25.5.2012   

NL

Publicatieblad van de Europese Unie

C 147/1

1.

Dit advies maakt deel uit van een pakket van vier EDPS-adviezen inzake de financiële sector, die allemaal op dezelfde dag zijn uitgebracht (3).

2.

Op 20 oktober 2011 heeft de Commissie een voorstel aangenomen voor een richtlijn van het Europees Parlement en de Raad betreffende markten voor financiële instrumenten en houdende intrekking van Richtlijn 2004/39/EG van het Europees Parlement en de Raad (4) (het „richtlijnvoorstel”), en een voorstel voor een verordening van het Europees Parlement en de Raad betreffende markten voor financiële instrumenten en tot wijziging van Verordening (EMIR) betreffende otc-derivaten, centrale tegenpartijen en transactieregisters (het „verordeningsvoorstel”) (beide teksten hierna gezamenlijk „de voorstellen” te noemen).

3.

De EDPS was voorafgaand aan de aanneming van de voorstellen al informeel geraadpleegd. De EDPS neemt er nota van dat in de voorstellen rekening is gehouden met verschillende door hem gemaakte opmerkingen.

4.

De richtlijn betreffende markten voor financiële instrumenten (Markets in Financial Instruments Directive — MiFID), die sinds november 2007 van kracht is, is een belangrijke pijler voor de integratie van de financiële markten in de EU. De huidige MiFID bestaat uit een kaderrichtlijn (Richtlijn 2004/39/EG), een uitvoeringsrichtlijn (Richtlijn 2006/73/EG) en een uitvoeringsverordening (Verordening (EG) nr. 1287/2006).

5.

De MiFID brengt een regelgevingskader tot stand voor het verrichten van beleggingsdiensten in financiële instrumenten (zoals courtage, advies, handel, vermogensbeheer, overnemen van financiële instrumenten enz.) door banken en beleggingsondernemingen, alsook voor de exploitatie van gereglementeerde markten door marktexploitanten. In de richtlijn zijn tevens de bevoegdheden en taken van de nationale bevoegde autoriteiten met betrekking tot deze activiteiten vastgelegd. Concreet is de mogelijkheid voor lidstaten afgeschaft om te eisen dat alle handel in financiële instrumenten op specifieke beurzen plaatsvindt en is concurrentie tussen traditionele beurzen en alternatieve platforms in geheel Europa mogelijk gemaakt.

6.

Na meer dan drie jaar van kracht te zijn geweest, heeft de MiFID voor meer concurrentie tussen handelsplatforms voor financiële instrumenten en voor een grotere keuze van beleggers tussen dienstverrichters en beschikbare financiële instrumenten gezorgd. Er heeft zich echter ook een aantal problemen voorgedaan. De voordelen van de grotere concurrentie zijn bijvoorbeeld niet in dezelfde mate aan alle marktdeelnemers ten goede gekomen en zijn niet altijd doorgegeven aan de eindbeleggers, ongeacht of dit particuliere of institutionele beleggers betreft. Verder hebben de technologische en marktontwikkelingen diverse bepalingen van de MiFID ingehaald en heeft de financiële crisis tekortkomingen blootgelegd in de regulering van bepaalde instrumenten.

7.

De herziening van de MiFID is erop gericht niet alleen de bestaande regels aan te passen en te actualiseren om rekening te houden met de technologische en marktontwikkelingen en met de financiële crisis, maar ook de doeltreffendheid ervan te verbeteren.

8.

Verscheidene aspecten van de voorstellen zijn van invloed op de rechten van natuurlijke personen met betrekking tot de verwerking van hun persoonsgegevens, met name: 1. verplichtingen betreffende het bijhouden van gegevens en het melden van transacties; 2. bevoegdheden van bevoegde autoriteiten (met inbegrip van onderzoeksbevoegdheden en bevoegdheden om overzichten van telefoon- en dataverkeer op te vragen); 3. bekendmaking van sancties; 4. melding van schendingen, meer in het bijzonder bepalingen betreffende klokkenluiden; 5. samenwerking tussen bevoegde autoriteiten van lidstaten en de ESMA.

9.

In verschillende overwegingen (5) van de voorstellen wordt melding gemaakt van het Handvest van de grondrechten van de Europese Unie (EU-Handvest), Richtlijn 95/46/EG en Verordening (EG) nr. 45/2001. Er moet echter in een materieel artikel van de voorstellen een verwijzing worden opgenomen naar de toepasselijke gegevensbeschermingswetgeving.

10.

Een goed voorbeeld van een dergelijke materiële bepaling is terug te vinden in artikel 22 van het voorstel voor een verordening van het Europees Parlement en de Raad betreffende handel met voorwetenschap en marktmanipulatie (marktmisbruik) (6). Daarin wordt uitdrukkelijk als algemene regel gesteld dat Richtlijn 95/46/EG en Verordening (EG) nr. 45/2001 van toepassing zijn op de verwerking van persoonsgegevens die binnen het kader van het voorstel vallen. Over dit voorstel heeft de EDPS onlangs een advies uitgebracht, waarin dit soort overkoepelende bepaling sterk wordt toegejuicht. De EDPS stelt echter voor de verwijzing naar Richtlijn 95/46/EG duidelijker te maken door nader te specificeren dat de bepalingen gelden overeenkomstig de nationale regels ter uitvoering van Richtlijn 95/46/EG.

11.

De EDPS stelt derhalve voor een soortgelijke materiële bepaling in te voegen als vermeld in artikel 22 van het voorstel voor een verordening van het Europees Parlement en de Raad betreffende handel met voorwetenschap en marktmanipulatie (marktmisbruik) (7), mits daarbij rekening wordt gehouden met de door hem gedane suggesties bij dit voorstel (8), te weten de toepasselijkheid van de gegevensbeschermingswetgeving benadrukken en de verwijzing naar Richtlijn 95/46/EG duidelijker maken door nader te specificeren dat de bepalingen gelden overeenkomstig de nationale regels ter uitvoering van Richtlijn 95/46/EG.

12.

Het is van belang dat de overwegingen consistent worden geformuleerd door te stellen dat de lidstaten de ter zake geldende gegevensbeschermingswetgeving niet louter „eerbiedigen”, maar „moeten” eerbiedigen, aangezien die in werking is getreden en geen beoordelingsmarge wordt gelaten met betrekking tot de toepasselijkheid ervan.

13.

In overweging 27 en in artikelen 21 tot 23 van het verordeningsvoorstel wordt het beginsel ingevoerd dat de bevoegde autoriteiten, gecoördineerd door de Europese Autoriteit voor effecten en markten (European Securities and Markets Authority — ESMA), toezicht houden op de werkzaamheden van beleggingsondernemingen om te garanderen dat deze optreden op loyale, billijke en professionele wijze en op een manier die bevorderlijk is voor de integriteit van de markt. Daartoe moeten de autoriteiten degene die het investeringsbesluit heeft genomen en degenen die verantwoordelijk zijn voor de uitvoering ervan kunnen identificeren (overweging 28).

14.

Ter uitoefening van dit toezicht wordt beleggingsondernemingen bij artikel 22 de verplichting opgelegd alle relevante gegevens over de door hen verrichte transacties in financiële instrumenten gedurende ten minste vijf jaar ter beschikking van de bevoegde autoriteit te houden. De bijgehouden gegevens omvatten alle informatie en bijzonderheden over de identiteit van de cliënt. De bijzonderheden over transacties in financiële instrumenten moeten worden gemeld aan de bevoegde autoriteiten om deze in staat te stellen potentiële gevallen van marktmisbruik op te sporen en te onderzoeken en toezicht te houden op het eerlijk en ordelijk functioneren van de markten en op de activiteiten van beleggingsondernemingen. Ook de ESMA kan om toegang tot die informatie verzoeken.

15.

Beleggingsondernemingen moeten bijzonderheden over deze transacties, met inbegrip van de identiteit van de cliënten, zo spoedig mogelijk melden aan de bevoegde autoriteiten (artikel 23). Zijn de betrokken cliënten natuurlijke personen, dan moeten voor deze activiteiten persoonsgegevens worden verwerkt in de zin van Richtlijn 95/46/EG en Verordening (EG) nr. 45/2001, en mogelijk zelfs algemene databanken worden aangelegd.

16.

De bewaringstermijn van vijf jaar voor transactiemeldingen lijkt niet aan bod te zijn gekomen in de effectbeoordeling. Op grond van artikel 6, lid 1, onder e), van Richtlijn 95/46/EG mogen persoonsgegevens niet langer worden bewaard dan noodzakelijk is voor de verwezenlijking van de doeleinden waarvoor zij worden verzameld. Om aan dit vereiste te voldoen, stelt de EDPS voor de minimale bewaringstermijn van vijf jaar te vervangen door een maximale bewaringstermijn. De gekozen bewaringstermijn moet noodzakelijk en evenredig zijn voor de verwezenlijking van de doeleinden waarvoor de persoonsgegevens zijn verzameld.

17.

Artikel 16 van de richtlijn voorziet onder meer in organisatorische eisen die van toepassing zijn op beleggingsondernemingen. Beleggingsondernemingen zorgen er met name voor dat gegevens over alle door hen verrichte diensten en transacties worden bijgehouden die voldoende zijn om de betrokken bevoegde autoriteiten in staat te stellen na te gaan of de in de richtlijn gestelde eisen worden nageleefd. Aan de hand van die gegevens kan worden gecontroleerd of de beleggingsonderneming alle verplichtingen jegens haar cliënten of potentiële cliënten is nagekomen. Hoewel dit niet uitdrukkelijk is gesteld in de tekst, kan ervan worden uitgegaan dat die gegevens persoonsgegevens van cliënten en werknemers bevatten.

18.

Bij artikel 16, lid 12, wordt de Commissie de bevoegdheid verleend om gedelegeerde handelingen vast te stellen ter specificatie van de concrete organisatorische eisen waarin dit artikel voorziet. In dat verband verzoekt de EDPS de Commissie hem te raadplegen op het ogenblik dat de gedelegeerde handelingen worden vastgesteld. Die maatregelen moeten hoe dan ook tot doel hebben de opslag en verwerking van de door beleggingsondernemingen bij te houden persoonsgegevens tot een minimum te beperken. Zoals reeds opgemerkt voor de verordening, moet de Commissie ook grondig onderzoeken welke bewaringstermijn voor die gegevens moet worden ingevoerd om zeker te stellen dat de bewaring adequaat en evenredig is.

19.

Volgens het richtlijnvoorstel dienen telefoongesprekken of elektronische mededelingen te worden opgenomen of opgeslagen.

20.

Gegevens over telefoongesprekken of elektronische mededelingen bevatten doorgaans persoonsgegevens van de bij de communicatie betrokken partijen, ook al hebben ze betrekking op financiële transacties of beroepswerkzaamheden. Gegevens met betrekking tot elektronische mededelingen kunnen uiteenlopende persoonlijke informatie bevatten: niet alleen verkeersgegevens, maar ook inhoud. Bovendien impliceert het gebruik van de term ‘gesprek’ dat de inhoud van de communicaties wordt opgenomen of opgeslagen.

21.

Ten aanzien van persoonsgegevens in de zin van Richtlijn 95/46/EG en Verordening (EG) nr. 45/2001 moet worden voldaan aan de belangrijkste gegevensbeschermingsregels, meer in het bijzonder de beginselen van doelbinding, noodzakelijkheid en evenredigheid alsook de verplichting om de gegevens niet langer te bewaren dan noodzakelijk is.

22.

Overeenkomstig artikel 6, lid 1, onder b), van Richtlijn 95/46/EG moeten persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verkregen en vervolgens niet worden verwerkt op een wijze die onverenigbaar is met die doeleinden.

23.

Artikel 16, lid 7, van het richtlijnvoorstel bepaalt niet expliciet voor welke doeleinden de telefoongesprekken en elektronische mededelingen worden opgenomen of opgeslagen. In overweging 42 en in artikel 16, lid 6, van het richtlijnvoorstel, in het advies van het Comité van Europese effectenregelgevers (Committee of European Securities Regulators — CESR) en in de effectbeoordeling worden echter verschillende doeleinden vermeld.

24.

Overeenkomstig artikel 16, lid 6, van het richtlijnvoorstel zorgt een beleggingsonderneming ervoor dat gegevens over alle door haar verrichte diensten en transacties worden bijgehouden „om de bevoegde autoriteit in staat te stellen na te gaan of de in het richtlijnvoorstel gestelde eisen worden nageleefd en met name of de beleggingsonderneming alle verplichtingen jegens haar cliënten of potentiële cliënten is nagekomen.”

25.

In overweging 42 van het richtlijnvoorstel staat ter verduidelijking: „Het opnemen of opslaan van telefoongesprekken of elektronische mededelingen die met orders van cliënten verband houden, (…) is gerechtvaardigd om een betere beleggersbescherming, een beter markttoezicht en een grotere rechtszekerheid te waarborgen in het belang van beleggingsondernemingen en hun cliënten.” In de overweging wordt ook verwezen naar het technische advies dat op 29 juli 2010 door het Comité van Europese effectenregelgevers (CESR) aan de Commissie is uitgebracht en waarin op het belang van dergelijke bescheiden wordt gewezen (9).

26.

In zijn advies wijst het CESR erop dat het opnemen of opslaan van gesprekken volgens de bevoegde autoriteiten noodzakelijk is i) om te zorgen voor bewijsmateriaal ter beslechting van geschillen tussen een beleggingsonderneming en haar cliënten in verband met de transactievoorwaarden; ii) om steun te verlenen aan het toezicht op gedragsregels; en iii) om marktmisbruik te helpen verhinderen en opsporen, en de handhaving op dit gebied te vergemakkelijken. Het opnemen of opslaan van gesprekken is niet de enige methode om toezicht door de autoriteiten te waarborgen, maar kan een bevoegde autoriteit „helpen” na te gaan of bijvoorbeeld wordt voldaan aan de MiFID-vereisten inzake informatieverstrekking aan cliënten en potentiële cliënten, optimale uitvoering en afhandeling van cliëntenorders.

27.

In de effectbeoordeling wordt verduidelijkt dat „bevoegde autoriteiten die informatie (dat wil zeggen opgenomen of opgeslagen telefoongesprekken en elektronische mededelingen) nodig hebben om de marktintegriteit en handhaving van de naleving van gedragsregels te waarborgen” (10).

28.

De verschillende doeleinden die worden genoemd in overweging 42 en in artikel 16, lid 6, van het richtlijnvoorstel, in het advies van het CESR en in de effectbeoordeling worden niet op een logische en coherente wijze beschreven, maar zijn terug te vinden op verschillende plaatsen in het voorstel en in begeleidende documenten. Overeenkomstig artikel 6, lid 1, van Richtlijn 95/46/EG moeten de persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verkregen. Derhalve dringt de EDPS er bij de wetgever op aan om in artikel 16, lid 7, van het richtlijnvoorstel een duidelijke en nauwkeurige definitie te geven van de doeleinden waarvoor telefoongesprekken en elektronische mededelingen worden opgenomen of opgeslagen.

29.

Overeenkomstig artikel 6, lid 1, onder c), van Richtlijn 95/46/EG moeten de persoonsgegevens toereikend, ter zake dienend en niet bovenmatig zijn, uitgaande van de doeleinden waarvoor zij worden verzameld of waarvoor zij vervolgens worden verwerkt. Met andere woorden, ze moeten worden beperkt tot wat nodig is om de nagestreefde doelstelling te bereiken en mogen niet verder gaan dan wat nodig is om deze doelstelling te bereiken.

30.

In artikel 16, lid 7, wordt verwezen naar telefoongesprekken of elektronische mededelingen die ten minste met in het kader van handel voor eigen rekening gesloten transacties en orders van cliënten verband houden wanneer de diensten van het ontvangen en doorgeven van orders en het uitvoeren van orders voor rekening van cliënten worden verricht.

31.

Ten eerste wordt in artikel 16, lid 7, met uitzondering van de expliciet genoemde transacties, niet nader omschreven naar welke telefoongesprekken en elektronische mededelingen de gegevens verwijzen. De EDPS begrijpt dat het gaat om communicaties die verband houden met de door een beleggingsonderneming verrichte diensten en transacties. Een en ander moet echter duidelijk worden gespecificeerd. Bovendien laat het gebruik van de termen „ten minste” ruimte voor het opnemen of opslaan van uiteenlopende telefoongesprekken of elektronische mededelingen. Deze bepaling moet integendeel duidelijk omschrijven welke communicaties worden opgenomen of opgeslagen, en die communicaties beperken tot die welke daartoe vereist zijn.

32.

Ten tweede preciseert de bepaling niet welke gegevenscategorieën worden bijgehouden. Zoals eerder al opgemerkt, kunnen gegevens betreffende elektronische communicaties uiteenlopende persoonlijke informatie bevatten, zoals de identiteit van de personen die een oproep doen of ontvangen, het tijdstip en de duur van het telefoongesprek, het gebruikte netwerk, de geografische locatie van de gebruiker in geval van draagbare apparaten enz. Dat behelst ook eventuele toegang tot de inhoud van de communicaties. Bovendien impliceert de verwijzing naar „gesprekken” dat de inhoud van de communicaties wordt opgenomen of opgeslagen. In overeenstemming met het evenredigheidsbeginsel moeten persoonsgegevens die zijn opgenomen in gegevens van telefoongesprekken en elektronische mededelingen worden beperkt tot wat nodig is voor de doeleinden waarvoor zij zijn verzameld.

33.

Worden de communicaties bijvoorbeeld opgenomen of opgeslagen met het doel bewijsstukken van de transacties te bewaren, dan lijken er geen andere alternatieven te bestaan dan het opnemen of opslaan van de inhoud van de communicaties om de transacties te kunnen bewijzen. De inhoud van de communicaties opnemen of opslaan met het doel marktmisbruik te helpen verhinderen of opsporen of om algemeen toezicht uit te oefenen op de naleving van de vereisten uit hoofde van het richtlijnvoorstel zou buitensporig en onevenredig zijn. In dat verband wordt de inhoud van de communicatie uitdrukkelijk uitgesloten bij artikel 71, lid 2, onder d), van het richtlijnvoorstel, dat de bevoegde autoriteit de bevoegdheid verleent om door een beleggingsonderneming bijgehouden overzichten van telefoon- en dataverkeer te verlangen ingeval er een redelijk vermoeden bestaat dat er een schending is gebeurd van het richtlijnvoorstel. Gelijkerwijs wordt de inhoud van de communicatie ook uitdrukkelijk uitgesloten bij artikel 17, lid 2, onder f), van het voorstel voor een verordening van het Europees Parlement en de Raad betreffende handel met voorwetenschap en marktmanipulatie (marktmisbruik) (11), dat dezelfde onderzoeksbevoegdheid verleent aan de bevoegde autoriteiten om voorwetenschap of marktmanipulatie te bewijzen.

34.

De EDPS beveelt dan ook ten zeerste aan in artikel 16, lid 7, van het richtlijnvoorstel te specificeren welke soorten telefoongesprekken en elektronische mededelingen alsook welke daarmee samenhangende gegevenscategorieën worden opgenomen of opgeslagen. Deze gegevens moeten adequaat, ter zake dienend en niet buitensporig zijn ter verwezenlijking van hetzelfde doel.

35.

Overeenkomstig artikel 6, lid 1, onder e), van Richtlijn 95/46/EG mogen persoonsgegevens in een vorm die het mogelijk maakt de betrokkenen te identificeren, niet langer worden bewaard dan noodzakelijk is voor de verwezenlijking van de doeleinden waarvoor zij worden verzameld (12). De in artikel 16, lid 7, vermelde bewaringstermijn is drie jaar. In de effectbeoordeling wordt erkend dat elke maatregel op dat vlak in overeenstemming moet zijn met de EU-gegevensbeschermingsregels die zijn vastgelegd in Richtlijn 95/46/EG. Er wordt echter benadrukt dat in de toe te passen bewaringstermijn rekening moet worden gehouden met de bestaande EU-wetgeving betreffende de bewaring van gegevens die zijn gegenereerd of verwerkt in verband met het aanbieden van openbaar beschikbare elektronische communicatiediensten ter bestrijding van de ernstige criminaliteit. Betoogd wordt dat de maximumtermijn van drie jaar blijkt te voldoen aan de beginselen van noodzakelijkheid en evenredigheid om een inperking van de grondrechten te rechtvaardigen (13).

36.

Naar het oordeel van de EDPS is de analyse van de noodzakelijkheid en evenredigheid van de duur van de maatregel ontoereikend. De bestrijding van ernstige criminaliteit wordt nergens genoemd in de verschillende (en enigszins onduidelijke) doeleinden voor het opnemen of opslaan van telefoongesprekken en elektronische mededelingen waarnaar wordt verwezen in artikel 16, lid 6, in overweging 42, in de effectbeoordeling of in het advies van het CESR.

37.

Een en ander moet worden getoetst aan de doeleinden van het opnemen of opslaan van telefoongesprekken en elektronische mededelingen in het kader van het richtlijnvoorstel. Is het bijvoorbeeld de bedoeling „te zorgen voor bewijsmateriaal ter beslechting van geschillen tussen een beleggingsonderneming en haar cliënten in verband met de transactievoorwaarden” (14), dan moet in de effectbeoordeling worden nagegaan hoe lang de gegevens moeten worden bewaard ten aanzien van de verjaring van rechten waarin zulke geschillen hun oorsprong vinden.

38.

De EDPS roept de wetgever dan ook op om grondig te onderzoeken welke bewaringstermijn nodig is met het oog op het opnemen of opslaan van telefoongesprekken en elektronische mededelingen binnen de specifieke werkingssfeer van het voorstel.

39.

In artikel 71 van de richtlijn staan de toezicht- en onderzoeksbevoegdheden van de bevoegde autoriteiten.

40.

In artikel 71, lid 4, wordt verwezen naar Richtlijn 95/46/EG door te stellen dat de persoonsgegevens die in het kader van de uitoefening van de toezicht- en onderzoekstaken zijn verzameld, in elk geval moeten worden verwerkt met inachtneming van de grondrechten op privacy en de bescherming van persoonsgegevens. De EDPS is ingenomen met deze bepaling die uitdrukkelijk het verband behandelt tussen de onderzoekstaak van autoriteiten en de verwerking van persoonsgegevens als onderdeel van hun werkzaamheden.

41.

Artikel 71, lid 2, onder c), geeft de bevoegde autoriteiten de bevoegdheid om inspecties ter plaatse te verrichten. In tegenstelling tot het voorstel voor een verordening van het Europees Parlement en de Raad betreffende handel met voorwetenschap en marktmanipulatie (marktmisbruik) (15) wordt in deze bepaling niet verwezen naar de bevoegdheid van de bevoegde autoriteiten tot het „binnentreden van privégebouwen teneinde documenten in beslag te nemen”. Daaruit zou kunnen worden opgemaakt dat de bevoegdheid om inspecties te verrichten zich beperkt tot de bedrijfsgebouwen van beleggingsondernemingen en niet geldt voor privégebouwen. De EDPS raadt derhalve aan deze beperking ter wille van de duidelijkheid uitdrukkelijk op te nemen in de tekst. Is de Commissie echter voornemens inspecties in privégebouwen toe te staan, dan verwijst de EDPS naar de opmerking die hij dienaangaande heeft gemaakt in zijn advies over het bovengenoemde voorstel (16). Daarin stelt hij dat het algemene vereiste betreffende voorafgaande toestemming van de rechter — ongeacht of het nationale recht dat voorschrijft — gerechtvaardigd zou zijn gezien de mogelijke indringendheid van de bevoegdheid in kwestie.

42.

Artikel 71, lid 2, onder d), van het richtlijnvoorstel verleent de bevoegde autoriteiten de bevoegdheid om „door beleggingsondernemingen bijgehouden bestaande overzichten van telefoon- en dataverkeer te verlangen”. Verder wordt verduidelijkt dat daartoe een „redelijk vermoeden” dient te bestaan dat die overzichten „van belang kunnen zijn voor het bewijzen van een schending door de beleggingsonderneming van haar verplichtingen” uit hoofde van de richtlijn. Deze overzichten mogen hoe dan ook geen betrekking hebben op „de inhoud van de communicatie waarmee zij verband houden”. De EDPS stelt het op prijs dat de aan de bevoegde autoriteiten verleende bevoegdheden worden ingeperkt door de toegang tot de overzichten afhankelijk te stellen van het bestaan van een redelijk vermoeden van een schending en door de bevoegde autoriteiten de toegang tot de inhoud van de communicaties te ontzeggen.

43.

De begrippen „overzichten van telefoon- en dataverkeer” worden niet gedefinieerd in het richtlijnvoorstel. In Richtlijn 2002/58/EG (e-privacyrichtlijn) wordt alleen verwezen naar „verkeersgegevens”, maar niet naar „overzichten van telefoon- en dataverkeer”. Het spreekt vanzelf dat de precieze betekenis van die begrippen bepaalt welke gevolgen de onderzoeksbevoegdheid kan hebben voor de bescherming van de persoonlijke levenssfeer en persoonsgegevens van de betrokken personen. De EDPS stelt dan ook voor om de bestaande terminologie te gebruiken, zoals gedefinieerd onder „verkeersgegevens” in Richtlijn 2002/58/EG.

44.

Gegevens met betrekking tot het gebruik van elektronische communicatiemiddelen kunnen uiteenlopende persoonlijke informatie bevatten, zoals de identiteit van de personen die een oproep doen of ontvangen, het tijdstip en de duur van het telefoongesprek, het gebruikte netwerk, de geografische locatie van de gebruiker in geval van draagbare apparaten enz. Sommige verkeersgegevens over het gebruik van internet en e-mail (bijvoorbeeld de lijst van bezochte websites) kunnen daarnaast belangrijke details met betrekking tot de inhoud van de communicatie onthullen. Bovendien is de verwerking van verkeersgegevens in strijd met de geheimhouding van correspondentie. Richtlijn 2002/58/EG bevat dan ook de verplichting om verkeersgegevens te wissen of anoniem te maken wanneer ze niet langer nodig zijn voor de transmissie van communicatie (17). Volgens artikel 15, lid 1, van deze richtlijn, kunnen de lidstaten in de nationale wetgeving om specifieke gegronde redenen hiervan afwijken, maar deze afwijkingen moeten in een democratische samenleving noodzakelijk, redelijk en evenredig met de doeleinden zijn (18).

45.

De EDPS erkent dat de doelstellingen die in de Ratingbureauverordening worden nagestreefd door de Commissie, rechtmatig zijn. Hij begrijpt dat het nodig is maatregelen te nemen om het toezicht op de financiële markten te verscherpen, teneinde deze markten gezond te houden en de beleggers en de economie in brede zin beter te beschermen. Een onderzoeksbevoegdheid die direct verband houdt met de verkeersgegevens, moet gezien haar potentieel indringende aard beantwoorden aan de vereisten van noodzakelijkheid en evenredigheid, d.w.z. dat ze zich moeten beperken tot wat gepast is om het doel te bereiken en niet verder dan nodig mag gaan (19). In dit opzicht is het van essentieel belang dat de bevoegdheid duidelijk geformuleerd is wat betreft de persoonlijke en materiële werkingssfeer en de omstandigheden waarin en de voorwaarden waaronder ze kan worden gebruikt. Verder moeten er gepaste waarborgen worden ingevoerd tegen het risico van misbruik.

46.

De betrokken overzichten van telefoon- en dataverkeer bevatten uiteraard persoonsgegevens in de zin van Richtlijn 95/46/EG, Richtlijn 2002/58/EG en Verordening (EG) nr. 45/2001. Daarom moet worden verzekerd dat volledig voldaan is aan de voorwaarden voor een eerlijke en rechtmatige verwerking van persoonsgegevens, als vastgelegd in de richtlijnen en in de verordening. Zolang dit het geval is, moet worden verzekerd dat volledig voldaan is aan de voorwaarden voor een eerlijke en rechtmatige verwerking van persoonsgegevens, als vastgelegd in de richtlijnen en de verordening.

47.

De EDPS neemt er nota van dat krachtens artikel 71, lid 3, toestemming van een rechterlijke instantie moet worden gevraagd indien het nationale recht dat voorschrijft. De EDPS is evenwel van mening dat een algemeen vereiste betreffende voorafgaande toestemming van de rechter in alle gevallen — ongeacht of het nationale recht dat voorschrijft — gerechtvaardigd zou zijn gezien de mogelijke indringendheid van de bevoegdheid in kwestie en in het belang van een geharmoniseerde toepassing van de wetgeving in alle lidstaten van de EU. Er moet ook in overweging worden genomen dat diverse wetten van lidstaten voorzien in bijzondere waarborgen inzake onschendbaarheid van de woning als bescherming tegen onevenredige of niet strikt gereguleerde inspecties, huiszoekingen of inbeslagnemingen, vooral wanneer die worden uitgevoerd door instellingen van administratieve aard.

48.

De EDPS beveelt bovendien aan om de ESMA ertoe te verplichten gebruik te maken van een officiële beschikking om overzichten van telefoon- en dataverkeer op te vragen. Deze beschikking moet de rechtsgrondslag en het doel van het verzoek specificeren, alsmede welke informatie er nodig is, de tijdslimiet waarbinnen de informatie moet worden verstrekt en het recht van de betrokkene om tegen de beschikking in beroep te gaan bij het Hof van Justitie.

49.

De uitdrukking „bestaande overzichten van telefoon- en dataverkeer” lijkt duidelijkheid te missen. Overzichten van telefoon- en dataverkeer worden niet nader bepaald, ook al is in artikel 71, lid 2, onder d), van het MiFID-voorstel gespecificeerd dat het alleen om de „door beleggingsondernemingen bijgehouden” overzichten gaat. Door beleggingsondernemingen bijgehouden gegevens zijn waarschijnlijk die welke in de leden 6 en 7 van het hierboven besproken artikel 16 worden genoemd. Normaliter betekent dit dat overzichten die worden bijgehouden door aanbieders van elektronische communicatiediensten die een leveringscontract hebben met de betrokken beleggingsonderneming zijn uitgesloten. Ter wille van de duidelijkheid beveelt de EDPS aan nader te omschrijven wat precies wordt verstaan onder door beleggingsondernemingen bijgehouden overzichten van telefoon- en dataverkeer.

50.

Bij artikel 74 van het richtlijnvoorstel wordt de lidstaten de verplichting opgelegd ervoor zorg te dragen dat de bevoegde autoriteiten alle sancties of maatregelen die bij schending van het verordeningsvoorstel of van de nationale bepalingen ter uitvoering van het richtlijnvoorstel worden opgelegd, zonder onnodige vertraging bekendmaken, waarbij informatie wordt verstrekt over de aard van de schending en de identiteit van de personen die ervoor verantwoordelijk zijn, tenzij een dergelijke bekendmaking een ernstige bedreiging zou vormen voor de financiële markten. Deze verplichting wordt alleen beperkt wanneer de bekendmaking de betrokken partijen „onevenredige schade” zou berokkenen. In dit geval maken de bevoegde autoriteiten de sancties zonder vermelding van namen bekend.

51.

De bekendmaking van sancties kan het afschrikkend effect van sanctieregelingen verbeteren door feitelijke en potentiële daders te ontmoedigen inbreuken te plegen ter voorkoming van aanzienlijke reputatieschade. Dit zou ook een grotere transparantie bewerkstelligen door marktexploitanten ervan bewust te maken dat een bepaalde persoon een schending heeft begaan (20). Deze verplichting wordt alleen beperkt wanneer de bekendmaking de betrokken partijen onevenredige schade zou berokkenen. In dit geval maken de bevoegde autoriteiten de sancties zonder vermelding van namen bekend. Voorts wordt in de effectbeoordeling erkend dat de invoering van een sanctieregeling (zowel door minimale harmonisatie als middels volledige of maximale harmonisatie) van invloed kan zijn op de grondrechten als bedoeld in artikel 7 (recht op eerbiediging van privé-, familie- en gezinsleven), artikel 8 (bescherming van persoonsgegevens) en mogelijk ook op artikel 47 (recht op een doeltreffende voorziening in rechte en op een onpartijdig gerecht) en artikel 48 (vermoeden van onschuld en rechten van de verdediging) van het EU-Handvest (21), maar wordt daar kennelijk niet verder ingegaan op de mogelijke gevolgen die de bekendmaking van de sancties zelf heeft op die rechten.

52.

Overeenkomstig artikel 75, lid 2, onder a), mogen de bevoegde autoriteiten in het kader van hun sanctiebevoegdheden een publieke verklaring afleggen waarin de voor de schending verantwoordelijke persoon en de aard van de schending worden vermeld (22). Niet duidelijk is hoe de in artikel 74 voorgeschreven openbaarmakingsverplichting kan worden verzoend met de bevoegdheid om een publieke verklaring af te leggen overeenkomstig artikel 75, lid 2, onder a). Het feit dat de bevoegdheid om een publieke verklaring af te leggen is opgenomen in artikel 75, lid 2, onder a), toont aan dat de bekendmaking op zich beschouwd al een reële sanctie is en per geval moet worden beoordeeld door toetsing aan de in artikel 76 vastgelegde evenredigheidscriteria (23).

53.

De EDPS is er niet van overtuigd dat de verplichte bekendmaking van sancties in de huidige formulering voldoet aan de vereisten van de gegevensbeschermingswetgeving. Een en ander wordt duidelijk gemaakt in het arrest dat het Hof van Justitie heeft gewezen in de zaak Schecke  (24). De EDPS stelt zich op het standpunt dat het doel, de noodzakelijkheid en evenredigheid van de maatregel niet genoegzaam worden aangetoond, en dat er hoe dan ook had moeten worden voorzien in passende waarborgen om de rechten van natuurlijke personen te vrijwaren.

54.

In het arrest in de zaak Schecke heeft het Hof van Justitie de bepalingen nietig verklaard van een verordening van de Raad en een verordening van de Commissie, strekkende tot verplichte bekendmaking van informatie over de begunstigden van steun uit landbouwfondsen, met inbegrip van de identiteit van de begunstigden en de uit die fondsen ontvangen bedragen. Het Hof heeft geoordeeld dat die bekendmaking is aan te merken als de verwerking van persoonsgegevens in de zin van artikel 8, lid 2, van het Europees Handvest van de grondrechten (het „Handvest”) en bijgevolg strekt tot inmenging in de bij artikelen 7 en 8 van het Handvest erkende rechten.

55.

Het Hof heeft eerst gekeken naar het vereiste dat „uitzonderingen op en beperkingen van de bescherming van persoonsgegevens, binnen de grenzen van het strikt noodzakelijke moeten blijven” en heeft vervolgens het doel en de evenredigheid van die bekendmaking beoordeeld. Het Hof is tot de slotsom gekomen dat niets erop wees dat de Raad en de Commissie bij de vaststelling van de wetgeving in kwestie vormen van bekendmaking van informatie in overweging hebben genomen die in overeenstemming zouden zijn met de doelstelling van een dergelijke bekendmaking, maar tegelijkertijd het recht van deze begunstigden minder zouden aantasten.

56.

Artikel 74 van het richtlijnvoorstel vertoont kennelijk dezelfde tekortkomingen die onder de aandacht werden gebracht door het Europees Hof van Justitie in het arrest in de zaak Schecke. Er zij aan herinnerd dat het, ter beoordeling of een bepaling die verplicht tot het openbaar maken van persoonsgegevens voldoet aan de eisen inzake gegevensbescherming, van cruciaal belang is dat een duidelijk, welomschreven doel bestaat dat de voorgenomen bekendmaking beoogt te bereiken. Alleen met een duidelijk, welomschreven doel kan worden beoordeeld of de bekendmaking van de betrokken persoonsgegevens echt noodzakelijk en evenredig is (25).

57.

Na lezing van het voorstel en de begeleidende documenten (dat wil zeggen het effectbeoordelingsverslag) is de EDPS van mening dat het doel en derhalve de noodzakelijkheid van deze maatregel niet duidelijk vaststaan. In de overwegingen van het voorstel wordt nergens ingegaan op deze kwesties. In het effectbeoordelingsverslag wordt enkel aangegeven dat de „bekendmaking van sancties van belang is om te garanderen dat sancties een afschrikkend effect hebben op de adressaten, en om er zeker van te zijn dat de sancties een afschrikkend effect hebben op het grote publiek” (26). Een zo algemeen verwoorde verklaring lijkt ontoereikend om de noodzakelijkheid van de voorgestelde maatregel aan te tonen. Is het algemeen nagestreefde doel de versterking van de afschrikkende werking, dan had de Commissie inzonderheid moeten uitleggen waarom niet kon worden volstaan met zwaardere financiële of andere sancties (die verder gaan dan het openlijk aan de kaak stellen („naming en shaming”) van de overtreders).

58.

Voorts lijkt in het effectbeoordelingsverslag onvoldoende rekening te worden gehouden met minder indringende methoden, zoals een bekendmaking die beperkt blijft tot kredietinstellingen of waarover per geval wordt beslist. Met name de laatste keuzemogelijkheid lijkt prima facie een evenrediger oplossing, in het bijzonder wanneer men bedenkt dat bekendmaking, als vastgelegd in artikel 75, lid 2, onder a), als sanctie is aan te merken en derhalve per geval moet worden beoordeeld, rekening houdend met de relevante omstandigheden, zoals de ernst van de schending, de mate van persoonlijke verantwoordelijkheid, recidive, de verliezen die derden wegens de schending hebben geleden enz (27).

59.

De mogelijkheid om het geval te beoordelen rekening houdend met de specifieke omstandigheden maakt deze oplossing naar het oordeel van de EDPS evenrediger, zodat deze optie de voorkeur geniet boven een verplichte bekendmaking in alle gevallen. Deze beoordelingsmarge kan bijvoorbeeld de bevoegde autoriteit vrijlaten om bekendmaking te voorkomen bij schendingen die minder ernstig zijn, die geen schade van betekenis veroorzaken, waarbij de betrokken partij zich coöperatief heeft opgesteld enz.

60.

Overeenkomstig artikel 35, lid 6, van het verordeningsvoorstel publiceert de ESMA op haar website een kennisgeving van elk besluit tot het opleggen of vernieuwen van de beperking van het vermogen van een persoon om een grondstoffenderivatencontract te sluiten. De identiteit van personen wier vermogen om contracten te sluiten werd beperkt door de ESMA moet derhalve worden bekendgemaakt, naast de toepasselijke financiële instrumenten, de relevante kwantitatieve maatregelen zoals het maximale aantal contracten dat door de betreffende persoon of klasse van personen kan worden aangegaan en de redenen daarvoor. De maatregel wordt van kracht als de kennisgeving is gepubliceerd (artikel 35, lid 7). Op basis van de uiteengezette redenering met betrekking tot de bepalingen van de richtlijn moedigt de EDPS de wetgever aan om na te gaan of bekendmaking noodzakelijk is en of andere, minder restrictieve middelen bestaan in gevallen waarbij natuurlijke personen zijn betrokken.

61.

Het richtlijnvoorstel had moeten voorzien in passende waarborgen om te zorgen voor een billijk evenwicht tussen de verschillende belangen die in het geding zijn. Ten eerste zijn er waarborgen nodig ten aanzien van het recht van de beschuldigden om het besluit aan te vechten voor een rechter en het vermoeden van onschuld. Wat dat betreft, had in de tekst van artikel 74 een specifieke formulering moeten worden opgenomen om de bevoegde autoriteiten te verplichten passende maatregelen te nemen, zowel in het geval dat bezwaar kan worden aangetekend tegen het besluit, als in het geval dat dit besluit uiteindelijk nietig wordt verklaard door een rechter (28).

62.

Ten tweede moet het richtlijnvoorstel waarborgen dat de rechten van de betrokkenen op proactieve wijze in acht worden genomen. De EDPS stelt het op prijs dat de definitieve versie van het voorstel voorziet in de mogelijkheid om de bekendmaking uit te sluiten wanneer de betrokken partijen daardoor onevenredige schade zou worden toegebracht. Een proactieve aanpak dient echter te impliceren dat de betrokkenen op voorhand ervan in kennis worden gesteld dat het besluit tot oplegging van een sanctie zal worden bekendgemaakt, en dat hun overeenkomstig artikel 14 van Richtlijn 95/46/EG het recht wordt verleend op grond van zwaarwegende en gerechtvaardigde redenen daartegen bezwaar aan te tekenen (29).

63.

Ten derde, hoewel het richtlijnvoorstel niet duidelijk aangeeft op welk medium de informatie moet worden bekendgemaakt, is het in de praktijk goed denkbaar dat de informatie in de meeste lidstaten op het internet wordt bekendgemaakt. Publicaties op het internet doen specifieke problemen en risico's rijzen die meer in het bijzonder verband houden met de noodzaak om de informatie niet langer online te houden dan nodig is en om te beletten dat de gegevens worden bewerkt of gewijzigd. Bij het gebruik van externe zoekmachines ontstaat ook het risico dat de informatie uit haar context wordt gelicht en via het internet of daarbuiten wordt verspreid op minder gemakkelijk te controleren wijzen (30).

64.

Gelet op hetgeen voorafgaat, is het noodzakelijk de lidstaten te verplichten ervoor te zorgen dat de persoonsgegevens van de betrokken personen slechts gedurende een redelijke tijdsperiode online blijven, waarna ze systematisch worden verwijderd (31). Voorts dienen de lidstaten ervoor te zorgen dat passende veiligheidsmaatregelen en waarborgen worden vastgesteld, meer in het bijzonder ter bescherming tegen risico's in verband met het gebruik van externe zoekmachines (32).

65.

De EDPS is van mening dat de bepaling inzake de verplichte bekendmaking van sancties in de huidige formulering niet strookt met de grondrechten op privacy en de bescherming van persoonsgegevens. De wetgever dient de noodzaak van het voorgestelde systeem zorgvuldig te beoordelen en dient na te gaan of de bekendmakingsverplichting verder gaat dan wat nodig is om de nagestreefde doelstelling van algemeen belang te bereiken dan wel of diezelfde doelstelling met minder beperkende maatregelen kan worden bereikt. Ongeacht de uitkomst van deze evenredigheidstoetsing moet de bekendmakingsverplichting hoe dan ook worden ondersteund door passende waarborgen om ervoor te zorgen dat het vermoeden van onschuld en het recht van bezwaar van de betrokken personen in acht wordt genomen, dat de gegevens afdoende worden beveiligd en nauwkeurig zijn en dat ze na een gepaste tijdsperiode worden verwijderd.

66.

Artikel 77 van het richtlijnvoorstel behandelt mechanismen om schendingen te melden, ook klokkenluidersregelingen genoemd. Deze systemen zijn weliswaar een effectief nalevingsinstrument, maar roepen belangrijke vragen op vanuit het oogpunt van gegevensbescherming (33). De EDPS is ingenomen met het feit dat in het richtlijnvoorstel specifieke waarborgen zijn opgenomen — die op nationaal niveau verder moeten worden uitgewerkt — ten aanzien van de bescherming van de personen die vermoedelijke schendingen melden en, algemener, de bescherming van persoonsgegevens. In de effectbeoordeling worden klokkenluidersregelingen genoemd als onderdeel van de opties om sancties in te voeren bij de beoordeling van grondrechten (34), en wordt er nogmaals op gewezen dat de uitvoeringswetgeving dient te voldoen aan de gegevensbeschermingsbeginselen en -criteria zoals die door gegevensbeschermingsautoriteiten zijn vastgelegd. De EDPS is zich ervan bewust dat in de richtlijn alleen de belangrijkste onderdelen worden uiteengezet van de regeling die de lidstaten moeten uitvoeren. Niettemin wil de EDPS graag de aandacht vestigen op de volgende aanvullende punten.

67.

Net als in eerder uitgebrachte adviezen (35) benadrukt de EDPS dat er behoefte bestaat aan invoeging van een specifieke bepaling om de vertrouwelijkheid van de identiteit van klokkenluiders en informanten te waarborgen. De EDPS onderstreept dat de klokkenluiders zich in een gevoelige positie bevinden. Personen die dergelijke informatie verstrekken, dienen de waarborg te krijgen dat hun identiteit vertrouwelijk wordt gehouden, in het bijzonder tegenover degene over wie een vermoeden van een strafbaar feit wordt gemeld (36). Er moet worden gewaarborgd dat de identiteit van klokkenluiders vertrouwelijk wordt gehouden, tenzij dit in strijd is met nationale voorschriften voor gerechtelijke procedures. In het bijzonder kan het nodig blijken de identiteit bekend te maken in het kader van verder onderzoek of latere gerechtelijke procedures die worden ingeleid als gevolg van het onderzoek (ook als vast is komen te staan dat de betrokken klokkenluider te kwader trouw valse verklaringen heeft afgelegd) (37). Gelet op hetgeen voorafgaat, beveelt de EDPS aan om in letter b) van artikel 77, lid 1, de volgende bepaling op te nemen: „de identiteit van die personen moet worden beschermd in alle fasen van de procedure, tenzij de bekendmaking ervan wordt voorgeschreven door de nationale wetgeving in het kader van verder onderzoek of latere gerechtelijke procedures.”

68.

De EDPS benadrukt verder het belang om te voorzien in adequate regels ter waarborging van het recht van toegang van de beschuldigden, dat nauw verband houdt met het recht van verweer (38). De in artikel 77, lid 1, onder a), genoemde procedures voor de ontvangst van meldingen van schendingen en de follow-up daarvan moeten waarborgen dat het recht van verweer van de beschuldigden op passende wijze in acht wordt genomen, zoals het recht op informatie, het recht van toegang tot het onderzoeksdossier en het vermoeden van onschuld, en beperkt blijven tot hetgeen noodzakelijk is (39). De EDPS stelt dienaangaande voor in het richtlijnvoorstel tevens de bepaling over te nemen van artikel 29, onder d), van het Commissievoorstel voor een verordening van het Europees Parlement en de Raad betreffende handel met voorwetenschap en marktmanipulatie (marktmisbruik), op grond waarvan de lidstaat moet zorgen voor „passende procedures om het recht van de beschuldigde persoon te waarborgen om zich te verdedigen en gehoord te worden voordat een besluit over hem wordt genomen en het recht om in rechte beroep aan te tekenen tegen een beslissing of maatregel die op hem betrekking heeft”.

69.

Tot slot verheugt het de EDPS dat de lidstaten bij artikel 77, lid 1, onder c), de verplichting wordt opgelegd om de bescherming van de persoonsgegevens te garanderen, zowel van de persoon die de schendingen meldt, als van de voor een schending verantwoordelijk geachte persoon in overeenstemming met de beginselen van Richtlijn 95/46/EG. De EDPS stelt evenwel voor de woorden „de beginselen van” te schrappen om de reikwijdte en bindende kracht van de verwijzing naar de richtlijn te verruimen. Wat betreft de noodzaak van eerbiediging van de gegevensbeschermingswetgeving bij de praktische uitvoering van de regelingen, wil de EDPS bijzondere nadruk leggen op de aanbevelingen die de Werkgroep gegevensbescherming artikel 29 heeft gedaan in haar klokkenluidersadvies van 2006. Bij de uitvoering van nationale regelingen moeten de betrokken entiteiten onder meer voor ogen houden dat het evenredigheidsbeginsel moet worden nageleefd door de categorieën meldingsgerechtigde personen, de categorieën beschuldigden en de schendingen die hun ten laste kunnen worden gelegd zoveel mogelijk te beperken; voorts moeten zij ermee rekening houden dat de voorkeur dient te worden gegeven aan geïdentificeerde en vertrouwelijke meldingen boven anonieme meldingen; dat de identiteit van klokkenluiders die te kwader trouw valse verklaringen hebben afgelegd moet worden bekendgemaakt; en dat strikte bewaringstermijnen in acht moeten worden genomen.

70.

Artikel 83 voert de verplichting in tot samenwerking tussen de bevoegde autoriteiten van de lidstaten onderling en met de ESMA. In lid 5 van artikel 83 wordt inzonderheid overwogen de bevoegde autoriteiten te verplichting op te leggen om de ESMA en de overige autoriteiten in kennis te stellen van de bijzonderheden van a) elk overeenkomstig artikel 72, lid 1, onder f), gedaan verzoek aan eenieder die informatie over het totale risico heeft verstrekt, om stappen te ondernemen teneinde de omvang van het aangegane risico te verminderen, en van b) elke overeenkomstig artikel 72, lid 1, onder g), ingestelde beperking op het vermogen van personen om een grondstoffenderivatencontract te sluiten. Bij de kennisgeving wordt melding gemaakt van de bijzonderheden van de identiteit van de persoon tot wie die maatregelen waren gericht, alsook van de reikwijdte van de ingestelde beperkingen, de desbetreffende financiële instrumenten en andere informatie.

71.

Een bevoegde autoriteit van een lidstaat die de bovengenoemde kennisgevingen ontvangt kan voorts „maatregelen op grond van artikel 72, lid 1, onder f) of g), nemen wanneer zij ervan overtuigd is dat de maatregelen noodzakelijk zijn om het doel van de andere bevoegde autoriteit te verwezenlijken.” De EDPS wil de aandacht vestigen op het feit dat een dergelijke door de bevoegde autoriteit te nemen besluit kan worden opgevat als zijnde in overeenstemming met de criteria van „geautomatiseerde individuele besluiten” als bedoeld in artikel 15 van Richtlijn 95/46/EG: de reden hiervoor is dat artikel 72 voorschrijft dat de bevoegde autoriteit die de kennisgeving ontvangt dient na te gaan of de betrokken maatregel het doel van de andere bevoegde autoriteit kan verwezenlijken. De bevoegde autoriteit van de lidstaat die de kennisgeving ontvangt, heeft bijgevolg geen specifieke verplichting om een onafhankelijke analyse uit te voeren naar de omstandigheden van het geval — daarbij ook rekening houdend met de persoonsgegevens van de betrokkene — teneinde een maatregel te nemen die zijn rechten beperkt. Overeenkomstig artikel 15 van Richtlijn 95/46/EG kennen de lidstaten eenieder het recht toe niet te worden onderworpen aan een besluit waaraan voor hem rechtsgevolgen zijn verbonden of dat hem in aanmerkelijke mate treft en dat louter wordt genomen op grond van een geautomatiseerde gegevensverwerking die bestemd is om bepaalde aspecten van zijn persoonlijkheid, zoals beroepsprestatie, kredietwaardigheid, betrouwbaarheid, gedrag, enz. te evalueren. In de hier onderzochte context is lid 2 van artikel 15 van Richtlijn 95/46/EG van belang: daarin staat dat een persoon aan een besluit als hierboven genoemd kan worden onderworpen, indien dat besluit „zijn grondslag vindt in een wet” en passende maatregelen zijn genomen ter bescherming van het gerechtvaardigde belang van de betrokkene. De uitzondering in artikel 15, lid 2, van Richtlijn 95/46/EG zou rechtsgrondslag vinden in de nationale wetten voor de tenuitvoerlegging van de richtlijn. Er wordt echter niet voorzien in specifieke maatregelen die strekken tot bescherming van het gerechtvaardigde belang van de betrokkene.

72.

De tekst van het richtlijnvoorstel lijkt bijgevolg de mogelijkheid in te voeren van geautomatiseerde besluiten die gevolgen hebben voor het vermogen om contracten te sluiten van een autoriteit die in een andere lidstaat is gevestigd dan die waarin de sanctie oorspronkelijk werd opgelegd. Gelet op de gevolgen van dergelijke besluiten op de rechten van een persoon die beroepshalve is betrokken bij beleggingsactiviteiten, beklemtoont de EDPS dat in de tekst een uitdrukkelijke verwijzing moet worden opgenomen naar het recht om bezwaar te maken tegen geautomatiseerde individuele besluiten ingevolge artikel 15 van Richtlijn 95/46/EG. Daarbij moeten expliciet waarborgen worden ingevoerd om zeker te stellen dat de betrokkenen kunnen worden ingelicht van de overdracht en het bestaan van een door de ontvangende bevoegde autoriteit ingeleid proces tot vaststelling van een dergelijk besluit, zodat zij het recht van bezwaar op effectieve wijze kunnen uitoefenen.

73.

Overeenkomstig artikel 34, lid 2, van de verordening registreert de ESMA de maatregel en de redenen daarvoor na ontvangst van een kennisgeving van een maatregel op grond van artikel 83, lid 5, van de richtlijn. Met betrekking tot maatregelen op grond van artikel 72, lid 1, onder f) en g), van de richtlijn onderhoudt en publiceert zij op haar website een databank met samenvattingen van de maatregelen die van kracht zijn, „inclusief bijzonderheden over de betrokken persoon of klasse van personen”.

74.

Een dergelijke bekendmaking vormt een verdere verwerking waarbij persoonsgegevens zijn betrokken. In casu gelden dezelfde opmerkingen als hierboven in punt 2.5 werden gemaakt met betrekking tot de bekendmaking van sancties. De gevolgen voor de grondrechten van dit soort publicatie op het internet werden blijkbaar niet geëvalueerd in de effectbeoordeling. Daarom spoort de EDPS de wetgever ertoe aan zich te bezinnen over de werkelijke noodzakelijkheid en evenredigheid van deze maatregel.

75.

De EPDS neemt er nota van dat in artikel 92 van het richtlijnvoorstel wordt verwezen naar Richtlijn 95/46/EG, inzonderheid naar hoofdstuk IV, en naar Verordening (EG) nr. 45/2001.

76.

Gelet op de risico's die gepaard gaan met dergelijke doorgiften, beveelt de EDPS echter aan specifieke waarborgen toe te voegen, zoals een beoordeling per geval, het aantonen van de noodzaak van de doorgifte, de verplichting tot voorafgaande en uitdrukkelijke toestemming van de bevoegde autoriteit tot verdere doorgifte van gegevens aan en van een derde land en het bestaan van een passend beschermingsniveau van persoonsgegevens in het derde land dat de persoonsgegevens ontvangt.

77.

Een goed voorbeeld van een dergelijke bepaling die voorziet in passende waarborgen is terug te vinden in artikel 23 van het voorstel voor een verordening van het Europees Parlement en de Raad betreffende handel met voorwetenschap en marktmanipulatie (marktmisbruik) (40).

78.

De EDPS beveelt aan:

25.5.2012   

NL

Publicatieblad van de Europese Unie

C 147/15

25.5.2012   

NL

Publicatieblad van de Europese Unie

C 147/17

25.5.2012   

NL

Publicatieblad van de Europese Unie

C 147/18

1.

Het directoraat-generaal Humanitaire hulp en civiele bescherming van de Europese Commissie doet een oproep tot het indienen van voorstellen voor projecten met betrekking tot oefeningen die in aanmerking kunnen komen voor financiële steun in het kader van Beschikking 2007/162/EG, Euratom van de Raad van 5 maart 2007 tot instelling van een financieringsinstrument voor civiele bescherming (1) en Beschikking 2007/779/EG, Euratom van de Raad van 8 november 2007 tot vaststelling van een communautair mechanisme voor civiele bescherming (herschikking) (2). De financiële steun zal worden verleend in de vorm van subsidies.

2.

De betrokken gebieden, de aard en inhoud van de voorstellen en de financieringsvoorwaarden worden toegelicht in de gids voor subsidieaanvragen (Grant application guide), die eveneens gedetailleerde instructies bevat over hoe en wanneer voorstellen kunnen worden ingediend. Deze gids en de aanvraagformulieren zijn beschikbaar via de volgende website:

http://ec.europa.eu/echo/funding/opportunities/proposals_en.htm

3.

De voorstellen moeten vóór 16 juli 2012 worden ingediend bij de Commissie op het adres dat wordt vermeld in de Grant Application Guide, per post of particuliere koeriersdienst (als bewijs geldt de datum van verzending, het poststempel of de datum van het reçu). De voorstellen mogen ook, uiterlijk 16 juli 2012 om 17.00 uur persoonlijk worden ingediend op het adres dat is vermeld in de Grant application guide (als bewijs geldt de door de verantwoordelijke ambtenaar gedateerde en ondertekende ontvangstbevestiging).

Voorstellen die per fax of e-mail worden ingediend, onvolledige aanvragen of aanvragen die in verschillende delen worden ingediend, worden niet aanvaard.

4.

De procedure voor de toekenning van de subsidies verloopt als volgt:

De begunstigden zullen binnen de grenzen van het beschikbare budget worden geselecteerd op basis van de criteria die zijn vastgesteld in de Grant application guide.

Bij goedkeuring door de Commissie wordt tussen de Commissie en de partij die het voorstel indient, een subsidieovereenkomst gesloten.

De procedure is strikt vertrouwelijk.