39)Om de lasten voor verwerkingsverantwoordelijken te verminderen en er tegelijkertijd voor te zorgen dat de toezichthoudende autoriteiten toegang hebben tot de relevante informatie en kunnen optreden bij inbreuken op de verordening, moet de drempel voor het melden van een inbreuk in verband met persoonsgegevens aan de toezichthoudende autoriteit uit hoofde van artikel 33 van Verordening (EU) 2016/679 worden afgestemd op die van het melden van een inbreuk in verband met persoonsgegevens aan de betrokkene uit hoofde van artikel 34 van die verordening. In het geval van een inbreuk in verband met persoonsgegevens dat waarschijnlijk geen hoog risico voor de rechten en vrijheden van natuurlijke personen met zich meebrengt, mag van de verwerkingsverantwoordelijke niet worden verlangd dat deze de bevoegde toezichthoudende autoriteit daarvan in kennis stelt. De hogere drempel voor het melden van een inbreuk in verband met persoonsgegevens aan de toezichthoudende autoriteit doet geen afbreuk aan de verplichting van de verwerkingsverantwoordelijke om de inbreuk overeenkomstig artikel 33, lid 5, van Verordening (EU) 2016/679 te documenteren, noch aan de verplichting om te kunnen aantonen dat die verordening wordt nageleefd, overeenkomstig artikel 5, lid 2, van die verordening. Om de naleving door verwerkingsverantwoordelijken en een geharmoniseerde aanpak in de Unie te vergemakkelijken, moet het Comité voor gegevensbescherming een gemeenschappelijk model opstellen voor het melden van inbreuken in verband met persoonsgegevens aan de bevoegde toezichthoudende autoriteit en een gemeenschappelijke lijst van omstandigheden waarin een inbreuk in verband met persoonsgegevens waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van een natuurlijke persoon. De Commissie moet terdege rekening houden met het door het comité opgestelde voorstel en dit, indien nodig, vóór de vaststelling ervan herzien. Om rekening te houden met nieuwe bedreigingen voor de informatiebeveiliging moeten het gemeenschappelijke model en de lijst ten minste om de drie jaar worden herzien en zo nodig worden bijgewerkt. Het ontbreken van een gemeenschappelijke lijst van omstandigheden waarin een inbreuk in verband met persoonsgegevens waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van een natuurlijke persoon, mag geen afbreuk doen aan de verplichtingen van verwerkingsverantwoordelijken om die inbreuken te melden.

(40)Op grond van artikel 35 van Verordening (EU) 2016/679 moeten verwerkingsverantwoordelijken een gegevensbeschermingseffectbeoordeling uitvoeren wanneer de verwerking van persoonsgegevens waarschijnlijk een hoog risico voor de rechten en vrijheden van natuurlijke personen met zich meebrengt. De toezichthoudende autoriteiten die overeenkomstig die verordening zijn ingesteld, moeten een lijst opstellen en openbaar maken van de soorten verwerkingen waarvoor een gegevensbeschermingseffectbeoordeling vereist is. Volgens de verordening moeten de toezichthoudende autoriteiten ook een lijst opstellen en openbaar maken van de soorten verwerkingen waarvoor geen gegevensbeschermingseffectbeoordeling vereist is. Om doeltreffend bij te dragen tot de doelstelling van convergentie van de economieën en om het vrije verkeer van persoonsgegevens tussen de lidstaten doeltreffend te waarborgen, de rechtszekerheid te vergroten, de naleving door verwerkingsverantwoordelijken te vergemakkelijken en te zorgen voor een geharmoniseerde uitlegging van het begrip “hoog risico voor de rechten en vrijheden van betrokkenen”, moet op EU-niveau één enkele lijst van verwerkingen worden verstrekt ter vervanging van de bestaande nationale lijsten. Daarnaast moet de bekendmaking van een lijst van de soorten verwerkingen waarvoor geen gegevensbeschermingseffectbeoordeling vereist is, die momenteel facultatief is, verplicht worden gesteld. De lijsten van verwerkingen moeten door het comité worden opgesteld en door de Commissie als uitvoeringshandeling worden vastgesteld. Om de naleving door verwerkingsverantwoordelijken te vergemakkelijken, moet het comité ook een gemeenschappelijk model en een gemeenschappelijke methode opstellen voor het uitvoeren van gegevensbeschermingseffectbeoordelingen, die door de Commissie als uitvoeringshandeling moeten worden vastgesteld. De Commissie moet terdege rekening houden met het door het comité opgestelde voorstellen en die, indien nodig, vóór de vaststelling ervan herzien. Om rekening te houden met technologische ontwikkelingen moeten de lijsten en het gemeenschappelijke model en de gemeenschappelijke methode ten minste om de drie jaar worden herzien en zo nodig worden bijgewerkt.

(41)Verordening (EG) nr. 2018/1725 van het Europees Parlement en de Raad 36 is van toepassing op de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie. Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad 37 is van toepassing op de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen. Verordening (EU) 2018/1725 en Richtlijn (EU) 2016/680 moeten in overeenstemming worden gebracht met de bij deze verordening ingevoerde wijzigingen van Verordening (EU) 2016/679.

(42)Zoals verduidelijkt in overweging 5 van Verordening (EU) 2018/1725, moeten, telkens wanneer de bepalingen van Verordening (EU) 2018/1725 dezelfde beginselen volgen als de bepalingen van Verordening (EU) 2016/679, die twee reeksen bepalingen volgens de bestaande rechtspraak van het Hof van Justitie van de Europese Unie homogeen worden uitgelegd. De opzet van Verordening (EU) 2018/1725 moet worden opgevat als gelijkwaardig aan de opzet van Verordening (EU) 2016/679. Daarom worden bij deze verordening ook de bepalingen van Verordening (EU) 2018/1725 gewijzigd waarop de wijzigingen van Verordening (EU) 2016/679 betrekking hebben, voor zover laatstgenoemde wijzigingen ook relevant zijn in het kader van de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie.

(43)Om te zorgen voor een sterk en samenhangend kader voor gegevensbescherming in de Unie, moeten de nodige aanpassingen van Richtlijn (EU) 2016/680 en alle andere rechtshandelingen van de Unie die van toepassing zijn op een dergelijke verwerking van persoonsgegevens na de vaststelling van deze verordening volgen, zodat zij zo snel mogelijk na de inwerkingtreding van de wijzigingen van Verordening (EU) 2016/679 en Verordening (EU) 2018/1725 kunnen worden toegepast.

(44)Het opslaan van persoonsgegevens of het verkrijgen van toegang tot reeds op eindapparatuur opgeslagen persoonsgegevens en de daaropvolgende verwerking van dergelijke gegevens moeten worden geregeld in één enkel rechtskader, namelijk Verordening (EU) 2016/679, wanneer de abonnee van de elektronische-communicatiedienst of de gebruiker van de eindapparatuur een natuurlijke persoon is. De in deze verordening voorgestelde wijzigingen blijven het hoogste niveau van bescherming van persoonsgegevens bieden en vereenvoudigen tegelijkertijd de ervaringen van betrokkenen bij de uitoefening van hun rechten en het kenbaar maken van hun keuzes online. De wijzigingen hebben met name betrekking op de opslag van informatie op die apparatuur, de toegang tot of het anderszins verzamelen van informatie van die apparatuur die de verwerking van persoonsgegevens via cookies of soortgelijke technologieën met zich meebrengt om informatie uit de eindapparatuur te verkrijgen. De desbetreffende regels moeten ook van toepassing zijn ongeacht of de eindapparatuur eigendom is van de natuurlijke persoon of van een andere rechtspersoon of natuurlijke persoon.

Het opslaan van persoonsgegevens of het verkrijgen van toegang tot reeds opgeslagen persoonsgegevens op eindapparatuur mag alleen toegestaan blijven op basis van toestemming. Net als bij de aanpak in Richtlijn 2002/58/EG mag dit vereiste niet in de weg staan aan de opslag van persoonsgegevens of het verkrijgen van toegang tot reeds op de eindapparatuur van een natuurlijke persoon opgeslagen persoonsgegevens, wanneer dat gebaseerd is op Unierecht of lidstatelijk recht in de zin van artikel 6 van Verordening (EU) 2016/679 en indien het voldoet aan alle in die bepaling vastgestelde voorwaarden voor rechtmatigheid, en wordt gedaan voor de in artikel 23, lid 1, van Verordening (EU) 2016/679 vastgestelde doelstellingen.

Om de nalevingslasten te verminderen en de verwerkingsverantwoordelijken juridische duidelijkheid te verschaffen, en gezien het feit dat bepaalde verwerkingsdoeleinden een laag risico vormen voor de rechten en vrijheden van betrokkenen of dat een dergelijke verwerking noodzakelijk kan zijn om een door de betrokkene gevraagde dienst te verlenen, moet een limitatieve lijst worden vastgesteld van doeleinden waarvoor de verwerking zonder toestemming moet worden toegestaan. Met betrekking tot de opslag van persoonsgegevens of het verkrijgen van toegang tot reeds op eindapparatuur opgeslagen persoonsgegevens en de daaropvolgende verwerking die voor die doeleinden noodzakelijk is, moet in deze verordening daarom worden bepaald dat de verwerking rechtmatig is. De verwerkingsverantwoordelijke, zoals een aanbieder van mediadiensten, kan een verwerker, zoals een onderneming voor marktonderzoek, opdracht geven de verwerking namens die onderneming uit te voeren.

Voor de daaropvolgende verwerking van persoonsgegevens voor andere doeleinden dan die welke in de limitatieve lijst zijn gedefinieerd, moeten artikel 6 en, in voorkomend geval, artikel 9 van Verordening (EU) 2016/679 worden toegepast. Het is de verantwoordelijkheid van de verwerkingsverantwoordelijke om, in het licht van het beginsel van verantwoordelijkheid, de juiste rechtsgrondslag voor de beoogde verwerking te kiezen. Om een beroep te kunnen doen op een rechtmatig belang op grond van artikel 6, lid 1, punt f), van Verordening (EU) 2016/679 als grond voor de latere verwerking van persoonsgegevens, moet de verwerkingsverantwoordelijke aantonen dat het rechtmatige belang van de verwerkingsverantwoordelijke of van derden wordt nagestreefd, dat de verwerking noodzakelijk is om het doel van dat rechtmatige belang te bereiken en dat de belangen of grondrechten van de betrokkene niet zwaarder wegen dan de door de verwerkingsverantwoordelijke nagestreefde belangen. In dit verband moeten verwerkingsverantwoordelijken zoveel mogelijk rekening houden met de volgende elementen: of de betrokkene een kind is; de redelijke verwachtingen van de betrokkene; de gevolgen voor de betrokkene, hetzij vanwege de omvang van de verwerkte gegevens, hetzij vanwege de gevoeligheid van de verwerkte gegevens; de omvang van de betrokken verwerking, in die zin dat de verwerking niet bijzonder uitgebreid kan zijn, noch vanwege de hoeveelheid gegevens, noch vanwege de reeks gegevenscategorieën; de verwerking moet gebaseerd zijn op gegevens die beperkt blijven tot wat noodzakelijk is en mag niet gebaseerd zijn op de monitoring van grote delen van de onlineactiviteiten van de betrokkene; en andere relevante factoren, indien van toepassing. De verwerking mag geen aanleiding geven tot voortdurende monitoring van het privéleven van de betrokkene.

Wanneer de verwerkingsverantwoordelijke zich niet op een rechtmatig belang kan beroepen als rechtsgrond voor de daaropvolgende verwerking, moet de verwerking op een andere grond in artikel 6, lid 1, worden gebaseerd, met name op toestemming overeenkomstig de artikelen 6 en 7 van Verordening (EU) 2016/679, mits aan alle beginselen van Verordening (EU) 2016/679 is voldaan.

(45)Betrokkenen die een verzoek om toestemming hebben geweigerd, worden vaak elke keer wanneer zij de onlinedienst van dezelfde verwerkingsverantwoordelijke opnieuw bezoeken geconfronteerd met een nieuw verzoek om toestemming. Dit kan nadelige gevolgen hebben voor de betrokkenen, die besluit toestemming te geven puur en alleen om herhaalde verzoeken te voorkomen. De verwerkingsverantwoordelijke moet daarom worden verplicht de keuzes van de betrokkene om een verzoek om toestemming gedurende ten minste een bepaalde periode te weigeren, te eerbiedigen.

(46)Betrokkenen moeten de mogelijkheid hebben om te vertrouwen op geautomatiseerde en machinaal leesbare aanduidingen van hun keuze om ofwel toestemming te verlenen ofwel een verzoek om toestemming te weigeren ofwel bezwaar te maken tegen de verwerking van gegevens. Dergelijke middelen moeten de stand van de techniek volgen. Zij kunnen worden doorgevoerd in de instellingen van een webbrowser of in de EU-portemonnee voor digitale identiteit zoals uiteengezet in Verordening (EU) nr. 914/2014, of via een ander geschikt middel. De in deze verordening vastgestelde regels moeten de opkomst van marktgestuurde oplossingen met passende interfaces ondersteunen. De verwerkingsverantwoordelijke moet worden verplicht geautomatiseerde en machinaal leesbare aanduidingen van de keuzes van de betrokkene in acht te nemen wanneer er normen beschikbaar zijn. Gezien het belang van de onafhankelijke journalistiek in een democratische samenleving en om de economische basis daarvoor niet te ondermijnen, mogen aanbieders van mediadiensten niet worden verplicht de machinaal leesbare aanduidingen van de keuzes van betrokkenen te eerbiedigen. De verplichting voor aanbieders van webbrowsers om betrokkene de technische middelen te bieden om keuzes te maken met betrekking tot de verwerking mag de mogelijkheid voor aanbieders van mediadiensten om toestemming van betrokkenen te vragen, niet ondermijnen.

(47)Richtlijn 2002/58/EG betreffende privacy en elektronische communicatie (“e-privacyrichtlijn”), laatstelijk herzien in 2009, biedt een kader voor de bescherming van het recht op privacy, met inbegrip van de vertrouwelijkheid van communicatie. Hierin wordt ook Verordening (EU) 2016/679 gespecificeerd met betrekking tot de verwerking van persoonsgegevens in het kader van elektronische-communicatiediensten. Op deze wijze worden de privacy en de integriteit van de eindapparatuur van de gebruiker of abonnee die voor dergelijke communicatie wordt gebruikt, beschermd. De huidige bepaling van artikel 5, lid 3, van Richtlijn 2002/58/EG moet van toepassing blijven voor zover de abonnee of gebruiker geen natuurlijke persoon is en de opgeslagen of geraadpleegde informatie geen verwerking van persoonsgegevens vormt of daartoe leidt.

(48)Artikel 4 van Richtlijn 2002/58/EG moet derhalve worden ingetrokken. In artikel 4 van Richtlijn 2002/58/EG zijn vereisen vastgesteld voor aanbieders van openbare e-communicatiediensten met betrekking tot het waarborgen van de veiligheid van hun diensten en kennisgevingsvereisten. Vervolgens zijn in Richtlijn (EU) 2022/2555 nieuwe vereisten vastgesteld met betrekking tot maatregelen voor het beheer van cyberbeveiligingsrisico’s en de melding van incidenten voor die aanbieders. Om overlappende verplichtingen voor entiteiten in de sector elektronische communicatie te verminderen, moet artikel 4 van Richtlijn 2002/58/EG worden ingetrokken. Wat de beveiliging van de verwerking van persoonsgegevens overeenkomstig artikel 4, leden 1 en 1 bis, van deze richtlijn en de melding van inbreuken in verband met persoonsgegevens overeenkomstig artikel 4, leden 3 tot en met 5, van Richtlijn 2002/58/EG betreft, voorziet Verordening (EU) 2016/679 reeds in uitgebreide en actuele regels. Deze regels moeten daarom van toepassing zijn op aanbieders van openbare e-communicatiediensten en aanbieders van openbare communicatienetwerken, waarbij ervoor moet worden gezorgd dat één regeling van toepassing is op verwerkingsverantwoordelijken en verwerkers.

(49)Verschillende horizontale of sectorale rechtshandelingen van de Unie vereisen dat dezelfde gebeurtenis aan verschillende autoriteiten wordt gemeld met behulp van verschillende technische middelen en kanalen. Het centrale toegangspunt voor de melding van incidenten moet entiteiten in staat stellen te voldoen aan de rapportageverplichtingen uit hoofde van Richtlijn (EU) 2022/2555, Verordeningen (EU) 2016/679, (EU) 2022/2554 en (EU) nr. 910/2014 en Richtlijn (EU) 2022/2557, door kennisgevingen in te dienen via één interface. Voorts moet het centrale toegangspunt entiteiten de mogelijkheid bieden om informatie op te vragen die zij eerder via het centrale toegangspunt hebben ingediend, zodat entiteiten kunnen bijhouden of zij voldoen aan de rapportageverplichtingen in verband met specifieke incidenten.

(50)Om de veiligheid van het centrale toegangspunt te waarborgen, moet Enisa passende en evenredige technische, operationele en organisatorische maatregelen nemen om de risico’s voor de veiligheid van het centrale toegangspunt en de via het centrale toegangspunt ingediende of verspreide informatie te beheersen. Bij de beoordeling van de risico’s en de geschiktheid en evenredigheid van de maatregelen moet Enisa rekening houden met de gevoeligheid van de overeenkomstig de desbetreffende rechtshandelingen van de Unie ingediende of verspreide informatie. Enisa moet de bevoegde autoriteiten uit hoofde van de desbetreffende rechtshandelingen van de Unie raadplegen bij het opstellen van de technische, operationele en organisatorische maatregelen die nodig zijn voor de oprichting, het onderhoud en de veilige exploitatie van het centrale toegangspunt door gebruik te maken van de bestaande samenwerkingsgroepen en -netwerken van de lidstaten die uit hoofde van deze handelingen zijn opgericht.

(51)Alvorens de melding van incidenten mogelijk te maken, moet Enisa de werking van het centrale toegangspunt testen, met inbegrip van een grondige toetsing van de specifieke kenmerken en vereisten voor de kennisgevingen voor de desbetreffende rechtshandelingen van de Unie. Op basis van de resultaten van het proefproject moet de Commissie de goede werking, betrouwbaarheid, integriteit en vertrouwelijkheid van het centrale toegangspunt beoordelen. De Commissie moet het CSIRT-netwerk en de bevoegde autoriteiten uit hoofde van de desbetreffende rechtshandelingen van de Unie raadplegen door bij de uitvoering van de beoordeling gebruik te maken van bestaande samenwerkingsgroepen en -netwerken van de lidstaten die uit hoofde van deze handelingen zijn opgericht. Wanneer de Commissie van oordeel is dat het centrale toegangspunt de goede werking, betrouwbaarheid, integriteit en vertrouwelijkheid waarborgt, moet zij daartoe een bericht bekendmaken in het Publicatieblad van de Europese Unie. Indien de Commissie van oordeel is dat de goede werking, betrouwbaarheid, integriteit en vertrouwelijkheid niet zijn gewaarborgd, moet Enisa alle nodige corrigerende maatregelen nemen, gevolgd door een herbeoordeling door de Commissie.

(52)Om de continuïteit en interoperabiliteit met bestaande nationale technische oplossingen die de melding van incidenten vergemakkelijken, voor zover haalbaar, te waarborgen, moet Enisa bij de ontwikkeling van de specificaties voor de technische, operationele en organisatorische maatregelen die nodig zijn om het centrale toegangspunt op te zetten, te onderhouden en veilig te exploiteren, rekening houden met dergelijke nationale technische oplossingen. Voorts moet Enisa nadenken over technische protocollen en instrumenten zoals applicatieprogramma-interfaces en machinaal leesbare normen die entiteiten in staat stellen rapportageverplichtingen in bedrijfsprocessen te integreren, en autoriteiten om het centrale toegangspunt te koppelen aan hun nationale rapportagesystemen.

(53)Om ervoor te zorgen dat het centrale toegangspunt de relevante entiteiten in staat stelt het soort informatie in te dienen in het formaat dat op grond van de desbetreffende rechtshandelingen van de Unie vereist is, moet Enisa de Commissie en de bevoegde autoriteiten uit hoofde van die handelingen raadplegen. Wanneer een rechtshandeling van de Unie met betrekking tot het soort informatie en het formaat van kennisgevingen niet volledig is geharmoniseerd, moeten de lidstaten Enisa in kennis stellen van hun nationale bepalingen.

(54)Op basis van Verordening (EU) 2022/2554 heeft de financiële sector een voortrekkersrol gespeeld bij de uitvoering van een geharmoniseerd, alomvattend en doeltreffend kader, onder meer met betrekking tot de melding van incidenten. Om de naleving te vereenvoudigen, moet het bij Verordening (EU) 2022/2554 vastgestelde kader voor de melding van incidenten worden afgestemd op het centrale toegangspunt, waarbij tegelijkertijd de continuïteit en stabiliteit van het bestaande rapportagekader worden gewaarborgd en rekening worden gehouden met het feit dat het centrale toegangspunt operationeel wordt nadat is beoordeeld dat het de goede werking, betrouwbaarheid, integriteit en vertrouwelijkheid waarborgt. Voorts zijn bij Verordening (EU) 2022/2554 gestandaardiseerde rapportagemodellen ingevoerd om de inhoud van meldingen over ernstige ICT-gerelateerde incidenten voor de financiële sector te stroomlijnen. De ervaring die is opgedaan met de vaststelling van deze modellen biedt waardevolle inzichten en beste praktijken waarmee rekening moet worden gehouden bij het specificeren van het soort informatie, het formaat en de procedure van een kennisgeving met het oog op rapportage aan het centrale toegangspunt uit hoofde van Richtlijn (EU) 2022/2555, Richtlijn (EU) 2022/2557 of Verordening (EU) 2016/679, indien van toepassing. Daartoe moet de Commissie terdege rekening houden met de krachtens Verordening (EU) 2022/2554 vastgestelde technische reguleringsnormen, waarin de inhoud van de eerste kennisgeving en de tussentijdse en definitieve meldingen met betrekking tot ernstige ICT-gerelateerde incidenten worden gespecificeerd. Deze aanpak heeft tot doel consistentie te waarborgen, synergieën te bevorderen en de administratieve lasten voor entiteiten te verminderen door het aantal gegevensvelden dat entiteiten moeten invullen tot een minimum te beperken, waardoor efficiëntere en gestroomlijnde rapportageprocessen worden vergemakkelijkt.

(55)Krachtens de desbetreffende rechtshandelingen van de Unie moet bepaalde incidentspecifieke informatie in een later stadium tussen de bevoegde autoriteiten worden gedeeld om doeltreffend toezicht en doeltreffende coördinatie te vergemakkelijken. Daarom moet het centrale toegangspunt zo worden ontworpen dat de uitwisseling van informatie op dat niveau voor elke relevante rechtshandeling van de Unie mogelijk wordt gemaakt en ondersteund, waarbij ervoor moet worden gezorgd dat geschikte gegevens op een veilige, tijdige en efficiënte manier tussen autoriteiten kunnen worden uitgewisseld indien de lidstaten besluiten gebruik te maken van dit aanvullende kenmerk.

(56)Om ervoor te zorgen dat incidenten worden gemeld via het centrale toegangspunt, moeten Richtlijn (EU) 2022/2555, Verordening (EU) 2016/679, Verordening (EU) 2022/2554, Verordening (EU) 910/2014 en Richtlijn (EU) 2022/2557 daarom dienovereenkomstig worden gewijzigd. Het centrale toegangspunt moet binnen 18 maanden na de inwerkingtreding van deze verordening worden gebruikt voor de rapportage uit hoofde van die handelingen. Wanneer de Commissie de mechanismen van de kennisgeving van vertraging initieert waarbij de toepassingsdatum wordt uitgesteld tot 24 maanden na de inwerkingtreding van de verordening, moeten de overeenkomstige bepalingen van Richtlijn (EU) 2022/2555, Verordening (EU) 910/2014, Verordening (EU) 2022/2554 en Richtlijn (EU) 2022/2557 van toepassing blijven om aan de in die bepalingen vastgestelde rapportageverplichtingen te voldoen.

(57)In het uitzonderlijke geval dat een technische onmogelijkheid de indiening van meldingen van incidenten via het centrale toegangspunt verhindert, moeten entiteiten via alternatieve middelen aan hun rapportageverplichtingen voldoen. Daartoe moeten de adressaten van meldingen van incidenten uit hoofde van de desbetreffende rechtshandelingen van de Unie ervoor zorgen dat zij dergelijke meldingen van incidenten via alternatieve middelen kunnen ontvangen en moeten zij informatie over die alternatieve middelen openbaar maken.

(58)Overeenkomstig artikel 42, lid 1, van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad 38 is de Europese Toezichthouder voor gegevensbescherming geraadpleegd, en op [datum] heeft deze een advies uitgebracht. De Europese Toezichthouder voor gegevensbescherming is overeenkomstig artikel 42, lid 2, van Verordening (EU) 2018/1725 geraadpleegd en heeft op [datum] een advies uitgebracht,

(59)Bij Verordening (EU) nr. 2019/1150 wordt op het niveau van de Unie een gerichte reeks bindende regels vastgesteld om een eerlijk, voorspelbaar, duurzaam en betrouwbaar online ondernemingsklimaat binnen de interne markt te waarborgen. Verordening (EU) 2022/2065 en Verordening (EU) 2022/1925 bieden een alomvattend regelgevingskader voor een veilige, voorspelbare en betrouwbare onlineomgeving voor alle eindgebruikers van onlinediensten en zorgen voor een gelijk speelveld voor ondernemingen die op digitale markten actief zijn. Met het oog op de vereenvoudiging van de wetgeving van de Unie op het gebied van onlinetussenhandelsdiensten en onlineplatformen, en gezien het feit dat de doelstellingen en materiële bepalingen van de P2B-verordening grotendeels onder de digitaledienstenverordening en de digitalemarktenverordening vallen, moet Verordening (EU) 2019/1050 worden ingetrokken. Verordening (EU) 2022/2065 en Verordening (EU) 2022/1925 dragen bij tot een volledig geharmoniseerd regelgevingskader voor digitale diensten en digitale markten door de nationale maatregelen betreffende de vereisten voor aanbieders van tussenhandelsdiensten en de betwistbaarheid en de billijkheid van door poortwachters aangeboden kernplatformdiensten onderling aan te passen. Met het oog op de rechtszekerheid blijven de in artikel 2 geselecteerde definities, de bepalingen inzake beperkingen en opschortingen in artikel 4 en inzake het interne klachtenafhandelingssysteem in artikel 11 van Verordening (EU) 2019/1150 waarnaar in andere rechtshandelingen wordt verwezen, met name Richtlijn (EU) 2023/2831 betreffende de verbetering van de arbeidsvoorwaarden bij platformwerk en artikel 15 ter waarborging van de handhaving, tijdelijk van toepassing totdat de oorspronkelijke handelingen worden gewijzigd.

(60)Gezien de technische aard van de in deze verordening voorgestelde wijzigingen en de urgentie om een vereenvoudigd rechtskader tot stand te brengen, moet deze verordening onmiddellijk na de bekendmaking ervan in het Publicatieblad van de Europese Unie in werking treden. In voorkomend geval moet de lidstaten en de gereglementeerde entiteiten een overgangsperiode worden geboden om zich aan de regels aan te passen.

HEBBEN DE VOLGENDE VERORDENING VASTGESTELD:

Artikel 1

Wijzigingen van Verordening (EU) 2023/2854

Verordening (EU) 2023/2854 wordt als volgt gewijzigd:

1.Artikel 1 wordt als volgt gewijzigd:

(a)in lid 1 worden de volgende punten ingevoegd:

“e bis) vrijwillige registratie van databemiddelingsdiensten;

e ter) een kader voor vrijwillige registratie van entiteiten die voor altruïstische doeleinden beschikbaar gestelde gegevens verzamelen en verwerken;

e quater) een kader voor de oprichting van een Europees Comité voor gegevensinnovatie;

e quinquies) vereisten voor gegevenslokalisatie en de beschikbaarheid van gegevens voor de bevoegde autoriteiten;

e sexies) het hergebruik van bepaalde gegevens en documenten die in het bezit zijn van overheidsinstanties of bepaalde overheidsbedrijven, en van onderzoeksgegevens;”;

(b)aan lid 2 worden de volgende punten toegevoegd:

“g) hoofdstuk VII bis is van toepassing op persoonsgegevens en niet-persoonsgebonden gegevens;

h) hoofdstuk VII ter is van toepassing op alle niet-persoonsgebonden gegevens;

i) hoofdstuk VII quater is van toepassing op persoonsgegevens en niet-persoonsgebonden gegevens, namelijk:

i) documenten die in het bezit zijn van overheidsinstanties van de lidstaten, zoals bedoeld

1)in artikel 32 decies, lid 1, punt a), of door overheidsbedrijven als bedoeld

2)in artikel 32 decies, lid 1, punt b);

ii) onderzoeksgegevens als bedoeld in artikel 32 decies, lid 1, punt c);

iii) bepaalde categorieën beschermde gegevens als bedoeld in artikel 32 decies, lid 1, punt a).”;

(c)in lid 3 wordt punt g) vervangen door:

“g) deelnemers aan dataruimten.”;

(d)lid 7 wordt geschrapt;

(e)de volgende leden 11, 12 en 13 worden toegevoegd:

“11. Hoofdstuk VII ter van deze richtlijn onverminderd de wettelijke en bestuursrechtelijke bepalingen die verband houden met de interne organisatie van de lidstaten en die bevoegdheden en verantwoordelijkheden op het gebied van gegevensverwerking onder overheden en publiekrechtelijke instellingen verdelen zonder contractuele vergoeding van prestaties van particuliere partijen, en onverminderd de wettelijke en bestuursrechtelijke bepalingen van de lidstaten die voorzien in de uitvoering van die bevoegdheden en verantwoordelijkheden.

12. Indien sectorspecifiek Unierecht of nationaal recht vereist dat overheidsinstanties, aanbieders van databemiddelingsdiensten of erkende organisaties voor data-altruïsme moeten voldoen aan specifieke aanvullende technische, administratieve of organisatorische vereisten met betrekking tot de hoofdstukken VII bis en VII ter, onder meer via een vergunnings- of certificeringsregeling, zijn die bepalingen van dat sectorspecifieke Unierecht of nationale recht eveneens van toepassing. Dergelijke specifieke aanvullende vereisten zijn niet-discriminerend, evenredig en objectief gerechtvaardigd.

13. Met betrekking tot gegevens en documenten die binnen het toepassingsgebied van hoofdstuk VII quater, afdeling II, vallen, doet hoofdstuk VII quater van deze verordening geen afbreuk aan de mogelijkheid voor de lidstaten om meer gedetailleerde of strengere regels vast te stellen, mits die regels een ruimer hergebruik van gegevens en documenten mogelijk maken.”;

2.Artikel 2 wordt als volgt gewijzigd:

(a)de volgende punten 4 bis, 4 ter en 4 quater worden ingevoegd:

“4 bis. “persoonsgegevens”: persoonsgegevens als gedefinieerd in artikel 4, punt 11, van Verordening (EU) 2016/679;

4 ter. “toelating”: gegevensgebruikers het recht geven om niet-persoonsgebonden gegevens te verwerken;

4 quater. “toegang”: gegevensgebruik, overeenkomstig specifieke technische, juridische of organisatorische voorschriften, zonder dat dat noodzakelijkerwijs gepaard gaat met het doorgeven of downloaden van gegevens;”;

(b)punt 13) wordt vervangen door:

“13. “gegevenshouder”: een natuurlijke of rechtspersoon die overeenkomstig deze verordening, het toepasselijke Unierecht of het overeenkomstig het Unierecht vastgestelde nationale recht, het recht of de verplichting heeft gegevens te gebruiken of ter beschikking te stellen, waaronder — in gevallen waar dat contractueel is overeengekomen — productgegevens of gegevens van een gerelateerde dienst die deze natuurlijke of rechtspersoon heeft opgevraagd of gegenereerd tijdens de verlening van een gerelateerde dienst;”; 

(c)de volgende punten 28 bis en 28 ter worden ingevoegd:

“28 bis. “publiekrechtelijke instellingen”: instellingen die voldoen aan alle volgende kenmerken:

a)zij zijn opgericht voor het specifieke doel te voorzien in andere behoeften van algemeen belang dan die van industriële of commerciële aard;

b)zij bezitten rechtspersoonlijkheid;

c)zij worden merendeels door de nationale, regionale of lokale overheidsinstanties of andere publiekrechtelijke instellingen gefinancierd; of hun beheer staat onder toezicht van deze instanties of instellingen; of zij hebben een bestuurs-, leidinggevend of toezichthoudend orgaan waarvan de leden voor meer dan de helft door de staat, de regionale of lokale overheidsinstanties of andere publiekrechtelijke instellingen zijn aangewezen;

28 ter. “overheidsonderneming”: elke onderneming waarover overheidsinstanties direct of indirect een overheersende invloed kunnen uitoefenen op basis van eigendom van of financiële deelneming in die onderneming, of de regels die op die onderneming van toepassing zijn. Er wordt uitgegaan van een overheersende invloed van de openbare lichamen in elk van de volgende gevallen waarin die lichamen, direct of indirect: 

a)de meerderheid van het geplaatste kapitaal van de onderneming bezitten;

b)over de meerderheid van de stemrechten verbonden aan de door de onderneming uitgegeven aandelen beschikken;

c)meer dan de helft van de leden van het bestuurs-, het leidinggevend of het toezichthoudend orgaan van de onderneming kunnen aanwijzen;”;

(d)de volgende punten 38 bis) en 38 ter) worden ingevoegd:

“38 bis. “databemiddelingsdienst”: een dienst die gericht is op het tot stand brengen van relaties met een economisch karakter met het oog op het delen van gegevens tussen een onbepaald aantal datasubjecten en gegevenshouders enerzijds en gegevensgebruikers anderzijds, door middel van technische, juridische of andere middelen, onder meer voor de uitoefening van de rechten van datasubjecten met betrekking tot persoonsgegevens, en die:

1) niet als hoofddoel hebben de bemiddeling van auteursrechtelijk beschermde inhoud;

2)niet gezamenlijk door meerdere rechtspersonen worden verworven voor het exclusieve gebruik onderling;

38 ter. “data-altruïsme”: het vrijwillig delen van gegevens op basis van de toestemming van datasubjecten om persoonsgegevens die op hen betrekking hebben te verwerken, of op basis van de toelating van gegevenshouders om hun niet-persoonsgebonden gegevens te gebruiken zonder een vergoeding te vragen of te ontvangen die verder gaat dan vergoeding van de kosten die zij maken indien zij hun gegevens beschikbaar stellen voor doeleinden van algemeen belang zoals in voorkomend geval bepaald in het nationale recht, zoals gezondheidszorg, de strijd tegen klimaatverandering, verbetering van mobiliteit, facilitering van de ontwikkeling, productie en verspreiding van officiële statistieken, verbetering van openbare diensten, openbare besluitvorming of wetenschappelijk onderzoek in het algemeen belang;”

(e)de volgende punten 44 tot en met 63 worden toegevoegd:

“44. “middelgrote onderneming”: een middelgrote onderneming zoals gedefinieerd in artikel 2 van bijlage I bij Aanbeveling 2003/361/EG;

45. “kleine midcap”: een kleine midcap-onderneming als omschreven in artikel 2 van de bijlage bij Aanbeveling (EU) 2025/1099 van de Commissie;

46. “universiteit”: een openbaar lichaam dat postsecundair hoger onderwijs verstrekt dat tot een academische graad leidt;

47. “standaardlicentie”: een reeks vooraf bepaalde voorwaarden voor hergebruik, in een digitaal formaat, bij voorkeur verenigbaar met gestandaardiseerde openbare licenties die online beschikbaar zijn;

48. “document”:

a) alle inhoud die niet-digitaal is, ongeacht het medium (op papier of als geluids-, beeld- of audiovisuele opname); of

b) eender welk deel van een dergelijke inhoud;

50. “dynamische gegevens”: gegevens en documenten in digitale vorm die frequent of in real time worden geactualiseerd, met name wegens hun volatiliteit of omdat ze snel verouderd-zijn; gegevens die door sensoren zijn gegenereerd, worden doorgaans als dynamische gegevens beschouwd; gegevens die door sensoren zijn gegenereerd, worden doorgaans als dynamische gegevens beschouwd;

51. “onderzoeksgegevens”: andere gegevens dan wetenschappelijke publicaties, die worden verzameld of geproduceerd tijdens wetenschappelijke onderzoeksactiviteiten en die als bewijs in het onderzoeksproces worden gebruikt, of waarvan binnen de onderzoeksgemeenschap algemeen wordt erkend dat ze noodzakelijk zijn om onderzoeksresultaten te valideren;

52. “hergebruik”: het gebruik door natuurlijke personen of rechtspersonen van documenten die in het bezit zijn van:

a)overheidsinstanties voor andere commerciële of niet-commerciële doeleinden dan het oorspronkelijk doel binnen de publieke taak waarvoor de documenten zijn geproduceerd, met uitzondering van de uitwisseling van documenten tussen overheidsinstanties uitsluitend met het oog op de vervulling van hun openbare taken; of

b)overheidsondernemingen, krachtens hoofdstuk VII quater, afdeling 2, voor andere commerciële of niet-commerciële doeleinden dan het oorspronkelijk doel van dienstverlening in het algemeen belang waarvoor de documenten zijn geproduceerd, met uitzondering van de uitwisseling van documenten tussen overheidsondernemingen en overheidsinstanties uitsluitend met het oog op de vervulling van de openbare taken van overheidsinstanties;

53. “hoogwaardige datasets”: gegevens en documenten waarvan het hergebruik belangrijke voordelen biedt voor de samenleving, het milieu en de economie, met name vanwege hun geschiktheid voor het ontwikkelen van diensten met toegevoegde waarde en van toepassingen, en voor het scheppen van nieuwe, hoogwaardige en fatsoenlijke banen, en vanwege het aantal potentiële begunstigden van op basis van die gegevens en documenten ontwikkelde diensten of toepassingen met toegevoegde waarde;

54. “bepaalde categorieën beschermde gegevens”: gegevens en documenten die in het bezit zijn van overheidsinstanties en die worden beschermd op grond van:

a)het handelsgeheim, waaronder bedrijfs- of beroepsgeheim;

b)statistisch geheim;

c)de bescherming van de intellectuele-eigendomsrechten van derden; of

d)de bescherming van persoonsgegevens, voor zover die gegevens buiten het toepassingsgebied van hoofdstuk VII quater, afdeling 2, vallen;

56. “beveiligde verwerkingsomgeving”: de fysieke of virtuele omgeving en organisatorische middelen om te zorgen voor de naleving van het Unierecht, met name wat betreft de rechten van datasubjecten, intellectuele-eigendomsrechten, en handels- en statistisch geheim, integriteit en toegankelijkheid, alsook van het toepasselijke nationale recht, en om de entiteit die de beveiligde verwerkingsomgeving biedt in staat te stellen alle gegevensverwerkingsactiviteiten te bepalen en er toezicht op te houden, met inbegrip van het tonen, opslaan, downloaden en exporteren van gegevens en het berekenen van afgeleide gegevens door middel van computeralgoritmen;

57. “hergebruiker”: een natuurlijke persoon of rechtspersoon aan wie op grond van hoofdstuk VII quater het recht is verleend om gegevens of documenten die in het bezit zijn van een overheidsinstantie of een overheidsonderneming te hergebruiken of om gegevens of bepaalde categorieën beschermde gegevens te onderzoeken;

58. “machinaal leesbaar formaat”: een bestandsformaat dat zodanig is gestructureerd dat softwaretoepassingen specifieke gegevens, met inbegrip van individuele feitenbeschrijvingen, en hun interne structuur gemakkelijk kunnen identificeren, herkennen en extraheren;

59. “open formaat”: een bestandsformaat dat platformonafhankelijk is en voor het publiek beschikbaar is zonder enige beperking die het hergebruik van documenten belemmert;

60. “formele open standaard”: een standaard die schriftelijk is vastgesteld, met vermelding van specificaties voor de vereisten betreffende de wijze waarop de interoperabiliteit van de software moet worden gegarandeerd;

61. “redelijk rendement op investeringen”: een percentage van het totale tarief, boven op de kosten die mogen worden doorberekend, dat maximaal 5 procentpunten hoger ligt dan de vaste rente van de ECB;

62. “gegevenslokalisatievereiste”: elke verplichting, verbodsbepaling, voorwaarde, beperking die of ander vereiste dat is vastgelegd in de wettelijke en bestuursrechtelijke bepalingen van een lidstaat of voortvloeit uit een algemene en vaste publiekrechtelijke praktijk in een lidstaat en binnen publiekrechtelijke instellingen, ook op het gebied van overheidsopdrachten, onverminderd Richtlijn 2014/24/EU, die gegevensverwerking op het grondgebied van een welbepaalde lidstaat verplicht stelt of die gegevensverwerking in een andere lidstaat belemmert;

63. “pseudonimisering”: pseudonimisering als bedoeld in artikel 4, punt 5, van Verordening (EU) 2016/679.”;

3.In artikel 4 wordt lid 8 vervangen door:

“8. In uitzonderlijke omstandigheden, wanneer de gegevenshouder die een houder van een bedrijfsgeheim is, kan aantonen, ondanks de technische en organisatorische maatregelen die de gebruiker overeenkomstig lid 6 heeft genomen, zeer waarschijnlijk ernstige economische schade te zullen lijden als gevolg van de openbaarmaking van bedrijfsgeheimen of dat de openbaarmaking van bedrijfsgeheimen aan de gebruiker een hoog risico vormt op onrechtmatige verwerving, onrechtmatig gebruik of openbaarmaking aan entiteiten uit derde landen, of entiteiten die in de Unie zijn gevestigd onder de directe of indirecte zeggenschap van dergelijke entiteiten, die onderworpen zijn aan rechtsgebieden die een zwakkere of niet-gelijkwaardige bescherming bieden dan die uit hoofde van het Unierecht, kan die gegevenshouder per geval een verzoek om toegang tot de specifieke gegevens in kwestie weigeren. Dit wordt naar behoren onderbouwd op basis van objectieve elementen, zoals de afdwingbaarheid van de bescherming van bedrijfsgeheimen in derde landen, de aard en het niveau van vertrouwelijkheid van de gevraagde gegevens, en de mate waarin het om een uniek en nieuw verbonden product gaat. Deze motivering wordt onverwijld schriftelijk aan de gebruiker verstrekt. Indien de gegevenshouder weigert gegevens te delen overeenkomstig dit lid, stelt hij de op grond van artikel 37 aangewezen bevoegde autoriteit daarvan in kennis.”;

4.In artikel 5 wordt lid 11 vervangen door:

“11. In uitzonderlijke omstandigheden, wanneer de gegevenshouder die een houder van een bedrijfsgeheim is, kan aantonen dat hij, ondanks de technische en organisatorische maatregelen die de derde overeenkomstig lid 9 heeft genomen, zeer waarschijnlijk ernstige economische schade zal lijden als gevolg van de openbaarmaking van bedrijfsgeheimen of dat de openbaarmaking van bedrijfsgeheimen aan de derde een hoog risico vormt op onrechtmatige verwerving, gebruik of openbaarmaking aan entiteiten uit derde landen, of aan entiteiten die in de Unie zijn gevestigd en onder de directe of indirecte zeggenschap staan van dergelijke entiteiten die onderworpen zijn aan rechtsgebieden die een zwakkere of niet-gelijkwaardige bescherming bieden dan die uit hoofde van het Unierecht, kan die gegevenshouder per geval een verzoek om toegang tot de specifieke gegevens in kwestie weigeren. Dit wordt naar behoren onderbouwd op basis van objectieve elementen, zoals de afdwingbaarheid van de bescherming van bedrijfsgeheimen in derde landen, de aard en het niveau van vertrouwelijkheid van de gevraagde gegevens, en de mate waarin het om een uniek en nieuw verbonden product gaat. Deze motivering wordt onverwijld schriftelijk aan de derde verstrekt. Indien de gegevenshouder weigert gegevens te delen overeenkomstig dit lid, stelt hij de op grond van artikel 37 aangewezen bevoegde autoriteit daarvan in kennis.”;

5.De titel van hoofdstuk V wordt vervangen door:

“GEGEVENS BESCHIKBAAR STELLEN AAN OVERHEIDSINSTANTIES, DE COMMISSIE, DE EUROPESE CENTRALE BANK EN ORGANEN VAN DE UNIE OP GROND VAN EEN ALGEMENE NOODSITUATIE”;

6.De artikelen 14 en 15 worden geschrapt;

7.Het volgende artikel 15 bis wordt ingevoegd:

“Artikel 15 bis

Verplichting voor gegevenshouders om gegevens beschikbaar te stellen op grond van een algemene noodsituatie

1.Wanneer een overheidsinstantie, de Commissie, de Europese Centrale Bank of een orgaan van de Unie aantoont dat het uitzonderlijk noodzakelijk is bepaalde gegevens te gebruiken om haar wettelijke taken in het algemeen belang uit te voeren bij het reageren op, het beperken van of het ondersteunen van herstelmaatregelen na een algemene noodsituatie, kunnen zij gegevenshouders die rechtspersonen zijn, met uitzondering van overheidsinstanties, verzoeken die gegevens beschikbaar te stellen, met inbegrip van de metagegevens die nodig zijn om die gegevens uit te leggen en te gebruiken. Op een dergelijk naar behoren met redenen omkleed verzoek stellen gegevenshouders de gegevens en metagegevens ter beschikking van de verzoekende overheidsinstantie, de Commissie, de Europese Centrale Bank of het orgaan van de Unie. Dergelijke verzoeken kunnen ook worden gedaan wanneer de productie van officiële statistieken vereist is in verband met een algemene noodsituatie.

2.Indien de gevraagde gegevens noodzakelijk zijn om te reageren op een algemene noodsituatie en de verzoekende instantie overeenkomstig lid 1 niet in staat is dergelijke gegevens tijdig en doeltreffend en onder gelijkwaardige voorwaarden op andere wijze te verkrijgen, heeft het verzoek betrekking op niet-persoonsgebonden gegevens. Wanneer de verstrekking van niet-persoonsgebonden gegevens ontoereikend is om de algemene noodsituatie aan te pakken, kunnen ook persoonsgegevens worden opgevraagd en, waar mogelijk, in gepseudonimiseerde vorm ter beschikking worden gesteld, mits passende technische en organisatorische maatregelen worden genomen om de bescherming ervan te waarborgen.

3.Wanneer de gevraagde gegevens noodzakelijk zijn om herstelmaatregelen na een algemene noodsituatie te beperken of te ondersteunen, kan een verzoekende instantie op grond van lid 1 die handelt op grond van het Unierecht of het nationale recht, om specifieke niet-persoonsgebonden gegevens verzoeken als het ontbreken ervan het beperken of ondersteunen van de herstelmaatregelen na een algemene noodsituatie belet. Dergelijke verzoeken worden niet gedaan aan micro-ondernemingen en kleine ondernemingen.”;

8.In artikel 16 wordt lid 2 vervangen door:

“2. Dit hoofdstuk is niet van toepassing op de activiteiten van overheidsinstanties, de Commissie, de Europese Centrale Bank of organen van de Unie met het oog op het voorkomen, onderzoeken, opsporen en vervolgen van strafrechtelijke of administratieve inbreuken of de tenuitvoerlegging van straffen, noch op de douane- of belastingadministratie. Dit hoofdstuk doet geen afbreuk aan het Unierecht of het nationale recht dat op dergelijke activiteiten van toepassing is.”

9.Artikel 17 wordt als volgt gewijzigd:

a)    lid 1 wordt als volgt gewijzigd:

i) de inleidende zin wordt vervangen door:

“Wanneer een overheidsinstantie, de Commissie, de Europese Centrale Bank of een orgaan van de Unie om gegevens overeenkomstig artikel 15 bis, verzoeken:”;

ii) de punten b) en c) worden vervangen door:

“b) tonen zij aan dat aan de voorwaarden voor het indienen van een verzoek uit hoofde van artikel 15 bis is voldaan;

c) geven zij een toelichting op het doel van het verzoek, het beoogde gebruik van de gevraagde gegevens, ook indien een derde in voorkomend geval overeenkomstig lid 4 daarom heeft verzocht, de duur van dat gebruik en, in voorkomend geval, de wijze waarop de verwerking van persoonsgegevens tegemoetkomt aan het aanpakken van de algemene noodsituatie;”;

b)    lid 2 wordt als volgt gewijzigd:

i) punt c) wordt vervangen door:

“c) staat in verhouding tot de algemene noodsituatie en is naar behoren gemotiveerd, wat betreft de mate van detail en het volume van de gevraagde gegevens en de frequentie van de toegang tot de gevraagde gegevens;”;

ii) punt e) wordt geschrapt;

c)    de leden 5 en 6 worden geschrapt;

10.Artikel 18 wordt als volgt gewijzigd:

a)    in lid 2 wordt de inleidende zin vervangen door:

“2. Onverminderd specifieke behoeften in verband met de beschikbaarheid van gegevens zoals omschreven in het Unie- of nationale recht, kan een gegevenshouder het verzoek afwijzen of verzoeken om wijziging van een verzoek om gegevens beschikbaar te stellen uit hoofde van dit hoofdstuk, onverwijld en in elk geval binnen vijf werkdagen na ontvangst van een verzoek overeenkomstig artikel 15 bis, lid 2, en onverwijld en in elk geval binnen 30 werkdagen na ontvangst van een verzoek overeenkomstig artikel 15 bis, lid 3, om de volgende redenen:”;

b)    lid 5 wordt geschrapt;

11.Artikel 19 wordt als volgt gewijzigd:

a) in lid 1 wordt de inleidende zin vervangen door:

“Een overheidsinstantie, de Commissie, de Europese Centrale Bank of organen van de Unie die op grond van een verzoek uit hoofde van artikel 15 bis gegevens ontvangen:”;

b) lid 3 wordt vervangen door:

“3. De openbaarmaking van bedrijfsgeheimen aan een overheidsinstantie, de Commissie, de Europese Centrale Bank of een orgaan van de Unie is alleen vereist voor zover dit strikt noodzakelijk is om het doel van een verzoek overeenkomstig artikel 15 bis te verwezenlijken. In dat geval identificeert de gegevenshouder of de houder van het bedrijfsgeheim, indien hij niet dezelfde persoon is, de gegevens die als bedrijfsgeheim worden beschermd, met inbegrip van de relevante metagegevens. De overheidsinstantie, de Commissie, de Europese Centrale Bank of het orgaan van de Unie neemt vóór de openbaarmaking van bedrijfsgeheimen alle nodige en passende technische en organisatorische maatregelen om de vertrouwelijkheid van de bedrijfsgeheimen te waarborgen, met inbegrip van, in voorkomend geval, het gebruik van modelcontractvoorwaarden, technische normen en de toepassing van gedragscodes.”;

12.Artikel 20 wordt vervangen door:

“Artikel 20

Vergoeding voor het beschikbaar stellen van gegevens uit hoofde van hoofdstuk V

1. Gegevenshouders stellen de gegevens die nodig zijn om te reageren op een algemene noodsituatie overeenkomstig artikel 15 bis, lid 2, kosteloos beschikbaar. De overheidsinstantie, de Commissie, de Europese Centrale Bank die of het orgaan van de Unie dat gegevens heeft ontvangen, geeft een openbare bevestiging aan de gegevenshouder indien de gegevenshouder daarom verzoekt.

2. De gegevenshouder heeft recht op een billijke vergoeding voor het beschikbaar stellen van gegevens in naleving van een verzoek overeenkomstig artikel 15 bis, lid 3. Die vergoeding dekt de technische en organisatorische kosten om aan het verzoek te voldoen, met inbegrip van, in voorkomend geval, de kosten van anonimisering, pseudonimisering, aggregatie en technische aanpassing, plus een redelijke marge. Op verzoek van de overheidsinstantie of de Commissie, de Europese Centrale Bank of het orgaan van de Unie, verstrekt de gegevenshouder informatie over de grondslag voor de berekening van de kosten en de redelijke marge.

3. In afwijking van lid 1 kan een gegevenshouder die een micro-onderneming of kleine onderneming is, een vergoeding eisen voor het beschikbaar stellen van gegevens naar aanleiding van een verzoek uit hoofde van artikel 15 bis, lid 2, overeenkomstig de voorwaarden van lid 2.

4. Gegevenshouders hebben geen recht op vergoeding voor het beschikbaar stellen van gegevens in naleving van een verzoek uit hoofde van artikel 15 bis, lid 3, indien de specifieke taak van algemeen belang bestaat in het opstellen van officiële statistieken en indien de aankoop van gegevens niet is toegestaan op grond van het nationale recht. De lidstaten stellen de Commissie ervan in kennis indien de aankoop van gegevens voor het opstellen van officiële statistieken op grond van het nationale recht niet is toegestaan.”;

13.Artikel 21 wordt als volgt gewijzigd:

a) de titel wordt vervangen door:

“Delen van in de context van een algemene noodsituatie verkregen gegevens met onderzoeksorganisaties of statistische instanties”;

b) lid 5 wordt vervangen door:

“5. Indien een overheidsinstantie, de Commissie, de Europese Centrale Bank of een orgaan van de Unie voornemens is gegevens uit hoofde van lid 1 door te geven of beschikbaar te stellen, wordt de gegevenshouder van wie de gegevens zijn ontvangen daarvan onverwijld in kennis gesteld, met vermelding van het volgende:

a)de identiteit en contactgegevens van de organisatie of de persoon die de gegevens ontvangt;

b)het doel van de doorgifte of beschikbaarstelling van de gegevens;

c)de termijn gedurende welke de gegevens mogen worden gebruikt en de technische bescherming;

d)de organisatorische maatregelen die zijn genomen, ook indien het persoonsgegevens of bedrijfsgeheimen betreft.”;

14.Het volgende artikel 22 bis wordt ingevoegd vóór hoofdstuk VI:

“Artikel 22 bis

Recht om een klacht in te dienen

Indien er een geschil ontstaat over een verzoek om gegevens uit hoofde van artikel 15 bis, met inbegrip van de weigering, wijziging, de hoogte van de vergoeding of de doorgifte of beschikbaarstelling van gegevens, kunnen de gegevenshouder, de overheidsinstantie, de Commissie, de Europese Centrale Bank of het orgaan van de Unie een klacht indienen bij de overeenkomstig artikel 37 aangewezen bevoegde autoriteit van de lidstaat waar de gegevenshouder is gevestigd.”;

15.In artikel 31 worden de volgende leden 1 bis en 1 ter ingevoegd:

“1 bis. De verplichtingen van hoofdstuk VI, met uitzondering van artikel 29, en artikel 34 zijn niet van toepassing op andere dataverwerkingsdiensten dan die bedoeld in artikel 30, lid 1, indien de meeste kenmerken en functionaliteiten van de dataverwerkingsdienst door de aanbieder zijn aangepast aan de specifieke behoeften van de klant, indien de verlening van dergelijke diensten gebaseerd is op een contract dat vóór of op 12 september 2025 is gesloten.

Van de aanbieder van dergelijke dataverwerkingsdiensten wordt niet verlangd dat deze vóór het verstrijken ervan opnieuw onderhandelt over een contract voor de verlening van die diensten of dat contract wijzigt indien dat contract vóór of op 12 september 2025 is gesloten. Elke contractuele bepaling in dat contract die in strijd is met artikel 29, de leden 1, 2 of 3, wordt als nietig beschouwd.

1 ter. Een aanbieder van een dataverwerkingsdienst kan in een overeenkomst voor bepaalde tijd bepalingen opnemen over evenredige boeten voor vroegtijdige beëindiging van andere dan de in artikel 30, lid 1, bedoelde dataverwerkingsdiensten.

Wanneer de aanbieder van dataverwerkingsdiensten een kleine en middelgrote onderneming of een kleine midcap-onderneming is, zijn de verplichtingen van hoofdstuk VI, met uitzondering van artikel 29, en artikel 34 niet van toepassing op andere dataverwerkingsdiensten dan die bedoeld in artikel 30, lid 1, indien de verlening van dergelijke diensten gebaseerd is op een contract dat vóór of op 12 september 2025 is gesloten.

Wanneer de aanbieder van een dataverwerkingsdienst een kleine en middelgrote onderneming of een kleine midcap-onderneming is, is de aanbieder niet verplicht om vóór het verstrijken van het contract opnieuw te onderhandelen over een ander contract voor de verlening van een dataverwerkingsdienst dan die bedoeld in artikel 30, lid 1, of deze te wijzigen, indien dat contract vóór of op 12 september 2025 is gesloten. Elke contractuele bepaling in dat contract die in strijd is met artikel 29, de leden 1, 2 of 3, wordt als nietig beschouwd.”;

16.Artikel 32 wordt als volgt gewijzigd:

a) de leden 1 en 2 worden vervangen door:

“1. Aanbieders van dataverwerkingsdiensten, de overheidsinstantie die gegevens of documenten beschikbaar stelt overeenkomstig hoofdstuk VII quater, afdeling 3, de natuurlijke persoon of rechtspersoon aan wie het recht om gegevens of documenten te hergebruiken overeenkomstig hoofdstuk VII quater, afdeling 3, is verleend, een aanbieder van databemiddelingsdiensten of een erkende organisatie voor data-altruïsme nemen alle passende technische, organisatorische en juridische maatregelen, met inbegrip van contracten, om internationale en overheidstoegang van derde landen en de doorgifte van in de Unie bewaarde niet-persoonsgebonden gegevens te voorkomen indien een dergelijke doorgifte of toegang in strijd zou zijn met het Unierecht of met het nationale recht van de betrokken lidstaat, onverminderd lid 2 of lid 3. 

2. Elke beslissing of elke uitspraak van een rechterlijke instantie van een derde land en elk besluit van een administratieve autoriteit van een derde land op grond waarvan een aanbieder van dataverwerkingsdiensten, de overheidsinstantie die gegevens of documenten beschikbaar stelt overeenkomstig hoofdstuk VII quater, afdeling 3, de natuurlijke persoon of rechtspersoon aan wie het recht om gegevens of documenten te hergebruiken overeenkomstig hoofdstuk VII quater, afdeling 3, is verleend, een aanbieder van databemiddelingsdiensten of een erkende organisatie voor data-altruïsme, niet-persoonsgebonden gegevens die binnen het toepassingsgebied van deze verordening vallen en in de Unie zijn opgeslagen, moet overdragen of er toegang toe moet verlenen, wordt alleen op enigerlei wijze erkend of is alleen op enigerlei wijze afdwingbaar indien de beslissing, de uitspraak of het besluit gebaseerd is op een internationale overeenkomst, zoals een verdrag inzake wederzijdse rechtsbijstand, die van kracht is tussen het verzoekende derde land en de Unie, of op een dergelijke overeenkomst tussen het verzoekende derde land en een lidstaat.”;

b) in lid 3, eerste alinea, wordt de inleidende zin vervangen door:

“3. Bij ontstentenis van een internationale overeenkomst als bedoeld in lid 2, vindt, indien een aanbieder van dataverwerkingsdiensten, de overheidsinstantie die gegevens of documenten beschikbaar stelt overeenkomstig hoofdstuk VII quater, afdeling 3, de natuurlijke persoon of rechtspersoon aan wie het recht om gegevens of documenten te hergebruiken overeenkomstig hoofdstuk VII quater, afdeling 3, is verleend, een aanbieder van databemiddelingsdiensten of een erkende organisatie voor data-altruïsme, de geadresseerde is van een beslissing of uitspraak van een rechterlijke instantie van een derde land of een besluit van een administratieve autoriteit van een derde land om niet-persoonsgebonden gegevens die binnen het toepassingsgebied van deze verordening vallen en die in de Unie zijn opgeslagen, over te dragen of er toegang toe te verlenen, en de naleving van een dergelijke beslissing of uitspraak of een dergelijk besluit de geadresseerde in strijd zou kunnen brengen met het Unierecht of met het nationale recht van de betrokken lidstaat, de overdracht van of de toegang tot dergelijke gegevens door die autoriteit van het derde land alleen plaats indien:”;

c) de leden 4 en 5 worden vervangen door:

“4. Indien aan de voorwaarden van lid 2 of lid 3 is voldaan, verstrekt de aanbieder van dataverwerkingsdiensten, de overheidsinstantie die gegevens of documenten beschikbaar stelt overeenkomstig hoofdstuk VII quater, afdeling 3, de natuurlijke persoon of rechtspersoon aan wie het recht om gegevens of documenten te hergebruiken overeenkomstig hoofdstuk VII quater, afdeling 3, is verleend, een aanbieder van databemiddelingsdiensten of een erkende organisatie voor data-altruïsme, de minimaal toegestane hoeveelheid gegevens beschikbaar in antwoord op een verzoek, op basis van de redelijke uitlegging van dat verzoek door de aanbieder of de relevante nationale instantie of het orgaan als bedoeld in lid 3, tweede alinea.

5. De aanbieder van dataverwerkingsdiensten, de overheidsinstantie die gegevens of documenten beschikbaar stelt overeenkomstig hoofdstuk VII quater, afdeling 3, de natuurlijke persoon of rechtspersoon aan wie het recht om gegevens of documenten te hergebruiken overeenkomstig hoofdstuk VII quater, afdeling 3, is verleend, een aanbieder van databemiddelingsdiensten of een erkende organisatie voor data-altruïsme, stelt de natuurlijke persoon of rechtspersoon wiens rechten en belangen kunnen worden aangetast, in kennis van het bestaan van een verzoek van een instantie in een derde land om toegang tot zijn of haar gegevens alvorens aan dat verzoek te voldoen, tenzij het verzoek rechtshandhavingsdoeleinden dient en zolang dit noodzakelijk is om de doeltreffendheid van de rechtshandhavingsactiviteit te waarborgen.”;

17.Artikel 36 wordt geschrapt;

18.De volgende hoofdstukken VII bis, VII ter en VII quater worden ingevoegd:

“HOOFDSTUK VII bis

Databemiddelingsdiensten

en organisaties voor data-altruïsme”

Artikel 32 bis

Openbare Unieregisters

1)De Commissie houdt openbare Unieregisters bij van:

a)erkende aanbieders van databemiddelingsdiensten, en

b)erkende organisaties voor data-altruïsme.

2)Aanbieders van databemiddelingsdiensten die zijn geregistreerd in het in lid 1, punt a), bedoelde openbare Unieregister, mogen het keurmerk “in de Unie erkende aanbieder van databemiddelingsdiensten” gebruiken in hun schriftelijke en mondelinge communicatie, alsook het gemeenschappelijk logo als bedoeld in lid 4.

3)Organisaties voor data-altruïsme die in het in lid 1, punt b), bedoelde openbare Unieregister zijn geregistreerd, mogen het keurmerk “in de Unie erkende organisatie voor data-altruïsme” gebruiken in hun schriftelijke en mondelinge communicatie, alsook het gemeenschappelijk logo als bedoeld in lid 4.

4)Om ervoor te zorgen dat in de Unie erkende aanbieders van databemiddelingsdiensten gemakkelijk herkenbaar zijn in de hele Unie, is de Commissie bevoegd door middel van uitvoeringshandelingen een ontwerp voor het gemeenschappelijke logo vast te stellen. Die uitvoeringshandelingen worden volgens de in artikel 46, lid 1 bis, bedoelde raadplegingsprocedure vastgesteld.

Artikel 32 ter

Bevoegde autoriteiten voor de registratie van aanbieders van databemiddelingsdiensten en organisaties voor data-altruïsme

1)Elke lidstaat wijst een of meer autoriteiten aan die bevoegd zijn voor de uitvoering en handhaving van dit hoofdstuk overeenkomstig artikel 37, lid 1.

2)De bevoegde autoriteiten worden zo opgezet dat hun onafhankelijkheid ten opzichte van erkende aanbieders van databemiddelingsdiensten of erkende organisaties voor data-altruïsme gewaarborgd is.

Artikel 32 quater

Algemene vereisten voor de registratie van erkende aanbieders van databemiddelingsdiensten

Om in aanmerking te komen voor registratie in het in artikel 32 bis, lid 1, punt a), bedoelde openbare Unieregister, voldoet een aanbieder van databemiddelingsdiensten aan alle volgende vereisten:

a)zij gebruiken de gegevens waarvoor zij gegevensbemiddelingsdiensten verlenen, niet voor andere doeleinden dan om deze ter beschikking te stellen van de gegevensgebruikers;

b)de gegevens die zij verzamelen met betrekking tot een activiteit van een natuurlijke persoon of rechtspersoon met het oog op de verlening van de gegevensbemiddelingsdienst, met inbegrip van de datum, het tijdstip en de geolocatiegegevens, de duur van de activiteit en de verbindingen met andere natuurlijke personen of rechtspersonen die zijn vastgesteld door de persoon die de gegevensbemiddelingsdienst gebruikt, worden alleen gebruikt voor de ontwikkeling van die databemiddelingsdienst; 

c)indien zij gegevenshouders of datasubjecten aanvullende instrumenten en diensten aanbieden met het specifieke doel de uitwisseling van gegevens te vergemakkelijken, zoals tijdelijke opslag, curatie, conversie, anonimisering en pseudonimisering, worden dergelijke instrumenten en diensten alleen gebruikt op uitdrukkelijk verzoek of met uitdrukkelijke toestemming van de gegevenshouder of het datasubject; 

d)indien aanbieders van databemiddelingsdiensten die geen micro- en kleine ondernemingen zijn, aan hun klanten andere diensten met toegevoegde waarde aanbieden dan de in punt c) bedoelde diensten, voldoen zij aan de volgende voorwaarden:

i)de diensten met toegevoegde waarde worden uitdrukkelijk door de gebruiker aangevraagd;

ii)de gegevens worden niet gebruikt voor andere doeleinden dan het verrichten van de dienst met toegevoegde waarde;

iii)de diensten met toegevoegde waarde worden aangeboden via een functioneel afzonderlijke entiteit;

iv)de onderneming die de diensten met toegevoegde waarde wil aanbieden, is niet aangewezen als poortwachter overeenkomstig artikel 3 van Verordening (EU) 2022/1925;

v)de commerciële voorwaarden, met inbegrip van de prijsstelling, voor de verlening van databemiddelingsdiensten aan een gegevenshouder of gebruiker van de gegevens zijn niet afhankelijk van de vraag of de gegevenshouder of gegevensgebruiker gebruikmaakt van diensten met toegevoegde waarde;

e)de aanbieder van databemiddelingsdiensten die diensten aan datasubjecten aanbiedt, handelt in het belang van de datasubjecten bij het faciliteren van de uitoefening van hun rechten, met name door hen op een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke wijze te informeren en, waar passend, te adviseren over voorgenomen gegevensgebruik door de gegevensgebruikers en standaardvoorwaarden die aan dergelijk gebruik zijn verbonden, voordat de datasubjecten toestemming verlenen.

Artikel 32 quinquies

Algemene vereisten voor de registratie van erkende organisaties voor data-altruïsme

Om in aanmerking te komen voor registratie in het in artikel 32 bis, lid 1, punt b), bedoelde openbare Unieregister, voldoet een organisatie voor data-altruïsme aan alle volgende vereisten:

a)zij voeren activiteiten uit in verband met data-altruïsme;

b)zij zijn een rechtspersoon die op grond van het nationale recht is opgericht om doeleinden van algemeen belang zoals bepaald in het nationale recht te verwezenlijken, waar toepasselijk;

c)zij werken zonder winstoogmerk en zijn juridisch onafhankelijk van enige entiteit met winstoogmerk;

d)zij voeren hun activiteiten in verband met data-altruïsme uit via een structuur die functioneel gescheiden is van hun andere activiteiten.

Artikel 32 sexies

Registratie

1)Aanbieders van databemiddelingsdiensten die aan de vereisten van artikel 32 quater voldoen, kunnen een aanvraag tot registratie in het openbare Unieregister van erkende aanbieders van databemiddelingsdiensten indienen bij de in artikel 32 ter bedoelde bevoegde autoriteit in de lidstaat waar zij hun hoofdvestiging hebben.

Organisaties voor data-altruïsme die aan de vereisten van artikel 32 quinquies voldoen, kunnen een aanvraag tot registratie in het openbare Unieregister van erkende organisaties voor data-altruïsme indienen bij de in artikel 32 ter bedoelde bevoegde autoriteit in de lidstaat waar zij hun hoofdvestiging hebben.

2)Aanbieders van databemiddelingsdiensten en organisaties voor data-altruïsme die geen hoofdvestiging in de Unie hebben, wijzen een wettelijke vertegenwoordiger in een van de lidstaten aan. De wettelijke vertegenwoordiger wordt gemachtigd om naast of in plaats van de aanbieder van databemiddelingsdiensten of de organisatie voor data-altruïsme door bevoegde autoriteiten of datasubjecten en gegevenshouders te worden aangesproken. De wettelijke vertegenwoordiger werkt samen met de bevoegde autoriteiten en geeft hun op verzoek een uitvoerig overzicht van de maatregelen en voorzieningen die de aanbieder van databemiddelingsdiensten of de organisatie voor data-altruïsme heeft genomen om de naleving van deze verordening te garanderen.

De aanbieder van databemiddelingsdiensten of de organisatie voor data-altruïsme wordt geacht onder de rechtsmacht te vallen van de lidstaat waar de wettelijke vertegenwoordiger is gevestigd. De aanwijzing van een wettelijke vertegenwoordiger laat eventuele rechtsvorderingen tegen de aanbieder van databemiddelingsdiensten of de organisatie voor data-altruïsme onverlet.

3)De bevoegde autoriteiten stellen de nodige aanvraagformulieren op.

4)Wanneer een aanbieder van databemiddelingsdiensten alle nodige informatie overeenkomstig lid 3 heeft ingediend en voldoet aan de vereisten van artikel 32 quater, neemt de bevoegde autoriteit binnen twaalf weken na ontvangst van de registratieaanvraag een besluit over de vraag of de aanbieder voldoet aan de criteria van artikel 32 quater. Indien de aanbieder aan de criteria voldoet, dient de bevoegde autoriteit de relevante informatie in bij de Commissie, die de aanbieders in het openbare Unieregister registreert als erkende aanbieder van databemiddelingsdiensten.

De eerste alinea is ook van toepassing wanneer een organisatie voor data-altruïsme alle nodige informatie overeenkomstig lid 2 heeft ingediend en voldoet aan de registratievereisten van artikel 32 quinquies.

De inschrijving in het openbare Unieregister is in alle lidstaten geldig.

5)De bevoegde autoriteit kan overeenkomstig het nationale recht een vergoeding in rekening brengen voor de registratie. Deze vergoedingen zijn evenredig en objectief en zijn gebaseerd op de administratieve kosten in verband met het toezicht op de naleving. In het geval van kleine midcap-ondernemingen, kleine en middelgrote ondernemingen en start-ups kan de bevoegde autoriteit een lagere vergoeding in rekening brengen of van de vergoeding afzien.

6)Geregistreerde entiteiten stellen de bevoegde autoriteit in kennis van alle latere wijzigingen in de tijdens de aanvraagprocedure verstrekte informatie of wanneer zij hun activiteiten op het gebied van databemiddeling of data-altruïsme in de Unie stopzetten.

7)De bevoegde autoriteit stelt de Commissie onverwijld en langs elektronische weg in kennis van elke kennisgeving overeenkomstig lid 6. De Commissie werkt het openbare Unieregister onverwijld bij.

Artikel 32 septies

Verplichtingen van erkende organisaties voor data-altruïsme

1)Erkende organisaties voor data-altruïsme stellen de datasubjecten of gegevenshouders vóór de verwerking van hun gegevens op een duidelijke en gemakkelijk te begrijpen wijze in kennis van:

a) de doeleinden van algemeen belang en, indien van toepassing, het gespecificeerde, expliciete en legitieme doel waarvoor persoonsgegevens zullen worden verwerkt, en waarvoor zij de verwerking van hun gegevens door een gegevensgebruiker toestaat;

b) de locatie van de verwerking en de doeleinden van algemeen belang waarvoor zij die verwerking toestaan, indien de verwerking wordt uitgevoerd door de erkende organisatie voor data-altruïsme.

2)Erkende organisaties voor data-altruïsme gebruiken de gegevens niet voor andere doeleinden dan die van algemeen belang waarvoor het datasubject of de gegevenshouder de verwerking toestaat. De erkende organisatie voor data-altruïsme maakt geen gebruik van misleidende marketingpraktijken om mensen te vragen gegevens te verstrekken.

3)Erkende organisaties voor data-altruïsme voorzien in elektronische middelen om toestemming van datasubjecten of toestemming voor de verwerking van door gegevenshouders beschikbaar gestelde gegevens te verkrijgen en om deze in te trekken.

4)Erkende organisaties voor data-altruïsme brengen de gegevenshouders onverwijld op de hoogte van elke ongeoorloofde doorgifte van, elke ongeoorloofde toegang tot of elk ongeoorloofd gebruik van de niet-persoonsgebonden gegevens die zij hebben gedeeld.

5)Indien erkende organisaties voor data-altruïsme de verwerking van gegevens door derden faciliteren, onder meer door in instrumenten te voorzien voor het verkrijgen van de toestemming van datasubjecten of de toestemming voor de verwerking van door gegevenshouders beschikbaar gestelde gegevens, specificeren zij waar relevant het derde land waarin het gebruik van de gegevens zal plaatsvinden.

Artikel 32 octies

Toezicht op de naleving

1)De in artikel 32 ter bedoelde bevoegde autoriteiten monitoren en houden toezicht, hetzij op eigen initiatief, hetzij op verzoek van een natuurlijke persoon of rechtspersoon, op erkende aanbieders van databemiddelingsdiensten en erkende organisaties voor data-altruïsme om na te gaan of zij voldoen aan de in dit hoofdstuk vastgestelde vereisten, met inbegrip van de vraag of zij blijven voldoen aan de daarin vastgestelde registratievereisten.

2)De bevoegde autoriteiten hebben de bevoegdheid om bij erkende aanbieders van databemiddelingsdiensten of erkende organisaties voor data-altruïsme, of hun wettelijke vertegenwoordiger, alle informatie op te vragen die nodig is om de naleving van de in dit hoofdstuk vastgestelde vereisten te verifiëren. Een verzoek om informatie moet in verhouding staan tot de uitvoering van de taak en moet worden gemotiveerd.

3)Indien een bevoegde autoriteit van oordeel is dat een erkende aanbieder van databemiddelingsdiensten of een organisatie voor data-altruïsme niet voldoet aan een of meer vereisten van dit hoofdstuk, stelt zij die entiteit, of de wettelijke vertegenwoordiger, in kennis van die bevindingen en geeft zij deze de gelegenheid om binnen 30 dagen na ontvangst van die kennisgeving een standpunt kenbaar te maken.

4)De bevoegde autoriteit kan eisen dat de in lid 3 bedoelde geval van niet-naleving wordt gestopt, hetzij onmiddellijk, hetzij binnen een redelijke termijn, en neemt passende en evenredige maatregelen met het oog op het garanderen van de naleving.

5)Indien een erkende aanbieder van databemiddelingsdiensten of een erkende organisatie voor data-altruïsme zelfs na kennisgeving overeenkomstig lid 3 niet aan een of meer van de in dit hoofdstuk vastgestelde vereisten voldoet:

a) verliest die entiteit het recht om het in artikel 32 bis bedoelde keurmerk in schriftelijke en mondelinge communicatie te gebruiken;

b) wordt de entiteit uit het in artikel 32 bis bedoelde openbare Unieregister geschrapt.

Elk besluit tot intrekking van het recht om het in de eerste alinea, punt a), bedoelde keurmerk te gebruiken, wordt door de bevoegde autoriteit openbaar gemaakt.

“HOOFDSTUK VII ter

Vrij verkeer van niet-persoonsgebonden gegevens in de Unie”

“Artikel 32 nonies

Verbod op lokalisatievereisten voor niet-persoonsgebonden gegevens binnen de Unie

1)Gegevenslokalisatievereisten voor niet-persoonsgebonden gegevens zijn verboden, tenzij zij gerechtvaardigd zijn om redenen van openbare veiligheid in overeenstemming met het evenredigheidsbeginsel of vastgesteld op grond van het Unierecht.

2)De lidstaten stellen de Commissie onmiddellijk in kennis van elke ontwerphandeling waarbij een nieuw gegevenslokalisatievereiste wordt ingevoerd of een bestaand gegevenslokalisatievereiste wordt gewijzigd overeenkomstig de procedures van de artikelen 5, 6 en 7 van Richtlijn (EU) 2015/1535 van het Europees Parlement en de Raad.”

HOOFDSTUK VII quater

Hergebruik van gegevens en documenten die in het bezit zijn van overheidsinstanties

Afdeling 1

Algemene bepalingen

Artikel 32 decies

Onderwerp en toepassingsgebied

1)In dit hoofdstuk wordt een reeks regels vastgesteld voor het hergebruik en de praktische regelingen voor het vergemakkelijken van het hergebruik van: 

a)bestaande gegevens en documenten die in het bezit zijn van overheidsinstanties van de lidstaten, met inbegrip van bepaalde categorieën beschermde gegevens; 

b)bestaande gegevens en documenten van overheidsondernemingen die: 

i)actief zijn in de gebieden als bedoeld in hoofdstuk II van Richtlijn 2014/25/EU van het Europees Parlement en de Raad; 

ii)handelen als exploitant van openbare diensten op grond van artikel 2 van Verordening (EG) nr. 1370/2007 van het Europees Parlement en de Raad; 

iii)als luchtvaartmaatschappen openbaredienstverplichtingen vervullen op grond van artikel 16 van Verordening (EC) nr. 1008/2008 van het Europees Parlement en de Raad; of 

iv)als reders in de Gemeenschap openbaredienstverplichtingen vervullen op grond van artikel 4 van Verordening (EEG) nr. 3577/92; 

c)    onderzoeksgegevens op grond van de voorwaarden van artikel 32 unvicies.

2) Dit hoofdstuk is niet van toepassing op: 

a)gegevens en documenten waarvan de verstrekking een activiteit is die niet valt onder de openbare taak van de betrokken overheidsinstanties, als bepaald bij wet of ander bindend voorschrift van de lidstaat of, indien een voorschrift ter zake ontbreekt, als overeenkomstig de gangbare bestuurspraktijk van de betrokken lidstaat, mits de afbakening van de overheidstaken transparant is en aan toetsing is onderworpen; 

b)gegevens en documenten in het bezit van overheidsondernemingen en 

i)zijn geproduceerd buiten de context van de levering van diensten van algemeen belang als gedefinieerd in de wetgeving of andere bindende regels in de lidstaten; 

ii)verband houden met activiteiten die rechtstreeks blootstaan aan concurrentie en bijgevolg op grond van artikel 34 van Richtlijn 2014/25/EU niet onder aanbestedingsregels vallen; 

c)gegevens en documenten, zoals gevoelige gegevens, die op grond van de toegangsregelingen in de lidstaat zijn uitgesloten op grond van de bescherming van de nationale veiligheid (namelijk staatsveiligheid), defensie of openbare veiligheid;

d)gegevens en documenten in het bezit van openbare omroepen of hun dochterondernemingen en van andere entiteiten of hun dochterondernemingen ten behoeve van de vervulling van een publieke omroeptaak.

3)Afdeling 2 van dit hoofdstuk is niet van toepassing op:

a)gegevens en documenten, zoals gevoelige gegevens of documenten, die van toegang zijn uitgesloten op basis van de toegangsregelingen van de lidstaat, onder meer wegens:

i)statistisch geheim;  

ii)handelsgeheim (waaronder bedrijfs- of beroepsgeheim);  

b)gegevens of documenten waartoe de toegang beperkt is op grond van de toegangsregelingen in de lidstaten;

i)met inbegrip van gevallen waarin burgers of rechtspersonen een bijzonder belang moeten aantonen om toegang tot documenten te verkrijgen;

ii)de bescherming van persoonsgegevens, en gedeelten van gegevens of documenten die uit hoofde van die regelingen toegankelijk zijn, maar persoonsgegevens bevatten waarvan het hergebruik wettelijk onverenigbaar is verklaard met het recht betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens of waarvan het hergebruik wettelijk is aangemerkt als een ondermijning van de bescherming van de persoonlijke levenssfeer en de integriteit van het individu, met name overeenkomstig het Unierecht of het nationale recht betreffende de bescherming van persoonsgegevens; logo’s, wapens en insignes;

c)gegevens of documenten waarvan de intellectuele-eigendomsrechten bij derden berusten; 

d)gegevens of documenten in het bezit van andere culturele instellingen dan bibliotheken (met inbegrip van universiteitsbibliotheken), musea en archieven;

e)gegevens of documenten in het bezit van onderwijsinstellingen van het secundair of lager niveau, en, in het geval van alle andere onderwijsinstellingen, andere dan de in lid 1, punt c), bedoelde gegevens;

f)andere dan de in lid 1, punt c), bedoelde gegevens of documenten van onderzoeksinstellingen en organisaties die onderzoek financieren, met inbegrip van organisaties die zijn opgericht voor de overdracht van onderzoeksresultaten;

g)gegevens of documenten waartoe de toegang uitgesloten of beperkt is op grond van de bescherming van informatie in verband met kritieke entiteiten of kritieke infrastructuur als gedefinieerd in artikel 2, punten 1) en 4), van Richtlijn (EU) 2022/2557.

4)Afdeling 3 van dit hoofdstuk is niet van toepassing op:

a)gegevens en documenten die geen bepaalde categorieën beschermde gegevens zijn;

b)gegevens of documenten in het bezit van overheidsondernemingen;

c)gegevens of documenten in het bezit van culturele instellingen en onderwijsinstellingen;

d)gegevens en documenten die vallen onder afdeling 2 van dit hoofdstuk.

5)Dit hoofdstuk bouwt voort op en doet geen afbreuk aan de toegangsregelingen van de Unie en de lidstaten, met name wat betreft het verlenen van toegang tot en de openbaarmaking van officiële documenten.

6)De overeenkomstig dit hoofdstuk opgelegde verplichtingen zijn alleen van toepassing als zij verenigbaar zijn met de bepalingen van de internationale overeenkomsten inzake de bescherming van intellectuele-eigendomsrechten, in het bijzonder de Berner Conventie voor de bescherming van werken van letterkunde en kunst (Berner conventie), de Overeenkomst inzake de handelsaspecten van de intellectuele eigendom (TRIPS-overeenkomst) en het Verdrag van de Wereldorganisatie voor de intellectuele eigendom inzake auteursrecht (World Intellectual Property Organization Copyright Treaty — WCT).

7)Overheidsinstanties oefenen het bij artikel 7, lid 1, van Richtlijn 96/9/EG verleende recht van een fabrikant van een databank niet uit om het hergebruik van gegevens en documenten tegen te gaan of om het hergebruik buiten de bij dit hoofdstuk bepaalde grenzen te beperken.

8)Dit hoofdstuk regelt het hergebruik van bestaande gegevens en documenten in bezit van overheidsinstanties en overheidsondernemingen van de lidstaten, met inbegrip van gegevens en documenten waarop Richtlijn 2007/2/EG van het Europees Parlement en de Raad van toepassing is.

9)Dit hoofdstuk doet geen afbreuk aan het Unierecht, het nationale recht en internationale overeenkomsten waarbij de Unie of de lidstaten partij zijn inzake de bescherming van de in artikel 2, punt 54, bedoelde categorieën gegevens of documenten.

Artikel 32 undecies

Non-discriminatie

1)Alle toepasselijke voorwaarden voor het hergebruik van gegevens of documenten zijn niet-discriminerend, transparant, evenredig en objectief gerechtvaardigd met betrekking tot de categorieën gegevens of documenten en de doeleinden van hergebruik en de aard van de gegevens of documenten waarvoor hergebruik is toegestaan. Die voorwaarden mogen niet worden gebruikt om de mededinging te beperken. Dit beginsel is eveneens van toepassing op vergelijkbare categorieën hergebruik, ook voor grensoverschrijdend hergebruik. 

2)Indien gegevens of documenten door een openbaar lichaam worden hergebruikt als basismateriaal voor commerciële activiteiten van die overheidsinstantie die buiten de openbare taak vallen, zijn op de verstrekking van de gegevens of documenten voor deze activiteiten dezelfde vergoedingen en andere voorwaarden van toepassing als die welke gelden voor andere hergebruikers.

Artikel 32 duodecies

Exclusiviteitsregelingen

1)Het hergebruik van gegevens of documenten staat open voor alle potentiële marktdeelnemers, zelfs indien één of meer marktdeelnemers reeds op die gegevens of documenten gebaseerde producten met toegevoegde waarde exploiteren. Overeenkomsten of andere regelingen of praktijken met betrekking tot het hergebruik van gegevens of documenten die tot doel of tot gevolg hebben exclusieve rechten te verlenen of de beschikbaarheid van gegevens of documenten voor hergebruik door andere entiteiten dan de partijen bij dergelijke overeenkomsten, regelingen of praktijken te beperken, zijn verboden.

2)In afwijking van lid 1 kan, wanneer een exclusief recht noodzakelijk is voor het verlenen van een dienst van algemeen belang, een dergelijk recht worden verleend voor zover dat nodig is voor het verlenen van de dienst of de levering van het product, onder de volgende voorwaarden:

a)het exclusieve recht wordt verleend door middel van een administratieve handeling of een contractuele overeenkomst in overeenstemming met het toepasselijke Unierecht en nationale recht en met inachtneming van de beginselen van transparantie, gelijke behandeling en non-discriminatie;

b)de overeenkomsten waarbij het exclusieve recht wordt verleend, met inbegrip van de redenen waarom een dergelijk recht moet worden verleend, zijn transparant en worden online openbaar gemaakt, in een vorm die in overeenstemming is met het toepasselijke Unierecht inzake overheidsopdrachten en het nationale recht;

c)behalve voor exclusieve rechten in verband met de digitalisering van culturele hulpbronnen, wordt de geldigheid van de reden voor het verlenen van exclusieve rechten met betrekking tot gegevens en documenten die binnen het toepassingsgebied van afdeling 2 vallen, regelmatig getoetst en in elk geval om de drie jaar getoetst;

d)exclusiviteitsregelingen die op of na 16 juli 2019 zijn gesloten, worden minstens twee maanden voor hun inwerkingtreding online openbaar gemaakt. De uiteindelijke regelingen zijn transparant en worden online openbaar gemaakt.

3)In afwijking van lid 1, duurt, wanneer een exclusief recht betrekking heeft op de digitalisering van culturele hulpbronnen, de periode van exclusiviteit in het algemeen niet langer dan tien jaar. Indien die periode meer dan tien jaar bedraagt, is de periode in overeenstemming met het toepasselijke Unierecht en nationale recht, en wordt de duur ervan tijdens het elfde jaar en, indien van toepassing, daarna om de zeven jaar, getoetst.

4)In geval van een in lid 3 bedoeld exclusief recht, wordt in de desbetreffende overeenkomst vastgesteld dat de desbetreffende overheidsinstantie kosteloos een kopie van de gedigitaliseerde culturele hulpbronnen krijgt. Die kopie is na afloop van de exclusiviteitsperiode beschikbaar voor hergebruik.

5)Voor bepaalde categorieën beschermde gegevens mag de duur van een exclusief recht op hergebruik van gegevens niet langer zijn dan twaalf maanden. Wanneer een overeenkomst wordt gesloten, is de duur van die overeenkomst dezelfde als die van de exclusiviteitsperiode.

6)Overeenkomsten en andere regelingen of praktijken die, zonder expliciet in de toekenning van exclusiviteitsrechten te voorzien, tot doel hebben of redelijkerwijs kunnen worden geacht de beschikbaarheid van gegevens en documenten binnen het toepassingsgebied van afdeling 2 voor hergebruik door andere entiteiten dan partijen bij de regeling te beperken, worden minstens twee maanden voor de inwerkingtreding daarvan online openbaar gemaakt. De gevolgen van die juridische of praktische regelingen voor de beschikbaarheid van gegevens voor hergebruik worden regelmatig, en in elk geval om de drie jaar, geëvalueerd. De uiteindelijke regelingen zijn transparant en worden online openbaar gemaakt.

7)Voor bestaande exclusiviteitsregelingen geldt het volgende:

a)door overheidsinstanties gesloten exclusiviteitsregelingen met betrekking tot gegevens en documenten binnen het toepassingsgebied van afdeling 2 die al bestonden op 17 juli 2013 en die niet voor een uitzondering als bedoeld in de leden 2 en 3 in aanmerking komen, worden aan het eind van het contract en in elk geval uiterlijk op 18 juli 2043 beëindigd;

b)door overheidsondernemingen gesloten exclusiviteitsregelingen met betrekking tot gegevens en documenten binnen het toepassingsgebied van afdeling 2 die al bestonden op 16 juli 2019 en die niet voor een uitzondering als bedoeld in de leden 2 en 3 in aanmerking komen, worden aan het eind van het contract en in elk geval uiterlijk op 17 juli 2049 beëindigd.

Artikel 32 terdecies

Algemene beginselen met betrekking tot vergoedingen

1)De in afdeling 2 of afdeling 3 bedoelde vergoedingen moeten transparant, niet-discriminerend, evenredig en objectief gerechtvaardigd zijn en mogen de mededinging niet beperken.

2)In het geval van standaardvergoedingen voor het hergebruik van gegevens of documenten worden de eventuele voorwaarden en het eigenlijke bedrag van die vergoedingen, met inbegrip van de berekeningsgrondslag ervoor, vooraf vastgesteld en bekendgemaakt, indien mogelijk en passend langs elektronische weg.

3)In het geval van andere dan de in lid 1 genoemde vergoedingen voor hergebruik worden de factoren waarmee rekening wordt gehouden bij de berekening van die vergoedingen vooraf aangegeven. Op verzoek geeft de houder van de gegevens of documenten in kwestie ook aan hoe die vergoedingen zijn berekend met betrekking tot een specifiek verzoek om hergebruik.

4)Overheidsinstanties zorgen ervoor dat alle vergoedingen ook online kunnen worden betaald met behulp van algemeen beschikbare grensoverschrijdende betaaldiensten, zonder discriminatie op basis van de plaats in de Unie waar de betalingsdienstaanbieder is gevestigd, waar het betaalinstrument is uitgegeven of waar de betaalrekening zich bevindt. 

Artikel 32 quaterdecies

Informatie over rechtsmiddelen

De overheidsinstanties zorgen ervoor dat verzoekers om hergebruik van gegevens of documenten in kennis worden gesteld van de rechtsmiddelen tegen besluiten of praktijken die hen betreffen.

Afdeling 2

Hergebruik van openbare overheidsgegevens

Onderafdeling 1 — Toepassingsgebied en algemene beginselen

Artikel 32 quindecies

Algemeen beginsel voor hergebruik van openbare overheidsgegevens

1)Gegevens of documenten die binnen het toepassingsgebied van deze afdeling vallen, zijn herbruikbaar voor commerciële of niet-commerciële doeleinden overeenkomstig afdeling 1 en afdeling 2, onderafdeling 3.

2)Gegevens of documenten waarvan de intellectuele-eigendomsrechten berusten bij bibliotheken (met inbegrip van universiteitsbibliotheken), musea en archieven en gegevens of documenten in het bezit van overheidsondernemingen zijn, indien hergebruik is toegestaan, herbruikbaar voor commerciële of niet-commerciële doeleinden, overeenkomstig afdeling 1 en afdeling 2, onderafdeling 3.

Onderafdeling 2

Verzoeken om hergebruik

Artikel 32 sexdecies

Behandeling van verzoeken om hergebruik

1)Overheidsinstanties behandelen verzoeken om hergebruik en stellen de documenten aan de verzoeker beschikbaar voor hergebruik, waar mogelijk en passend langs elektronische weg, of stellen, indien een licentie vereist is, het licentieaanbod aan de aanvrager op binnen een redelijke termijn die strookt met de voor de behandeling van een verzoek om toegang tot deze gegevens en documenten vastgestelde termijnen. 

2)Wanneer geen termijnen of andere regels voor de spoedige verstrekking van gegevens of documenten zijn vastgesteld, behandelen de overheidsinstanties het verzoek en verstrekken zij de verzoeker de gegevens of documenten voor hergebruik of stellen zij, indien een licentie is vereist, het licentieaanbod aan de aanvrager zo spoedig mogelijk en in elk geval binnen 20 werkdagen na de ontvangst van het verzoek op. Voor uitgebreide of ingewikkelde verzoeken kan die termijn met 20 werkdagen worden verlengd. In dat geval wordt de aanvrager er zo spoedig mogelijk en in elk geval binnen drie weken na zijn oorspronkelijk verzoek van in kennis gesteld dat de behandeling van zijn verzoek meer tijd zal vergen, met vermelding van de redenen daarvoor. 

3)In geval van een afwijzende beslissing delen de overheidsinstanties de verzoeker de gronden voor de afwijzing van het verzoek mede, waarbij zij zich baseren op de toepasselijke bepalingen van de toegangsregeling in de betrokken lidstaat of de bepalingen van deze richtlijn, en in het bijzonder artikel 32 decies, lid 2, de punten a) tot en met c), of artikel 32 decies, lid 3, de punten a) tot en met d), of artikel 32 quindecies (algemene beginselen van de richtlijn open data). Ingeval een afwijzende beslissing gebaseerd is op artikel 32 decies, lid 2, punt d), verwijst de overheidsinstantie in zijn beslissing naar de natuurlijke persoon of rechtspersoon bij wie de rechten berusten, indien deze bekend is, of naar de licentiegever van wie de overheidsinstantie het betrokken materiaal heeft verkregen. Bibliotheken (met inbegrip van universiteitsbibliotheken), musea en archieven, zijn niet verplicht deze verwijzing op te nemen.

4)De rechtsmiddelen omvatten de mogelijkheid tot herziening door een onpartijdige herzieningsinstantie die over de nodige deskundigheid beschikt, zoals de nationale mededingingsautoriteit, de bevoegde autoriteit inzake toegang tot gegevens of documenten, de toezichthoudende autoriteit die is ingesteld in overeenstemming met Verordening (EU) 2016/679 of een nationale rechterlijke instantie, waarvan de beslissingen bindend zijn voor de betrokken overheidsinstantie. 

5)Voor de toepassing van dit artikel stellen de lidstaten praktische regelingen vast ter facilitering van een doeltreffend hergebruik van gegevens of documenten. Die regelingen kunnen met name betrekking hebben op de middelen voor het verstrekken van adequate informatie over de in deze verordening bedoelde rechten en voor het bieden van relevante ondersteuning en begeleiding.

6)Dit artikel is niet van toepassing op de volgende entiteiten:

a)overheidsondernemingen; 

b)onderwijsinstellingen, onderzoeksinstellingen en organisaties die onderzoek financieren. 

Onderafdeling 3

Voorwaarden voor hergebruik

Artikel 32 septdecies

Beschikbare formaten

1)Onverminderd onderafdeling 5 stellen overheidsinstanties en overheidsondernemingen hun gegevens of documenten beschikbaar in de reeds bestaande formaten of talen en, indien mogelijk en passend, elektronisch, in formaten die open, machinaal leesbaar, toegankelijk, vindbaar en herbruikbaar zijn, samen met hun metadata. Zowel het formaat als de metadata dienen zo veel mogelijk aan formele open standaarden te voldoen. 

2)De lidstaten moedigen overheidsinstanties en overheidsondernemingen aan om gegevens of documenten die binnen het toepassingsgebied van deze afdeling vallen, te produceren en beschikbaar te stellen overeenkomstig het beginsel “open door ontwerp en door standaardinstellingen” (“open by design and by default”). 

3)Lid 1 behelst geen verplichting voor overheidsinstanties om gegevens of documenten te creëren of aan te passen of om uittreksels te verstrekken om aan dat lid te voldoen indien dit een onevenredig grote inspanning vereist die verder gaat dan een eenvoudige handeling. 

4)Overheidsinstanties worden niet verplicht bepaalde soorten gegevens of documenten te blijven produceren en op te slaan met het oog op het hergebruik van die gegevens of documenten door een particuliere of publieke organisatie.

5)Dynamische gegevens worden door overheidsinstanties onmiddellijk nadat ze zijn verzameld via passende API’s en, in voorkomend geval, in de vorm van een bulksgewijze download, beschikbaar gesteld voor hergebruik. 

6)Wanneer het beschikbaar stellen van dynamische gegevens onmiddellijk na het verzamelen ervan, zoals bedoeld in lid 5, de financiële en technische mogelijkheden van de overheidsinstantie zou overstijgen omdat dit een onevenredige inspanning zou vergen, worden die dynamische gegevens voor hergebruik beschikbaar gesteld binnen een termijn of met tijdelijke technische beperkingen die de exploitatie van hun economisch en sociaal potentieel niet onnodig in het gedrang brengen. 

7)De leden 1 tot en met 6 zijn van toepassing op bestaande gegevens of documenten die in het bezit zijn van overheidsondernemingen en die voor hergebruik beschikbaar zijn. 

8)De hoogwaardige datasets, waarvan de lijst wordt vastgesteld overeenkomstig artikel 32 tervicies, lid 1, worden in een machinaal leesbaar formaat voor hergebruik beschikbaar gesteld via API’s en, in voorkomend geval, in de vorm van een bulksgewijze download. 

Artikel 32 octodecies

Beginselen voor het berekenen van vergoedingen voor openbare overheidsgegevens

1)Het hergebruik van gegevens of documenten die binnen het toepassingsgebied van deze afdeling vallen, is kosteloos. De terugvordering door een overheidsinstantie van de marginale kosten voor de vermenigvuldiging, verstrekking en verspreiding van de gegevens of documenten die de instantie in bezit heeft, evenals voor de anonimisering van persoonsgegevens en voor maatregelen ter bescherming van commercieel vertrouwelijke informatie kan evenwel worden toegestaan.

2)Lid 1 is niet van toepassing op de volgende entiteiten:

a)overheidsinstanties die verplicht zijn inkomsten te genereren om een aanzienlijk deel van de kosten van de uitoefening van hun openbare taken te dekken;

b)bibliotheken (met inbegrip van universiteitsbibliotheken), musea en archieven;

c)overheidsondernemingen.

3)De lidstaten publiceren een onlinelijst van de overheidsinstanties als bedoeld in lid 2, punt a).

4)In de in lid 2, punten a) en c), bedoelde gevallen wordt de totale vergoeding berekend aan de hand van objectieve, transparante en controleerbare criteria. Die criteria worden door de lidstaten vastgesteld. De totale inkomsten uit het verstrekken van gegevens of documenten en het verlenen van toestemming voor het hergebruik daarvan mogen over de desbetreffende berekeningsperiode genomen niet hoger zijn dan de kosten van de verzameling, productie, vermenigvuldiging, verspreiding en opslag ervan, vermeerderd met een redelijk rendement op investeringen, en — indien van toepassing — de anonimisering van persoonsgegevens en maatregelen ter bescherming van commercieel vertrouwelijke informatie. De vergoeding wordt berekend overeenkomstig de toepasselijke boekhoudkundige beginselen.

5)Indien er door de in lid 2, punt b), bedoelde overheidsinstanties een vergoeding wordt verlangd, mogen de totale inkomsten uit het verstrekken en het verlenen van toestemming voor hergebruik van gegevens of documenten over de desbetreffende berekeningsperiode genomen niet hoger zijn dan de kosten van de verzameling, productie, vermenigvuldiging, verspreiding, opslag, conservering en vereffening van rechten en, in voorkomend geval, de anonimisering van persoonsgegevens en maatregelen ter bescherming van commercieel vertrouwelijke informatie, vermeerderd met een redelijk rendement op investeringen. De vergoeding wordt berekend overeenkomstig de boekhoudkundige beginselen die op de betrokken overheidsinstanties van toepassing zijn.

6)Overheidsinstanties kunnen hogere vergoedingen vaststellen voor het hergebruik van gegevens en documenten door zeer grote ondernemingen dan de in de leden 1, 4 en 5 bedoelde vergoedingen. Dergelijke vergoedingen zijn evenredig en gebaseerd op objectieve criteria, rekening houdend met de economische macht of het vermogen van de entiteit om gegevens te verkrijgen, met inbegrip van met name een aanwijzing als poortwachter uit hoofde van Verordening (EU) 2022/1925. Naast de in lid 1 genoemde elementen kunnen dergelijke vergoedingen betrekking hebben op de kosten van verzameling, productie, vermenigvuldiging, verspreiding en opslag van gegevens en, in voorkomend geval, de kosten van anonimisering van persoonsgegevens of maatregelen ter bescherming van de vertrouwelijkheid van de gegevens of documenten, vermeerderd met een redelijk rendement op investeringen.

7)Hergebruik van het volgende is kosteloos voor de gebruiker:

a)met inachtneming van artikel 32 tervicies, leden 3, 4 en 5, de hoogwaardige datasets, waarvan de lijst wordt vastgesteld overeenkomstig lid 1 van dat artikel;

b)in artikel 32 decies, lid 1, punt c), bedoelde onderzoeksgegevens.

Artikel 32 novodecies

Standaardlicenties

1)Het hergebruik van gegevens of documenten mag niet worden onderworpen aan voorwaarden, tenzij die voorwaarden objectief, evenredig en niet-discriminerend zijn en door een doel van algemeen belang worden gerechtvaardigd. 

2)Indien hergebruik aan voorwaarden wordt onderworpen, mogen die voorwaarden de mogelijkheden tot hergebruik niet nodeloos beperken, noch gebruikt worden om de mededinging te beperken. 

3)In de lidstaten waar licenties gebruikt worden, zorgen overheidsinstanties ervoor dat de standaardlicenties voor het hergebruik van overheidsgegevens of -documenten, die aan specifieke licentieaanvragen kunnen worden aangepast, in digitaal formaat beschikbaar zijn en elektronisch kunnen worden verwerkt.

4)Overheidsinstanties kunnen bijzondere voorwaarden vaststellen voor het hergebruik van gegevens en documenten door zeer grote ondernemingen. Deze voorwaarden moeten evenredig en op objectieve criteria gebaseerd zijn. Bij de vaststelling ervan wordt rekening gehouden met de economische macht of het vermogen van de entiteit om gegevens te verkrijgen, met inbegrip van met name een aanwijzing als poortwachter uit hoofde van Verordening (EU) 2022/1925.

Artikel 32 vicies

Praktische regelingen

1)De lidstaten stellen praktische regelingen vast die het zoeken naar voor hergebruik beschikbare gegevens of documenten vereenvoudigen, zoals overzichtslijsten van de belangrijkste gegevens of documenten met relevante metagegevens, die indien mogelijk en passend online en in machinaal leesbare formaten toegankelijk zijn en portaalsites met links naar de overzichtslijsten. Indien mogelijk vergemakkelijken de lidstaten het taaloverschrijdend zoeken naar gegevens of documenten, met name door aggregatie van metadata op Unieniveau mogelijk te maken.

De lidstaten moedigen tevens overheidsinstanties aan om praktische regelingen te treffen voor het vergemakkelijken van de bewaring van gegevens of documenten die beschikbaar zijn voor hergebruik. 

2)De lidstaten zetten zich, in samenwerking met de Commissie, verder in voor een eenvoudigere toegang tot datasets, met name door te zorgen voor één enkel toegangspunt en door de geleidelijke beschikbaarstelling van geschikte datasets die in het bezit zijn van overheidsinstanties met betrekking tot de gegevens of documenten waarop deze afdeling van toepassing is, alsmede tot de gegevens die in het bezit zijn van de instellingen van de Unie, in formaten die toegankelijk, gemakkelijk vindbaar en elektronisch herbruikbaar zijn. 

Onderafdeling 4

Onderzoeksgegevens

Artikel 32 unvicies

Onderzoeksgegevens

1)De lidstaten ondersteunen de beschikbaarheid van onderzoeksgegevens middels nationale beleidsmaatregelen en relevante acties om met overheidsmiddelen gefinancierde onderzoeksgegevens beschikbaar te stellen (“openaccessbeleid”) volgens het beginsel “open door standaardinstellingen” (“open by default”) en verenigbaar met de FAIR-beginselen. In dat verband worden problemen met betrekking tot intellectuele-eigendomsrechten, bescherming en vertrouwelijkheid van persoonsgegevens, beveiliging en rechtmatige handelsbelangen in aanmerking genomen in overeenstemming met het beginsel “zo open als mogelijk, zo gesloten als nodig” (“as open as possible, as closed as necessary”). Dat openaccessbeleid is gericht tot onderzoeksinstellingen en organisaties die onderzoek financieren. 

2)Onverminderd artikel 32 quindecies, lid 3, punt d), zijn onderzoeksgegevens herbruikbaar voor commerciële of niet-commerciële doeleinden overeenkomstig afdeling 1 en afdeling 2, onderafdeling 3, voor zover die gegevens met overheidsmiddelen zijn gefinancierd en onderzoekers, onderzoeksinstellingen of organisaties die onderzoek financieren ze al openbaar hebben gemaakt via een institutionele of thematische databank. In dat verband moet rekening worden gehouden met rechtmatige handelsbelangen, activiteiten inzake kennisoverdracht en reeds bestaande intellectuele-eigendomsrechten.

Onderafdeling 5

Hoogwaardige datasets

Artikel 32 duovicies

Thematische categorieën van hoogwaardige datasets

1)De thematische categorieën van hoogwaardige datasets zijn vastgesteld in bijlage I. 

2)De Commissie is bevoegd om overeenkomstig artikel 45, lid 2 bis, gedelegeerde handelingen vast te stellen tot wijziging van bijlage I door toevoeging van nieuwe thematische categorieën van hoogwaardige datasets om technologische en marktontwikkelingen te weerspiegelen. 

Artikel 32 tervicies

Specifieke hoogwaardige datasets en regelingen voor publicatie en hergebruik

1)De Commissie stelt, door middel van uitvoeringshandelingen, onder de gegevens of documenten waarop deze afdeling van toepassing is een lijst vast met specifieke hoogwaardige datasets die onder de categorieën in bijlage I vallen en die in het bezit zijn van overheidsinstanties en overheidsondernemingen.

Dergelijke specifieke hoogwaardige datasets:

a)zijn, met inachtneming van de leden 3, 4 en 5, kosteloos beschikbaar;

b)zijn machinaal leesbaar;

c)worden via API’s beschikbaar gesteld; en

d)worden, in voorkomend geval, in de vorm van bulksgewijze downloads verstrekt.

Die uitvoeringshandelingen kunnen de regelingen voor de publicatie en het hergebruik van de hoogwaardige datasets bepalen. Dergelijke regelingen zijn compatibel met open standaardlicenties.

De regelingen kunnen voorwaarden bevatten betreffende het hergebruik, de formaten van gegevens en metadata en de technische regelingen voor de verspreiding ervan. Investeringen door lidstaten in een opendata-aanpak, zoals investeringen in de ontwikkeling en uitrol van bepaalde standaarden, worden afgewogen tegen de potentiële voordelen van opneming in de lijst.

Die uitvoeringshandelingen worden volgens de in artikel 46, lid 2, bedoelde onderzoeksprocedure vastgesteld.

2)De vaststelling van specifieke hoogwaardige datasets op grond van lid 1 gebeurt op basis van de beoordeling van hun potentieel om:

a)belangrijke sociaal-economische of ecologische baten en innovatieve diensten te genereren;

b)een groot aantal gebruikers, met name kleine en middelgrote ondernemingen en midcap-ondernemingen, ten goede te komen;

c)bij te dragen aan het genereren van inkomsten; en

d)gecombineerd te worden met andere datasets.

De Commissie gaat met het oog op de vaststelling van dergelijke specifieke hoogwaardige datasets over tot passende raadplegingen, onder meer op deskundigenniveau, verricht zij een effectbeoordeling en zorgt zij voor complementariteit met bestaande rechtshandelingen, zoals Richtlijn 2010/40/EU van het Europees Parlement en de Raad, wat het hergebruik van gegevens of documenten betreft. Die effectbeoordeling omvat een kosten-batenanalyse en een analyse om na te gaan of het kosteloos aanbieden van hoogwaardige datasets door overheidsinstanties die verplicht zijn inkomsten te genereren om een aanzienlijk deel van de kosten voor de uitoefening van hun openbare taken te dekken, een belangrijk effect zou hebben op de begroting van die instanties. Met betrekking tot hoogwaardige datasets van overheidsondernemingen wordt in de effectbeoordeling bijzondere aandacht besteed aan de rol van overheidsondernemingen in een concurrerend economisch klimaat.

3)In afwijking van lid 1, tweede alinea, punt a), wordt in de in dat lid bedoelde uitvoeringshandelingen bepaald dat de kosteloze beschikbaarstelling van hoogwaardige datasets niet geldt voor specifieke hoogwaardige datasets die in het bezit zijn van overheidsondernemingen indien dat tot concurrentieverstoring in de relevante markten zou leiden.

4)De vereiste om hoogwaardige datasets kosteloos beschikbaar te stellen op grond van lid 1, tweede alinea, punt a), geldt niet voor bibliotheken (met inbegrip van universiteitsbibliotheken), musea en archieven.

5)Indien de kosteloze beschikbaarstelling van hoogwaardige datasets door overheidsinstanties die verplicht zijn inkomsten te genereren om een aanzienlijk deel van de kosten voor de uitoefening van hun openbare taken te dekken, een belangrijk effect zou hebben op de begroting van de betrokken instanties, mogen de lidstaten die instanties vrijstellen van de vereiste om die hoogwaardige datasets kosteloos beschikbaar te stellen voor een maximale duur van twee jaar na de inwerkingtreding van de relevante uitvoeringshandeling die overeenkomstig lid 1 is vastgesteld.

Afdeling 3

Hergebruik van bepaalde categorieën beschermde gegevens die in het bezit zijn van overheidsinstanties

Artikel 32 quatervicies

Voorwaarden voor hergebruik

1)Overheidsinstanties die uit hoofde van het nationale recht bevoegd zijn om de toegang tot gegevens of documenten die behoren tot bepaalde categorieën beschermde gegevens met het oog op hergebruik te verlenen of te weigeren, maken de voorwaarden voor het toestaan van dat hergebruik en de procedure om toestemming voor hergebruik aan te vragen via het in artikel 32 bis bis bedoelde centrale informatiepunt, openbaar. Bij het verlenen of weigeren van toegang met het oog op hergebruik kunnen zij worden bijgestaan door de in artikel 32 septvicies, lid 1, bedoelde bevoegde organen.

De lidstaten zorgen ervoor dat overheidsinstanties over de nodige middelen beschikken om aan dit artikel en artikel 32 quinvicies te voldoen.

2)Hergebruik van gegevens of documenten doet geen afbreuk aan de beschermde aard van die gegevens of documenten en is alleen toegestaan:

a)in overeenstemming met intellectuele-eigendomsrechten;

b)indien gegevens die overeenkomstig het Unierecht of het nationale recht inzake commerciële of statistische vertrouwelijkheid als vertrouwelijk worden beschouwd, niet openbaar worden gemaakt als gevolg van het toestaan van hergebruik, tenzij dat hergebruik is toegestaan op basis van de toestemming van het datasubject of de toestemming van de gegevenshouder overeenkomstig lid 5;

c) overeenkomstig Verordening (EU) 2016/679.

3)Om het behoud van de beschermde aard als bedoeld in lid 2 te waarborgen, kunnen overheidsinstanties de volgende vereisten vaststellen:

a)toegang voor het hergebruik van gegevens of documenten wordt alleen verleend indien de overheidsinstantie of het bevoegde orgaan, na het verzoek om hergebruik, ervoor heeft gezorgd dat die gegevens of documenten:

i)geanonimiseerd zijn, in het geval van persoonsgegevens;

ii)onderworpen zijn aan andere vormen van verwerking van persoonsgegevens;

iii)gewijzigd of geaggregeerd zijn of dat zij behandeld zijn volgens een andere methode om de openbaarmaking ervan te controleren, in het geval van commercieel vertrouwelijke informatie, met inbegrip van bedrijfsgeheimen of door intellectuele-eigendomsrechten beschermde inhoud;

b)dat voor de toegang tot en het hergebruik van de gegevens op afstand gebruik wordt gemaakt van een beveiligde verwerkingsomgeving die door de overheidsinstantie ter beschikking wordt gesteld of gecontroleerd;

c)dat voor de toegang tot en het hergebruik van de gegevens of documenten gebruik wordt gemaakt, met inachtneming van strikte beveiligingsnormen, van de fysieke locatie waar de beveiligde verwerkingsomgeving zich bevindt, op voorwaarde dat toegang op afstand niet kan worden toegestaan zonder de rechten en belangen van derden in gevaar te brengen.

In het geval van hergebruik dat overeenkomstig de eerste alinea, punt a), i), is toegestaan, is het hergebruik van gegevens of documenten onderworpen aan de regels over openbare overheidsgegevens van afdeling 2. Dit doet geen afbreuk aan artikel 32 sexvicies, dat voorrang heeft in geval van een tegenstrijdigheid.

Bij hergebruik dat werd toegestaan overeenkomstig de eerste alinea, punten b) en c), leggen de overheidsinstanties voorwaarden op die de integriteit van de werking van de technische systemen van de beveiligde verwerkingsomgeving in stand houden.

4)De overheidsinstantie behoudt zich het recht voor het proces, de middelen en de resultaten van de verwerking van gegevens of documenten door de hergebruiker te verifiëren om de integriteit van de bescherming van de gegevens of documenten te waarborgen. Zij behoudt zich ook het recht voor het gebruik te verbieden van resultaten die informatie bevatten die de rechten en belangen van derden in gevaar brengt. Het besluit om het gebruik van de resultaten te verbieden moet begrijpelijk en transparant zijn voor de hergebruiker.

Tenzij het nationale recht in specifieke waarborgen voorziet inzake toepasselijke vertrouwelijkheidsverplichtingen met betrekking tot het hergebruik van bepaalde categorieën beschermde gegevens, stelt de overheidsinstantie het hergebruik van de overeenkomstig lid 3 verstrekte gegevens of documenten afhankelijk van de naleving door de hergebruiker van een vertrouwelijkheidsverplichting die de openbaarmaking verbiedt van informatie die de rechten en belangen van derden in gevaar brengt en die de hergebruiker ondanks de ingestelde waarborgen heeft verkregen. In geval van ongeoorloofd hergebruik van niet-persoonsgebonden gegevens, is de hergebruiker, waar passend met de hulp van de overheidsinstantie, verplicht de natuurlijke personen of rechtspersonen van wie de rechten en belangen in het geding kunnen komen, daar onverwijld van in kennis te stellen.

5)Wanneer hergebruik van gegevens of documenten niet kan worden toegestaan overeenkomstig de leden 3 en 4, is hergebruik alleen mogelijk:

a)indien er geen andere rechtsgrondslag is dan toestemming voor de doorgifte van de gegevens uit hoofde van Verordening (EU) 2016/679, met toestemming van de datasubjecten (ook: “betrokkenen”);   

b)met toestemming van de gegevenshouders wier rechten en belangen door een dergelijk hergebruik kunnen worden aangetast.

De overheidsinstantie stelt alles in het werk om, in overeenstemming met het Unierecht en het nationale recht, potentiële hergebruikers bijstand te verlenen bij het verkrijgen van toestemming van de datasubjecten of toestemming van de gegevenshouders wier rechten en belangen door een dergelijk hergebruik kunnen worden aangetast, indien dit haalbaar is zonder onevenredige lasten voor de overheidsinstantie.   

Bij het verlenen van dergelijke bijstand kan de overheidsinstantie worden bijgestaan door de in artikel 32 septvicies bedoelde bevoegde organen. 

Artikel 32 quinvicies

Vereisten voor de doorgifte van niet-persoonsgebonden gegevens door hergebruikers aan derde landen

1)Indien een hergebruiker voornemens is bepaalde categorieën beschermde gegevens die niet persoonsgebonden zijn aan een derde land door te geven, stelt hij de overheidsinstantie op het moment dat hij om hergebruik van dergelijke gegevens verzoekt op de hoogte van zijn voornemen om de gegevens door te geven en van het doel van die doorgifte. Bij hergebruik overeenkomstig op grond van de toestemming van de gegevenshouder, stelt de hergebruiker, waar passend met de hulp van de overheidsinstantie, de natuurlijke persoon wiens of de rechtspersoon waarvan de rechten en belangen in het geding kunnen komen, in kennis van dat voornemen, dat doel en de passende waarborgen. De overheidsinstantie staat het hergebruik enkel toe indien de natuurlijke persoon of de rechtspersoon toestemming verleent voor de doorgifte.

2)Overheidsinstanties geven niet-persoonsgebonden vertrouwelijke of door intellectuele-eigendomsrechten beschermde gegevens alleen door aan een hergebruiker die voornemens is die gegevens door te geven aan een niet overeenkomstig lid 7 aangewezen derde land indien de hergebruiker er zich contractueel toe verbindt:

a)naleving van de verplichtingen die zijn opgelegd in overeenstemming met intellectuele-eigendomsrechten en het Unierecht of het nationale recht inzake commerciële of statistische geheimhouding, zelfs nadat de gegevens aan het derde land zijn doorgegeven;

b)het aanvaarden van de bevoegdheid van de rechterlijke instanties van de lidstaat van de verzendende overheidsinstantie met betrekking tot geschillen in verband met de naleving van intellectuele-eigendomsrechten en het Unierecht of het nationale recht inzake commerciële of statistische geheimhouding.

3)De Commissie kan uitvoeringshandelingen vaststellen tot vaststelling van modelcontractbepalingen voor de naleving van de in lid 2 bedoelde verplichtingen. Die uitvoeringshandelingen worden volgens de in artikel 46, lid 2, bedoelde onderzoeksprocedure vastgesteld.

4)Waar relevant en binnen de grenzen van hun mogelijkheden bieden overheidsinstanties hergebruikers advies en bijstand bij de naleving van de in lid 2 bedoelde verplichtingen.

5)Indien een aanzienlijk aantal verzoeken in de Unie met betrekking tot het hergebruik van niet-persoonsgebonden gegevens in specifieke derde landen dat rechtvaardigt, kan de Commissie uitvoeringshandelingen vaststellen waarin wordt verklaard dat de juridische, toezichts- en handhavingsregelingen van een derde land:

a)de bescherming van intellectuele eigendom en bedrijfsgeheimen garanderen op een wijze die in wezen gelijkwaardig is aan de uit hoofde van het Unierecht geboden bescherming;

b)effectief worden toegepast en gehandhaafd; en

c)voorzien in effectieve verhaalsmogelijkheden.

6)Die uitvoeringshandelingen worden volgens de in artikel 46, lid 2, bedoelde onderzoeksprocedure vastgesteld.

7)In specifieke wetgevingshandelingen van de Unie kunnen bepaalde categorieën niet-persoonsgebonden gegevens die in het bezit zijn van overheidsinstanties als zeer gevoelig worden beschouwd voor de toepassing van dit artikel, indien de doorgifte daarvan aan derde landen doelstellingen van het overheidsbeleid van de Unie in gevaar kan brengen, zoals veiligheid en volksgezondheid, of het risico met zich mee kan brengen van heridentificatie van geanonimiseerde niet-persoonsgebonden gegevens. Wanneer een dergelijke handeling wordt vastgesteld, stelt de Commissie overeenkomstig artikel 45 gedelegeerde handelingen vast tot aanvulling van deze verordening door de vaststelling van bijzondere voorwaarden voor de doorgifte van dergelijke gegevens aan derde landen.

Indien een specifieke wetgevingshandeling van de Unie als bedoeld in de eerste alinea dat vereist, kunnen die bijzondere voorwaarden betrekking hebben op voorwaarden voor de doorgifte of technische regelingen in dat verband, beperkingen inzake het hergebruik van gegevens in derde landen of inzake categorieën van personen die dergelijke gegevens mogen doorgeven aan derde landen of, in uitzonderlijke gevallen, beperkingen inzake doorgiften aan derde landen.

De hergebruiker aan wie het recht op hergebruik van niet-persoonsgebonden gegevens is verleend, mag de gegevens alleen doorgeven aan derde landen die voldoen aan de vereisten van de leden 2, 4 en 5. 

Artikel 32 sexvicies

Vergoedingen

1)Overheidsinstanties die het hergebruik van bepaalde categorieën beschermde gegevens toestaan, kunnen een vergoeding in rekening brengen voor het toestaan van het hergebruik van dergelijke gegevens.

2)Indien overheidsinstanties een vergoeding aanrekenen, nemen zij maatregelen om het hergebruik van bepaalde categorieën beschermde gegevens aan te moedigen voor niet-commerciële doeleinden, zoals wetenschappelijk onderzoek, en door start-ups, kleine en middelgrote ondernemingen en midcap-ondernemingen, overeenkomstig de staatssteunregels. In dat verband kunnen overheidsinstanties de gegevens ook tegen een gereduceerde vergoeding of kosteloos ter beschikking stellen, met name aan start-ups, kleine en middelgrote ondernemingen en midcap-ondernemingen, maatschappelijke organisaties en onderzoeks- en onderwijsinstellingen. Overheidsinstanties kunnen daartoe een lijst opstellen van categorieën hergebruikers waaraan gegevens of documenten voor hergebruik tegen een gereduceerde vergoeding of kosteloos ter beschikking worden gesteld. Die lijst wordt, samen met de criteria die zijn gebruikt voor de opstelling ervan, openbaar gemaakt.

3)De vergoedingen worden afgeleid van de kosten voor het voeren van de procedure in verband met verzoeken tot hergebruik van bepaalde categorieën beschermde gegevens en worden beperkt tot de noodzakelijke kosten in verband met:

a)de reproductie, verstrekking en verspreiding van gegevens;

b)de vereffening van rechten;

c)de anonimisering of andere vormen van voorbereiding van persoonsgegevens en commercieel vertrouwelijke gegevens als bepaald in artikel 32 quatervicies, lid 3 (voorwaarden voor hergebruik);

d)het onderhoud van de veilige verwerkingsomgeving;

e)het verkrijgen van het recht om hergebruik overeenkomstig deze afdeling toe te staan door derden buiten de openbare sector; en het bijstaan van hergebruikers bij het verkrijgen van toestemming van datasubjecten en toestemming van gegevenshouders, van wie de rechten en belangen door het hergebruik in het geding kunnen komen.

4)De criteria en de methode voor de berekening van de vergoedingen worden door de lidstaten vastgesteld en bekendgemaakt. De overheidsinstantie publiceert een beschrijving van de belangrijkste kostencategorieën en de regels voor de toerekening van de kosten.

5)Overheidsinstanties kunnen voor zeer grote ondernemingen hogere vergoedingen in rekening brengen dan die welke overeenkomstig de leden 2 en 3 zijn toegestaan, op basis van objectieve criteria, rekening houdend met de economische macht of het vermogen van de entiteit om gegevens te verkrijgen, met inbegrip van met name een aanwijzing als poortwachter uit hoofde van Verordening (EU) 2022/1925. Dergelijke berekende vergoedingen zijn evenredig. Naast de in lid 3 genoemde elementen kunnen zij betrekking hebben op de kosten van het verzamelen en produceren van de gegevens, vermeerderd met een redelijk rendement op investeringen.

Artikel 32 septvicies

Bevoegde autoriteiten

1)Voor de uitvoering van de in dit artikel bedoelde taken wijst elke lidstaat overeenkomstig artikel 37, lid 1, een of meer bevoegde autoriteiten aan die bevoegd kunnen zijn voor bepaalde sectoren, maar die gezamenlijk alle sectoren moeten bestrijken, om de overheidsinstanties bij te staan die toegang verlenen of weigeren voor het hergebruik van bepaalde categorieën beschermde gegevens. De lidstaten kunnen ofwel een of meer bevoegde organen oprichten, ofwel een beroep doen op bestaande overheidsinstanties of op interne diensten van overheidsinstanties die aan de voorwaarden van deze afdeling voldoen.

2)De bevoegde organen kunnen ook de bevoegdheid krijgen toegang met het oog op hergebruik van bepaalde categorieën beschermde gegevens te verlenen, op grond van het Unierecht of het nationale recht dat voorziet in het verlenen van die toegang. Wanneer zij toegang verlenen of weigeren voor hergebruik, zijn die bevoegde autoriteiten onderworpen aan de artikelen 32 duodecies, 32 quatervicies, 32 quinvicies, 32 sexvicies en 32 bis ter.

3)De bevoegde organen moeten over voldoende juridische, financiële, technische en personele middelen beschikken om de hun opgedragen taken uit te voeren, waaronder de noodzakelijke technische kennis om het toepasselijke Unierecht of nationale recht inzake de regelingen voor toegang tot de in artikel 2, punt 54, bedoelde categorieën beschermde gegevens na te leven.

4)De in lid 1 bedoelde bijstand omvat, indien nodig:

a)technische steun, door een beveiligde verwerkingsomgeving ter beschikking te stellen voor het verlenen van toegang tot gegevens of documenten met het oog op hergebruik;

b)richtsnoeren en technische steun voor het zo goed mogelijk structureren en opslaan van gegevens om die gegevens of documenten gemakkelijk toegankelijk te maken;

c)technische steun voor de anonimisering, pseudonimisering en geavanceerde methoden voor de bescherming van de privacy, niet beperkt tot persoonsgegevens, maar ook tot commercieel vertrouwelijke informatie, met inbegrip van bedrijfsgeheimen of door intellectuele-eigendomsrechten beschermde inhoud;

d)waar relevant, het bijstaan van de overheidsinstanties bij het ondersteunen van hergebruikers die datasubjecten verzoeken om toestemming voor hergebruik of gegevenshouders verzoeken om toelating in overeenstemming met hun specifieke besluiten, inclusief wat betreft de jurisdictie waar men de gegevensverwerking wil laten plaatsvinden, en het bijstaan van de overheidsinstanties bij het opzetten van technische mechanismen die de doorgifte van verzoeken om toestemming of toelating van hergebruikers mogelijk maken, indien praktisch haalbaar;

e)bijstand aan de overheidsinstanties bij het beoordelen van de toereikendheid van de door een hergebruiker aangegane contractuele verbintenissen, op grond van artikel 32 quinvicies, lid 2.

Artikel 32 bis bis

Centraal informatiepunt

1)Elke lidstaat wijst één centraal informatiepunt aan. Dat informatiepunt maakt gemakkelijk toegankelijke informatie beschikbaar met betrekking tot de toepassing van de artikelen 32 quatervicies, 32 quinvicies en 32 sexvicies. 

2)Het centraal informatiepunt is bevoegd verzoeken om informatie of hergebruik met betrekking tot bepaalde categorieën beschermde gegevens te ontvangen en geeft ze door, indien mogelijk en passend langs geautomatiseerde weg, aan de bevoegde overheidsinstanties of, waar relevant, aan de in lid 1 van artikel 32 septvicies bedoelde bevoegde organen.

3)Het centraal informatiepunt kan een afzonderlijk, vereenvoudigd en goed gedocumenteerd informatiekanaal bevatten voor kleine en middelgrote ondernemingen, midcap-ondernemingen, start-ups en onderzoeksinstellingen, dat inspeelt op hun behoeften en capaciteiten met betrekking tot verzoeken om hergebruik van de in artikel 2, punt 54, bedoelde gegevenscategorieën.

4)Het centraal informatiepunt stelt langs elektronische weg een doorzoekbare overzichtslijst beschikbaar met een overzicht van alle beschikbare documentbronnen, met inbegrip van, waar relevant, de documentbronnen die beschikbaar zijn op sectorale, regionale of lokale informatiepunten, met relevante informatie over de beschikbare gegevens of documenten, waaronder ten minste het formaat en de omvang van de gegevens en de voorwaarden voor het hergebruik ervan.

5)De Commissie richt een Europees centraal toegangspunt op dat een doorzoekbaar elektronisch register aanbiedt van de gegevens of documenten die beschikbaar zijn in de nationale centrale informatiepunten, alsmede nadere informatie over de wijze waarop gegevens of documenten kunnen worden opgevraagd via die nationale centrale informatiepunten.

Artikel 32 bis ter

Procedure voor verzoeken om hergebruik

1)Tenzij overeenkomstig het nationale recht kortere termijnen zijn vastgesteld, nemen de bevoegde overheidsinstanties of de in artikel 32 septvicies, lid 1, bedoelde bevoegde organen binnen twee maanden na ontvangst van het verzoek een besluit over het verzoek om hergebruik van bepaalde categorieën beschermde gegevens.

2)Bij uitzonderlijk uitgebreide en complexe verzoeken om hergebruik kan die termijn van twee maanden met ten hoogste 30 dagen worden verlengd. In dergelijke gevallen stellen de bevoegde overheidsinstanties of de in artikel 32 septvicies, lid 1, bedoelde bevoegde organen de verzoeker er zo spoedig mogelijk van in kennis dat het voeren van de procedure meer tijd vergt, onder vermelding van de redenen voor de vertraging.

3)Elke natuurlijke persoon of rechtspersoon die rechtstreeks wordt geraakt door een in lid 1 bedoeld besluit, heeft een effectief recht op verhaal in de lidstaat waar het betrokken orgaan is gevestigd. Dat recht op verhaal is vastgelegd in het nationale recht en omvat de mogelijkheid tot herziening door een onpartijdige instantie die over de nodige deskundigheid beschikt, zoals de nationale mededingingsautoriteit, de relevante autoriteit inzake toegang tot documenten, de toezichthoudende autoriteit die is opgericht overeenkomstig Verordening (EU) 2016/679 of een nationale rechterlijke instantie, en waarvan de beslissingen bindend zijn voor het betrokken overheidsinstantie of bevoegd orgaan.”;

19.Artikel 38 wordt vervangen door:

1)“Onverminderd andere mogelijkheden van administratief beroep of voorziening in rechte, hebben natuurlijke personen en rechtspersonen het recht om individueel of, in voorkomend geval, collectief een klacht in te dienen:

a)bij de relevante bevoegde autoriteit in de lidstaat waar zij hun gewone verblijfplaats, werkplek of plaats van vestiging hebben, indien zij van mening zijn dat inbreuk is gemaakt op hun rechten uit hoofde van deze verordening;

b)voor een aangelegenheid die binnen het toepassingsgebied van deze verordening valt, specifiek tegen een erkende aanbieder van databemiddelingsdiensten of een erkende organisatie voor data-altruïsme, bij de relevante bevoegde autoriteit voor de registratie van databemiddelingsdiensten of de relevante bevoegde autoriteit voor de registratie van organisaties voor data-altruïsme.

2)De datacoördinator verstrekt natuurlijke personen en rechtspersonen op verzoek alle benodigde informatie om hun klacht bij de juiste bevoegde autoriteit in te dienen.

3)De bevoegde autoriteit waarbij de klacht is ingediend, stelt de klager overeenkomstig het nationale recht in kennis van:

a)de voortgang van de procedure en van het genomen besluit; en

b)de rechtsmiddelen als bedoeld in artikel 39.”;

20.In artikel 40 wordt het volgende lid 6 ingevoegd:

“6. Dit artikel is niet van toepassing op hoofdstuk VII quater.”;

21.Na artikel 41 wordt de volgende titel ingevoegd:

“HOOFDSTUK IX bis

Europees Comité voor gegevensinnovatie”;

22.Het volgende artikel 41 bis wordt ingevoegd:

“Artikel 41 bis

Europees Comité voor gegevensinnovatie

1)Het Europees Comité voor gegevensinnovatie is opgericht om de Commissie te adviseren en bij te staan bij de coördinatie van de handhaving van deze verordening en om te dienen als discussieforum voor de ontwikkeling van een Europese data-economie en een Europees gegevensbeleid.

2)Het comité bestaat ten minste uit vertegenwoordigers van de lidstaten die bevoegd zijn voor aangelegenheden in verband met gegevens, de autoriteiten die bevoegd zijn voor de handhaving van de hoofdstukken II, III, V, VII bis en VII quater van deze verordening, het Europees Comité voor gegevensbescherming, de Europese Toezichthouder voor gegevensbescherming, Enisa, de midden- en kleinbedrijfgezant van de EU of een door het netwerk van midden- en kleinbedrijfgezanten aangewezen vertegenwoordiger. De Commissie kan besluiten extra categorieën leden toe te voegen. Bij de benoeming van individuele deskundigen streeft de Commissie naar een gender- en geografisch evenwicht bij de leden van de groep.

3)De Commissie neemt een besluit over de samenstelling van de verschillende formaties waarin het comité zijn taken zal vervullen.

4)De Commissie zit de vergaderingen van het Europees Comité voor gegevensinnovatie voor.”;

23.Artikel 42 wordt vervangen door:

“Artikel 42

Rol van het Europees Comité voor gegevensinnovatie

1)Het Europees Comité voor gegevensinnovatie zorgt ervoor dat deze verordening consequent wordt toegepast, door:

a)te fungeren als forum voor strategische besprekingen over gegevensbeleid, gegevensgovernance, internationale gegevensstromen en sectoroverschrijdende ontwikkelingen die relevant zijn voor de Europese data-economie;

b)de Commissie te adviseren en bij te staan bij de ontwikkeling van een consistente praktijk van de bevoegde autoriteiten bij de handhaving van de hoofdstukken II, III, V, VII, VII bis en VII quater;

c)de samenwerking tussen de bevoegde autoriteiten te vergemakkelijken door middel van capaciteitsopbouw en informatie-uitwisseling;

d)de uitwisseling van ervaringen en goede praktijken tussen de lidstaten op het gebied van hergebruik van overheidsinformatie in samenwerking met andere relevante bestuursorganen te bevorderen.”; 

24.Artikel 45 wordt als volgt gewijzigd:

a)lid 2 wordt vervangen door:

“2. De in artikel 29, lid 7, artikel 32 duovicies, lid 2, en artikel 33, lid 2, bedoelde bevoegdheid om gedelegeerde handelingen vast te stellen, wordt aan de Commissie toegekend voor onbepaalde tijd.”;

b)lid 3 wordt vervangen door:

“3. Het Europees Parlement of de Raad kan de in artikel 29, lid 7, artikel 32 duovicies, lid 2, en artikel 33, lid 2, bedoelde bevoegdheidsdelegatie te allen tijde intrekken. Het besluit tot intrekking beëindigt de delegatie van de in dat besluit genoemde bevoegdheid. Het wordt van kracht op de dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie of op een daarin genoemde latere datum. Het laat de geldigheid van de reeds van kracht zijnde gedelegeerde handelingen onverlet.”;

c)lid 6 wordt vervangen door:

“6. Een overeenkomstig de artikel 29, lid 7, artikel 32 duovicies, lid 2, en artikel 33, lid 2, vastgestelde gedelegeerde handeling treedt alleen in werking indien het Europees Parlement noch de Raad daartegen binnen een termijn van twee maanden na de kennisgeving van de handeling aan het Europees Parlement en de Raad bezwaar heeft gemaakt, of indien zowel het Europees Parlement als de Raad voor het verstrijken van die termijn de Commissie hebben meegedeeld dat zij daartegen geen bezwaar zullen maken. Die termijn wordt op initiatief van het Europees Parlement of van de Raad met drie maanden verlengd.”; 

25.Artikel 46 wordt als volgt gewijzigd:

a)in lid 1 wordt de eerste zin vervangen door:

“De Commissie wordt bijgestaan door een comité. Dat comité is een comité in de zin van Verordening (EU) nr. 182/2011.”;

b)het volgende lid 1 bis wordt ingevoegd:

“1 bis. Wanneer naar dit lid wordt verwezen, is artikel 4 van Verordening (EU) nr. 182/2011 van toepassing.”;

26.Artikel 49 wordt als volgt gewijzigd:

a)lid 1 wordt als volgt gewijzigd: 

i)de inleidende zin wordt vervangen door:

“1. Uiterlijk op 12 september 2028 voert de Commissie een evaluatie uit van de hoofdstukken II, III, IV, V, VI, VII en VIII, en brengt zij een verslag uit over de belangrijkste bevindingen aan het Europees Parlement en de Raad, alsmede aan het Europees Economisch en Sociaal Comité. In het kader van deze evaluatie wordt met name het volgende beoordeeld:”;

ii) punt m) wordt vervangen door:

“m) het effect van deze verordening op kleine en middelgrote ondernemingen en midcap-ondernemingen met betrekking tot hun innovatiecapaciteit en tot de beschikbaarheid van dataverwerkingsdiensten voor gebruikers in de Unie en tot de lasten bij de nakoming van nieuwe verplichtingen.”;

b)het volgende lid 2 bis wordt ingevoegd: 

“2 bis. Uiterlijk op [datum = vijf jaar na de datum van inwerkingtreding] voert de Commissie een evaluatie uit van de hoofdstukken VII bis, VII ter en VII quater, van deze verordening, en brengt zij over de belangrijkste bevindingen verslag uit aan het Europees Parlement, de Raad en het Europees Economisch en Sociaal Comité.

In het verslag wordt met name het volgende beoordeeld:

a)de status van registraties van databemiddelingsdiensten en het soort diensten dat zij aanbieden;

b)de soorten organisaties voor data-altruïsme die zijn geregistreerd en een overzicht van de doeleinden van algemeen belang waarvoor gegevens worden gedeeld teneinde in dat opzicht duidelijke criteria vast te stellen;

c)het toepassingsgebied en de sociale en economische gevolgen van hoofdstuk VII quater, afdeling 2, met inbegrip van:

d)de mate waarin het hergebruik van overheidsdocumenten waarop hoofdstuk VII quater, afdeling 2, van toepassing is, is toegenomen, met name door kleine en middelgrote ondernemingen en midcap-ondernemingen;

e)het effect van de hoogwaardige datasets;

f)de interactie tussen gegevensbescherming en mogelijkheden tot hergebruik.

g)De lidstaten verstrekken de Commissie de nodige informatie voor het opstellen van dat verslag.”;

c)lid 5 wordt vervangen door: 

“5. Op basis van de in de leden 1, 2 en 2 bis, bedoelde verslagen kan de Commissie zo nodig bij het Europees Parlement en de Raad een wetgevingsvoorstel indienen om deze verordening te wijzigen.”; 

27.Bijlage I wordt toegevoegd overeenkomstig bijlage II bij deze verordening.

Artikel 2

Wijzigingen van Verordening (EU) 2018/1724

In de tabel in bijlage II bij Verordening (EU) 2018/1724 wordt de vermelding “Starten, exploiteren en sluiten van een bedrijf” vervangen door:

Artikel 3

Wijzigingen van Richtlijn (EU) 2016/679 (AVG)

Verordening (EU) 2016/679 wordt als volgt gewijzigd:

1. Artikel 4 wordt als volgt gewijzigd:

(a)in punt 1 worden de volgende zinnen toegevoegd:

“Informatie over een natuurlijke persoon is niet noodzakelijkerwijs persoonsgegevens voor elke andere persoon of entiteit, louter omdat een andere entiteit die natuurlijke persoon kan identificeren. Informatie is voor een bepaalde entiteit niet persoonlijk indien die entiteit de natuurlijke persoon op wie de informatie betrekking heeft, niet kan identificeren, rekening houdend met de middelen die redelijkerwijs door die entiteit kunnen worden gebruikt. Dergelijke informatie wordt voor die entiteit niet persoonlijk louter omdat een potentiële latere ontvanger over middelen beschikt die redelijkerwijs kunnen worden gebruikt om de natuurlijke persoon op wie de informatie betrekking heeft, te identificeren.”;

(b)de volgende punten worden toegevoegd:

“32. “eindapparatuur”: eindapparatuur zoals gedefinieerd in artikel 1, punt 1) van Richtlijn 2008/63/EG;

33. “elektronischecommunicatienetwerk”: een elektronischecommunicatienetwerk zoals gedefinieerd in artikel 2, punt 1), van Richtlijn (EU) 2018/1972;

34. “webbrowser”: een webbrowser zoals gedefinieerd in artikel 2, punt 11), van Verordening (EU) 2022/1925;

35. “mediadienst”: een mediadienst zoals gedefinieerd in artikel 2, punt 1), van Verordening (EU) 2024/1083;

36. “aanbieder van mediadiensten”: een aanbieder van mediadiensten zoals gedefinieerd in artikel 2, punt 2), van Verordening (EU) 2024/1083;

37. “online-interface”: een online-interface zoals gedefinieerd in artikel 3, punt m), van Verordening (EU) 2022/2065;

38. “wetenschappelijk onderzoek”: enig onderzoek dat ook innovatie kan ondersteunen, zoals technologische ontwikkeling en demonstratie. Deze acties dragen bij tot de bestaande wetenschappelijke kennis of passen bestaande kennis op nieuwe manieren toe, worden uitgevoerd met als doel bij te dragen tot de groei van de algemene kennis en het algemene welzijn van de samenleving en voldoen aan de ethische normen op het desbetreffende onderzoeksgebied. Dit sluit niet uit dat het onderzoek ook gericht kan zijn op het bevorderen van een commercieel belang.”;

2.In artikel 5, lid 1, wordt punt b) vervangen door:

“voor welbepaalde, uitdrukkelijk omschreven en legitieme doeleinden worden verzameld en niet op een met die doeleinden onverenigbare wijze worden verwerkt; de verdere verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden wordt overeenkomstig artikel 89, lid 1, als verenigbaar met de oorspronkelijke doeleinden beschouwd, onafhankelijk van de voorwaarden van artikel 6, lid 4 (“doelbinding”);”;

3.Artikel 9 wordt als volgt gewijzigd:

(a)aan lid 2 worden de volgende punten toegevoegd:

“k) verwerking in het kader van de ontwikkeling en exploitatie van een AI-systeem zoals gedefinieerd in artikel 3, punt 1, van Verordening (EU) 2024/1689 of een AI-model, onder de in lid 5 bedoelde voorwaarden;

l) de verwerking van biometrische gegevens is noodzakelijk voor de bevestiging van de identiteit van een betrokkene (verificatie), wanneer de biometrische gegevens of de voor de verificatie benodigde middelen uitsluitend onder de controle van de betrokkene staan.”;

(b)het volgende lid wordt toegevoegd:

“5. Voor de in lid 2, punt k), bedoelde verwerking worden passende organisatorische en technische maatregelen genomen om het verzamelen en anderszins verwerken van bijzondere categorieën persoonsgegevens te voorkomen. Indien de verwerkingsverantwoordelijke, ondanks de uitvoering van dergelijke maatregelen, bijzondere categorieën persoonsgegevens identificeert in de datasets die worden gebruikt voor training, tests of validering of in het AI-systeem of AI-model, worden die gegevens verwijderd. Indien de verwijdering van die gegevens onevenredig veel moeite vergt, neemt de verwerkingsverantwoordelijke in elk geval op doeltreffende wijze en zonder onnodige vertraging doeltreffende maatregelen om te voorkomen dat die gegevens worden gebruikt om resultaten te produceren, worden bekendgemaakt of anderszins ter beschikking van derden worden gesteld.”;

4.In artikel 12 wordt lid 5 vervangen door:

“5. Het verstrekken van de in de artikelen 13 en 14 bedoelde informatie, en het verstrekken van de communicatie en het treffen van de maatregelen bedoeld in de artikelen 15 tot en met 22 en artikel 34 geschieden kosteloos. Wanneer verzoeken van een betrokkene kennelijk ongegrond of buitensporig zijn, met name vanwege hun repetitieve karakter, of ook, voor verzoeken uit hoofde van artikel 15 omdat de betrokkene de bij deze verordening verleende rechten misbruikt voor andere doeleinden dan de bescherming van zijn gegevens, kan de verwerkingsverantwoordelijke:

a)een redelijke vergoeding aanrekenen in het licht van de administratieve kosten waarmee het verstrekken van de gevraagde informatie of communicatie en het treffen van de gevraagde maatregelen gepaard gaan; of

b)weigeren gevolg te geven aan het verzoek.

Het is aan de verwerkingsverantwoordelijke om aan te tonen dat het verzoek kennelijk ongegrond is of dat er redelijke gronden zijn om aan te nemen dat het verzoek buitensporig is.”;

5.In artikel 13 wordt lid 4 vervangen door:

“4. De leden 1, 2 en 3 zijn niet van toepassing wanneer de persoonsgegevens zijn verzameld in het kader van een duidelijke en afgebakende relatie tussen betrokkenen en een verwerkingsverantwoordelijke die een niet-gegevensintensieve activiteit uitoefent en er redelijke gronden zijn om aan te nemen dat de betrokkene reeds over de in lid 1, punten a) en c), bedoelde informatie beschikt, tenzij de verwerkingsverantwoordelijke de gegevens doorgeeft aan andere ontvangers of categorieën ontvangers, de gegevens doorgeeft aan een derde land, geautomatiseerde besluitvorming, met inbegrip van profilering, als bedoeld in artikel 22, lid 1, uitvoert of de verwerking waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van betrokkenen in de zin van artikel 35.”;

6.In artikel 13 wordt het volgende lid 5 toegevoegd:

“5. Wanneer de verwerking plaatsvindt voor wetenschappelijk onderzoek en de verstrekking van de in de leden 1, 2 en 3 bedoelde informatie onmogelijk blijkt of een onevenredige inspanning zou vergen onder de in artikel 89, lid 1, bedoelde voorwaarden en waarborgen, of voor zover de in lid 1 bedoelde verplichting de verwezenlijking van de doelstellingen van die verwerking onmogelijk dreigt te maken of ernstig in het gedrang dreigt te brengen, hoeft de verwerkingsverantwoordelijke de in de leden 1, 2 en 3 bedoelde informatie niet te verstrekken. In dergelijke gevallen neemt de verwerkingsverantwoordelijke passende maatregelen om de rechten, de vrijheden en de gerechtvaardigde belangen van de betrokkene te beschermen, waaronder het openbaar maken van de informatie.”;

7.In artikel 22 worden de leden 1 en 2 vervangen door:

“1. Een besluit dat rechtsgevolgen voor een betrokkene heeft of hem of haar op vergelijkbare wijze in aanmerkelijke mate treft, mag uitsluitend op geautomatiseerde verwerking, met inbegrip van profilering, worden gebaseerd indien dat besluit:

a) noodzakelijk is voor de totstandkoming of de uitvoering van een overeenkomst tussen de betrokkene en een verwerkingsverantwoordelijke, ongeacht of het besluit anders dan met uitsluitend geautomatiseerde middelen zou kunnen worden genomen;

b) is toegestaan bij een Unierechtelijke of lidstaatrechtelijke bepaling die op de verwerkingsverantwoordelijke van toepassing is en die ook voorziet in passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene; of

c)berust op de uitdrukkelijke toestemming van de betrokkene.”;

8.Artikel 33 wordt als volgt gewijzigd:

(a)lid 1 wordt vervangen door:

“1. In het geval van een inbreuk in verband met persoonsgegevens die waarschijnlijk zal leiden tot een hoog risico voor de rechten en vrijheden van natuurlijke personen, stelt de verwerkingsverantwoordelijke de overeenkomstig de artikelen 55 en 56 bevoegde toezichthoudende autoriteit onverwijld en, indien mogelijk, uiterlijk 96 uur nadat hij daarvan kennis heeft gekregen, via het op grond van artikel 23 bis van Richtlijn (EU) 2022/2555 opgerichte centrale toegangspunt in kennis van de inbreuk in verband met persoonsgegevens. Wanneer de kennisgeving aan de toezichthoudende autoriteit niet binnen 96 uur plaatsvindt, gaat deze vergezeld van een motivering voor de vertraging.”;

(b)het volgende lid wordt toegevoegd:

“1 bis. Tot de oprichting van het centrale toegangspunt overeenkomstig artikel 23 bis van Richtlijn (EU) 2022/2555 blijven verwerkingsverantwoordelijken inbreuken in verband met persoonsgegevens rechtstreeks melden aan de bevoegde toezichthoudende autoriteit overeenkomstig de artikelen 55 en 56.”;

(c)de volgende leden worden toegevoegd:

“6. Het Comité stelt een voorstel op voor een gemeenschappelijk model voor de kennisgeving van een inbreuk in verband met persoonsgegevens aan de in lid 1 bedoelde bevoegde toezichthoudende autoriteit en voor een lijst van de omstandigheden waarin een inbreuk in verband met persoonsgegevens waarschijnlijk een hoog risico voor de rechten en vrijheden van een natuurlijke persoon inhoudt, en zendt dit toe aan de Commissie. De voorstellen worden binnen [OP date = nine months of the entry into application of this Regulation] bij de Commissie ingediend. De Commissie evalueert dit voorstel, indien nodig, na passende overweging, en is bevoegd het door middel van een uitvoeringshandeling vast te stellen overeenkomstig de in artikel 93, lid 2, bedoelde onderzoeksprocedure.

7. Het model en de lijst als bedoeld in lid 6 worden ten minste om de drie jaar geëvalueerd en zo nodig bijgewerkt. Het Comité dient zijn beoordeling en eventuele voorstellen voor actualiseringen tijdig bij de Commissie in. De Commissie evalueert de voorstellen na passende overweging en is bevoegd eventuele actualiseringen vast te stellen volgens de in lid 6 genoemde procedure.”;

9.Artikel 35 wordt als volgt gewijzigd:

(a)de leden 4, 5 en 6 worden vervangen door:

“4. Het Comité stelt een lijst op van het soort verwerkingen waarvoor een gegevensbeschermingseffectbeoordeling overeenkomstig lid 1 verplicht is, en zendt deze toe aan de Commissie.

5. Het Comité stelt een lijst op van het soort verwerkingen waarvoor geen gegevensbeschermingseffectbeoordeling verplicht is, en zendt deze toe aan de Commissie.

6. Het Comité stelt een voorstel voor een gemeenschappelijk model en een gemeenschappelijke methode voor de uitvoering van gegevensbeschermingseffectbeoordelingen op, en zendt dit toe aan de Commissie.”;

(b)de volgende leden worden ingevoegd:

“6 bis. De voorstellen voor de in de leden 4 en 5 bedoelde lijsten en voor het in lid 6 bedoelde model en de in lid 6 bedoelde methode worden uiterlijk op [OP date = 9 months of the entry into application of this Regulation] bij de Commissie ingediend. De Commissie evalueert deze na passende overweging en is bevoegd deze door middel van een uitvoeringshandeling vast te stellen overeenkomstig de in artikel 93, lid 2, bedoelde onderzoeksprocedure.

6 ter. De lijsten en het model als bedoeld in lid 6 bis worden ten minste om de drie jaar geëvalueerd en zo nodig bijgewerkt. Het Comité dient zijn beoordeling en eventuele voorstellen voor actualiseringen tijdig bij de Commissie in. Na passende overweging van de voorstellen evalueert de Commissie deze en is zij bevoegd eventuele actualiseringen vast te stellen volgens de in lid 6 bis genoemde procedure.

6 quater. Lijsten van het soort verwerkingen waarvoor een gegevensbeschermingseffectbeoordeling vereist is en van het soort verwerkingen waarvoor geen gegevensbeschermingseffectbeoordeling vereist is en die door de toezichthoudende autoriteiten openbaar worden gemaakt, blijven geldig totdat de Commissie de in lid 6 bis bedoelde uitvoeringshandeling vaststelt.”;

10.Het volgende artikel wordt toegevoegd:

“Artikel 41 bis

1)De Commissie kan uitvoeringshandelingen vaststellen om middelen en criteria te specificeren om te bepalen of gegevens die voortvloeien uit pseudonimisering voor bepaalde entiteiten niet langer persoonsgegevens vormen.

2)Ten behoeve van lid 1 moet de Commissie:

a)de stand van de beschikbare technieken beoordelen; 

b)criteria en/of categorieën ontwikkelen voor verwerkingsverantwoordelijken en ontvangers om het risico van heridentificatie met betrekking tot typische ontvangers van gegevens te beoordelen.

3)De uitvoering van de in een uitvoeringshandeling beschreven middelen en criteria kan worden gebruikt als element om aan te tonen dat gegevens niet kunnen leiden tot heridentificatie van de betrokkenen.

4)De Commissie betrekt het Europees Comité voor gegevensbescherming nauw bij de voorbereiding van de uitvoeringshandelingen. Het Europees Comité voor gegevensbescherming brengt binnen acht weken na ontvangst van het ontwerp van de Commissie advies uit over de ontwerpuitvoeringshandelingen.

5)Die uitvoeringshandelingen worden volgens de in artikel 93, lid 3, bedoelde onderzoeksprocedure vastgesteld.”;

11.Artikel 57, lid 1, wordt als volgt gewijzigd:

(a)punt k) wordt geschrapt;

12.In artikel 64, lid 1, wordt punt a) geschrapt;

13.In artikel 70, lid 1, wordt punt h) geschrapt;

14.In artikel 70 worden in lid 1 de volgende punten ingevoegd:

“h bis) opstellen en aan de Commissie toezenden van een voorstel voor een lijst van het soort verwerkingen waarvoor een gegevensbeschermingseffectbeoordeling vereist is en waarvoor geen gegevensbeschermingseffectbeoordeling vereist is, overeenkomstig artikel 35;

h ter) opstellen en aan de Commissie toezenden van een voorstel voor een gemeenschappelijk model en een gemeenschappelijke methode voor de uitvoering van gegevensbeschermingseffectbeoordelingen, overeenkomstig artikel 35;

h quater) opstellen en aan de Commissie toezenden van een voorstel voor een gemeenschappelijk model voor de kennisgeving van een inbreuk in verband met persoonsgegevens aan de bevoegde toezichthoudende autoriteit, alsmede voor een lijst van de omstandigheden waarin een inbreuk in verband met persoonsgegevens waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van een natuurlijke persoon, overeenkomstig artikel 33.”;

15.Na artikel 88 worden de volgende artikelen toegevoegd:

“Artikel 88 bis

Verwerking van persoonsgegevens op de eindapparatuur van natuurlijke personen

1)Het opslaan van persoonsgegevens of het verkrijgen van toegang tot reeds op de eindapparatuur van een natuurlijke persoon opgeslagen persoonsgegevens is alleen toegestaan wanneer die persoon zijn of haar toestemming heeft gegeven, overeenkomstig deze verordening.

2)Lid 1 vormt geen beletsel voor het opslaan van persoonsgegevens of het verkrijgen van toegang tot reeds op de eindapparatuur van een natuurlijke persoon opgeslagen persoonsgegevens, op basis van het Unierecht of het lidstatelijke recht in de zin van en onder de voorwaarden van artikel 6, om de in artikel 23, lid 1, bedoelde doelstellingen te waarborgen.

3)Het opslaan van persoonsgegevens of het verkrijgen van toegang tot reeds op de eindapparatuur van een natuurlijke persoon opgeslagen persoonsgegevens zonder toestemming en de daaropvolgende verwerking zijn rechtmatig voor zover dit noodzakelijk is voor een van de volgende doeleinden: 

a)het uitvoeren van de doorgifte van elektronische communicatie via een elektronischecommunicatienetwerk; 

b)het verlenen van een uitdrukkelijk door de betrokkene gevraagde dienst;

c)het creëren van geaggregeerde informatie over het gebruik van een onlinedienst om het publiek van een dergelijke dienst te meten, wanneer deze actie uitsluitend voor eigen gebruik wordt uitgevoerd door de verwerkingsverantwoordelijke van die onlinedienst;

d)het handhaven of herstellen van de veiligheid van een dienst die door de verwerkingsverantwoordelijke wordt verleend en die door de betrokkene of de eindapparatuur die voor de verlening van die dienst wordt gebruikt, is gevraagd. 

4)Wanneer de opslag van persoonsgegevens of het verkrijgen van toegang tot reeds op de eindapparatuur van een natuurlijke persoon opgeslagen persoonsgegevens gebaseerd is op toestemming, is het volgende van toepassing:

a)de betrokkene kan verzoeken om toestemming op eenvoudige en begrijpelijke wijze weigeren met één klik op een knop of op gelijkwaardige wijze; 

b)indien de betrokkene toestemming geeft, dient de verwerkingsverantwoordelijke geen nieuw verzoek om toestemming voor hetzelfde doel in gedurende de periode waarin de verwerkingsverantwoordelijke zich rechtmatig op de toestemming van de betrokkene kan beroepen;

c)indien de betrokkene een verzoek om toestemming afwijst, dient de verwerkingsverantwoordelijke gedurende een periode van ten minste zes maanden geen nieuw verzoek om toestemming voor hetzelfde doel in.

Dit lid is ook van toepassing op de daaropvolgende verwerking van persoonsgegevens op basis van toestemming.

5)Dit artikel is van toepassing vanaf [OP: please insert the date = 6 months following the date of entry into force of this Regulation].

Artikel 88 ter

Geautomatiseerde en machineleesbare aanduidingen van de keuzes van de betrokkene met betrekking tot de verwerking van persoonsgegevens op de eindapparatuur van natuurlijke personen

1)Verwerkingsverantwoordelijken zorgen ervoor dat hun online-interfaces betrokkenen in staat stellen om:

a)toestemming te verlenen via geautomatiseerde en machineleesbare middelen, mits aan de in deze verordening vastgestelde voorwaarden voor toestemming is voldaan; 

b)een verzoek om toestemming af te wijzen en het recht van bezwaar uit hoofde van artikel 21, lid 2, uit te oefenen met behulp van geautomatiseerde en machineleesbare middelen.

2)De verwerkingsverantwoordelijken eerbiedigen de keuzes die de betrokkenen overeenkomstig lid 1 hebben gemaakt.

3)De leden 1 en 2 zijn niet van toepassing op verwerkingsverantwoordelijken die aanbieders van mediadiensten zijn wanneer zij een mediadienst aanbieden.

4)Overeenkomstig artikel 10, lid 1, van Verordening (EU) nr. 1025/2012 verzoekt de Commissie een of meer Europese normalisatie-instellingen normen op te stellen voor de uitlegging van machineleesbare aanduidingen van de keuzes van betrokkenen.

Online-interfaces van verwerkingsverantwoordelijken die voldoen aan geharmoniseerde normen of delen daarvan waarvan de referenties in het Publicatieblad van de Europese Unie zijn bekendgemaakt, worden geacht in overeenstemming te zijn met de in artikel 1 genoemde eisen voor zover deze binnen het toepassingsgebied van die normen of delen daarvan vallen.

5)De leden 1 en 2 zijn van toepassing met ingang van [OP: please insert the date = 24 months following the date of entry into force of this Regulation].

6)Aanbieders van webbrowsers, die geen kleine en middelgrote onderneming zijn, voorzien in de technische middelen om betrokkenen in staat te stellen hun toestemming te geven en een verzoek om toestemming te weigeren en het recht van bezwaar uit hoofde van artikel 21, lid 2, uit te oefenen via de in lid 1 bedoelde geautomatiseerde en machineleesbare middelen, zoals toegepast overeenkomstig de leden 2 tot en met 5.

7)Lid 6 is van toepassing vanaf [OP: please insert the date = 48 months following the date of entry into force of this Regulation].

Artikel 88 quater

Verwerking in het kader van de ontwikkeling en exploitatie van AI

Wanneer de verwerking van persoonsgegevens noodzakelijk is voor de belangen van de verwerkingsverantwoordelijke in het kader van de ontwikkeling en exploitatie van een AI-systeem zoals gedefinieerd in artikel 3, punt 1), van Verordening (EU) 2024/1689 of een AI-model, kan die verwerking in voorkomend geval worden nagestreefd met het oog op gerechtvaardigde belangen in de zin van artikel 6, lid 1, punt f), van Verordening (EU) 2016/679, tenzij andere Unie- of nationale wetgeving uitdrukkelijk toestemming vereist en dergelijke belangen zwaarder wegen dan de belangen of fundamentele rechten en vrijheden van de betrokkene die bescherming van persoonsgegevens vereisen, met name wanneer de betrokkene een kind is.

Een dergelijke verwerking is onderworpen aan passende organisatorische, technische maatregelen en waarborgen voor de rechten en vrijheden van de betrokkene, zoals het waarborgen van minimale gegevensverwerking tijdens de fase van de selectie van bronnen en het trainen en testen van een AI-systeem of AI-model, het beschermen tegen de niet-openbaarmaking van residueel bewaarde gegevens in het AI-systeem of AI-model om te zorgen voor meer transparantie voor betrokkenen en het verlenen van een onvoorwaardelijk recht aan betrokkenen om bezwaar te maken tegen de verwerking van hun persoonsgegevens.”

Artikel 4

Wijzigingen van Verordening (EU) 2018/1725 (EUVG)

Verordening (EU) 2018/1725 wordt als volgt gewijzigd:

1.Artikel 3 wordt als volgt gewijzigd:

(a)in punt 1 worden de volgende zinnen toegevoegd:

“informatie over een natuurlijke persoon betreft niet noodzakelijkerwijs persoonsgegevens voor elke andere persoon of entiteit, louter omdat een andere entiteit die natuurlijke persoon kan identificeren. Informatie is voor een bepaalde entiteit niet persoonlijk indien die entiteit de natuurlijke persoon op wie de informatie betrekking heeft, niet kan identificeren, rekening houdend met de middelen die redelijkerwijs door die entiteit kunnen worden gebruikt. Dergelijke informatie wordt voor die entiteit niet persoonlijk louter omdat een potentiële latere ontvanger over middelen beschikt die redelijkerwijs kunnen worden gebruikt om de natuurlijke persoon op wie de informatie betrekking heeft, te identificeren.”;

(b)punt 25 wordt vervangen door:

“25. “elektronischecommunicatienetwerk”: een elektronischecommunicatienetwerk zoals gedefinieerd in artikel 2, punt 1), van Richtlijn (EU) 2018/1972;”;

(c)de volgende punten worden toegevoegd:

“27. “mobiele applicatie”: een mobiele applicatie zoals gedefinieerd in artikel 3, punt 2), van Verordening (EU) 2016/2102;

28. “online-interface”: een online-interface zoals gedefinieerd in artikel 3, punt m), van Verordening (EU) 2022/2065;

29. “wetenschappelijk onderzoek”: elk onderzoek dat ook innovatie kan ondersteunen, zoals technologische ontwikkeling en demonstratie. Deze acties dragen bij tot de bestaande wetenschappelijke kennis of passen bestaande kennis op nieuwe manieren toe, worden uitgevoerd met als doel bij te dragen tot de groei van de algemene kennis en het algemene welzijn van de samenleving en voldoen aan ethische normen op het desbetreffende onderzoeksgebied. Dit sluit niet uit dat het onderzoek ook gericht kan zijn op het bevorderen van een commercieel belang.”;

2.In artikel 4, lid 1, wordt punt b) vervangen door:

“b) voor welbepaalde, uitdrukkelijk omschreven en legitieme doeleinden worden verzameld en niet op een met die doeleinden onverenigbare wijze worden verwerkt; de verdere verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden wordt overeenkomstig artikel 13 als verenigbaar met de oorspronkelijke doeleinden beschouwd, onafhankelijk van de voorwaarden van artikel 6 (“doelbinding”);”;

3.Artikel 10 wordt als volgt gewijzigd:

(a)aan lid 2 worden de volgende punten toegevoegd:

“k) verwerking in het kader van de ontwikkeling en exploitatie van een AI-systeem zoals gedefinieerd in artikel 3, punt 1, van Verordening (EU) 2024/1689 of een AI-model, onder de in lid 4 bedoelde voorwaarden;

l) de verwerking van biometrische gegevens is noodzakelijk voor de bevestiging van de identiteit van een betrokkene (verificatie), wanneer de biometrische gegevens of de voor de verificatie benodigde middelen uitsluitend onder de controle van de betrokkene staan.”;

(b)het volgende lid 4 wordt toegevoegd:

“4. Voor de in lid 2, punt k), bedoelde verwerking worden passende organisatorische en technische maatregelen genomen om het verzamelen en anderszins verwerken van bijzondere categorieën persoonsgegevens te voorkomen. Indien de verwerkingsverantwoordelijke, ondanks de uitvoering van dergelijke maatregelen, bijzondere categorieën persoonsgegevens identificeert in de datasets die worden gebruikt voor training, tests of validering of in het AI-systeem of AI-model, worden die gegevens verwijderd. Indien de verwijdering van die gegevens onevenredig veel moeite vergt, neemt de verwerkingsverantwoordelijke in elk geval op doeltreffende wijze en zonder onnodige vertraging doeltreffende maatregelen om te voorkomen dat die gegevens worden gebruikt om resultaten te produceren, worden bekendgemaakt of anderszins ter beschikking van derden worden gesteld.”;

4.In artikel 14 wordt lid 5 vervangen door:

“5. Het verstrekken van de in de artikelen 15 en 16 bedoelde informatie, en het verstrekken van de communicatie en het treffen van de maatregelen bedoeld in de artikelen 17 tot en met 24 en artikel 35 geschieden kosteloos. Wanneer verzoeken van een betrokkene kennelijk ongegrond of buitensporig zijn, met name vanwege hun repetitieve karakter, of ook, voor verzoeken uit hoofde van artikel 17 omdat de betrokkene de bij deze verordening verleende rechten misbruikt voor andere doeleinden dan de bescherming van zijn gegevens, kan de verwerkingsverantwoordelijke weigeren gevolg te geven aan het verzoek. Het is aan de verwerkingsverantwoordelijke om aan te tonen dat het verzoek kennelijk ongegrond is of dat er redelijke gronden zijn om aan te nemen dat het verzoek buitensporig is.”;

5.Aan artikel 15 wordt het volgende lid 5 toegevoegd:

“5. Wanneer de verwerking plaatsvindt voor wetenschappelijk onderzoek en de verstrekking van de in de leden 1, 2 en 3 bedoelde informatie onmogelijk blijkt of een onevenredige inspanning zou vergen onder de in artikel 13 bedoelde voorwaarden en waarborgen, of voor zover de in lid 1 bedoelde verplichting de verwezenlijking van de doelstellingen van die verwerking onmogelijk dreigt te maken of ernstig in het gedrang dreigt te brengen, hoeft de verwerkingsverantwoordelijke de in de leden 1, 2 en 3 bedoelde informatie niet te verstrekken. In dergelijke gevallen neemt de verwerkingsverantwoordelijke passende maatregelen om de rechten, de vrijheden en de gerechtvaardigde belangen van de betrokkene te beschermen, waaronder het openbaar maken van de informatie.”;

6.In artikel 24 worden de leden 1 en 2 vervangen door:

“1. Een besluit dat rechtsgevolgen voor een betrokkene heeft of hem of haar op vergelijkbare wijze in aanmerkelijke mate treft, mag uitsluitend op geautomatiseerde verwerking, met inbegrip van profilering, worden gebaseerd indien dat besluit:

a)noodzakelijk is voor de totstandkoming of de uitvoering van een overeenkomst tussen de betrokkene en een verwerkingsverantwoordelijke, ongeacht of het besluit anders dan met uitsluitend geautomatiseerde middelen zou kunnen worden genomen;

b)is toegestaan bij een Unierechtelijke bepaling die op de verwerkingsverantwoordelijke van toepassing is en die ook voorziet in passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van het datasubject; of

c)berust op de uitdrukkelijke toestemming van de betrokkene.”;

7.In artikel 34 wordt lid 1 vervangen door:

“1. In het geval van een inbreuk in verband met persoonsgegevens die waarschijnlijk zal leiden tot een hoog risico voor de rechten en vrijheden van natuurlijke personen, stelt de verwerkingsverantwoordelijke de Europese Toezichthouder voor gegevensbescherming onverwijld en, indien mogelijk, uiterlijk 96 uur nadat hij daarvan kennis heeft gekregen, in kennis van de inbreuk in verband met persoonsgegevens. Indien de melding aan de Europese Toezichthouder voor gegevensbescherming niet binnen 96 uur plaatsvindt, gaat zij vergezeld van een motivering voor de vertraging.”;

8.Aan artikel 37 worden de volgende leden toegevoegd:

“2. Het opslaan van persoonsgegevens of het verkrijgen van toegang tot reeds op de eindapparatuur van een natuurlijke persoon opgeslagen persoonsgegevens is alleen toegestaan wanneer die persoon zijn of haar toestemming heeft gegeven, overeenkomstig deze verordening.

3. Lid 1 vormt geen beletsel voor het opslaan van persoonsgegevens of het verkrijgen van toegang tot reeds op de eindapparatuur van een natuurlijke persoon opgeslagen persoonsgegevens, op basis van het Unierecht in de zin van en onder de voorwaarden van artikel 5, om de in artikel 25, lid 1, bedoelde doelstellingen te waarborgen.

4. Het opslaan van persoonsgegevens of het verkrijgen van toegang tot reeds op de eindapparatuur van een natuurlijke persoon opgeslagen persoonsgegevens zonder toestemming en de daaropvolgende verwerking zijn rechtmatig voor zover dit noodzakelijk is voor een van de volgende doeleinden:

a) het uitvoeren van de doorgifte van elektronische communicatie via een elektronischecommunicatienetwerk; 

b) het verlenen van een uitdrukkelijk door de betrokkene gevraagde dienst;

c) het creëren van geaggregeerde informatie over het gebruik van een onlinedienst om het publiek van een dergelijke dienst te meten, wanneer deze actie uitsluitend voor eigen gebruik wordt uitgevoerd door de verwerkingsverantwoordelijke van die onlinedienst;

d) het handhaven of herstellen van de veiligheid van een dienst die door de verwerkingsverantwoordelijke wordt verleend en die door de betrokkene of de eindapparatuur die voor de verlening van die dienst wordt gebruikt, is gevraagd. 

5. Wanneer de opslag van persoonsgegevens of het verkrijgen van toegang tot reeds op de eindapparatuur van een natuurlijke persoon opgeslagen persoonsgegevens gebaseerd is op toestemming, is het volgende van toepassing:

a) de betrokkene kan verzoeken om toestemming op eenvoudige en begrijpelijke wijze weigeren met één klik op een knop of op gelijkwaardige wijze; 

b) indien de betrokkene toestemming geeft, dient de verwerkingsverantwoordelijke geen nieuw verzoek om toestemming voor hetzelfde doel in gedurende de periode waarin de verwerkingsverantwoordelijke zich rechtmatig op de toestemming van de betrokkene kan beroepen;

c) indien de betrokkene een verzoek om toestemming afwijst, dient de verwerkingsverantwoordelijke gedurende een periode van ten minste zes maanden geen nieuw verzoek om toestemming voor hetzelfde doel in.

Dit lid is ook van toepassing op de daaropvolgende verwerking van persoonsgegevens op basis van toestemming.

6. Dit artikel is van toepassing vanaf [OP: please insert the date = 6 months following the date of entry into force of this Regulation].

7. Verwerkingsverantwoordelijken zorgen ervoor dat hun online-interfaces betrokkenen in staat stellen om:

a) toestemming te verlenen via geautomatiseerde en machineleesbare middelen, mits aan de in deze verordening vastgestelde voorwaarden voor toestemming is voldaan;

b) een verzoek om toestemming af te wijzen met behulp van geautomatiseerde en machineleesbare middelen.

8. De verwerkingsverantwoordelijken eerbiedigen de keuzes die de betrokkenen overeenkomstig lid 7 hebben gemaakt.

9. Online-interfaces van verwerkingsverantwoordelijken die voldoen aan geharmoniseerde normen of delen daarvan zoals bedoeld in artikel 88 ter, lid 4, van Verordening (EG) 2016/679, worden geacht in overeenstemming te zijn met de in artikel 7 genoemde eisen voor zover deze binnen het toepassingsgebied van die normen of delen daarvan vallen.

10. De leden 7 tot en met 9 zijn van toepassing met ingang van [OP: please insert the date = 24 months following the date of entry into force of this Regulation].”;

8)Artikel 39 wordt als volgt gewijzigd:

a)lid 4 wordt vervangen door:

“4. De lijsten, het model en de methode die door de Commissie zijn vastgesteld, zoals bedoeld in artikel 35, lid 6 bis, van Verordening (EU) 2016/679, moeten van toepassing zijn op de verwerking van persoonsgegevens in het kader van deze verordening.”;

b)de leden 5 en 6 worden geschrapt;

9)Het volgende artikel wordt toegevoegd:

“Artikel 45 bis

De gemeenschappelijke criteria die door de Commissie zijn vastgesteld, zoals bedoeld in artikel 41 bis van Verordening (EU) 2016/679, moeten van toepassing zijn op de verwerking van persoonsgegevens in het kader van deze verordening.”

Artikel 5

Wijzigingen van Richtlijn 2002/58/EG (e-privacyrichtlijn)

Richtlijn 2002/58/EG wordt als volgt gewijzigd:

1.Artikel 4 wordt geschrapt;

2.Na artikel 5, lid 3, wordt de volgende alinea toegevoegd:

“Dit lid is niet van toepassing indien de abonnee of gebruiker een natuurlijke persoon is en de opgeslagen of geraadpleegde informatie de verwerking van persoonsgegevens vormt of tot gevolg heeft.”.

Artikel 6

Wijzigingen van Richtlijn (EU) 2022/2555

Richtlijn (EU) 2022/2555 wordt als volgt gewijzigd:

1.Het volgende artikel 23 bis wordt toegevoegd:

“Artikel 23 bis

Centraal toegangspunt voor de melding van incidenten

1)Enisa ontwikkelt en onderhoudt een centraal toegangspunt ter ondersteuning van de verplichting om incidenten en aanverwante gebeurtenissen te melden uit hoofde van de rechtshandelingen van de Unie indien die rechtshandelingen van de Unie daarin voorzien (“centraal toegangspunt”). Onverminderd artikel 16 van Verordening (EU) 2024/2847 van het Europees Parlement en de Raad kan Enisa ervoor zorgen dat het centrale toegangspunt voortbouwt op het bij die verordening opgerichte centrale meldingsplatform.

2)Enisa neemt passende en evenredige technische, operationele en organisatorische maatregelen om de risico’s voor de veiligheid van het centrale toegangspunt en de via het centrale toegangspunt ingediende of verspreide informatie te beheersen. Enisa houdt rekening met de gevoeligheid van informatie die wordt ingediend of verspreid op grond van de in lid 1 bedoelde rechtshandelingen van de Unie en zorgt ervoor dat de bevoegde autoriteiten uit hoofde van die rechtshandelingen van de Unie toegang hebben tot de informatie en deze verwerken zoals vereist uit hoofde van die rechtshandelingen van de Unie.

3)Enisa verstrekt de specificaties inzake de technische, operationele en organisatorische maatregelen met betrekking tot de oprichting, het onderhoud en de veilige werking van het centrale toegangspunt en voert deze uit. Enisa ontwikkelt de specificaties in samenwerking met de Commissie, het CSIRT-netwerk en de bevoegde autoriteiten uit hoofde van de in lid 1 bedoelde rechtshandelingen van de Unie. De specificaties waarborgen dat:

a)de nodige capaciteit voor interoperabiliteit met betrekking tot andere relevante rapportageverplichtingen als bedoeld in lid 1 wordt gewaarborgd;

b)er technische regelingen worden getroffen voor de relevante entiteiten en autoriteiten uit hoofde van de in lid 1 bedoelde rechtshandelingen van de Unie om toegang te krijgen tot de informatie van het centrale toegangspunt, deze in te dienen, op te vragen, door te geven of anderszins te verwerken, en er technische protocollen en instrumenten beschikbaar zijn die de entiteiten en autoriteiten in staat stellen de ontvangen informatie binnen hun systemen verder te verwerken;

c)er terdege rekening wordt gehouden met de specifieke kenmerken van de vereisten inzake de melding van incidenten die zijn vastgesteld in de in lid 1 bedoelde rechtshandelingen van de Unie;

d)in voorkomend geval het centrale toegangspunt interoperabel is en compatibel is met de in [Proposal for a Regulation: Insert title of the proposal] genoemde Europese portemonnees voor ondernemingen, en dat de Europese portemonnees voor ondernemingen ten minste kunnen worden gebruikt om entiteiten te identificeren en te authentiseren via het centrale toegangspunt;

e)entiteiten die het centrale toegangspunt gebruiken, informatie die zij eerder via het centrale toegangspunt hebben ingediend, kunnen opvragen en aanvullen;

f)één enkele kennisgeving van informatie die door een entiteit via het centrale toegangspunt is ingediend, kan worden gebruikt om te voldoen aan de rapportageverplichtingen uit hoofde van een van de andere rechtshandelingen van de Unie die voorzien in de melding van incidenten aan het centrale toegangspunt.

4)Tenzij anders bepaald in de in lid 1 bedoelde rechtshandelingen van de Unie, heeft Enisa geen toegang tot de via het centrale toegangspunt ingediende kennisgevingen.

5)Binnen [18] maanden na de inwerkingtreding van deze verordening voert Enisa een proefproject uit voor de werking van het centrale toegangspunt voor elke toegevoegde rechtshandeling van de Unie, met inbegrip van tests waarbij rekening wordt gehouden met de specifieke kenmerken en vereisten voor de kennisgevingen die in elke respectieve rechtshandeling van de Unie zijn vastgesteld, en na raadpleging van de Commissie en de relevante bevoegde autoriteiten uit hoofde van de respectieve rechtshandelingen van de Unie. Enisa maakt de melding van incidenten uit hoofde van elke in lid 1 bedoelde rechtshandeling van de Unie pas mogelijk nadat de werking ervan is getest en nadat de Commissie een kennisgeving overeenkomstig lid 6 heeft gepubliceerd.

6)De Commissie beoordeelt, in samenwerking met Enisa, de goede werking, betrouwbaarheid, integriteit en vertrouwelijkheid van het centrale toegangspunt. Wanneer de Commissie, na raadpleging van het CSIRT-netwerk en de bevoegde autoriteiten uit hoofde van de in lid 1 bedoelde rechtshandelingen van de Unie, van oordeel is dat het centrale toegangspunt de goede werking, betrouwbaarheid, integriteit en vertrouwelijkheid waarborgt, publiceert zij daarvan een bericht in het Publicatieblad van de Europese Unie.

7)Indien de Commissie in haar beoordeling vaststelt dat het centrale toegangspunt de goede werking, betrouwbaarheid, integriteit of vertrouwelijkheid niet waarborgt, neemt Enisa in samenwerking met de Commissie onverwijld alle nodige corrigerende maatregelen om de goede werking, betrouwbaarheid, integriteit of vertrouwelijkheid te waarborgen en stelt het de Commissie onverwijld in kennis van de resultaten. Daarna beoordeelt de Commissie de goede werking, betrouwbaarheid, integriteit of vertrouwelijkheid van het centrale toegangspunt opnieuw en publiceert zij een bericht overeenkomstig lid 6.”;

2.Artikel 23 wordt als volgt gewijzigd:

a)in lid 1 wordt de eerste zin vervangen door:

“Elke lidstaat zorgt ervoor dat essentiële en belangrijke entiteiten elk incident dat aanzienlijke gevolgen heeft voor de verlening van hun diensten als bedoeld in lid 3 (significant incident) onverwijld meldt bij zijn CSIRT of, indien van toepassing, zijn bevoegde autoriteit overeenkomstig lid 4, via het op grond van artikel 23 bis opgerichte centrale toegangspunt.”;

a)het volgende lid 12 wordt toegevoegd:

“Indien een fabrikant een significant incident meldt overeenkomstig artikel 14, lid 3, van Richtlijn (EU) 2024/2847 en de melding van incidenten uit hoofde van dat artikel relevante informatie bevat zoals vereist krachtens lid 4, geldt de rapportage van de fabrikant krachtens artikel 14, lid 3, van Richtlijn (EU) 2024/2847 als rapportage van informatie krachtens lid 4.”;

3.In artikel 30 wordt lid 1 vervangen door: 

“1. De lidstaten zorgen ervoor dat, naast de in artikel 23 geregelde meldingsplicht, op vrijwillige basis meldingen bij de CSIRT’s of, indien van toepassing, de bevoegde autoriteiten kunnen worden ingediend, via het overeenkomstig artikel 23 bis opgerichte centrale toegangspunt, door:

a)essentiële en belangrijke entiteiten betreffende cyberdreigingen en bijna-incidenten;

b)andere dan in punt a) bedoelde entiteiten, ongeacht of zij binnen het toepassingsgebied van deze richtlijn vallen, wat significante incidenten, cyberdreigingen en bijna-incidenten betreft.”.

Artikel 7

Wijziging van Verordening (EU) 910/2014

Verordening (EU) 910/2014 wordt als volgt gewijzigd:

1.In artikel 19 bis wordt het volgende lid 1 bis ingevoegd:

“1 bis. Kennisgevingen overeenkomstig lid 1, punt b), aan het toezichthoudende orgaan en, in voorkomend geval, aan andere relevante bevoegde autoriteiten worden gedaan via het overeenkomstig artikel 23 bis van Richtlijn (EU) 2022/2555 opgerichte centrale toegangspunt.”;

2.In artikel 24 wordt het volgende lid 2 bis ingevoegd:

“2 bis. Kennisgevingen overeenkomstig lid 2, punt b), aan het toezichthoudende orgaan en, in voorkomend geval, aan andere relevante bevoegde organen worden gedaan via het overeenkomstig artikel 23 bis van Richtlijn (EU) 2022/2555 opgerichte centrale toegangspunt.”;

3.In artikel 45 bis wordt het volgende lid 3 bis ingevoegd:

“3 bis. Kennisgevingen overeenkomstig lid 3 aan de Commissie en aan het bevoegde toezichthoudende orgaan worden gedaan via het overeenkomstig artikel 23 bis van Richtlijn (EU) 2022/2555 opgerichte centrale toegangspunt.”.

Artikel 8

Wijzigingen van Verordening (EU) 2022/2554

Artikel 19 van Verordening (EU) 2022/2554 wordt als volgt gewijzigd:

1.in lid 1 wordt de eerste alinea vervangen door:

“Financiële entiteiten melden overeenkomstig lid 4 ernstige ICT-gerelateerde incidenten aan de relevante bevoegde autoriteit als bedoeld in artikel 46 via het overeenkomstig artikel 23 bis van Richtlijn (EU) 2022/2555 opgerichte centrale toegangspunt.”;

2.in lid 2 wordt de eerste alinea vervangen door:

“Financiële entiteiten kunnen significante cyberdreigingen op vrijwillige basis melden aan de relevante bevoegde autoriteit via het overeenkomstig artikel 23 bis van Richtlijn (EU) 2022/2555 opgerichte centrale toegangspunt, wanneer zij van oordeel zijn dat de dreiging relevant is voor het financiële stelsel, de gebruikers van diensten of de cliënten.”; De relevante bevoegde autoriteit kan dergelijke informatie aan de in lid 6 genoemde andere relevante autoriteiten verstrekken.”.

Artikel 9

Wijzigingen van Richtlijn (EU) 2022/2557

Artikel 15 van Richtlijn (EU) 2022/2557 wordt als volgt gewijzigd:

1.In artikel 1 wordt de eerste zin vervangen door:

“De lidstaten zorgen ervoor dat kritieke entiteiten bij de bevoegde autoriteit via het overeenkomstig artikel 23 bis van Richtlijn (EU) 2022/2555 opgerichte centrale toegangspunt, zonder onnodige vertraging incidenten melden die de verlening van essentiële diensten aanzienlijk verstoren of kunnen verstoren.”;

2.Aan artikel 2 wordt de volgende alinea toegevoegd:

“De Commissie kan uitvoeringshandelingen vaststellen tot nadere bepaling van het soort en het formaat van de overeenkomstig artikel 15, lid 1, meegedeelde informatie. Die uitvoeringshandelingen worden volgens de in artikel 24, lid 2, bedoelde onderzoeksprocedure vastgesteld.”.

Artikel 10

Intrekkingen en overgangsbepalingen

1.Verordening (EU) 2019/1150/EU wordt met ingang van [date = entry into application of this Regulation] ingetrokken.

2.In afwijking van lid 1 blijven de volgende bepalingen van toepassing tot en met 31 december 2032:

(a)artikel 2, punt 1;

(b)artikel 2, punt 2;

(c)artikel 2, punt 5;

(d)artikel 4;

(e)artikel 11;

(f)artikel 15.

3.De volgende handelingen worden met ingang van [Date, aligned with the entry into application of the amendments] ingetrokken:

a)Verordening (EU) 2022/868;

b)Verordening (EU) 2018/1807;

c)Richtlijn 2019/1024.

4.Verwijzingen naar Verordening (EU) 2022/868, Verordening (EU) 2018/1807 en Richtlijn 2019/1024 worden gelezen volgens de concordantietabel in bijlage I bij deze verordening.

Artikel 11

Slotbepalingen

Deze verordening treedt in werking op de derde dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie.

In afwijking van lid 3 treedt artikel 5, lid 2, zes maanden na de bekendmaking in het Publicatieblad van de Europese Unie in werking.

Artikel 3, lid 8, de punten a) tot en met c), artikel 6, de leden 2 en 3, en de artikelen 7 tot en met 9, worden 18 maanden na de inwerkingtreding van deze verordening van toepassing. Wanneer de Commissie in haar beoordeling overeenkomstig artikel 23 bis, lid 7, van Richtlijn (EU) 2022/2555 vaststelt dat het centrale toegangspunt de goede werking, betrouwbaarheid, integriteit of vertrouwelijkheid niet waarborgt, worden, in afwijking van de eerste zin, de verplichtingen om via het centrale toegangspunt te rapporteren als bedoeld in artikel 23, lid 4, van Richtlijn (EU) 2022/2555, artikel 19 bis, lid 1 bis, artikel 24, lid 2 bis, en artikel 45 bis, lid 3 bis, van Verordening (EU) 910/2014, artikel 33, lid 1, van Verordening (EU) 2016/679, artikel 19, de leden 1 en 2, van Verordening (EU) 2022/2554 en artikel 15, lid 1, van Richtlijn (EU) 2022/2557 van toepassing 24 maanden na de inwerkingtreding van deze verordening.

Deze verordening is verbindend in al haar onderdelen en is rechtstreeks toepasselijk in elke lidstaat.

Gedaan te Brussel,

FINANCIEEL EN DIGITAAL MEMORANDUM

1. KADER VAN HET VOORSTEL/INITIATIEF    3

1.1. Benaming van het voorstel/initiatief    3

1.2. Betrokken beleidsterrein(en)    3

1.3. Doelstelling(en)    3

1.3.1. Algemene doelstelling(en)    3

1.3.2. Specifieke doelstelling(en)    3

1.3.3. Verwacht(e) resulta(a)t(en) en gevolg(en)    3

1.3.4. Prestatie-indicatoren    3

1.4. Het voorstel/initiatief betreft:    4

1.5. Motivering van het voorstel/initiatief    4

1.5.1.Behoefte(n) waarin op korte of lange termijn moet worden voorzien,
met een gedetailleerd tijdschema voor de uitrol van het initiatief    4

1.5.2.Toegevoegde waarde van de deelname van de EU (deze kan het resultaat zijn van
verschillende factoren, bijvoorbeeld coördinatiewinst, rechtszekerheid, grotere doeltreffendheid of complementariteit). Voor de toepassing van dit punt wordt onder “meerwaarde van het optreden van de EU” verstaan de waarde die het optreden van de EU oplevert boven op de waarde die door een optreden van alleen de lidstaten zou zijn gecreëerd.    4

1.5.3. Nuttige ervaring die bij soortgelijke activiteiten in het verleden is opgedaan    4

1.5.4.Verenigbaarheid met het meerjarig financieel kader en eventuele synergie
met andere passende instrumenten    5

1.5.5.Beoordeling van de verschillende beschikbare financieringsopties,
waaronder mogelijkheden voor herschikking    5

1.6. Duur van het voorstel/initiatief en van de financiële gevolgen ervan    6

1.7. Wijze(n) van uitvoering van de begroting    6

2. BEHEERSMAATREGELEN    8

2.1. Regels inzake het toezicht en de verslagen    8

2.2. Beheers- en controlesyste(e)m(en)    8

2.2.1. Rechtvaardiging van de voorgestelde wijzen van uitvoering van de begroting,
uitvoeringsmechanismen voor financiering, betalingsvoorwaarden en controlestrategie    8

2.2.2. Informatie over de geïdentificeerde risico’s en het (de) systeem (systemen)
voor interne controle dat is (die zijn) opgezet om die risico’s te beperken    8

2.2.3. Raming en motivering van de kosteneffectiviteit van de controles
(verhouding tussen de controlekosten en de waarde van de desbetreffende financiële middelen) en evaluatie van het verwachte foutenrisico (bij betaling en bij afsluiting)    8

2.3. Maatregelen ter voorkoming van fraude en onregelmatigheden    9

3. GERAAMDE FINANCIËLE GEVOLGEN VAN HET VOORSTEL/INITIATIEF    10

3.1. Rubrieken van het meerjarig financieel kader en betrokken begrotingsonderdelen
voor uitgaven    10

3.2. Geraamde financiële gevolgen van het voorstel inzake kredieten    12

3.2.1. Samenvatting van de geraamde gevolgen voor de beleidskredieten    12

3.2.1.1. Kredieten uit goedgekeurde begroting    12

3.2.1.2. Kredieten uit externe bestemmingsontvangsten    17

3.2.2. Geraamde output, gefinancierd met beleidskredieten    22

3.2.3. Samenvatting van de geraamde gevolgen voor de administratieve kredieten    24

3.2.3.1. Kredieten uit goedgekeurde begroting    24

3.2.3.2. Kredieten uit externe bestemmingsontvangsten    24

3.2.3.3. Totaal kredieten    24

3.2.4. Geraamde benodigde personele middelen    25

3.2.4.1. Gefinancierd uit goedgekeurde begroting    25

3.2.4.2. Gefinancierd uit externe bestemmingsontvangsten    26

3.2.4.3. Totaal benodigde personele middelen    26

3.2.5. Overzicht van het geschatte effect op met digitale technologie samenhangende investeringen    28

3.2.6. Verenigbaarheid met het huidige meerjarig financieel kader    28

3.2.7. Bijdragen van derden    28

3.3. Geraamde gevolgen voor de ontvangsten    29

4. Digitale dimensies    29

4.1. Voorschriften met digitale relevantie    30

4.2. Gegevens    30

4.3. Digitale oplossingen    31

4.4. Interoperabiliteitsbeoordeling    31

4.5. Maatregelen ter ondersteuning van de digitale uitvoering    32

1.KADER VAN HET VOORSTEL/INITIATIEF

1.1.Benaming van het voorstel/initiatief

1.2.Betrokken beleidsterreinen

1.3.Doelstelling(en)

1.3.1.    Algemene doelstelling(en)

1.3.2.    Specifieke doelstelling(en)

1.3.3.    Verwachte resulta(a)t(en) en gevolg(en)

Vermeld de gevolgen die het voorstel/initiatief zou moeten hebben op de begunstigden/doelgroepen.

1.3.4.    Prestatie-indicatoren

Vermeld de indicatoren voor de monitoring van de voortgang en de beoordeling van de resultaten

1.4.Het voorstel/initiatief betreft:

 een nieuwe actie; 

 een nieuwe actie na een proefproject/voorbereidende actie 39 ; 

 de verlenging van een bestaande actie; 

 de samenvoeging of ombuiging van een of meer acties naar een andere/een nieuwe actie.

1.5.Motivering van het voorstel/initiatief

1.5.1.    Behoefte(n) waarin op korte of lange termijn moet worden voorzien, met een gedetailleerd tijdschema voor de uitrol van het initiatief

1.5.2.    Toegevoegde waarde van de deelname van de EU (deze kan het resultaat zijn van verschillende factoren, bijvoorbeeld coördinatiewinst, rechtszekerheid, grotere doeltreffendheid of complementariteit). Voor de toepassing van dit punt wordt onder “meerwaarde van het optreden van de EU” verstaan de waarde die het optreden van de EU oplevert boven op de waarde die door een optreden van alleen de lidstaten zou zijn gecreëerd.

1.5.3.    Nuttige ervaring die bij soortgelijke activiteiten in het verleden is opgedaan

1.5.4.    Verenigbaarheid met het meerjarig financieel kader en eventuele synergie met andere passende instrumenten

1.5.5.    Beoordeling van de verschillende beschikbare financieringsopties, waaronder mogelijkheden voor herschikking

1.6.Duur van het voorstel/initiatief en van de financiële gevolgen ervan

5. beperkte geldigheidsduur;

 van kracht vanaf [DD/MM/]JJJJ tot en met [DD/MM/]JJJJ;

 financiële gevolgen vanaf JJJJ tot en met JJJJ voor vastleggingskredieten en vanaf JJJJ tot en met JJJJ voor betalingskredieten;

6. onbeperkte geldigheidsduur;

Uitvoering met een opstartperiode vanaf JJJJ tot en met JJJJ,

gevolgd door een volledige uitvoering.

1.7.Wijze(n) van uitvoering van de begroting 40  

7. Direct beheer door de Commissie:

 door haar diensten, waaronder het personeel in de delegaties van de Unie;

 door de uitvoerende agentschappen;

8. Gedeeld beheer met de lidstaten;

9. Indirect beheer door begrotingsuitvoeringstaken te delegeren aan:

 derde landen of de door hen aangewezen organen;

 internationale organisaties en hun agentschappen (geef aan welke);

 de Europese Investeringsbank en het Europees Investeringsfonds;

 de in de artikelen 70 en 71 van het Financieel Reglement bedoelde organen;

 overheidsinstanties;

privaatrechtelijke organen met een openbare dienstverleningstaak, voor zover zij zijn voorzien van voldoende financiële garanties;

 privaatrechtelijke organen van een lidstaat, waaraan de uitvoering van een publiek-privaat partnerschap is toevertrouwd en die voldoende financiële garanties bieden;

 organen waaraan of personen aan wie de uitvoering van specifieke maatregelen op het gebied van het gemeenschappelijk buitenlands en veiligheidsbeleid in het kader van titel V van het Verdrag betreffende de Europese Unie is toevertrouwd en die worden genoemd in de betrokken basishandeling;

 in een lidstaat gevestigde organen die onder het privaatrecht van een lidstaat of onder het Unierecht vallen en die in aanmerking komen om overeenkomstig sectorspecifieke regelgeving te worden belast met de uitvoering van middelen van de Unie of begrotingsgaranties, voor zover dergelijke organen onder zeggenschap staan van overheidsinstanties of privaatrechtelijke organen met een openbaredienstverleningstaak, en beschikken over voldoende financiële garanties in de vorm van hoofdelijke aansprakelijkheid van de controlerende organen of gelijkwaardige financiële garanties, die per maatregel beperkt kunnen blijven tot het maximumbedrag van de steun van de Unie.

I

2.BEHEERSMAATREGELEN

2.1.Regels inzake het toezicht en de verslagen

10.De wijzigingen worden gemonitord als onderdeel van de te wijzigen wetgeving.

2.2.Beheers- en controlesyste(e)m(en)

2.2.1.Rechtvaardiging van de voorgestelde wijzen van uitvoering van de begroting, uitvoeringsmechanismen voor financiering, betalingsvoorwaarden en controlestrategie

11.De beheers- en controlesystemen die van toepassing zijn op de bestaande wetgeving zorgen ook voor een effectieve controle op de wijzigingen.

2.2.2.Informatie over de geïdentificeerde risico’s en het (de) systeem (systemen) voor interne controle dat is (die zijn) opgezet om die risico’s te beperken

12.Geen extra risico’s vastgesteld.

2.2.3.Raming en motivering van de kosteneffectiviteit van de controles (verhouding tussen de controlekosten en de waarde van de desbetreffende financiële middelen) en evaluatie van het verwachte foutenrisico (bij betaling en bij afsluiting)

13.De kosten van controle zullen niet van de vorige kosten verschillen.

2.3.Maatregelen ter voorkoming van fraude en onregelmatigheden

14.Dezelfde preventieve maatregelen blijven van toepassing op de wijzigingen.

3.GERAAMDE FINANCIËLE GEVOLGEN VAN HET VOORSTEL/INITIATIEF

3.1.Rubrieken van het meerjarig financieel kader en betrokken begrotingsonderdelen voor uitgaven

Bestaande begrotingsonderdelen

15.In volgorde van de rubrieken van het meerjarig financieel kader en de begrotingsonderdelen.

Te creëren nieuwe begrotingsonderdelen

16.In volgorde van de rubrieken van het meerjarig financieel kader en de begrotingsonderdelen.

3.2.Geraamde financiële gevolgen van het voorstel inzake kredieten

3.2.1.Samenvatting van de geraamde gevolgen voor de beleidskredieten

 Voor het voorstel/initiatief zijn geen beleidskredieten nodig.

 Voor het voorstel/initiatief zijn beleidskredieten nodig, zoals hieronder nader wordt beschreven:

3.2.1.1.Kredieten uit goedgekeurde begroting

in miljoen EUR (tot op drie decimalen)

================================================================================================

Dit deel moet worden ingevuld aan de hand van de “administratieve begrotingsgegevens”, die eerst moeten worden ingevoegd in de bijlage bij het financieel en digitaal memorandum (bijlage 5 45 bij het besluit van de Commissie betreffende de interne uitvoeringsvoorschriften voor de afdeling “Commissie” van de algemene begroting van de Europese Unie), te uploaden in DECIDE met het oog op overleg tussen de diensten.

in miljoen EUR (tot op drie decimalen)

3.2.1.2.Kredieten uit externe bestemmingsontvangsten

in miljoen EUR (tot op drie decimalen)

in miljoen EUR (tot op drie decimalen)

in miljoen EUR (tot op drie decimalen)

3.2.2.Geraamde output, gefinancierd uit beleidskredieten (niet in te vullen voor gedecentraliseerde agentschappen)

Vastleggingskredieten, in miljoen EUR (tot op drie decimalen)

3.2.3.Samenvatting van de geraamde gevolgen voor de administratieve kredieten

 Voor het voorstel/initiatief zijn geen administratieve kredieten nodig.

 Voor het voorstel/initiatief zijn administratieve kredieten nodig, zoals hieronder nader wordt beschreven.

3.2.3.1.Kredieten uit goedgekeurde begroting

De benodigde kredieten voor personeel en andere administratieve uitgaven zullen worden gefinancierd uit de kredieten van het DG die reeds voor het beheer van deze actie zijn toegewezen en/of binnen het DG zijn herverdeeld, eventueel aangevuld met middelen die in het kader van de jaarlijkse toewijzingsprocedure met inachtneming van de budgettaire beperkingen aan het beherende DG kunnen worden toegewezen.

3.2.4.Geraamde benodigde personele middelen

 Voor het voorstel/initiatief zijn geen personele middelen nodig.

 Voor het voorstel/initiatief zijn personele middelen nodig, zoals hieronder nader wordt beschreven.

3.2.4.1.Gefinancierd uit goedgekeurde begroting

Raming in voltijdequivalenten (vte’s) 50

17.

3.2.5.Overzicht van het geschatte effect op met digitale technologie samenhangende investeringen

18.Verplicht: in onderstaande tabel moet de beste schatting worden gegeven van de met digitale technologie samenhangende investeringen die uit het voorstel/initiatief voortvloeien.

19.De kredieten onder rubriek 7 moeten in uitzonderlijke gevallen in het desbetreffende onderdeel worden opgenomen, indien vereist voor de uitvoering van het voorstel/initiatief.

20.De kredieten onder de rubrieken 1 tot en met 6 moeten worden weergegeven als “IT-beleidsuitgaven inzake operationele programma’s”. Deze uitgaven betreffen het operationele budget dat gebruikt moet worden voor hergebruik, koop of ontwikkeling van IT-platforms of tools die rechtstreeks verband houden met de uitvoering van het initiatief, alsook daarmee verband houdende investeringen (bv. licenties, studies, gegevensopslag enz.). De in deze tabel vermelde informatie moet in overeenstemming zijn met de gegevens in deel 4, “Digitale dimensies”.

3.2.6.Verenigbaarheid met het huidige meerjarig financieel kader

21.Het voorstel/initiatief:

 kan volledig worden gefinancierd door middel van herschikking binnen de relevante rubriek van het meerjarig financieel kader (MFK);

 vereist een beroep op de niet-toegewezen marge in de desbetreffende rubriek van het MFK en/of op de speciale instrumenten zoals vastgesteld in de MFK-verordening;

 vereist een herziening van het MFK.

3.2.7.Bijdragen van derden

22.Het voorstel/initiatief:

 voorziet niet in medefinanciering door derden;

 voorziet in medefinanciering door derden, zoals hieronder wordt geraamd:

Kredieten in miljoen EUR (tot op drie decimalen)

 
3.3.    Geraamde gevolgen voor de ontvangsten

 Het voorstel/initiatief heeft geen financiële gevolgen voor de ontvangsten;

– Het voorstel/initiatief heeft de hieronder beschreven financiële gevolgen:

– voor de eigen middelen;

– voor de overige inkomsten;

– geef aan of de ontvangsten worden toegewezen aan de begrotingsonderdelen voor uitgaven.

in miljoen EUR (tot op drie decimalen)

23.Vermeld voor de toegewezen ontvangsten de betrokken begrotingsonderdelen voor uitgaven.

24.[…]

25.Andere opmerkingen (bv. over de methode/formule voor de berekening van de gevolgen voor de ontvangsten of andere informatie).

26.[…]

27.4. DIGITALE DIMENSIES

4.1. Voorschriften met digitale relevantie

Korte beschrijving van de voorschriften met digitale relevantie en de categorieën ervan (data, procesdigitalisering en ‑automatisering, digitale oplossingen en/of digitale overheidsdiensten)