(1)

Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad (2) voorziet in geharmoniseerde bepalingen inzake de bescherming en het vrije verkeer van persoonsgegevens die worden verwerkt met het oog op de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid. In die richtlijn wordt bepaald dat de Commissie moet nagaan of andere relevante rechtshandelingen die de Unie heeft vastgesteld aan die richtlijn moeten worden aangepast en dat zij, waar passend, de nodige voorstellen tot wijziging van die handelingen moet indienen teneinde een consequente aanpak van de bescherming van persoonsgegevens binnen het toepassingsgebied van die richtlijn te waarborgen.

(2)

Bij Besluit 2009/917/JBZ van de Raad (3) is het douane-informatiesysteem (DIS) ingesteld, dat als doel heeft bij te dragen tot het voorkomen, het onderzoeken en het vervolgen van ernstige overtredingen van nationale wetten door deze gegevens sneller toegankelijk te maken en zo de doeltreffendheid van de douanediensten van de lidstaten te verbeteren. Het DIS bestaat uit een centrale gegevensbank voor de opslag van persoonsgegevens, zoals namen en voornamen, adressen, nummers van identiteitsdocumenten, met betrekking tot goederen, vervoermiddelen, bedrijven of personen en in bewaring gehouden, in beslag genomen of geconfisqueerde voorwerpen en baar geld. De centrale gegevensbank wordt beheerd door de Commissie, die geen toegang heeft tot de daarin opgeslagen persoonsgegevens. De door de lidstaten aangewezen autoriteiten hebben recht op toegang tot de centrale gegevensbank en kunnen er informatie in invoeren en de erin opgeslagen informatie raadplegen. Het Agentschap van de Europese Unie voor samenwerking op het gebied van rechtshandhaving (Europol) en het Agentschap van de Europese Unie voor justitiële samenwerking in strafzaken (Eurojust) hebben, binnen hun respectieve mandaten en voor de uitvoering van hun taken, recht op toegang tot de gegevens die door de door de lidstaten aangewezen autoriteiten in de centrale gegevensbank zijn ingevoerd, en het recht om die gegevens te doorzoeken.

(3)

Om een consistente aanpak van de bescherming van persoonsgegevens in de Unie te waarborgen, moet Besluit 2009/917/JBZ worden gewijzigd om het in overeenstemming te brengen met Richtlijn (EU) 2016/680. Met name moeten de in dat besluit vastgestelde regels inzake de bescherming van persoonsgegevens voldoen aan het doelbindingsbeginsel, zich beperken tot bepaalde categorieën betrokkenen en categorieën persoonsgegevens, voldoen aan de vereisten inzake gegevensbeveiliging, aanvullende bescherming bieden voor bijzondere categorieën persoonsgegevens en de voorwaarden voor verdere verwerking in acht nemen. Voorts dient te worden voorzien in gecoördineerd toezicht op de werking van het DIS door de Europese Toezichthouder voor gegevensbescherming en de nationale toezichthoudende autoriteiten overeenkomstig Verordening (EU) 2018/1725 van het Europees Parlement en de Raad (4).

(4)

Met het oog op een duidelijke en consequente aanpak van een toereikende bescherming van persoonsgegevens moet de in Besluit 2009/917/JBZ gebruikte term “ernstige overtredingen” worden vervangen door “strafbare feiten” als bedoeld in Richtlijn (EU) 2016/680, rekening houdend met het feit dat wanneer een bepaalde gedraging krachtens het strafrecht van een lidstaat verboden is, dat op zich al een zekere ernst van de overtreding impliceert. Bovendien moet het doel van het DIS beperkt blijven tot het bijdragen tot het voorkomen, het onderzoeken, het opsporen of het vervolgen van strafbare feiten volgens nationale wetten zoals omschreven in Besluit 2009/917/JBZ, dat wil zeggen nationale wetten waarvoor de douaneadministraties van de lidstaten bevoegd zijn en die derhalve bijzonder relevant zijn in het kader van de douane. Hoewel de kwalificatie als strafbaar feit een noodzakelijke voorwaarde is, vallen dus niet alle strafbare feiten volgens nationale wetten onder Besluit 2009/917/JBZ. Zo vallen de strafbare feiten van illegale drugshandel, illegale wapenhandel en het witwassen van geld onder Besluit 2009/917/JBZ. Bovendien mag de vervanging van de term “ernstige overtredingen” door de term “strafbare feiten” niet worden opgevat als een aantasting van de specifieke vereisten van Besluit 2009/917/JBZ betreffende het opstellen en verzenden door elke lidstaat van een lijst van strafbare feiten volgens zijn nationale wetten die aan bepaalde voorwaarden voldoen ten behoeve van het referentiebestand van onderzoeksdossiers op douanegebied.

(5)

Bij de verwerking van persoonsgegevens uit hoofde van Besluit 2009/917/JBZ zijn de lidstaten, onverminderd de specifieke voorschriften van dat besluit, onderworpen aan hun nationale bepalingen die zijn vastgesteld op grond van Richtlijn (EU) 2016/680, is de Commissie onderworpen aan de voorschriften van Verordening (EU) 2018/1725, is Europol onderworpen aan de regels van Verordening (EU) 2016/794 van het Europees Parlement en de Raad (5) en is Eurojust onderworpen aan de regels van Verordening (EU) 2018/1727 van het Europees Parlement en de Raad (6). Deze handelingen regelen onder meer de verplichtingen en verantwoordelijkheden van de verwerkingsverantwoordelijken, de gezamenlijke verwerkingsverantwoordelijken en de verwerkers, alsmede de onderlinge verhouding tussen hen met betrekking tot de bescherming van persoonsgegevens. De nationale toezichthoudende autoriteiten die verantwoordelijk zijn voor het toezicht op en het waarborgen van de toepassing van Richtlijn (EU) 2016/680 in elke lidstaat moeten bevoegd zijn voor het toezicht op en het waarborgen van de toepassing van de in Besluit 2009/917/JBZ vastgestelde bepalingen inzake de bescherming van persoonsgegevens door de bevoegde autoriteiten van elke lidstaat. De Europese Toezichthouder voor gegevensbescherming dient te worden belast met het toezicht op en het waarborgen van de toepassing van de bepalingen betreffende de bescherming van persoonsgegevens die zijn vastgelegd in Besluit 2009/917/JBZ door de Commissie, Europol en Eurojust.

(6)

Om de gegevens in het DIS zo goed mogelijk te bewaren en tegelijkertijd de administratieve lasten voor de bevoegde autoriteiten te verminderen, moet de procedure voor de bewaring van persoonsgegevens in het DIS worden vereenvoudigd, overeenkomstig Verordening (EG) nr. 515/97 van de Raad (7), door de verplichting te schrappen om jaarlijks de noodzaak om gegevens te bewaren te toetsen en door een maximale bewaartermijn van vijf jaar vast te stellen die met nog eens twee jaar kan worden verlengd, mits deze verlenging gerechtvaardigd is. Deze bewaartermijn is noodzakelijk en evenredig gezien de typische duur van strafrechtelijke procedures en de behoefte aan gegevens voor het uitvoeren van gezamenlijke douaneoperaties en onderzoeken.

(7)

De verwerking van persoonsgegevens in het kader van Besluit 2009/917/JBZ omvat de verwerking, de uitwisseling en het verdere gebruik van relevante informatie voor de doeleinden genoemd in artikel 87 van het Verdrag betreffende de werking van de Europese Unie (VWEU). Ter wille van de consistentie en met het oog op een effectieve bescherming van persoonsgegevens moet de verwerking van persoonsgegevens uit hoofde van Besluit 2009/917/JBZ voldoen aan het Unie- en nationale recht betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid.

(8)

Overeenkomstig artikel 6 bis van Protocol nr. 21 betreffende de positie van het Verenigd Koninkrijk en Ierland ten aanzien van de ruimte van vrijheid, veiligheid en recht, gehecht aan het Verdrag betreffende de Europese Unie (VEU) en het VWEU, is Ierland gebonden aan Besluit 2009/917/JBZ en neemt derhalve deel aan de vaststelling van deze verordening.

(9)

Overeenkomstig de artikelen 1, 2 en 2 bis van Protocol nr. 22 betreffende de positie van Denemarken, gehecht aan het VEU en het VWEU, is Denemarken gebonden aan Besluit 2009/917/JBZ en neemt het bijgevolg deel aan de vaststelling van deze verordening.

(10)

De Europese Toezichthouder voor gegevensbescherming is geraadpleegd overeenkomstig artikel 42, lid 1, van Verordening (EU) 2018/1725 en heeft op 4 juli 2023 advies uitgebracht.

(11)

Besluit 2009/917/JBZ moet dienovereenkomstig worden gewijzigd,

1)

In artikel 1 wordt lid 2 vervangen door:

2)

Artikel 2 wordt als volgt gewijzigd:

3)

Heeft geen betrekking op het Nederlands.

4)

Artikel 4 wordt als volgt gewijzigd:

5)

In artikel 5 wordt lid 2 vervangen door:

6)

Artikel 7 wordt als volgt gewijzigd:

7)

Artikel 8 wordt als volgt gewijzigd:

8)

In artikel 13 wordt lid 5 vervangen door:

9)

Artikel 14 wordt vervangen door:

10)

Artikel 15 wordt als volgt gewijzigd:

11)

Artikel 20 wordt vervangen door:

(*2)  Verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit nr. 1247/2002/EG (PB L 295 van 21.11.2018, blz. 39)."

(*3)  Verordening (EU) 2016/794 van het Europees Parlement en de Raad van 11 mei 2016 betreffende het Agentschap van de Europese Unie voor samenwerking op het gebied van rechtshandhaving (Europol) en tot vervanging en intrekking van de Besluiten 2009/371/JBZ, 2009/934/JBZ, 2009/935/JBZ, 2009/936/JBZ en 2009/968/JBZ van de Raad (PB L 135 van 24.5.2016, blz. 53)."

(*4)  Verordening (EU) 2018/1727 van het Europees Parlement en de Raad van 14 november 2018 betreffende het Agentschap van de Europese Unie voor justitiële samenwerking in strafzaken (Eurojust), en tot vervanging en intrekking van Besluit 2002/187/JBZ van de Raad (PB L 295 van 21.11.2018, blz. 138).”."

12)

De artikelen 22, 23, 24 en 25 worden geschrapt.

13)

Artikel 26 wordt vervangen door:

14)

In artikel 27, lid 2, wordt punt a) vervangen door:

15)

Artikel 28 wordt als volgt gewijzigd:

16)

Artikel 29 wordt vervangen door:

17)

In artikel 30 wordt lid 1 geschrapt.