TOELICHTING
1.ACHTERGROND VAN DE GEDELEGEERDE HANDELING
Artikel 15 van de tabaksproductenrichtlijn (2014/40/EU) (hierna "TPR" genoemd) voorziet in de invoering van een traceringssysteem om de illegale handel in tabaksproducten aan te pakken. In het kader van het traceringssysteem moeten alle verpakkingseenheden van tabaksproducten die worden geproduceerd in de Unie, die bestemd zijn voor de markt van de Unie of daar in de handel worden gebracht, voorzien zijn van een unieke identificatiemarkering waarmee de bewegingen van die verpakkingseenheden worden geregistreerd. Hiermee kunnen die producten in de gehele toeleveringsketen worden gevolgd en getraceerd (vanaf de producent tot aan het laatste niveau vóór de eerste detaillist). De bepalingen van artikel 15 zijn met ingang van 20 mei 2019 van toepassing op sigaretten en shagtabaksproducten en met ingang van 20 mei 2024 op alle andere tabaksproducten.
Krachtens artikel 15, lid 8, van de TPR zijn producenten en importeurs van tabaksproducten verplicht contracten over de opslag van gegevens te sluiten met een onafhankelijke derde, die overeenkomstig dat artikel de faciliteit voor de opslag van de geregistreerde gegevens beheert. Bij artikel 15, lid 8, is bovendien vastgesteld dat de geschiktheid van elke derde, met name hun onafhankelijkheid en technische capaciteiten, evenals elk gesloten gegevensopslagcontract, door de Commissie moet worden goedgekeurd.
Krachtens artikel 15, lid 12, van de TPR is de Commissie bevoegd om gedelegeerde handelingen vast te stellen ter bepaling van de centrale elementen van de hierboven genoemde gegevensopslagcontracten. De Commissie wil met de onderhavige gedelegeerde verordening aan die verplichting voldoen.
De gedelegeerde verordening moet worden gelezen in samenhang met de uitvoeringsverordening van de Commissie inzake de technische normen voor de instelling en werking van een traceringssysteem voor tabaksproducten die de Commissie krachtens artikel 15, lid 11, van de TPR moet vaststellen.
2.RAADPLEGING VOORAFGAAND AAN DE AANNEMING VAN DE HANDELING
De hoofddoelstelling van het voorstel is het vaststellen van de centrale elementen van de gegevensopslagcontracten die producenten en importeurs van tabaksproducten moeten sluiten met derden (aanbieders van primaire gegevensopslag) die de door het traceringssysteem geregistreerde gegevens van hun tabaksproducten zullen beheren.
Het voorstel is gebaseerd op de resultaten van verschillende raadplegingen die de Commissie in het kader van de uitvoering van artikel 15 van de TPR heeft georganiseerd: een gerichte raadpleging van belanghebbenden (mei-juli 2015), een openbare raadpleging (juli-november 2016) en twee workshops voor belanghebbenden. Bovendien heeft een haalbaarheidsonderzoek en een implementatiestudie die door externe contractanten zijn uitgevoerd, voor bijkomende input gezorgd. In overeenstemming met de regels voor betere regelgeving is het ontwerpvoorstel openbaar gemaakt en kon het publiek gedurende een periode van vier weken feedback geven.
Input voor het voorstel komt ook uit de besprekingen van de deskundigengroep inzake de bestrijding van het tabaksgebruik, met name de subgroep van deskundigen inzake tracerings- en veiligheidskenmerken.
De Commissie heeft er tijdens de voorbereiding en het opstellen van deze gedelegeerde handeling voor gezorgd dat de desbetreffende documenten tijdig en op gepaste wijze gelijktijdig zijn toegezonden aan het Europees Parlement en de Raad en heeft ruim van tevoren passende en transparante raadplegingen verricht, ook op deskundigenniveau.
3.JURIDISCHE ELEMENTEN VAN DE GEDELEGEERDE HANDELING
Het voorstel is gebaseerd op artikel 15, lid 12, van de TPR, waarbij de Commissie de bevoegdheid is verleend om de centrale elementen van de in lid 8 van dat artikel bedoelde gegevensopslagcontracten zoals looptijd, mogelijkheid tot verlenging, vereiste expertise of vertrouwelijkheid ervan, met inbegrip van het regelmatige toezicht op en de regelmatige evaluatie van die contracten, vast te stellen.
De onderhavige gedelegeerde verordening stelt die centrale elementen vast, met inbegrip van:
de belangrijkste te leveren diensten,
een verplichte verklaring van technische expertise door de aanbieders,
beschikbaarheid en uptime van de dienst alsmede de benodigde back-upmechanismen om het verlies van gegevens te voorkomen,
toegangsrechten,
onafhankelijkheid,
gegevensbescherming en vertrouwelijkheid,
duur,
audits.
4.GEVOLGEN VOOR DE BEGROTING
Het voorstel heeft geen gevolgen voor de begroting.
GEDELEGEERDE VERORDENING (EU) …/... VAN DE COMMISSIE
van 15.12.2017
betreffende de centrale elementen van de gegevensopslagcontracten die als onderdeel van een traceringssysteem voor tabaksproducten moeten worden gesloten
(Voor de EER relevante tekst)
DE EUROPESE COMMISSIE,
Gezien het Verdrag betreffende de werking van de Europese Unie,
Gezien Richtlijn 2014/40/EU van het Europees Parlement en de Raad van 3 april 2014 betreffende de onderlinge aanpassing van de wettelijke en bestuursrechtelijke bepalingen van de lidstaten inzake de productie, de presentatie en de verkoop van tabaks- en aanverwante producten en tot intrekking van Richtlijn 2001/37/EG, en met name artikel 15, lid 12,
Overwegende hetgeen volgt:
(1)Krachtens artikel 15, lid 8, van Richtlijn 2014/40/EU is elke producent en importeur verplicht om, als onderdeel van het in Uitvoeringsverordening (EU) …/… van de Commissie nader omschreven traceringssysteem voor tabaksproducten, een contract te sluiten met een onafhankelijke derde aanbieder voor het hosten van informatie over hun tabaksproducten. Krachtens artikel 15, lid 12, van Richtlijn 2014/40/EU is de Commissie bevoegd om de centrale elementen van die contracten vast te stellen.
(2)Om de doeltreffende werking van het traceringssysteem voor tabaksproducten in het algemeen en de interoperabiliteit van de gegevensopslagsystemen in het bijzonder te waarborgen, is het nuttig om de centrale elementen van de gegevensopslagcontracten vast te stellen en daarin specificaties op te nemen met betrekking tot de werking, beschikbaarheid en prestaties van de door de aanbieders van gegevensopslag te verlenen diensten. Voor de doeltreffende en ononderbroken werking van het traceringssysteem en het daarmee geïntegreerde gegevensopslagsysteem is het noodzakelijk dat de aanbieders duidelijke voorschriften volgen inzake de overdraagbaarheid van gegevens, voor gevallen waarin een producent of importeur besluit om van aanbieder te veranderen. Om die reden moeten de contracten bepalingen bevatten die het gebruik van eenvoudig op de markt verkrijgbare en algemeen in de sector gebruikte technologie voorschrijven zodat een doeltreffende en ononderbroken gegevensoverdracht tussen huidige en nieuwe aanbieders is gewaarborgd.
(3)Teneinde het noodzakelijke niveau van flexibiliteit te waarborgen, moet het mogelijk zijn om de aanbieder van gegevensopslag te verzoeken om tegen betaling aanvullende technische diensten uit te voeren die samenhangen met de werking van de primaire gegevensopslag, zoals het uitbreiden van de operationele functionaliteit van gebruikersinterfaces, op voorwaarde dat die aanvullende diensten bijdragen aan de goede werking van de opslagsystemen en zij de in Uitvoeringsverordening (EU) …/… van de Commissie vastgestelde eisen niet schenden. Daarom moet het contract in een dergelijke optie voorzien.
(4)Om de onafhankelijke werking van het traceringssysteem te allen tijde te waarborgen, moet de Commissie de goedkeuring van een reeds gecontracteerde aanbieder van gegevensopslag kunnen intrekken wanneer een beoordeling of herbeoordeling van de technische capaciteit of onafhankelijkheid van de aanbieder ertoe leidt dat deze niet langer geschikt wordt bevonden.
(5)Teneinde de doeltreffende organisatie van de dagelijkse werking van het systeem te waarborgen, moeten aanbieders van primaire gegevensopslagsystemen met elkaar, met de bevoegde autoriteiten van de lidstaten en met de Commissie samenwerken,
HEEFT DE VOLGENDE VERORDENING VASTGESTELD:
Artikel 1
Voorwerp
Bij deze verordening worden de belangrijkste elementen vastgesteld die moeten worden opgenomen in de in artikel 15, lid 8, van Richtlijn 2014/40/EU bedoelde contracten over de opslag van gegevens.
Artikel 2
Definities
Voor de toepassing van deze verordening gelden, naast de in Richtlijn 2014/40/EU en Uitvoeringsverordening (EU) …/… vastgestelde definities, de volgende definities:
1)"contract": een contractuele overeenkomst tussen een producent of importeur van tabaksproducten en een aanbieder van gegevensopslagsystemen overeenkomstig artikel 15, lid 8, van Richtlijn 2014/40/EU en Uitvoeringsverordening (EU) …/…;
2)"aanbieder": een rechtspersoon waarmee een producent of importeur van tabaksproducten een contract heeft afgesloten voor de instelling en exploitatie van diens primaire gegevensopslag en de daarmee samenhangende diensten;
3)"gegevensoverdraagbaarheid": het vermogen om gegevens tussen verschillende opslagplaatsen te verplaatsen door middel van eenvoudig op de markt verkrijgbare en algemeen in de sector gebruikte technologieën.
Artikel 3
Belangrijkste verantwoordelijkheden in het kader van het contract
1.In het contract worden de belangrijkste door de aanbieder te verlenen diensten vermeld, waaronder:
1)de instelling en werking van een primaire gegevensopslag overeenkomstig artikel 26 van Uitvoeringsverordening (EU) …/…;
2)indien de exploitant van de primaire gegevensopslag als aanbieder van de secundaire gegevensopslag wordt aangesteld, de instelling en werking van de secundaire gegevensopslag en de router, overeenkomstig de artikelen 27, 28 en 29 van Uitvoeringsverordening (EU) …/…;
3)het op afroep leveren van andere aanvullende technische diensten die verband houden met de werking van de primaire gegevensopslag en die bijdragen aan de goede werking van de opslagsystemen.
2.Bij het vaststellen van de in lid 1, onder 1 en 2, bedoelde belangrijkste diensten moeten in het contract specificaties worden opgenomen met betrekking tot de werking, beschikbaarheid en prestaties van de diensten die aan de in deze verordening vermelde minimumeisen voldoen en in hoofdstuk V van Uitvoeringsverordening (EU) …/… zijn vastgesteld.
Artikel 4
Technische expertise
In het contract wordt bepaald dat de aanbieders een schriftelijke verklaring aan de producent of importeur moeten verstrekken waaruit blijkt dat zij over de technische en operationele expertise beschikken of kunnen beschikken die noodzakelijk is om de in artikel 3 bedoelde diensten uit te voeren en om te voldoen aan de verplichtingen van hoofdstuk V van Uitvoeringsverordening (EU) …/….
Artikel 5
Beschikbaarheid van de primaire gegevensopslag
1.In het contract wordt vereist dat de primaire gegevensopslag een gegarandeerde maandelijkse uptime en beschikbaarheid van 99,5 % heeft.
2.In het contract moet van de aanbieder worden vereist dat er adequate back-upmechanismen worden opgezet om te voorkomen dat opgeslagen, ontvangen of overgedragen gegevens verloren gaan in het geval dat de primaire gegevensopslag niet beschikbaar is.
Artikel 6
Toegangsrechten
In het contract worden de voorwaarden vastgesteld waaronder aan nationale beheerders van de lidstaten, de Commissie en aangestelde externe auditors fysieke en virtuele toegang mag worden verleend tot de primaire gegevensopslag, op het niveau van de server en de database, overeenkomstig artikel 25 van Uitvoeringsverordening (EU) …/….
Artikel 7
Uitbesteding
1.Wanneer in het contract is aangegeven dat de dienstverlener bepaalde verplichtingen uit hoofde van het contract mag uitbesteden, moet het contract een bepaling bevatten waaruit duidelijk blijkt dat de uitbesteding geen invloed heeft op de primaire verantwoordelijkheid van de dienstverlener voor de uitvoering van het contract.
2.In het contract wordt bovendien van de aanbieder vereist dat hij:
a)waarborgt dat de voorgestelde onderaannemer over de noodzakelijke technische expertise beschikt en voldoet aan de in artikel 35 van Uitvoeringsverordening (EU) …/… vastgestelde voorschriften inzake onafhankelijkheid.
b)bij de Commissie een door de desbetreffende onderaannemer(s) ondertekende kopie van de in artikel 8 van deze verordening bedoelde verklaring indient.
Artikel 8
Juridische en financiële onafhankelijkheid
In het contract wordt van de aanbieders en, indien van toepassing, van hun onderaannemers vereist dat zij samen met het gegevensopslagcontract een schriftelijke verklaring aan de producent of importeur verstrekken waarin wordt bevestigd dat zij voldoen aan de in artikel 35 van Uitvoeringsverordening (EU) …/… vastgestelde voorschriften inzake juridische en financiële onafhankelijkheid.
Artikel 9
Gegevensbescherming en vertrouwelijkheid
1.In het contract wordt vastgesteld dat de aanbieder alle passende maatregelen treft die noodzakelijk zijn om de vertrouwelijkheid, integriteit en beschikbaarheid van alle bij de uitvoering van het contract opgeslagen gegevens te waarborgen. Deze maatregelen omvatten controles van de veiligheid en beveiliging op administratief, technisch en fysiek vlak.
2.In het contract wordt vereist dat de persoonsgegevens die in het kader van dit contract worden behandeld, worden verwerkt overeenkomstig Richtlijn 95/46/EG van het Europees Parlement en de Raad.
Artikel 10
Beheer van informatiebeveiliging
In het contract wordt van de aanbieders vereist dat zij verklaren dat de primaire gegevensopslag en, indien van toepassing, de secundaire gegevensopslag conform internationaal erkende normen voor beheer van informatiebeveiliging worden beheerd. Aanbieders met een ISO/IEC 27001:2013-certificaat worden geacht aan deze normen te voldoen.
Artikel 11
Kosten
In het contract wordt vereist dat de door de aanbieders aan producenten of importeurs aangerekende kosten overeenkomstig artikel 30 van Uitvoeringsverordening (EU) …/… billijk, redelijk en evenredig zijn met betrekking tot:
a)de geleverde diensten; en
b)het aantal door de betrokken producent of importeur over een bepaalde periode opgevraagde unieke identificatiemarkeringen.
Artikel 12
Medewerking aan secundair gegevensopslagsysteem
1.In het contract wordt vereist dat de aanbieder meewerkt aan de instelling van het secundaire gegevensopslagsysteem (indien het secundaire systeem nog niet is ingesteld op de datum van sluiting van het contract) zoals vereist overeenkomstig de regels en procedures die zijn vastgesteld in hoofdstuk V van Uitvoeringsverordening (EU) …/….
2.Het contract bevat een bepaling die de aanbieders in staat stelt om de kosten die voortvloeien uit de instelling, de werking en het onderhoud van de in hoofdstuk V van Uitvoeringsverordening (EU) …/… bedoelde secundaire gegevensopslag en router te verhalen op de producenten en importeurs van tabaksproducten.
Artikel 13
Duur
De duur van het contract bedraagt ten minste vijf jaar met mogelijkheid tot verlenging mits de partijen daarmee instemmen en de aanbieder nog steeds voldoet aan de voorschriften van Richtlijn 2014/40/EU en Uitvoeringsverordening (EU) …/….
Artikel 14
Communicatie met andere partijen
Teneinde de doeltreffende organisatie van de dagelijkse werking van de opslagsystemen te waarborgen, wordt in het contract vereist dat de aanbieders met elkaar en met de bevoegde autoriteiten van lidstaten samenwerken.
Artikel 15
Audits
1.In het contract worden de voorwaarden vastgesteld waaronder externe door de Commissie goedgekeurde auditors overeenkomstig artikel 15, lid 8, van Richtlijn 2014/40/EU aangekondigde en onaangekondigde audits kunnen uitvoeren met betrekking tot de primaire gegevensopslag en, indien van toepassing, de secundaire gegevensopslag, met inbegrip van een beoordeling of de aanbieders en hun eventuele onderaannemers voldoen aan de desbetreffende wettelijke eisen.
2.In het contract wordt vastgesteld dat aan de externe auditors voor de duur van de audit onbeperkte fysieke en virtuele toegang wordt verleend tot de primaire en, indien van toepassing, de secundaire gegevensopslag, alsmede tot de daarmee samenhangende diensten.
Artikel 16
Aansprakelijkheid
In het contract worden overeenkomstig het toepasselijk recht de voorwaarden vastgesteld voor de aansprakelijkheid van de partijen, met inbegrip van de voorwaarden die betrekking hebben op directe en indirecte schade die kan ontstaan in het kader van het contract. Onverminderd het toepasselijke recht, wordt in het contract bovendien vastgesteld dat er geen beperking van aansprakelijkheid bestaat in geval van schending van de vertrouwelijkheid of schending van de regels inzake gegevensbescherming.
Artikel 17
Beëindiging van het contract
1.In het contract worden voorwaarden vastgesteld met betrekking tot de beëindiging ervan, in overeenstemming met het toepasselijk recht. In het contract wordt van de opzeggende partij vereist dat zij, in het geval van beëindiging van het contract, de Commissie hiervan overeenkomstig de in bijlage I bij de in Uitvoeringsverordening (EU) …/… vastgestelde procedurele voorschriften in kennis stelt.
2.De in het contract door de partijen vastgestelde opzegtermijn voor de beëindiging van het contract bedraagt ten minste vijf maanden.
In afwijking van de eerste alinea wordt in het contract echter bepaald dat producenten en importeurs het contract onmiddellijk moeten beëindigen:
a)in geval van ernstige schending door de aanbieder van zijn verplichtingen uit hoofde van het contract;
b)wanneer de aanbieder overeenkomstig het toepasselijk recht insolvent wordt of dreigt te worden.
3.Voor de toepassing van lid 2, onder a), wordt onder een ernstige schending onder andere verstaan:
a)het niet nakomen door de aanbieder van de verplichtingen of het niet verrichten van de in het contract vermelde diensten die essentieel zijn voor de doeltreffende werking van het traceringssysteem, waaronder met name het niet nakomen van de verplichtingen van hoofdstuk V van Uitvoeringsverordening (EU) …/…;
b)indien een aanbieder niet langer voldoet aan de in artikel 35, lid 2, van Uitvoeringsverordening (EU) …/… vastgestelde voorschriften inzake juridische en financiële onafhankelijkheid en indien, bij het verstrijken van de in artikel 35, lid 6, van Uitvoeringsverordening (EU) …/… vermelde periode, niet kon worden vastgesteld of aan de voorschriften is voldaan.
Artikel 18
Opschorting van diensten
In het contract wordt vastgesteld dat de opschorting van diensten in geval van late betaling door een producent of importeur verboden is, tenzij de vertraging de laatste betalingstermijn met dertig dagen of meer overschrijdt.
Artikel 19
Overdraagbaarheid van gegevens
1.In het contract wordt vastgesteld dat de aanbieders moeten zorgen voor volledige overdraagbaarheid van de gegevens indien producenten of importeurs een contract afsluiten met een nieuwe aanbieder voor het beheer van hun primaire gegevensopslag. Voorafgaand aan de datum van beëindiging van het contract bezorgt de huidige aanbieder een geactualiseerde kopie van alle in de primaire gegevensopslag opgeslagen gegevens aan de nieuwe aanbieder. Actualiseringen van de gegevens na het verstrekken van deze kopie worden onverwijld aan de nieuwe aanbieder overgedragen.
2.Teneinde de bedrijfscontinuïteit te waarborgen, bevat het contract een exitplan met de procedure die moet worden gevolgd wanneer het contract wordt beëindigd en de producent of importeur een nieuwe aanbieder contracteert. Het plan bevat de verplichting voor de huidige aanbieder om zijn diensten te blijven verlenen totdat de nieuwe dienstverlener operationeel is.
3.Het contract bevat bepalingen waarmee wordt gewaarborgd dat de huidige aanbieder geen retentierecht heeft met betrekking tot gegevens, informatie of andere noodzakelijke materialen die verband houden met de primaire gegevensopslag nadat deze zijn overgedragen aan de nieuwe aanbieder.
Artikel 20
Toepasselijk recht en jurisdictie
1.Het contract valt onder het recht van één van de lidstaten van de Europese Unie, zoals overeengekomen door de partijen bij het contract.
2.Het contract is onderworpen aan de jurisdictie van één van de lidstaten van de Europese Unie, zoals overeengekomen door de partijen bij het contract.
Artikel 21
Inwerkingtreding
Deze verordening treedt in werking op de twintigste dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie.
Deze verordening is verbindend in al haar onderdelen en is rechtstreeks toepasselijk in elke lidstaat.
Gedaan te Brussel, 15.12.2017
Voor de Commissie
De Voorzitter
Jean-Claude JUNCKER
