               EUROPESE COMMISSIE
            Brussel, 29.4.2016
            COM(2016) 237 final
            2016/0126(NLE)
            Voorstel voor een
            BESLUIT VAN DE RAAD
            betreffende de sluiting, namens de Europese Unie, van een Overeenkomst tussen de Verenigde Staten van Amerika en de Europese Unie over de bescherming van persoonlijke informatie in verband met de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten

               TOELICHTING

               1.ACHTERGROND VAN HET VOORSTEL

               •Motivering en doel van het voorstel

                  In november 2006 werd een contactgroep op hoog niveau (High Level Contact Group, hierna "HLCG" genoemd) opgericht, samengesteld uit hoge ambtenaren van de Commissie, het voorzitterschap van de Raad en de Amerikaanse ministeries van Justitie, Binnenlandse Veiligheid en Buitenlandse Zaken, om na te gaan hoe de EU en de VS nauwer en efficiënter samen zouden kunnen werken bij de uitwisseling van informatie op het gebied van rechtshandhaving en daarbij de bescherming van persoonsgegevens en privacy zouden kunnen garanderen. In het eindverslag uit oktober 2009 van de HLCG
                     1
                   werd geconcludeerd dat een internationale overeenkomst waarin zowel de EU als de VS zich ertoe verbinden onderling overeengekomen gemeenschappelijke gegevensbeschermingsbeginselen toe te passen op de trans-Atlantische doorgifte van gegevens op het gebied van rechtshandhaving, de beste optie was: dit zou als voordeel hebben dat de grondbeginselen zouden worden vastgesteld inzake de doeltreffende bescherming van de persoonlijke levenssfeer en van persoonsgegevens voor elke uitwisseling van informatie op het gebied van rechtshandhaving en zou het hoogste niveau van rechtszekerheid bieden.

                  Op 3 december 2010 heeft de Raad een besluit vastgesteld waarbij de Commissie wordt gemachtigd onderhandelingen te openen over een overeenkomst tussen de Europese Unie en de Verenigde Staten van Amerika inzake de bescherming van persoonsgegevens bij doorgifte en verwerking daarvan, met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten, waaronder terrorisme, in het kader van politiële en justitiële samenwerking in strafzaken (hierna: "Raamovereenkomst" genoemd)
                     2
                  .

                  Op 28 maart 2011 heeft de Commissie onderhandelingen geopend. Op 8 september 2015 hebben de partijen de tekst geparafeerd.

                  De Raamovereenkomst stelt (voor het eerst) een alomvattend kader van beginselen en waarborgen op het gebied van gegevensbescherming vast in het geval van doorgifte van persoonlijke informatie
                     3
                   voor strafrechtelijke doeleinden tussen enerzijds de VS en anderzijds de Europese Unie of haar lidstaten. De dubbele doelstelling bestaat erin te zorgen voor een hoog niveau van gegevensbescherming en zo de samenwerking tussen de partijen te verbeteren. Hoewel de Raamovereenkomst niet zelf de rechtsgrondslag vormt voor doorgifte van persoonlijke informatie aan de VS, vormt zij, waar nodig, een aanvulling op de waarborgen op het gebied van gegevensbescherming in bestaande en toekomstige overeenkomsten inzake de doorgifte van gegevens of op nationale bepalingen op grond waarvan dergelijke doorgiften zijn toegestaan.

                  Dit betekent een zeer aanzienlijke verbetering ten opzichte van de huidige situatie waarin persoonlijke informatie naar de andere kant van de Atlantische Oceaan wordt doorgegeven op grond van rechtsinstrumenten (internationale overeenkomsten of nationale wetgeving) die doorgaans geen of slechts zwakke bepalingen op het gebied van gegevensbescherming bevatten.

                    •
                        Samenhang met de bestaande bepalingen op dit beleidsterrein

                  De Raamovereenkomst zal de bescherming verbeteren van alle persoonsgegevens van betrokkenen uit de EU die voor strafrechtelijke doeleinden worden uitgewisseld met de VS. Door het vaststellen van een alomvattend kader van waarborgen op het gebied van gegevensbescherming zal de Overeenkomst een aanvulling vormen op de bestaande overeenkomsten (zowel bilaterale overeenkomsten tussen de lidstaten en de VS als overeenkomsten tussen de EU en de VS) op basis waarvan persoonsgegevens voor rechtshandhavingsdoeleinden worden doorgegeven naar de VS, indien en voor zover zij niet het vereiste niveau van bescherming en waarborgen bieden.

                  De Overeenkomst zal bovendien een "vangnet" voor toekomstige overeenkomsten tussen de EU/de lidstaten en de VS vormen in de vorm van een minimumbeschermingsniveau. Dit is een belangrijke garantie voor de toekomst en een belangrijke verschuiving van de huidige situatie waarin bij elke afzonderlijke nieuwe overeenkomst over waarborgen, bescherming en rechten steeds opnieuw moet worden onderhandeld.

                  De Raamovereenkomst zal al met al voor een aanzienlijke toegevoegde waarde zorgen in de zin van een hoger beschermingsniveau voor betrokkenen in de EU, in overeenstemming met de vereisten van het primaire en secundaire EU-recht. De Raamovereenkomst introduceert voor het allereerst een instrument voor gegevensbescherming dat op alomvattende en consequente wijze alle gegevensdoorgiften bestrijkt op een bepaald gebied (d.w.z. de trans-Atlantische gegevensuitwisseling op het gebied van politiële en justitiële samenwerking in strafzaken). De Raamovereenkomst zal bovendien in de trans-Atlantische context vorm geven aan de algemene vereisten inzake de internationale doorgifte van gegevens die zijn neergelegd in de toekomstige richtlijn betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens (hierna "de politiële richtlijn" genoemd)
                     4
                  , die op 14 april 2016 is aangenomen. In het licht van het bovenstaande schept de Raamovereenkomst ook een belangrijk precedent voor eventuele soortgelijke overeenkomsten met andere internationale partners.

               •Samenhang met andere beleidsgebieden van de Unie

                  De Raamovereenkomst zal naar verwachting een aanzienlijk effect hebben op de samenwerking met de Verenigde Staten op het gebied van politie en rechtshandhaving. Dankzij de invoering van een gemeenschappelijk en alomvattend kader van regels en waarborgen op het gebied van gegevensbescherming, zullen de EU of haar lidstaten, enerzijds, en de misdaadbestrijdingsautoriteiten van de VS, anderzijds, doeltreffender met elkaar kunnen samenwerken. Bovendien zal dit ervoor zorgen dat bestaande overeenkomsten alle nodige waarborgen bevatten. Dit zal continuïteit in de samenwerking op het gebied van rechtshandhaving mogelijk maken en tegelijkertijd voor meer rechtszekerheid zorgen wanneer doorgifte plaatsvindt. De Overeenkomst zal ook de sluiting vergemakkelijken van toekomstige overeenkomsten met de VS inzake de doorgifte van gegevens op het gebied van strafrechtelijke handhaving, aangezien er overeenstemming zal zijn bereikt over waarborgen inzake gegevensbescherming en daarover dus niet meer steeds opnieuw hoeft te worden onderhandeld. Ten slotte is de vaststelling van gemeenschappelijke normen op dit belangrijke, maar complexe terrein van samenwerking een belangrijk resultaat, dat een aanzienlijke bijdrage kan leveren tot het herstel van vertrouwen in trans-Atlantische gegevensstromen.

               2.RECHTSGRONDSLAG, SUBSIDIARITEIT EN EVENREDIGHEID

               •Rechtsgrondslag

                  De rechtsgrondslag voor dit voorstel is artikel 16 VWEU, in samenhang met artikel 218, lid 6, onder a), VWEU.

               •Subsidiariteit

                  De Raamovereenkomst valt onder de exclusieve bevoegdheid van de EU uit hoofde van artikel 3, lid 2, VWEU. Het subsidiariteitsbeginsel is dus niet van toepassing.

               •Evenredigheid

                  De Raamovereenkomst voorziet in de waarborgen op het gebied van gegevensbescherming die vereist zijn op grond van de onderhandelingsrichtsnoeren van de Raad. Zij worden beschouwd als elementen die noodzakelijk zijn om te zorgen voor het beschermingsniveau dat in geval van doorgifte van persoonsgegevens aan een derde land zowel op grond van het Handvest van de grondrechten als op grond van het zich ontwikkelende acquis van de EU is vereist. Noch een aanzienlijk kleinere catalogus van dergelijke waarborgen, noch een instrument met een geringere bindende werking zou voldoende kunnen worden geacht om een dergelijk beschermingsniveau te bieden. Het voorstel gaat daarom niet verder dan wat noodzakelijk is ter verwezenlijking van het beleidsdoel een kader vast te stellen voor de bescherming van persoonsgegevens bij doorgifte in het kader van rechtshandhaving tussen de Verenigde Staten, enerzijds, en de Europese Unie of haar lidstaten, anderzijds.

               •Keuze van het instrument

                  De opstelling van een bindend kader voor de bescherming van persoonsgegevens dat een aanvulling op de bestaande overeenkomsten en een uitgangsbasis voor toekomstige overeenkomsten zal vormen, kan alleen worden gewaarborgd door middel van een internationale overeenkomst tussen de EU en de Verenigde Staten.

                  Bovendien biedt, zoals is gebleken in het HLCG-verslag van oktober 2009, een internationale overeenkomst de hoogste mate van rechtszekerheid.

               3.RESULTATEN VAN EX-POSTEVALUATIES, RAADPLEGINGEN VAN BELANGHEBBENDEN EN EFFECTBEOORDELINGEN

               •Ex-postevaluaties/geschiktheidscontroles van bestaande wetgeving

                  Niet van toepassing.

               •Raadplegingen van belanghebbenden

                  De Commissie heeft regelmatig mondeling en schriftelijk verslag uitgebracht aan het daartoe opgerichte speciale comité van de Raad over de voortgang van de onderhandelingen. Het Europees Parlement is met regelmaat zowel mondeling als schriftelijk op de hoogte gehouden via zijn Commissie burgerlijke vrijheden, justitie en binnenlandse zaken (LIBE).

               •Bijeenbrengen en benutten van deskundigheid

                  Dit initiatief geeft uitvoering aan de onderhandelingsrichtsnoeren van de Raad van 3 december 2010.

               •Effectbeoordeling

                  Er was geen effectbeoordeling nodig. De voorgestelde overeenkomst is in overeenstemming met de onderhandelingsrichtsnoeren van de Raad.

               •Gezonde regelgeving en vereenvoudiging

                  Niet van toepassing.

               •Grondrechten

                  De bepalingen van de Raamovereenkomst zijn bedoeld ter bescherming van het fundamentele recht op bescherming van persoonsgegevens en het recht op een doeltreffende voorziening in rechte en op een onpartijdig gerecht, zoals neergelegd in respectievelijk artikel 8 en artikel 47 van het Handvest van de grondrechten van de Europese Unie.

               4.GEVOLGEN VOOR DE BEGROTING

                  De voorgestelde overeenkomst heeft geen gevolgen voor de begroting.

               5.OVERIGE ELEMENTEN

               •Uitvoeringsplanning en regelingen betreffende monitoring, evaluatie en rapportage

                  Tenuitvoerlegging door de lidstaten is nodig, maar er zijn geen ingrijpende veranderingen in de wetgeving te verwachten, aangezien de materiële bepalingen van de Raamovereenkomst tot op grote hoogte regels weergeven die krachtens EU- en/of nationaal recht al op de EU en nationale autoriteiten van toepassing zijn.

               •Gedetailleerde toelichting bij de specifieke bepalingen van het voorstel

                  Overeenkomstig de onderhandelingsrichtsnoeren van de Raad bestrijkt de Raamovereenkomst vijf categorieën bepalingen: i) horizontale bepalingen; ii) beginselen en waarborgen inzake gegevensbescherming; iii) individuele rechten; iv) aspecten met betrekking tot de toepassing van de Overeenkomst en toezicht; en v) slotbepalingen.

                  i)
                        Horizontale bepalingen

                  i) Doel van de Overeenkomst (artikel 1)

                  Ter verwezenlijking van het doel van de Overeenkomst (namelijk het waarborgen van een hoog niveau van bescherming van persoonlijke informatie en de bevordering van de samenwerking op het gebied van rechtshandhaving), stelt de Raamovereenkomst een kader vast voor de bescherming van persoonsgegevens bij doorgifte tussen de VS, enerzijds, en de EU en haar lidstaten, anderzijds, met het oog op de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten, waaronder terrorisme. De verwijzing naar de begrippen "voorkoming, opsporing, onderzoek en vervolging van strafbare feiten" (hierna onder de noemer "rechtshandhaving" gebracht) garandeert dat deze Overeenkomst in overeenstemming zal zijn met de architectuur van het huidige en toekomstige EU-acquis inzake gegevensbescherming (in het bijzonder de afbakening tussen de verordening betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (de "algemene verordening gegevensbescherming"
                     5
                  ) en de "politiële richtlijn" waar het hun respectieve toepassingsgebied betreft).

                  Door te bepalen dat de Raamovereenkomst op zichzelf geen rechtsgrondslag vormt voor eender welke doorgifte van persoonlijke informatie en dat te allen tijde een (afzonderlijke) rechtsgrondslag vereist zal zijn, maakt artikel 1 tevens duidelijk dat de Raamovereenkomst een echte overeenkomst inzake grondrechten is, waarin een reeks beschermende maatregelen en waarborgen is neergelegd die op dergelijke doorgiften van toepassing zijn.

                  ii) Definities (artikel 2)

                  De belangrijkste termen van de Raamovereenkomst worden gedefinieerd in artikel 2. De definities van "persoonlijke informatie", "verwerking van persoonlijke informatie", "partijen", "lidstaat" en "bevoegde autoriteit" zijn materieel in overeenstemming met de wijze waarop deze begrippen zijn gedefinieerd in andere overeenkomsten tussen de EU en de VS en/of in het EU-acquis inzake de bescherming van persoonsgegevens.

                  iii) Doel van de Overeenkomst (artikel 3)

                  Artikel 3 van de Raamovereenkomst definieert het toepassingsgebied van de Raamovereenkomst. Het zorgt ervoor dat de door de Raamovereenkomst geboden bescherming en waarborgen van toepassing zijn op alle uitwisselingen van gegevens in het kader van transatlantische samenwerking op het gebied van rechtshandhaving in strafzaken. Dit omvat doorgiften op basis van nationale wetten, overeenkomsten tussen de EU en de VS (bv. het Verdrag betreffende wederzijdse rechtshulp tussen de EU en de VS), overeenkomsten tussen de lidstaten en de VS (bv. rechtshulpverdragen, overeenkomsten over de versterking van de samenwerking bij de preventie en bestrijding van zware criminaliteit, overeenkomsten of regelingen inzake informatie over screening van terroristen), alsook specifieke overeenkomsten voor de doorgifte van persoonsgegevens door particuliere entiteiten voor rechtshandhavingsdoeleinden (bv. in het kader van de overeenkomst tussen de EU en de VS over persoonsgegevens van passagiers
                     6
                   (hierna "PNR" genoemd) en de overeenkomst over het programma voor het traceren van terrorismefinanciering
                     7
                   (hierna "TFTP" genoemd). Bij de formulering van het toepassingsgebied is uitgegaan van gegevensdoorgiften, dat wil zeggen dat het in principe alle doorgiften van gegevens ten behoeve van strafrechtelijke rechtshandhaving tussen de EU en de VS bestrijkt, ongeacht de nationaliteit of de woonplaats van de betrokkene.

               De Raamovereenkomst zal geen betrekking hebben op doorgiften van persoonsgegevens (of andere vormen van samenwerking) tussen de VS en de autoriteiten van de lidstaten die verantwoordelijk zijn voor het verzekeren van de nationale veiligheid.

                  iv) Non-discriminatie (artikel 4)

                  Artikel 4 bepaalt dat elke partij uitvoering geeft aan de Raamovereenkomst zonder willekeurig of ongerechtvaardigd te discrimineren tussen haar eigen onderdanen en die van de andere partij.

                  Dit artikel completeert en versterkt andere bepalingen van de Overeenkomst (in het bijzonder de artikelen die natuurlijke personen waarborgen bieden, zoals inzake toegang, rectificatie en administratief beroep, zie hieronder), aangezien het ervoor zorgt dat Europese burgers, in principe, dezelfde behandeling zullen genieten als VS-onderdanen waar het gaat om de praktische toepassing van deze bepalingen door de Amerikaanse autoriteiten.

                   v) Gevolgen van de Overeenkomst (artikel 5)

                  De Raamovereenkomst zal de bestaande overeenkomsten tussen de EU of haar lidstaten en de VS waar nodig aanvullen, dat wil zeggen wanneer en voor zover zij de nodige waarborgen op het gebied van gegevensbescherming ontberen.
                     8

                  De daadwerkelijke uitvoering van de Raamovereenkomst (en met name van de artikelen daarin over individuele rechten) geeft aanleiding tot een vermoeden van verenigbaarheid met de geldende internationale regels voor doorgifte van gegevens. Dit is geen automatisch noch een algemeen vermoeden en kan, zoals alle vermoedens, worden weerlegd. Het is geen automatisch vermoeden, omdat er uitdrukkelijk alleen sprake van is wanneer de Raamovereenkomst door de VS daadwerkelijk wordt uitgevoerd en meer specifiek – zoals expliciet vermeld in artikel 5, lid 2 – wanneer de artikelen over de rechten van natuurlijke personen (met name inzake toegang, rectificatie en administratief en gerechtelijk beroep) daadwerkelijk worden toegepast. Het is evenmin een algemeen vermoeden: aangezien de Raamovereenkomst geen op "zichzelf staand" instrument voor doorgifte is, functioneert een dergelijk vermoeden noodzakelijkerwijs op een "ad-hoc"-basis, d.w.z. dat wordt nagegaan of het beschermingsniveau dat door de combinatie van de Raamovereenkomst en de specifieke rechtsgrond voor de overdracht wordt geboden, in overeenstemming is met de EU-regels inzake gegevensbescherming. Met andere woorden, anders dan bij een adequaatheidstoetsing, voorziet deze bepaling niet in een "en bloc" erkenning van het in de VS geboden beschermingsniveau op zich of in een algemene toestemming voor doorgifte.

                  ii)
                        Beginselen en waarborgen inzake gegevensbescherming

                  De hieronder beschreven artikelen bestrijken belangrijke beginselen voor de verwerking van persoonsgegevens en cruciale waarborgen en beperkingen.

                  i) Beperkingen inzake doel en toepassing (artikel 6)

                  In overeenstemming met het EU-Handvest van de grondrechten en het EU-acquis past artikel 6 het doelbindingsbeginsel toe op alle doorgiften van gegevens waarop de Raamovereenkomst van toepassing is, zowel in geval van de doorgifte van gegevens in een specifiek geval als in geval van een overeenkomst tussen de VS en de EU/haar lidstaten waarbij de doorgifte van grote aantallen persoonsgegevens wordt toegestaan. De verwerking (waaronder doorgifte wordt begrepen) kan alleen plaatsvinden voor expliciete en legitieme doeleinden binnen het toepassingsgebied van de Raamovereenkomst, dat wil zeggen de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten, waaronder terrorisme.

                  Bovendien is de verdere verwerking van persoonlijke informatie door andere (rechtshandhavings-, regelgevende of administratieve) autoriteiten dan de eerste ontvangende autoriteit van een partij toegestaan op voorwaarde dat deze verwerking niet onverenigbaar is met het doel waarvoor de gegevens aanvankelijk werden doorgegeven en dat die andere autoriteit aan alle overige bepalingen van de Raamovereenkomst voldoet.

                  De bevoegde autoriteit die de gegevens doorgeeft, kan in specifieke gevallen ook aanvullende voorwaarden stellen (bijvoorbeeld wat betreft het gebruik van de gegevens).

                  Persoonlijke informatie mag, ten slotte, alleen worden verwerkt als dit "rechtstreeks relevant is voor en niet bovenmatig of te ruim is ten opzichte van het doel van die verwerking".

                  Artikel 6 is een van de belangrijkste bepalingen van de Overeenkomst: het zorgt ervoor dat de waarborgen worden toegepast op de hele "levenscyclus" van een bepaalde reeks gegevens, van de oorspronkelijke doorgifte vanuit de EU tot de verwerking ervan door een bevoegde autoriteit van VS en vice versa, alsook wanneer de gegevens eventueel verder worden gedeeld met of verwerkt door een andere VS-autoriteit of, in geval van gegevensoverdracht vanuit de VS naar een bevoegde autoriteit van de EU of (een van) haar lidstaten, wanneer de gegevens eventueel verder worden gedeeld met of verwerkt door een andere autoriteit van de EU of een lidstaat.

                   ii) Verdere doorgifte (artikel 7)

                  De in artikel 7 aan verdere doorgifte gestelde beperkingen houden in dat wanneer een Amerikaanse autoriteit voornemens is de gegevens die zij van de EU of een van haar lidstaten heeft ontvangen, verder door te geven aan een niet door de Overeenkomst gebonden derde land/internationale organisatie, zij eerst de toestemming zal moeten verkrijgen van de rechtshandhavingsautoriteit in de EU die de gegevens aanvankelijk aan de Verenigde staten heeft doorgegeven. Deze regel geldt evenzeer wanneer een autoriteit van de EU of een van haar lidstaten van plan is gegevens die zij van de VS heeft ontvangen, verder door te geven aan een derde land/internationale organisatie.

                  Wanneer zij beslist haar toestemming te verlenen, moet de autoriteit die de gegevens aanvankelijk heeft doorgegeven, naar behoren rekening houden met alle relevante factoren, waaronder het doel waarvoor de gegevens aanvankelijk werden doorgegeven en of het derde land of de internationale organisatie een passend niveau van bescherming van persoonlijke informatie biedt. Zij kan aan de doorgifte ook specifieke voorwaarden verbinden

                  Net als bij de artikelen inzake doelbinding (zie artikel 6 hiervoor), bewaartermijnen (zie artikel 12 hieronder) en gevoelige gegevens (zie artikel 13 hieronder) wordt in dit artikel uitdrukkelijk rekening gehouden met de bijzondere gevoeligheid van de doorgifte van grote aantallen gegevens van niet-verdachte personen (bv. de PNR-gegevens van alle passagiers op een vlucht, los van enige specifieke verdenking), in die zin dat het voorschrijft dat elke verdere doorgifte van persoonlijke informatie "anders dan met betrekking tot specifieke gevallen", alleen mag plaatsvinden onder in de overeenkomst vermelde specifieke voorwaarden die de verdere doorgifte naar behoren rechtvaardigen.

                  De specifieke situatie van verdere doorgifte naar een ander land in de EU (bv. wanneer de Franse politie informatie die zij van de Amerikaanse FBI heeft gekregen, deelt met de Duitse politie) wordt in dit artikel ook geregeld (lid 4) door te bepalen dat wanneer op grond van de geldende regels voor een dergelijke doorgifte vooraf toestemming moet worden verkregen, de autoriteit die de gegevens aanvankelijk heeft verzonden (bijvoorbeeld de Amerikaanse FBI) geen toestemming kan weigeren of voorwaarden kan opleggen om redenen van gegevensbescherming (aangezien alle betrokken autoriteiten door de Raamovereenkomst gebonden zijn).

                   iii) Kwaliteit van gegevens en integriteit van informatie (artikel 8)

                  De partijen zullen redelijke maatregelen nemen om ervoor te zorgen dat doorgegeven persoonsgegevens met een zodanige nauwkeurigheid, relevantie, actualiteit en volledigheid worden bijgehouden als noodzakelijk en passend is voor de rechtmatige verwerking van de informatie. Indien de autoriteit die gegevens heeft ontvangen of doorgegeven, kennis krijgt van ernstige twijfels over de relevantie, actualiteit, volledigheid of nauwkeurigheid van ontvangen of doorgegeven persoonsgegevens, informeert zij, waar mogelijk, de autoriteit die de gegevens heeft doorgegeven/ontvangen daarover.

                  iv) Informatiebeveiliging (artikel 9) en kennisgeving van een incident op het gebied van informatiebeveiliging (artikel 10)

                  Deze artikelen dragen bij tot het waarborgen van een hoog niveau van beveiliging van door de partijen bij de Raamovereenkomst uitgewisselde persoonsgegevens.

                  In de eerste plaats zullen door de partijen uit hoofde van artikel 9 passende technische, organisatorische en beveiligingsregelingen worden ingevoerd ter bescherming van persoonlijke informatie tegen onopzettelijke of onrechtmatige vernietiging, onopzettelijk verlies en ongeoorloofde verspreiding, wijziging of toegang, of andere vormen van ongeoorloofde verwerking. Deze regelingen zullen ook inhouden dat alleen personeelsleden die daartoe gemachtigd zijn, toegang tot persoonsgegevens krijgen.

                  In de tweede plaats dienen ingevolge artikel 10, ingeval van een beveiligingsincident dat een aanzienlijk risico van schade inhoudt, onverwijld passende maatregelen te worden genomen ter beperking van de schade, waaronder kennisgeving aan de autoriteit die de gegevens heeft doorgegeven en, wanneer dat gelet op de omstandigheden van het incident passend is, de betrokken natuurlijke persoon. De uitzonderingen op de verplichting tot kennisgeving zijn in de bepaling limitatief opgesomd en stroken met redelijke beperkingen (bijvoorbeeld de nationale veiligheid).

                  v) Bijhouden van bestanden (artikel 11)

                  De partijen dienen te zorgen voor doeltreffende methoden (bijvoorbeeld het bijhouden van overzichten) om de rechtmatigheid van de verwerking en het gebruik van persoonlijke informatie aan te tonen.

                  Dit vereiste vormt een belangrijke waarborg voor individuen, aangezien het aan de rechtshandhavingsautoriteiten is om aan te tonen dat een bepaalde verwerking van gegevens rechtmatig werd verricht. De verplichting tot documentering van gegevensverwerkende handelingen houdt met name in dat er in het geval van onrechtmatige verwerking een "spoor" zal zijn. Dit moet de afhandeling van klachten en de indiening van vorderingen inzake de rechtmatigheid van de verwerkingshandelingen vergemakkelijken.

                  vi) Bewaartermijn (artikel 12)

                  Voor de verwerking van gegevens zullen specifieke bewaartermijnen gelden om ervoor te zorgen dat gegevens niet langer worden bewaard dan nodig en passend is. Bij het bepalen van de duur van deze bewaartermijnen, zal een aantal elementen in aanmerking moeten worden genomen, met name het doel van de verwerking of het gebruik, de aard van de gegevens en het effect op de rechten en belangen van de betrokkenen.

                  Ook wordt bepaald dat, indien de partijen een overeenkomst inzake de doorgifte van grote aantallen gegevens sluiten, deze overeenkomst een specifieke bepaling moet bevatten over de toepasselijke bewaartermijn. Op grond van deze bepaling aanvaarden de partijen het beginsel dat dergelijke overeenkomsten inzake de doorgifte van grote aantallen gegevens een specifieke bewaartermijn bevatten, waarover dus niet opnieuw hoeft te worden onderhandeld.

                  De bewaartermijnen zullen periodiek worden geëvalueerd om na te gaan of gewijzigde omstandigheden een wijziging van de toepasselijke termijn vereisen.

                  Met het oog op de transparantie zullen de bewaartermijnen gepubliceerd of anderszins openbaar gemaakt moeten worden.

                   vii)
                        Bijzondere categorieën gegevens (artikel 13)

                  De verwerking van persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen of godsdienstige of levensbeschouwelijke overtuiging, lidmaatschap van een vakvereniging of persoonlijke informatie over de gezondheid of het seksuele leven blijken, mag alleen plaatsvinden met passende waarborgen in overeenstemming met het recht (bv. het afschermen van informatie nadat het doel is bereikt waarvoor de gegevens werden verwerkt of het voorschrijven van goedkeuring van de toegang tot de informatie door de toezichthoudende autoriteit).

                  In overeenkomsten waarbij de doorgifte van grote aantallen persoonsgegevens wordt goedgekeurd, zullen de normen en voorwaarden voor de verwerking van speciale categorieën gegevens nader moeten worden aangegeven.

                  De bepalingen over bijzondere categorieën gegevens stroken met het vereiste van artikel 6 over beperkingen inzake doel en toepassing dat de verwerking rechtstreeks relevant en niet bovenmatig is.

                   viii) Geautomatiseerde besluitvorming (artikel 15)

                  Gegevensverwerking die kan leiden tot beslissingen met negatieve gevolgen voor een individu (bijvoorbeeld in het kader van profilering), mag niet uitsluitend gebaseerd zijn op de automatische verwerking van persoonlijke informatie, tenzij zulks is toegestaan krachtens het nationale recht en er passende garanties zijn, waaronder de mogelijkheid menselijke interventie te bewerkstelligen.

                  ix) Transparantie (artikel 20)

                  Natuurlijke personen hebben het recht informatie te ontvangen (via algemene of individuele kennisgevingen en onder "redelijke beperkingen") over het doel van de verwerking en het eventueel verdere gebruik van hun persoonsgegevens, de wetten of voorschriften uit hoofde waarvan deze verwerking plaatsvindt, de identiteit van derden aan wie hun persoonlijke informatie bekend kan worden gemaakt, alsook de toegang en rectificatie en de beschikbare beroepsmechanismen.

                  Wanneer de betrokken personen er bewuster van worden gemaakt waarom en door wie hun gegevens worden verwerkt, zullen zij hun rechten op toegang, rectificatie of beroep beter kunnen uitoefenen (zie artikelen 16-19 hieronder).

                   iii)
                        Individuele rechten

                  Deze rechten zijn vooral van belang voor de bescherming van betrokkenen, die voor het allereerst de mogelijkheid zullen hebben gebruik te maken van rechten van algemene strekking voor de trans-Atlantische doorgifte van persoonsgegevens op het gebied van strafrechtshandhaving.

                  i) Toegang en rectificatie (artikel 16 en artikel 17)

                  Het recht op toegang geeft natuurlijke personen het recht om om toegang tot zijn of haar persoonsgegevens te verzoeken en deze toegang te verkrijgen. De redenen voor het beperken van toegang zijn limitatief opgesomd en stroken met redelijke beperkingen (bijvoorbeeld het garanderen van de nationale veiligheid, het voorkomen dat afbreuk wordt gedaan aan het onderzoek naar of de vervolging van strafbare feiten, de bescherming van de rechten en vrijheden van anderen). Er mogen een natuurlijk persoon als voorwaarde voor de toegang tot zijn of haar eigen persoonsgegevens geen buitensporige kosten in rekening worden gebracht.

                  Het recht op rectificatie geeft eenieder het recht om om de correctie of rectificatie van zijn of haar persoonsgegevens te verzoeken wanneer die onnauwkeurig zijn of niet naar behoren zijn verwerkt. Daarbij kan het gaan het aanvullen, wissen of afschermen van gegevens of om andere maatregelen of methoden voor het verhelpen van onnauwkeurigheden of onjuiste verwerking.

                  Indien de bevoegde autoriteit van het ontvangende land, na een verzoek van een individu, een kennisgeving door de verstrekker van de persoonlijke informatie of eigen onderzoek, concludeert dat de informatie niet nauwkeurig is of onjuist is verwerkt, neemt zij maatregelen in de vorm van het aanvullen, wissen of afschermen van gegevens of andere maatregelen ter correctie of rectificatie.

                  Indien het nationale recht dit toestaat, heeft eenieder het recht een toezichthoudende autoriteit (d.w.z. een nationale gegevensbeschermingsautoriteit in geval van een betrokkene uit de EU) te machtigen om namens hem of haar om toegang of rectificatie te verzoeken. Deze mogelijkheid van indirecte uitoefening van rechten via een autoriteit en binnen een rechtsstelsel waarmee zij vertrouwd zijn, zou de betrokkenen praktisch behulpzaam moeten zijn wanneer zij hun rechten willen doen gelden.

                  Indien een verzoek om toegang of rectificatie wordt geweigerd of alleen beperkt wordt ingewilligd, moet de aangezochte autoriteit de betrokken persoon (of zijn of haar naar behoren gemachtigde vertegenwoordiger) een antwoord verstrekken met de motivering voor de weigering of beperking van de toegang of rectificatie. Met de verplichting de betrokken persoon een gemotiveerd antwoord te verstrekken, wordt beoogd de uitoefening van zijn/haar recht op administratief of gerechtelijk beroep mogelijk te maken en te vergemakkelijken ingeval de betrokken rechtshandhavingsautoriteit toegang/rectificatie weigert of beperkt.

                  ii) Administratief beroep (artikel 18)

                  Indien iemand het niet eens is met het resultaat van zijn of haar verzoek om toegang tot of rectificatie van persoonsgegevens, heeft hij of zij het recht om administratief beroep in te stellen. Om de daadwerkelijke uitoefening van het recht op toegang en rectificatie te vergemakkelijken, heeft de betrokkene het recht een toezichthoudende autoriteit (d.w.z. een nationale gegevensbeschermingsautoriteit in geval van een betrokkene uit de EU) of een andere vertegenwoordiger dienaangaande te machtigen voor zover dit is toegestaan uit hoofde van het toepasselijke nationale recht.

                  De autoriteit aan wie het verzoek is gericht, zal de betrokkene een schriftelijk antwoord verstrekken waarin, voor zover van toepassing, de maatregelen ter verbetering of correctie worden genoemd.

                   iii) Gerechtelijk beroep (artikel 19)

                  De burgers van elke partij kunnen beroep in rechte instellen wegens i) weigering van toegang, ii) weigering van rectificatie of iii) onrechtmatige openbaarmaking door de autoriteiten van de andere partij.

                  Aan Amerikaanse zijde is dit weerspiegeld in de op 24 februari 2016 door president Obama ondertekende Judicial Redress Act. Op grond van deze wet zullen deze drie gronden voor gerechtelijk beroep, waarin de Amerikaanse Privacy Act uit 1974 voorziet, maar die thans nog zijn voorbehouden aan burgers en permanente ingezetenen van de VS, ook gaan gelden voor burgers van "gedekte landen"
                     9
                  . De vierde overweging van de preambule van de Raamovereenkomst maakt duidelijk dat deze uitbreiding ook betrekking zal hebben op gegevens die in het kader van overeenkomsten als die over persoonsgegevens van passagiers en het programma voor het traceren van terrorismefinanciering worden uitgewisseld. In combinatie met de aanneming van de Judicial Redress Act zal artikel 19 de rechterlijke bescherming van EU-burgers dus aanzienlijk verbeteren.

                  Hoewel de Judicial Redress Act een aantal beperkingen bevat (in het bijzonder zal deze alleen van toepassing zijn op gegevens van burgers uit "gedekte landen" wier data door EU-rechtshandhavingsautoriteiten zijn doorgegeven, met name, doch niet alleen, burgers van de Unie), geeft artikel 19 van de Raamovereenkomst gevolg aan een reeds lang bestaand verzoek van de EU.

                  De bepaling strookt met de politieke beleidslijnen van voorzitter Juncker volgens welke "door de VS [moet] worden gewaarborgd dat alle EU-burgers het recht hebben de naleving van de gegevensbeschermingsrechten in de VS af te dwingen voor de rechter, ongeacht of zij op het grondgebied van de VS wonen. Voor het herstel van het vertrouwen in de trans-Atlantische betrekkingen is dit van essentieel belang". Evenzo beantwoordt deze aan de resolutie van het Europees Parlement van 12 maart 2014 over het surveillanceprogramma van de NSA in de VS, waarbij het Parlement verzocht onmiddellijk de onderhandelingen met de VS over de "[Raamovereenkomst]" te hervatten om "voor gelijke rechten voor EU-burgers en burgers van de VS [te] zorgen [en om te] voorzien in effectieve en uitvoerbare [...] strafrechtelijke rechtsmiddelen voor alle EU-burgers in de VS zonder discriminatie"
                     10
                  .

                  Artikel 19, lid 3, bepaalt dat de uitbreiding van de drie bovengenoemde gronden voor gerechtelijk beroep geen afbreuk doet aan andere mogelijkheden van gerechtelijk beroep die er met betrekking tot de verwerking van gegevens zijn (bv. op grond van de Administrative Procedure Act, the Electronics Communication Privacy Act of de Freedom of Information Act). Op deze andere rechtsgronden voor gerechtelijk beroep kunnen alle betrokkenen in de EU die de doorgifte van gegevens voor rechtshandhavingsdoeleinden betreft, een beroep doen, ongeacht hun nationaliteit of woonplaats.

                  iv)
                        Aspecten met betrekking tot de toepassing van de Raamovereenkomst en toezicht;

                  i) Verantwoordingsplicht (artikel 14)

                  Er zullen maatregelen worden genomen om de verantwoordingsplicht te bevorderen van de autoriteiten die onder de Raamovereenkomst vallende persoonsgegevens verwerken. Met name wanneer persoonsgegevens door de ontvangende autoriteit verder worden gedeeld met andere autoriteiten, moeten de laatstgenoemden in kennis worden gesteld van de waarborgen die op grond van deze Overeenkomst van toepassing zijn, alsmede van eventuele aanvullende (beperkende) voorwaarden die ingevolge artikel 6, lid 3, (over beperkingen inzake doel en toepassing) aan de doorgifte zijn verbonden. Zware fouten moeten worden bestraft door middel van passende en afschrikkende strafrechtelijke, civielrechtelijke of administratieve sancties.

                  Maatregelen ter bevordering van de verantwoordingsplicht omvatten ook, naargelang het geval, stopzetting van verdere doorgifte van persoonsgegevens aan entiteiten van de partijen die niet onder de Raamovereenkomst vallen, wanneer de partijen niet zorgen voor een doeltreffende bescherming van persoonlijke informatie in het licht van het doel van de Overeenkomst (en van met name de bepalingen inzake doelbinding en verdere doorgifte). Deze bepaling heeft betrekking op de situatie waarin persoonsgegevens worden doorgegeven door een autoriteit van de Unie aan een Amerikaanse federale autoriteit (dat wil zeggen een autoriteit die onder deze Overeenkomst valt), en vervolgens worden doorgegeven aan een rechtshandhavingsinstantie op het niveau van de staten. In het kader van zijn grondwettelijke bepalingen, heeft de Verenigde Staten maar beperkte mogelijkheden om de staten van de federatie op internationaal niveau te binden
                     11
                  . Om echter de continuïteit te waarborgen van de bescherming van gegevens die aan de federale instanties van de VS zijn doorgegeven en vervolgens op het niveau van de staten met rechtshandhavingsinstanties zijn gedeeld, (i) omvat het toepassingsgebied van dit artikel de "andere autoriteiten" van de partijen (d.w.z. de autoriteiten waarop deze Overeenkomst niet van toepassing is, zoals de autoriteiten van de staten van de VS); ii) bepaalt dit artikel dat de waarborgen waarin de Raamovereenkomst voorziet, aan deze autoriteiten ter kennis moeten worden gebracht; en (iii) bepaalt dit artikel dat, naargelang het geval, doorgiften aan dergelijke autoriteiten worden stopgezet indien zij persoonsgegevens niet effectief beschermen in het licht van het doel van de Raamovereenkomst en met name van de artikelen daarvan inzake doelbinding en verdere doorgifte.

                  Door ervoor te zorgen dat de bevoegde rechtshandhavingsautoriteiten verantwoordelijk zullen worden gehouden voor de naleving van de Raamovereenkomst, is dit artikel een belangrijke bouwsteen van een doeltreffend systeem van handhaving en het toezicht in het kader van de Overeenkomst. Het zal het ook voor individuen gemakkelijker maken om vorderingen in te dienen in geval van fouten (en de daaruit voortvloeiende aansprakelijkheid van overheidsinstanties).

                  Tot slot zullen de autoriteiten van de EU bezwaren naar voren kunnen brengen bij en relevante informatie kunnen ontvangen van hun Amerikaanse tegenhangers over de wijze waarop zij voldoen aan hun verplichtingen uit hoofde van artikel 14 (met inbegrip van de maatregelen die in dit verband zijn genomen). Ook zal in het kader van de gezamenlijke evaluaties (zie artikel 23 hieronder) bijzondere aandacht worden besteed aan de effectieve uitvoering van dit artikel.

                  ii) Doeltreffend toezicht (artikel 21)

                  De partijen dienen over een of meer openbare toezichthoudende autoriteiten te beschikken die onafhankelijke toezichthoudende taken en bevoegdheden uitoefenen, met inbegrip van toetsing, onderzoek en interventie. Deze autoriteiten dienen de bevoegdheid te hebben om klachten in ontvangst te nemen van individuen over de maatregelen ter uitvoering van de Raamovereenkomst en dienaangaande handelend op te treden en om bij rechtsschendingen ter zake van deze Overeenkomst vervolging of tuchtmaatregelen voor te stellen. Rekening houdend met de bijzonderheden van het Amerikaanse systeem zal een combinatie van toezichthoudende autoriteiten (zoals chief privacy officers, inspecteurs-generaal, de Privacy and Civil Liberties Oversight Board, enz.) cumulatief de toezichthoudende taken uitoefenen die gegevensbeschermingsautoriteiten in de EU vervullen.

                  Dit artikel vormt een aanvulling op de waarborgen die op grond van de bepalingen inzake toegang, rectificatie en administratief beroep beschikbaar zijn. Met name geeft het individuen de mogelijkheid om bij onafhankelijke autoriteiten een klacht in te dienen over de wijze waarop de andere partij de Raamovereenkomst heeft uitgevoerd.

                  iii) Samenwerking tussen toezichthoudende autoriteiten (artikel 22)

                  De toezichthoudende autoriteiten zullen samenwerken om voor een effectieve uitvoering van de Overeenkomst te zorgen, met name wat betreft het systeem van indirecte uitoefening van de individuele rechten van toegang, rectificatie en administratief beroep (zie hierboven artikelen 16-18).

                  Bovendien zullen nationale contactpunten worden opgericht die zullen helpen bij de vaststelling welke toezichthoudende autoriteit in een specifiek geval moet worden benaderd. Met name omdat er in de VS een aantal verschillende toezichthoudende autoriteiten bestaat, is er in de oprichting van een centraal "loket" voor verzoeken om bijstand en samenwerking voorzien, dat moet bijdragen tot een efficiënte afhandeling van deze verzoeken.

                   iv) Gezamenlijke evaluatie (artikel 23)

                  De partijen zullen periodiek gezamenlijke evaluaties verrichten van de uitvoering en de doeltreffendheid van de Raamovereenkomst, met bijzondere aandacht voor de effectieve tenuitvoerlegging van de artikelen over individuele rechten (recht van toegang, rectificatie, en administratieve en gerechtelijk beroep) en het punt van de doorgifte aan territoriale entiteiten die niet onder de Overeenkomst vallen (d.w.z. de staten van de VS). De eerste gezamenlijke evaluatie zal niet later plaatsvinden dan drie jaar na de inwerkingtreding van de Overeenkomst, en vervolgens op gezette tijden.

                  De respectieve delegaties zullen vertegenwoordigers omvatten van zowel gegevensbeschermingsautoriteiten als rechtshandhavings-/justitiële autoriteiten en de conclusies van de gezamenlijke evaluaties zullen openbaar worden gemaakt.

                  v)
                        Slotbepalingen

                  De Raamovereenkomst bevat een aantal slotbepalingen met betrekking tot:

               de kennisgeving aan de andere partij van alle handelingen die materieel van invloed zijn op de tenuitvoerlegging van de Overeenkomst. Met name zal de VS de EU in kennis stellen van elke maatregel met betrekking tot de toepassing van de bepalingen van de Judicial Redress Act (artikel 24);

               overleg in geval van geschillen over de manier waarop de Overeenkomst wordt geïnterpreteerd of toegepast (artikel 25);

               de mogelijkheid tot opschorting van de Overeenkomst door een partij in geval van een materiële inbreuk op de Overeenkomst door de andere partij (artikel 26);

               de territoriale toepassing van de Overeenkomst teneinde rekening te houden met de bijzondere positie van het Verenigd Koninkrijk, Ierland en Denemarken (artikel 27);

               de onbeperkte duur van de Overeenkomst (die wordt gerechtvaardigd door de aard van de Overeenkomst als een kader dat bescherming en waarborgen biedt, alsook in het licht van de mogelijkheid de Overeenkomst op te schorten en op te zeggen (artikel 28);

               de mogelijkheid voor elke partij om de Overeenkomst op te zeggen door middel van een kennisgeving aan de andere partij, waarbij wordt bepaald dat de verwerking van persoonlijke informatie die vóór de opzegging is doorgegeven, plaats zal blijven vinden overeenkomstig de voorschriften van de Raamovereenkomst (artikel 29, leden 2 en 3);

               de inwerkingtreding van de Overeenkomst op de eerste dag van de maand volgend op de datum waarop de partijen de kennisgevingen hebben uitgewisseld waaruit blijkt dat zij hun interne goedkeuringsprocedures hebben voltooid (artikel 29, lid 1);

               de taalclausule (onmiddellijk voorafgaand aan de regel voor ondertekening), welke bepaalt dat i) de Engelse versie van de Overeenkomst wordt ondertekend en de Overeenkomst door de EU in de 23 overige officiële EU-talen wordt opgesteld; ii) het mogelijk is aan de tekst van de Overeenkomst in elk van de andere officiële EU-talen rechtsgeldigheid te verlenen door middel van een uitwisseling van diplomatieke nota's met de VS; iii) in geval van verschil tussen authentieke taalversies van de Overeenkomst, de Engelse versie voorrang heeft.

               2016/0126 (NLE)

               Voorstel voor een

               BESLUIT VAN DE RAAD

               betreffende de sluiting, namens de Europese Unie, van een Overeenkomst tussen de Verenigde Staten van Amerika en de Europese Unie over de bescherming van persoonlijke informatie in verband met de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten

               DE RAAD VAN DE EUROPESE UNIE,

               Gezien het Verdrag betreffende de werking van de Europese Unie, en met name artikel 16, juncto artikel 218, lid 6, onder a),

               Gezien het voorstel van de Europese Commissie,

               Gezien de goedkeuring van het Europees Parlement,
                  12

               Na raadpleging van de Europese Toezichthouder voor gegevensbescherming,

               Overwegende hetgeen volgt:

               (1)Overeenkomstig Besluit [...] van de Raad van [...]
                  13
                is op XX XXXX 2016 de Overeenkomst tussen de Verenigde Staten van Amerika en de Europese Unie over de bescherming van persoonlijke informatie in verband met de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten (de "Overeenkomst"), ondertekend, onder voorbehoud van de sluiting op een later tijdstip.

               (2)Met de Overeenkomst wordt beoogd een alomvattend kader vast te stellen van beginselen en waarborgen op het gebied van gegevensbescherming in het geval van doorgifte van persoonlijke informatie met het oog op strafrechtshandhaving tussen de VS, enerzijds, en de Europese Unie of haar lidstaten, anderzijds. De doelstelling bestaat erin te zorgen voor een hoog niveau van gegevensbescherming en daarmee de samenwerking tussen de partijen te verbeteren. Hoewel de Raamovereenkomst niet zelf de rechtsgrondslag vormt voor doorgifte van persoonlijke informatie aan de VS, vormt zij, waar nodig, een aanvulling op de waarborgen op het gebied van gegevensbescherming in bestaande en toekomstige overeenkomsten over de doorgifte van gegevens of op nationale bepalingen op grond waarvan dergelijke doorgiften zijn toegestaan.

               (3)De Unie is ten aanzien van alle bepalingen van de Overeenkomst bevoegd. Met name heeft de Unie Richtlijn 2016/XXX/EU
                  14
                goedgekeurd betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens.

               (4)De Europese Unie heeft exclusieve bevoegdheid voor zover de Overeenkomst gevolgen kan hebben voor gemeenschappelijke EU-regels of de strekking daarvan kan wijzigen.

               (5)Overeenkomstig artikel 6 bis van Protocol nr. 21 betreffende de positie van het Verenigd Koninkrijk en Ierland ten aanzien van de ruimte van vrijheid, veiligheid en recht, dat gehecht is aan het VEU en aan het VWEU, zijn het Verenigd Koninkrijk en Ierland niet gebonden door de in de Overeenkomst vastgestelde regels die betrekking hebben op de verwerking van persoonsgegevens bij de uitvoering van activiteiten binnen het toepassingsgebied van titel V, hoofdstuk 4 (Justitiële samenwerking in strafzaken) en hoofdstuk 5 (Politiële samenwerking) van het derde deel van het VWEU wanneer het Verenigd Koninkrijk en Ierland niet gebonden zijn door de regels die tot naleving van de Overeenkomst verplichten.

               (6)Overeenkomstig de artikelen 1 en 2 van het aan het Verdrag betreffende de Europese Unie en het Verdrag betreffende de werking van de Europese Unie gehechte Protocol nr. 22 betreffende de positie van Denemarken, neemt Denemarken niet deel aan de vaststelling van dit besluit, en is de Overeenkomst derhalve niet bindend voor, noch van toepassing in Denemarken,

               (7)De overeenkomst moet namens de Unie worden goedgekeurd,

               HEEFT HET VOLGENDE BESLUIT VASTGESTELD:

               Artikel 1

               De Overeenkomst tussen de Verenigde Staten van Amerika en de Europese Unie over de bescherming van persoonlijke informatie in verband met de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten, wordt namens de Europese Unie goedgekeurd.

               De tekst van de Overeenkomst is aan dit besluit gehecht.

               Artikel 2

               De voorzitter van de Raad wijst de persoon aan die gemachtigd is om namens de Unie over te gaan tot de in artikel 29, lid 1, van de Overeenkomst bedoelde kennisgeving teneinde kenbaar te maken dat de Europese Unie ermee instemt door de Overeenkomst gebonden te zijn.

               Artikel 3

               Dit besluit treedt in werking op de dag van de bekendmaking ervan in het Publicatieblad van de Europese Unie
                  15
               .

               Gedaan te Brussel,

                        Voor de Raad

                        De voorzitter

                     (1)
                  Verslagen van de contactgroep op hoog niveau (HLCG) inzake informatie-uitwisseling en privacy en bescherming van persoonsgegevens, Brussel, 23 november 2009, 15851/09, JAI 822 DATAPROTECT 74 USA 102.

                     (2)
                  Samen met de goedkeuring van de hervorming van de gegevensbescherming in de EU en het nieuwe "EU-VS-privacyschild" betreffende de doorgifte van gegevens op commercieel gebied, is de sluiting van een zinvolle en ruime Raamovereenkomst een centraal element van de strategie die de Commissie heeft geformuleerd in haar mededeling over het herstel van vertrouwen in de gegevensstromen tussen de EU en de VS (COM(2013) 846) van 27 november 2013, te vinden op

                     http://ec.europa.eu/justice/data-protection/files/com_2013_846_en.pdf

                  , zoals ook wordt bevestigd in de politieke beleidslijnen van voorzitter Juncker, en in de mededeling van de Commissie aan het Europees Parlement en de Raad "Trans-Atlantische gegevensstromen: herstel van vertrouwen door solide waarborgen", COM(2016) 117 final van 29 februari 2016, beschikbaar op: http://eur-lex.europa.eu/legal-content/NL/TXT/?qid=1461685258052&uri=CELEX:52016DC0117

                     (3)
                  Het begrip "persoonlijke informatie" dat in de Raamovereenkomst wordt gebruikt, is synoniem met het EU-begrip "persoonsgegevens".

                     (4)
                  Voorstel voor een richtlijn van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens COM/2012/010 final - 2012/0010 (COD), te vinden op: http://eur-lex.europa.eu/legal-content/NL/TXT/PDF/?uri=CELEX:52012PC0010&from=en

                     (5)
                  Voorstel voor een verordening van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (algemene verordening gegevensbescherming), COM(2012) 11 final 2012/0011 (COD), te vinden op: http://ec.europa.eu/justice/data-protection/document/review2012/com_2012_11_nl.pdf

                     (6)
                  Overeenkomst tussen de Verenigde Staten van Amerika en de Europese Unie inzake het gebruik en de doorgifte van persoonsgegevens van passagiers aan het Amerikaanse ministerie van Binnenlandse Veiligheid, PB L 215 van 11.8.2012, blz. 5.

                     (7)
                  Overeenkomst tussen de Europese Unie en de Verenigde Staten van Amerika inzake de verwerking en doorgifte van gegevens betreffende het betalingsberichtenverkeer van de Europese Unie naar de Verenigde Staten ten behoeve van het Programma voor het traceren van terrorismefinanciering, PB L 195 van 27.7.2010, blz. 5.

                     (8)
                  De vierde overweging van de considerans van de preambule vermeldt dat de Raamovereenkomst overeenkomsten waarin wordt vastgesteld dat deze een adequaat niveau van gegevensbescherming bieden, niet wijzigen of aan voorwaarden onderwerpen mag noch anderszins daarvan mag afwijken, met uitzondering van het bepaalde inzake rechterlijk beroep in artikel 19, dat ook op die overeenkomsten van toepassing is. Dit betreft de PNR- en TFTP-overeenkomsten.

                     (9)
                  Een "gedekt land" in de zin van de Judicial Redress Act van de VS is een land i) dat een overeenkomst heeft gesloten met de VS die voorziet in een passende bescherming van de persoonlijke levenssfeer met betrekking tot informatie die voor rechtshandhavingsdoeleinden wordt gedeeld (of dat daadwerkelijk informatie voor rechtshandhavingsdoeleinden heeft gedeeld en waar met betrekking tot dergelijke gedeelde informatie in een passende bescherming van de persoonlijke levenssfeer is voorzien); ii) dat de doorgifte van persoonsgegevens voor commerciële doeleinden toestaat via een overeenkomst met de VS of anderszins; iii) waarvan het beleid inzake de doorgifte van persoonsgegevens voor commerciële doeleinden de nationale veiligheidsbelangen van de Verenigde Staten niet wezenlijk belemmert. De aanmerking van een land als een "gedekt land" geschiedt door de Attorney General van de VS.

                     (10)
                  Zie punt 57 en punt BJ van de resolutie van 12 maart 2014 over het surveillanceprogramma van de NSA in de VS, toezichthoudende instanties in verschillende lidstaten en gevolgen voor de grondrechten van EU-burgers en voor de trans-Atlantische samenwerking op het gebied van justitie en binnenlandse zaken (2013/2188(INI), beschikbaar op http://www.europarl.europa.eu/sides/getDoc.do?pubRef=-//EP//TEXT+TA+P7-TA-2014-0230+0+DOC+XML+V0//NL

                     (11)
                  Omdat Amerika een federale republiek is, bestaat er een verdeling van bevoegdheden tussen de federale regering en de overheden van de afzonderlijke staten (zie in dit opzicht ook artikel 5, lid 2, van de Raamovereenkomst).

                     (12)
                  Instemming van [datum], PB C […] van […], blz. […].

                     (13)
                  PB...

                     (14)
                  Richtlijn van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van Kaderbesluit 2008/977/JBZ van de Raad.

                     (15)
                  De datum van inwerkingtreding van de Overeenkomst voor de Europese Unie zal door het secretariaat-generaal van de Raad in het Publicatieblad van de Europese Unie worden bekendgemaakt.

    ---documentbreak---

               EUROPESE COMMISSIE
            Brussel, 29.4.2016
            COM(2016) 237 final
            BIJLAGE
            OVEREENKOMST TUSSEN DE VERENIGDE STATEN VAN AMERIKA EN DE EUROPESE UNIE OVER DE BESCHERMING VAN PERSOONLIJKE INFORMATIE IN VERBAND MET DE  VOORKOMING, HET ONDERZOEK, DE OPSPORING EN DE VERVOLGING VAN STAFBARE FEITEN
            bij het
            Voorstel voor een besluit van de Raad
            betreffende de sluiting, namens de Europese Unie, van een Overeenkomst tussen de Verenigde Staten van Amerika en de Europese Unie over de bescherming van persoonlijke informatie in verband met de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten

               OVEREENKOMST TUSSEN DE VERENIGDE STATEN VAN AMERIKA EN

               DE EUROPESE UNIE OVER DE BESCHERMING VAN PERSOONLIJKE INFORMATIE IN VERBAND MET DE  VOORKOMING, HET ONDERZOEK, DE OPSPORING EN DE VERVOLGING VAN STAFBARE FEITEN

               INHOUD

                  Preambule

                  Artikel 1:
                     doel

                  Artikel 2:
                     definities

                  Artikel 3:
                     toepassingsgebied

                  Artikel
                     4:
                     non-discriminatie

               Artikel 5:
                     gevolgen van de Overeenkomst

                  Artikel 6:
                     beperkingen inzake doel en toepassing

                  Artikel 7:
                     verdere doorgifte

               Artikel 8:
                     behoud van de kwaliteit en integriteit van informatie

                  Artikel 9:
                     informatiebeveiliging

               Artikel 10:
                     kennisgeving van een incident op het gebied van informatiebeveiliging

               Artikel 11:
                     bijhouden van bestanden

               Artikel 12:
                     bewaartermijn

                  Artikel 13:
                     bijzondere categorieën persoonlijke informatie

               Artikel 14:
                     verantwoordingsplicht

                  Artikel 15:
                     geautomatiseerde besluiten

                  Artikel 16:
                     toegang

               Artikel 17:
                     rectificatie

               Artikel 18:
                     administratief beroep

               Artikel 19:
                     gerechtelijk beroep

               Artikel 20:
                     transparantie

               Artikel 21:
                     doeltreffend toezicht

               Artikel 22:
                     samenwerking tussen toezichthoudende autoriteiten

                  Artikel 23:
                     gezamenlijke evaluatie

               Artikel 24:
                     kennisgeving

               Artikel 25:
                     overleg

               Artikel 26:
                     opschorting

               Artikel 27:
                     territoriale toepassing

               Artikel 28:
                     duur van de Overeenkomst

               Artikel 29:
                     inwerkingtreding en opzegging

               Indachtig dat de Verenigde Staten en de Europese Unie een hoog niveau van bescherming willen garanderen van persoonlijke informatie die wordt uitgewisseld in het kader van de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten, waaronder terrorisme;

               Voornemens een duurzaam rechtskader tot stand te brengen ter bevordering van de uitwisseling van informatie die van cruciaal belang is voor  de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten, waaronder terrorisme, ter bescherming van hun respectieve democratische samenlevingen en hun gemeenschappelijke waarden;

               Voornemens om met name normen inzake bescherming te bieden voor de uitwisseling van persoonlijke informatie uit hoofde van zowel bestaande als toekomstige overeenkomsten tussen de VS en de EU en haar lidstaten op het gebied van de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten, waaronder terrorisme;

               Erkennende dat in bepaalde bestaande overeenkomsten tussen de partijen betreffende de verwerking van persoonlijke informatie wordt vastgesteld dat deze overeenkomsten een adequaat niveau van gegevensbescherming bieden binnen hun werkingssfeer, bevestigen de partijen dat deze Overeenkomst niet zo zou mogen worden uitgelegd als zou zij deze overeenkomsten wijzigen of aan voorwaarden onderwerpen of anderszins daarvan afwijken; echter in aanmerking nemende dat de verplichtingen uit hoofde van artikel 19 van deze Overeenkomst inzake gerechtelijk beroep van toepassing zijn op alle onder het toepassingsgebied van deze Overeenkomst vallende doorgiften van gegevens, en dit onverminderd een eventuele toekomstige herziening of wijziging van dergelijke overeenkomsten ingevolge hun bepalingen;

               Erkennende dat beide partijen een lange traditie kennen van eerbiediging van de persoonlijke levenssfeer, zoals onder meer tot uitdrukking komt in de beginselen inzake privacy en de bescherming van persoonsgegevens voor rechtshandhavingsdoeleinden die zijn opgesteld door de EU-VS-contactgroep op hoog niveau inzake informatie-uitwisseling en privacy en bescherming van persoonsgegevens, het Handvest van de grondrechten van de Europese Unie en de toepasselijke EU-wetgeving, de grondwet van de Verenigde Staten en de toepasselijke VS-wetgeving en de praktijken inzake eerlijke informatie van de Organisatie voor Economische Samenwerking en Ontwikkeling; en

               Met erkenning van de beginselen van evenredigheid, noodzakelijkheid, relevantie en redelijkheid, zoals door de partijen in hun respectieve rechtskaders opgenomen;

               De Verenigde Staten van Amerika en de Europese Unie ZIJN OVEREENGEKOMEN ALS VOLGT:

               Artikel 1: Doel van de Overeenkomst

               1. Het doel van deze Overeenkomst is te zorgen voor een hoog niveau van bescherming van persoonlijke informatie en voor intensivering van de samenwerking tussen de Verenigde Staten en de Europese Unie en haar lidstaten, op het gebied van de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten, waaronder terrorisme.

               2. Te dien einde wordt in deze Overeenkomst het kader vastgesteld voor de bescherming van persoonlijke informatie in geval van doorgifte tussen enerzijds de Verenigde Staten en anderzijds de Europese Unie of haar lidstaten.

               3. Deze Overeenkomst vormt op zichzelf geen rechtsgrond voor eender welke doorgifte van persoonlijke informatie. Voor dergelijke doorgiften is te allen tijde een rechtsgrond vereist.

               Artikel 2: Definities

               In deze Overeenkomst wordt verstaan onder:

               1."persoonlijke informatie" : elke informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon; als identificeerbaar wordt beschouwd een persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificatienummer of van een of meer specifieke elementen die kenmerkend zijn voor zijn of haar fysieke, fysiologische, psychische, economische, culturele of sociale identiteit.

               2."verwerking van persoonlijke informatie": elke bewerking of elk geheel van bewerkingen waarbij sprake is van verzamelen, onderhouden, gebruiken, wijzigen, organiseren of structureren, verstrekken of verspreiden of verwijderen.

               3."partijen": de Europese Unie en de Verenigde Staten van Amerika.

               4."lidstaat": een lidstaat van de Europese Unie.

               5."bevoegde autoriteit": voor de Verenigde Staten: een nationale rechtshandhavingsautoriteit van de VS die verantwoordelijk is voor de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten, waaronder terrorisme, en voor de Europese Unie: een autoriteit van de Europese Unie en een autoriteit van een lidstaat die verantwoordelijk is voor de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten, waaronder terrorisme.

               Artikel 3: Toepassingsgebied

               1. Deze overeenkomst is van toepassing op persoonlijke informatie die tussen de bevoegde autoriteiten van de ene partij en de bevoegde autoriteiten van de andere partij wordt doorgegeven of die anderszins wordt doorgegeven in overeenstemming met een tussen de Verenigde Staten en de Europese Unie of haar lidstaten gesloten overeenkomst, met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten, waaronder terrorisme.

               2. Deze overeenkomst heeft geen gevolgen voor en doet geen afbreuk aan doorgifte of andere vormen van samenwerking tussen andere dan de in artikel 2, lid 5, bedoelde autoriteiten van de lidstaten en van de Verenigde Staten die verantwoordelijk zijn voor het verzekeren van de nationale veiligheid.

               Artikel 4: Non-discriminatie

               Elke partij voldoet aan haar verplichtingen uit hoofde van deze Overeenkomst met het oog op de bescherming van de persoonlijke informatie van haar eigen onderdanen en die van de onderdanen van de andere partij, ongeacht hun nationaliteit, en zonder willekeurige en ongerechtvaardigde discriminatie.

               Artikel 5: Gevolgen van de Overeenkomst

               1. Deze Overeenkomst vormt, waar nodig, een aanvulling op de bepalingen inzake de bescherming van persoonlijke informatie in internationale overeenkomsten tussen de partijen of tussen de Verenigde Staten en de lidstaten met betrekking tot aangelegenheden die onder het toepassingsgebied van deze Overeenkomst vallen, maar vervangt deze bepalingen niet.

               2. De partijen nemen de nodige maatregelen voor de tenuitvoerlegging van deze Overeenkomst, met inbegrip van, in het bijzonder, hun daarin opgenomen respectieve verplichtingen inzake toegang, rectificatie en administratieve en gerechtelijke beroepsmogelijkheden voor natuurlijke personen. Natuurlijke personen en entiteiten genieten de in deze Overeenkomst geboden bescherming en beschikken over de daarin opgenomen rechtsmiddelen op de in het toepasselijke nationale recht van elke partij vastgestelde wijze. De verplichtingen van de Verenigde Staten zijn van toepassing op een wijze die in overeenstemming is met zijn fundamentele beginselen van federalisme.

               3. Door uitvoering te geven aan lid 2 wordt de verwerking van persoonlijke informatie door de Verenigde Staten of de Europese Unie en haar lidstaten met betrekking tot aangelegenheden die onder het toepassingsgebied van deze Overeenkomst vallen, geacht in overeenstemming te zijn met hun respectieve wetgeving inzake gegevensbescherming die de internationale doorgifte van persoonlijke informatie beperkt of aan voorwaarden onderwerpt, en wordt geen verdere vergunning uit hoofde van die wetgeving vereist.

               Artikel 6: Beperkingen inzake doel en toepassing

               1. De doorgifte van persoonlijke informatie wordt voor specifieke doeleinden toegestaan op basis van de rechtsgrondslag voor de doorgifte als omschreven in artikel 1.

               2. De verdere verwerking van persoonlijke informatie door een partij mag niet onverenigbaar zijn met het doel waarvoor die informatie werd doorgegeven. Verwerking is onder meer verenigbaar wanneer deze plaatsvindt uit hoofde van bepalingen van bestaande internationale overeenkomsten en schriftelijk vastgelegde internationale kaders voor de voorkoming, het onderzoek, de opsporing en de vervolging van ernstige strafbare feiten. Bij een dergelijke verwerking van persoonlijke informatie door andere nationale rechtshandhavings-, regelgevende of administratieve autoriteiten worden de overige bepalingen van deze Overeenkomst in acht genomen.

               3. Dit artikel doet geen afbreuk aan de mogelijkheid van de bevoegde instantie die de informatie doorgeeft, om in een specifiek geval aanvullende voorwaarden op te leggen, voor zover het op de doorgifte toepasselijke rechtskader dit toestaat. Dergelijke voorwaarden mogen geen voorwaarden omvatten inzake de bescherming van generieke gegevens, dat wil zeggen voorwaarden die geen verband houden met de specifieke omstandigheden van het geval. Indien de informatie onder voorwaarden wordt doorgegeven, moet de ontvangende bevoegde instantie aan die voorwaarden voldoen. De bevoegde autoriteit die de informatie verstrekt, kan van de ontvanger ook eisen dat deze informatie verstrekt over het gebruik dat van de doorgegeven informatie wordt gemaakt.

               4. Wanneer de Verenigde Staten, enerzijds, en de Europese Unie of een lidstaat, anderzijds, een overeenkomst sluiten over de doorgifte van persoonlijke informatie anders dan met betrekking tot specifieke gevallen, onderzoeken of vervolgingen, worden de specifieke doeleinden waarvoor de informatie wordt doorgegeven en verwerkt in die overeenkomst nader omschreven.

               5. De partijen zorgen er in het kader van hun respectieve rechtsstelsels voor dat persoonlijke informatie wordt verwerkt op een wijze die rechtstreeks relevant is voor en niet bovenmatig of te ruim is ten opzichte van het doel van die verwerking.

               Artikel 7: Verdere doorgifte

               1. Wanneer een bevoegde autoriteit van een partij persoonlijke informatie met betrekking tot een specifieke zaak heeft doorgegeven aan een bevoegde autoriteit van de andere partij, mag die informatie aan een staat of internationale instantie die niet door deze Overeenkomst is gebonden alleen worden doorgegeven wanneer vooraf de toestemming is verkregen van de bevoegde autoriteit die de informatie aanvankelijk heeft verzonden.

               2. Bij het verlenen van de toestemming voor een doorgifte uit hoofde van lid 1 houdt de bevoegde autoriteit die de informatie aanvankelijk heeft doorgegeven naar behoren rekening met alle relevante factoren, waaronder de ernst van het strafbare feit, het doel waarvoor de gegevens aanvankelijk zijn doorgegeven en of de staat die niet door de onderhavige Overeenkomst is gebonden of de betrokken internationale instantie een passend niveau van bescherming van persoonlijke informatie waarborgt. Zij kan aan de doorgifte ook specifieke voorwaarden verbinden

               3. Wanneer de Verenigde Staten, enerzijds, en de Europese Unie of een lidstaat, anderzijds, een overeenkomst sluiten over de doorgifte van persoonlijke informatie anders dan met betrekking tot specifieke gevallen, onderzoeken of vervolgingen, mag persoonlijke informatie alleen verder worden doorgegeven wanneer daarbij specifieke voorwaarden in acht worden genomen die in die overeenkomst zijn neergelegd en die voldoende rechtvaardiging voor de verdere doorgifte vormen. De overeenkomst voorziet tevens in passende mechanismen voor de uitwisseling van informatie tussen de bevoegde autoriteiten.

               4. Niets in dit artikel mag zodanig worden uitgelegd dat dit van invloed is op een voorwaarde, verplichting of praktijk op grond waarvan de voorafgaande toestemming van de bevoegde autoriteit die de informatie aanvankelijk heeft doorgegeven, moet worden verkregen voordat de informatie verder wordt doorgegeven aan een door deze Overeenkomst gebonden staat of instantie, mits een dergelijke doorgifte niet op grond van het niveau van gegevensbescherming in die staat of bij die instantie wordt geweigerd of aan voorwaarden wordt onderworpen.

               Artikel 8: Behoud van de kwaliteit en integriteit van informatie

               De partijen nemen redelijke maatregelen om ervoor te zorgen dat persoonlijke informatie met een zodanige nauwkeurigheid, relevantie, actualiteit en volledigheid wordt bijgehouden als noodzakelijk en passend is voor de rechtmatige verwerking van de gegevens. Daartoe hebben de bevoegde autoriteiten procedures ingevoerd die de kwaliteit en integriteit van persoonlijke informatie waarborgen, met inbegrip van het hierna volgende:

                  a) de in artikel 17 bedoelde maatregelen;

               b) indien de bevoegde autoriteit die de informatie heeft doorgegeven, kennis krijgt van ernstige twijfels over de relevantie, actualiteit, volledigheid of nauwkeurigheid van dergelijke door haar doorgegeven persoonlijke informatie of een door haar doorgegeven beoordeling, informeert zij, waar mogelijk, de ontvangende bevoegde autoriteit daarover;

               c) indien de ontvangende bevoegde autoriteit kennis krijgt van ernstige twijfels over de relevantie, actualiteit, volledigheid of nauwkeurigheid van persoonlijke informatie die zij van een overheidsinstantie heeft ontvangen of van een beoordeling van de nauwkeurigheid van informatie of de betrouwbaarheid van een bron door de bevoegde autoriteit die de informatie heeft doorgegeven, informeert zij, waar mogelijk, de bevoegde autoriteit die de informatie heeft doorgegeven daarover.

               Artikel 9: Informatiebeveiliging

               De partijen zorgen ervoor dat er passende technische, organisatorische en veiligheidsmaatregelen gelden voor de bescherming van persoonlijke informatie tegen elk van de volgende gebeurtenissen:

                  a) onopzettelijke of onrechtmatige vernietiging;

                  b) onopzettelijk verlies; en

                  c) ongeoorloofde verspreiding, wijziging of toegang, of andere vorm van verwerking.

               Dergelijke maatregelen omvatten passende waarborgen ten aanzien van de toestemming die is vereist voor toegang tot persoonlijke informatie.

               Artikel 10: Kennisgeving van een incident op het gebied van informatiebeveiliging

               1. Bij ontdekking van een incident waarbij sprake is van onopzettelijk verlies of onopzettelijke vernietiging of ongeoorloofde toegang, bekendmaking of wijziging van persoonlijke informatie en een aanzienlijk risico op schade bestaat, beoordeelt de ontvangende bevoegde autoriteit onverwijld de waarschijnlijkheid en de omvang van de schade aan natuurlijke personen en aan de integriteit van het programma van de bevoegde autoriteit die de informatie heeft doorgegeven, en neemt zij onverwijld passende maatregelen om dergelijke schade te beperken.

               2. Tot de maatregelen ter beperking van schade behoort ook de kennisgeving aan de bevoegde autoriteit die de informatie heeft doorgegeven. Kennisgeving kan evenwel:

                  a) gepaard gaan met passende beperkingen inzake de verdere doorgifte van de kennisgeving;

                  b) uitgesteld of achterwege gelaten worden wanneer die kennisgeving de nationale veiligheid in gevaar kan brengen;

                  c) uitgesteld worden wanneer een dergelijke kennisgeving openbare-veiligheidsoperaties in gevaar kan brengen.

               3. Maatregelen ter beperking van schade omvatten ook kennisgeving aan de persoon op wie de informatie betrekking heeft, wanneer dat gelet op de omstandigheden van het incident passend is, tenzij die kennisgeving een gevaar inhoudt voor:

                  a) de openbare of de nationale veiligheid;

                  b) officiële onderzoeken of procedures;

                  c) de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten;

                  d) de rechten en vrijheden van anderen, met name de bescherming van slachtoffers en getuigen.

               4. De bevoegde autoriteiten die betrokken zijn bij de doorgifte van de persoonlijke informatie, kunnen tot raadpleging overgaan met betrekking tot het incident en de reactie daarop.

               Artikel 11: Bijhouden van bestanden

               1. De partijen voorzien in doeltreffende methoden om de rechtmatigheid van de verwerking van persoonlijke informatie aan te tonen, waarbij het onder meer kan gaan om overzichten en andere vormen van bestanden.

               2. De bevoegde autoriteiten kunnen van dergelijke overzichten of bestanden gebruikmaken om ervoor te zorgen dat de betrokken databanken of dossiers goed blijven functioneren en de integriteit en veiligheid van gegevens gewaarborgd zijn en om zo nodig noodprocedures te volgen.

               Artikel 12: Bewaartermijn

               1. De partijen voorzien in hun toepasselijke rechtskaders in specifieke bewaartermijnen voor bestanden met persoonlijke informatie, teneinde ervoor te zorgen dat persoonlijke informatie niet langer wordt bewaard dan nodig en dienstig is. Bij de vaststelling van dergelijke bewaartermijnen wordt rekening gehouden met het doel van de verwerking, de aard van de gegevens en de autoriteit die de gegevens verwerkt, het effect op de relevante rechten en belangen van de betrokken personen en andere toepasselijke juridische overwegingen.

               2. Wanneer de Verenigde Staten, enerzijds, en de Europese Unie of een lidstaat, anderzijds, een overeenkomst sluiten over de doorgifte van persoonlijke informatie anders dan met betrekking tot specifieke gevallen, onderzoeken of vervolgingen, bevat een dergelijke overeenkomst een specifieke en wederzijds overeengekomen bepaling inzake bewaartermijnen.

               3. De partijen voorzien in procedures voor de periodieke evaluatie van de bewaartermijn teneinde vast te stellen of gewijzigde omstandigheden een verdere wijziging van de toepasselijke termijn vereisen.

               4. De partijen publiceren deze bewaartermijnen of maken deze anderszins openbaar.

               Artikel 13: Bijzondere categorieën persoonlijke informatie

               1. De verwerking van persoonlijke informatie waaruit ras of etnische afkomst, politieke opvattingen of godsdienstige of levensbeschouwelijke overtuiging, lidmaatschap van een vakvereniging of persoonlijke informatie over de gezondheid of het seksuele leven blijken, vindt alleen plaats met passende waarborgen in overeenstemming met het recht. Dergelijke passende waarborgen zijn onder meer: de beperking van de doeleinden waarvoor de informatie mag worden verwerkt, zoals het enkel van geval tot geval toestaan van de verwerking; het verbergen, wissen of afschermen van informatie nadat het doel van de verwerking daarvan is verwezenlijkt; de beperking van het aantal personeelsleden dat toegang heeft tot de informatie; verplichte gespecialiseerde opleiding van het personeel dat toegang tot de informatie heeft; verplichte goedkeuring door de toezichthoudende autoriteit van de toegang tot de informatie; of andere beschermende maatregelen. Deze waarborgen dienen naar behoren rekening te houden met de aard van de informatie, de bijzondere gevoeligheid van de informatie en het doel waarvoor de informatie wordt verwerkt.

               2. Wanneer de Verenigde Staten van Amerika, enerzijds, en de Europese Unie of een lidstaat anderzijds, een overeenkomst sluiten inzake de doorgifte van persoonlijke informatie anders dan met betrekking tot specifieke gevallen, onderzoeken of vervolgingen, geeft deze Overeenkomst een nadere specificatie van de normen en voorwaarden waaronder dergelijke informatie kan worden verwerkt, waarbij naar behoren rekening wordt gehouden met de aard van de informatie en het doel waarvoor die wordt aangewend.

               Artikel 14: Verantwoordingsplicht

               1. De partijen nemen maatregelen ter bevordering van de verantwoordingsplicht voor de verwerking van persoonlijke informatie onder het toepassingsgebied van deze Overeenkomst door  hun bevoegde autoriteiten en hun andere autoriteiten waaraan persoonlijke informatie is doorgegeven. Dergelijke maatregelen omvatten de kennisgeving van de waarborgen met betrekking tot de doorgifte van persoonlijke informatie in het kader van deze Overeenkomst, en van de voorwaarden die door de bevoegde autoriteit die de informatie doorgeeft, uit hoofde van artikel 6, lid 3, opgelegd kunnen zijn. Zware fouten worden bestraft door middel van passende en afschrikkende strafrechtelijke, civielrechtelijke of administratieve sancties.

               2. De in lid 1 bedoelde maatregelen omvatten, naargelang het geval, stopzetting van de doorgifte van persoonlijke informatie aan autoriteiten van samenstellende territoriale entiteiten van de partijen die niet onder deze Overeenkomst vallen en die persoonlijke informatie niet doeltreffend hebben beschermd, rekening houdend met het doel van deze Overeenkomst en met name met de bepalingen van deze Overeenkomst over beperkingen inzake het doel en het gebruik en over verdere doorgifte.

               3. Ingeval beweerd wordt dat dit artikel onjuist wordt toegepast, kan een partij van de andere partij verlangen dat deze, in voorkomend geval, relevante informatie verstrekt over de uit hoofde van dit artikel genomen maatregelen.

               Artikel 15: Geautomatiseerde besluiten

               Besluiten die aanzienlijke negatieve gevolgen hebben voor de relevante belangen van de betrokken persoon, mogen niet uitsluitend gebaseerd zijn op de automatische verwerking van persoonlijke informatie zonder menselijke tussenkomst, tenzij zulks is toegestaan krachtens het nationale recht en er passende garanties zijn die de mogelijkheid bieden menselijke interventie te bewerkstelligen.

               Artikel 16: Toegang

               1. De partijen dragen er zorg voor dat eenieder recht heeft om te verzoeken om toegang tot zijn of haar persoonlijke informatie en die toegang, behoudens de in punt 2 genoemde beperkingen, te verkrijgen. Het verzoek tot toegang wordt ingediend bij en ingewilligd door een bevoegde autoriteit overeenkomstig het toepasselijke rechtskader van de staat waar het verzoek wordt ingediend.

               2. Het verkrijgen van dergelijke informatie in een specifiek geval kan onderworpen zijn aan redelijke beperkingen uit hoofde van het nationale recht, met inachtneming van de gerechtvaardigde belangen van de betrokken persoon, teneinde:

                  a) de rechten en vrijheden van anderen te beschermen, met inbegrip van hun privacy;

                  b) de openbare en nationale veiligheid te garanderen;

                  c) gevoelige informatie op het gebied van rechtshandhaving te beschermen;

                  d) belemmering van officiële of gerechtelijke onderzoeken of procedures te voorkomen;

               e) te voorkomen dat afbreuk wordt gedaan aan de voorkoming, de opsporing, het onderzoek of de vervolging van strafbare feiten of de tenuitvoerlegging van strafmaatregelen;

               f) in de wetgeving inzake de vrijheid van informatie en toegang van het publiek tot documenten genoemde belangen anderszins te beschermen.

               3. De betrokken persoon worden geen buitensporige kosten in rekening gebracht als voorwaarde voor toegang tot zijn of haar persoonlijke informatie.

               4. Voor zover dit uit hoofde van het nationale recht is toegestaan, heeft de betrokken persoon het recht een toezichthoudende autoriteit of andere vertegenwoordiger te machtigen om namens hem of haar om toegang te verzoeken.

               5. Indien toegang wordt geweigerd of beperkt, deelt de aangezochte bevoegde autoriteit zonder onnodig uitstel aan de betrokken persoon of zijn of haar naar behoren gemachtigde vertegenwoordiger in de zin van lid 4, de redenen mee voor de weigering of beperking van de toegang.

               Artikel 17: Rectificatie

               1. De partijen dragen er zorg voor dat eenieder het recht heeft te verzoeken om correctie of rectificatie van zijn of haar persoonlijke informatie die volgens hem of haar onnauwkeurig is of niet naar behoren is verwerkt. Bij correctie of rectificatie kan het ook gaan om het aanvullen, wissen of afschermen van gegevens of om andere maatregelen of methoden voor het verhelpen van onnauwkeurigheden of onjuiste verwerking. Het verzoek om een dergelijke correctie of rectificatie wordt ingediend bij en ingewilligd door een bevoegde autoriteit overeenkomstig het toepasselijke rechtskader van de staat waar het verzoek wordt ingediend.

               2. Indien de ontvangende bevoegde autoriteit concludeert naar aanleiding van:

                  a) een verzoek als bedoeld in lid 1;

                  b) kennisgeving door de verstrekker; of

                  c) haar eigen onderzoeken;

               dat de informatie die zij uit hoofde van deze Overeenkomst heeft ontvangen onjuist is of niet naar behoren is verwerkt, neemt zij maatregelen voor het aanvullen, wissen of afschermen van gegevens of past zij andere methoden voor correctie of rectificatie toe, naargelang het geval.

               3. Voor zover dit uit hoofde van het nationale recht is toegestaan, heeft de betrokken persoon het recht een toezichthoudende autoriteit of andere vertegenwoordiger te machtigen om namens hem of haar om correctie of rectificatie te verzoeken.

                4. Indien correctie of rectificatie wordt geweigerd of beperkt, verstrekt de aangezochte bevoegde autoriteit zonder onnodig uitstel aan de betrokken persoon of zijn of haar naar behoren gemachtigde vertegenwoordiger in de zin van lid 3, een antwoord met de motivering voor de weigering of beperking van de correctie of rectificatie.

               Artikel 18: Administratief beroep

               1. De partijen zorgen ervoor dat eenieder het recht heeft om administratief beroep in te stellen wanneer hij of zij van mening is dat zijn of haar verzoek om toegang uit hoofde van artikel 16 of verzoek om rectificatie van onnauwkeurige informatie of onjuiste verwerking uit hoofde van artikel 17 ten onrechte is geweigerd. Een dergelijk beroep wordt ingesteld bij en toegewezen door een bevoegde autoriteit overeenkomstig het toepasselijke rechtskader van de staat waar het beroep wordt ingesteld.

               2. Voor zover dit uit hoofde van het toepasselijke nationale recht is toegestaan, heeft de betrokken persoon het recht een toezichthoudende autoriteit of andere vertegenwoordiger te machtigen om namens hem of haar administratief beroep in te stellen.

               3. De bevoegde autoriteit waarbij beroep wordt ingesteld, verricht de nodige onderzoeken en verificaties en geeft zonder onnodig uitstel een schriftelijke, eventueel elektronische reactie, waarin het resultaat wordt meegedeeld, met inbegrip van de, in voorkomend geval, genomen corrigerende maatregelen. De kennisgeving van de procedure voor het instellen van hoger administratief beroep vindt plaats overeenkomstig artikel 20.

               Artikel 19: Gerechtelijk beroep

                1. De partijen bepalen in hun toepasselijke rechtskader dat, met inachtneming van eventuele vereisten van voorafgaande uitputting van de middelen voor administratief beroep, iedere burger van een der partijen het recht heeft om gerechtelijk beroep in te stellen met betrekking tot:

               a) de weigering door een bevoegde autoriteit van toegang tot bestanden waarin zijn of haar persoonlijke informatie is opgenomen;

               a) de weigering door een bevoegde autoriteit van wijziging van bestanden waarin zijn of haar persoonlijke informatie zijn opgenomen; en

               c) de onrechtmatige, bewuste of opzettelijke openbaarmaking van dergelijke informatie, hetgeen ook de mogelijkheid van schadevergoeding omvat.

               2. Een dergelijk verzoek tot rechterlijke toetsing wordt ingediend en ingewilligd overeenkomstig het toepasselijke rechtskader van de staat waar het verzoek wordt ingediend.

               3. De leden 1 en 2 gelden onverminderd eventuele andere mogelijkheden van rechterlijke toetsing met betrekking tot de verwerking van persoonlijke informatie van een natuurlijk persoon krachtens het recht van de staat waarin gerechtelijk beroep wordt ingesteld.

               4. In geval van schorsing of opzegging van de Overeenkomst scheppen de artikelen 26, lid 2, of 29, lid 3, geen basis voor gerechtelijk beroep dat niet langer openstaat krachtens het recht van de betrokken partij.

               Artikel 20: Transparantie

               1. De partijen doen een persoon ter zake van zijn of haar persoonlijke informatie een kennisgeving toekomen, welke kennisgeving de bevoegde autoriteiten kunnen verrichten door middel van de bekendmaking van algemene kennisgevingen of een specifieke kennisgeving, in een vorm en op een tijdstip als bepaald in het op de kennisgevende autoriteit toepasselijke recht, met betrekking tot:

                     a) het doel van de verwerking van dergelijke informatie door die autoriteit;

                    b) het doel waarvoor de informatie met andere autoriteiten mag worden gedeeld;

                    c) de wetgeving of voorschriften uit hoofde waarvan deze verwerking plaatsvindt;

                    d) de derde partijen waaraan dergelijke informatie is bekendgemaakt; en

                    e) de beschikbare mogelijkheden tot toegang, correctie of rectificatie en verhaal.

               2. Ten aanzien van dit vereiste inzake kennisgeving gelden de redelijke beperkingen uit hoofde van het nationale recht met betrekking tot de in artikel 16, lid 2, onder a) tot en met f), genoemde aangelegenheden.

               Artikel 21: Doeltreffend toezicht

               1. De partijen beschikken over een of meer openbare toezichthoudende autoriteiten die:

               a) onafhankelijke toezichthoudende taken en bevoegdheden uitoefenen, met inbegrip van toetsing, onderzoek en interventie, in voorkomend geval op hun eigen initiatief;

               b) bevoegd zijn om klachten van individuen in ontvangst te nemen over de maatregelen ter uitvoering van deze Overeenkomst en dienaangaande handelend op te treden; en

               c) bevoegd zijn om bij rechtsschendingen ter zake van deze Overeenkomst in voorkomend geval vervolging of tuchtmaatregelen voor te stellen.

               2. De Europese Unie zorgt voor toezicht uit hoofde van dit artikel via haar gegevensbeschermingsautoriteiten en die van de lidstaten.

               3. De Verenigde Staten zorgen ervoor dat op grond van dit artikel door meer dan één autoriteit, bijvoorbeeld inspecteurs-generaal, chief privacy officers, government accountability offices, toezichthoudende instanties op het gebied van privacy en burgerlijke vrijheden en andere relevante uitvoerende en wetgevende toetsingsorganen op het gebied van privacy en burgerlijke vrijheden, cumulatief toezicht wordt uitgeoefend.

               Artikel 22: Samenwerking tussen toezichthoudende autoriteiten

               1. Zo nodig vindt overleg plaats tussen de autoriteiten die toezicht uitoefenen uit hoofde van artikel 21 inzake de uitvoering van de taken met betrekking tot deze Overeenkomst, met het oog op het waarborgen van de doeltreffende uitvoering van de bepalingen van de artikelen 16, 17 en 18.

               2. De partijen richten nationale contactpunten op die zullen helpen bij de vaststelling welke toezichthoudende autoriteit in een specifiek geval moet worden benaderd.

               Artikel 23: Gezamenlijke evaluatie

               1. De Partijen voeren periodiek gezamenlijke evaluaties uit van het beleid en de procedures voor de uitvoering van deze Overeenkomst en de doeltreffendheid daarvan. In de gezamenlijke evaluaties wordt bijzondere aandacht besteed aan de doeltreffende uitvoering van de beschermende bepalingen van artikel 14 inzake verantwoordingsplicht, artikel 16 inzake toegang, artikel 17 inzake rectificatie, artikel 18 inzake administratief beroep, en artikel 19 inzake gerechtelijk beroep.

               2. De eerste gezamenlijke evaluatie vindt niet later plaats dan drie jaar na de datum van inwerkingtreding van deze Overeenkomst, en vervolgens op gezette tijden. De partijen bepalen in onderling overleg van tevoren de modaliteiten en voorwaarden dienaangaande en delen elkaar de samenstelling van hun respectieve delegaties mee, welke vertegenwoordigers omvatten van de openbare toezichthoudende autoriteiten als bedoeld in artikel 21 inzake doeltreffend toezicht, en van rechtshandhavings- en justitiële autoriteiten. De conclusies van de gezamenlijke evaluatie worden openbaar gemaakt.

               3. Wanneer de partijen of de Verenigde Staten en een lidstaat een andere overeenkomst hebben gesloten waarvan het onderwerp ook onder de werkingssfeer van deze Overeenkomst valt en die in gezamenlijke evaluaties voorziet, worden dergelijke gezamenlijke evaluaties niet dubbel verricht en maken de conclusies, voor zover relevant, deel uit van de conclusies van de gezamenlijke evaluatie uit hoofde van deze Overeenkomst.

               Artikel 24: Kennisgeving

               1. De Verenigde Staten stellen de Europese Unie in kennis van iedere aanwijzing door de autoriteiten van de V.S. met betrekking tot artikel 19, en alle wijzigingen dienaangaande.

               2. De partijen doen redelijke pogingen om elkaar in kennis te stellen van de bekrachtiging van wetten of de vaststelling van regelingen die materieel van invloed zijn op de tenuitvoerlegging van deze Overeenkomst, zo mogelijk nog voordat zij van kracht worden.

               Artikel 25: Overleg

               Naar aanleiding van elk geschil dat voortvloeit uit de interpretatie of toepassing van deze Overeenkomst, treden de partijen met elkaar in overleg teneinde tot een wederzijds aanvaardbare oplossing te komen.

               Artikel 26: Opschorting

               1. In het geval van een materiële inbreuk op deze Overeenkomst kan elke partij deze Overeenkomst geheel of gedeeltelijk opschorten door middel van een schriftelijke kennisgeving aan de andere partij via diplomatieke kanalen. Een dergelijke schriftelijke kennisgeving vindt pas plaats nadat de partijen gedurende een redelijke termijn overleg hebben gevoerd zonder tot een oplossing te komen en de opschorting wordt van kracht twintig dagen na de datum van ontvangst van die kennisgeving. Deze opschorting kan door de opschortende partij worden opgeheven door middel van een schriftelijke kennisgeving aan de andere partij. De opschorting wordt onmiddellijk opgeheven na ontvangst van die kennisgeving.

               2. Niettegenstaande een eventuele opschorting van deze Overeenkomst blijft de verwerking van persoonsgegevens die onder de werkingssfeer van deze Overeenkomst vallen en die vóór de opschorting daarvan zijn doorgegeven, overeenkomstig de bepalingen van deze Overeenkomst plaatsvinden.

               Artikel 27: Territoriale toepassing

                        1. Deze Overeenkomst is slechts van toepassing op Denemarken, het Verenigd Koninkrijk of Ierland indien de Europese Commissie de Verenigde Staten schriftelijk ervan in kennis stelt dat Denemarken, het Verenigd Koninkrijk of Ierland ervoor heeft gekozen door deze Overeenkomst gebonden te zijn.

                        2. Indien de Europese Commissie de Verenigde Staten vóór de inwerkingtreding van deze Overeenkomst ervan in kennis stelt dat deze Overeenkomst van toepassing zal zijn op Denemarken, het Verenigd Koninkrijk of Ierland, is deze Overeenkomst op de betreffende staat van toepassing met ingang van de datum van inwerkingtreding van deze Overeenkomst.

                        3. Indien de Europese Commissie de Verenigde Staten na de inwerkingtreding van de Overeenkomst ervan in kennis stelt dat deze van toepassing zal zijn op Denemarken, het Verenigd Koninkrijk of Ierland, is deze Overeenkomst op de betrokken staat van toepassing met ingang van de eerste dag van de maand volgende op die waarin de kennisgeving door de Verenigde Staten is ontvangen.

               Artikel 28: Duur van de Overeenkomst

               Deze overeenkomst wordt voor onbepaalde tijd gesloten.

               Artikel 29: Inwerkingtreding en opzegging

               1. Deze Overeenkomst treedt in werking op de eerste dag van de maand volgende op de datum waarop de partijen de kennisgevingen hebben uitgewisseld waaruit blijkt dat zij hun interne procedures inzake inwerkingtreding hebben voltooid.

               2. Elke partij kan deze Overeenkomst opzeggen door de andere partij daarvan langs diplomatieke weg schriftelijk kennisgeving te doen. Deze opzegging wordt van kracht dertig dagen na de datum van ontvangst van die kennisgeving.

               3. Niettegenstaande een eventuele opzegging van deze Overeenkomst blijft verwerking van persoonlijke informatie die onder de werkingssfeer van deze Overeenkomst valt en die vóór de opzegging daarvan is doorgegeven, overeenkomstig de bepalingen van deze Overeenkomst plaatsvinden.

               TEN BLIJKE WAARVAN de ondergetekende gevolmachtigden hun handtekening onder deze Overeenkomst hebben geplaatst

               Gedaan te ….., op ….. 201.., in twee originele exemplaren, in de Engelse taal. Overeenkomstig het EU-recht wordt deze Overeenkomst door de EU tevens opgesteld in de Bulgaarse, de Deense, de Duitse, de Estse, de Finse, de Franse, de Griekse, de Hongaarse, de Ierse, de Italiaanse, de Kroatische, de Letse, de Litouwse, de Maltese, de Nederlandse, de Poolse, de Portugese, de Roemeense, de Sloveense, de Slowaakse, de Spaanse, de Tsjechische en de Zweedse taal. Aan deze extra taalversies kan rechtsgeldigheid worden verleend door een uitwisseling van diplomatieke nota’s tussen de Verenigde Staten en de Europese Unie. Wanneer de authentieke taalversies verschillen, heeft de Engelse versie voorrang.