Kaderbesluit 2008/977/JBZ van de Raad van 27 november 2008 over de bescherming van persoonsgegevens die worden verwerkt in het kader van de politiële en justitiële samenwerking in strafzaken - Hoofdinhoud

NL

Publicatieblad van de Europese Unie

L 350/60

De Europese Unie heeft zich ten doel gesteld de Unie als een ruimte van vrijheid, veiligheid en recht in stand te houden en te ontwikkelen; gezamenlijk optreden van de lidstaten op het gebied van politiële en justitiële samenwerking in strafzaken moet tot een hoog niveau van veiligheid leiden.

Gezamenlijk optreden op het gebied van politiële samenwerking in de zin van artikel 30, lid 1, onder b), van het Verdrag betreffende de Europese Unie en gezamenlijk optreden inzake justitiële samenwerking in strafzaken in de zin van artikel 31, lid 1, onder a), van het Verdrag betreffende de Europese Unie, brengt met zich dat relevante informatie moet worden verwerkt, waarop passende voorschriften inzake de bescherming van persoonsgegevens van toepassing moeten zijn.

De regelgeving in het kader van titel VI van het Verdrag betreffende de Europese Unie moet de politiële en justitiële samenwerking in strafzaken bevorderen, en ervoor zorgen dat zij doeltreffend en rechtmatig is en strookt met de grondrechten, met name met het recht op bescherming van het privéleven en van persoonsgegevens. Gemeenschappelijke normen voor de verwerking en bescherming van persoonsgegevens die worden verwerkt om criminaliteit te voorkomen en te bestrijden, kunnen bijdragen tot de verwezenlijking van beide doelen.

In het Haags programma betreffende de versterking van vrijheid, veiligheid en recht in de Europese Unie, dat de Europese Raad op 4 november 2004 heeft aangenomen, wordt erop gewezen dat een innoverende benadering van de grensoverschrijdende uitwisseling van rechtshandhavingsinformatie nodig is, waarbij strak de hand moet worden gehouden aan de basisvoorwaarden op het gebied van gegevensbescherming, en wordt de Commissie verzocht uiterlijk eind 2005 voorstellen op dit gebied in te dienen. Dit is terug te vinden in het Actieplan van de Raad en de Commissie ter uitvoering van het Haags programma voor de versterking van de ruimte van vrijheid, veiligheid en recht in de Europese Unie (2).

De uitwisseling van persoonsgegevens in het kader van de politiële en justitiële samenwerking in strafzaken moet, zeker indien deze uitwisseling gebaseerd is op het beschikbaarheidsbeginsel zoals neergelegd in het Haags programma, steunen op duidelijke regels die leiden tot wederzijds vertrouwen tussen de bevoegde autoriteiten en die de zekerheid bieden dat de gegevens zodanig worden beschermd dat iedere discriminatie met betrekking tot de samenwerking tussen de lidstaten is uitgesloten, terwijl de individuele grondrechten toch volledig worden geëerbiedigd. De bestaande regelgeving op Europees niveau is ontoereikend. Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens, en betreffende het vrije verkeer van die gegevens (3), is niet van toepassing op de verwerking van persoonsgegevens in het kader van een activiteit die buiten de werkingssfeer van het Gemeenschapsrecht valt, zoals de activiteiten in het kader van titel VI van het Verdrag betreffende de Europese Unie, en zeker niet op de verwerking van gegevens in verband met openbare veiligheid, defensie, de staatsveiligheid en de activiteiten van de staat op strafrechtelijk gebied.

Het kaderbesluit is alleen van toepassing op gegevens die door de bevoegde autoriteiten worden verzameld of verwerkt met het oog op preventie, onderzoek, opsporing en vervolging van strafbare feiten en tenuitvoerlegging van straffen. Het kaderbesluit laat het aan de lidstaten over om op nationaal niveau met meer nauwkeurigheid te bepalen welke andere doeleinden als onverenigbaar moeten worden aangemerkt met het doel waarvoor de persoonsgegevens aanvankelijk werden verzameld. In zijn algemeenheid is verdere verwerking voor historische, statistische of wetenschappelijke doeleinden niet onverenigbaar met het oorspronkelijke doel van de verwerking.

Het toepassingsgebied van het kaderbesluit is beperkt tot de verwerking van persoonsgegevens die worden verstrekt of beschikbaar gesteld tussen lidstaten. Uit deze beperking kunnen geen conclusies worden getrokken met betrekking tot de bevoegdheid van de Europese Unie om besluiten aan te nemen in verband met het verzamelen en verwerken van persoonsgegevens op nationaal niveau, noch met betrekking tot de wenselijkheid dat de Unie dergelijke besluiten in de toekomst aanneemt.

Om de uitwisseling van gegevens in de Europese Unie te vergemakkelijken, zullen de lidstaten ernaar streven bij de nationale gegevensverwerking dezelfde standaard van gegevensbeschermings te waarborgen als die waarin dit kaderbesluit voorziet. Met betrekking tot de verwerking van gegevens op nationaal niveau belet dit kaderbesluit de lidstaten niet om uitgebreidere waarborgen te bieden ter bescherming van persoonsgegevens dan die waarin het kaderbesluit voorziet.

Dit kaderbesluit geldt niet voor persoonsgegevens die een lidstaat op grond van dit kaderbesluit heeft verkregen en welke uit die lidstaat zelf afkomstig zijn.

De onderlinge aanpassing van de rechtsstelsels van de lidstaten mag niet tot een vermindering van de gegevensbescherming leiden, maar moet juist zorgen voor een hoog beschermingsniveau in de Unie.

Er moeten doelstellingen voor de gegevensbescherming in het kader van politiële en justitiële activiteiten worden bepaald en regels voor de rechtmatigheid van de verwerking van persoonsgegevens worden vastgesteld, om te kunnen garanderen dat alle gegevens die worden uitgewisseld, rechtmatig en volgens de grondbeginselen betreffende de gegevenskwaliteit zijn verwerkt. Tegelijkertijd mogen politie, douane, justitiële en andere bevoegde autoriteiten op geen enkele manier in hun gerechtvaardigde activiteiten worden belemmerd.

Het beginsel van juistheid van de gegevens moet worden toegepast in het licht van de aard en het doel van de betreffende verwerking. Bijvoorbeeld, in het bijzonder tijdens gerechtelijke procedures zijn gegevens gebaseerd op de subjectieve perceptie van personen en in sommige gevallen volstrekt niet te verifiëren. Het vereiste van juistheid kan derhalve geen betrekking hebben op de juistheid van een verklaring, maar alleen op het feit dat een specifieke verklaring is afgelegd.

Archivering in een afzonderlijke groep van gegevens is alleen toegestaan indien de gegevens niet meer nodig zijn of niet meer gebruikt worden voor preventie, onderzoek, opsporing en vervolging van strafbare feiten en tenuitvoerlegging van straffen. Archivering in een afzonderlijke groep van gegevens is ook toegestaan indien de gegevens samen met andere gegevens aldus in een databank worden opgeslagen dat zij niet meer kunnen worden gebruikt voor preventie, onderzoek, opsporing en vervolging van strafbare feiten en tenuitvoerlegging van straffen. De doeleinden van de archivering en de gerechtvaardigde belangen van de betrokkenen bepalen wat de meest geschikte archiveringstermijn is. Ook bij archivering voor historische doeleinden kan worden gedacht aan een zeer lange termijn.

De gegevens kunnen ook worden gewist door de gegevensdrager te vernietigen.

De verbetering, uitwissing of afscherming van gegevens die onjuist, onvolledig of niet meer actueel zijn en aan een andere lidstaat zijn toegezonden of beschikbaar gesteld om vervolgens verder te worden verwerkt door semi-rechterlijke instanties, in de zin van autoriteiten met de bevoegdheid juridisch bindende beslissingen te nemen, wordt uitgevoerd in overeenstemming met het nationaal recht.

Om een hoog beschermingsniveau voor gegevens van personen te kunnen bieden, moeten gemeenschappelijk bepalingen worden vastgesteld ter beoordeling van de rechtmatigheid en de kwaliteit van de gegevensverwerking door bevoegde autoriteiten in andere lidstaten.

De voorwaarden waaronder de bevoegde autoriteiten van de lidstaten persoonsgegevens die zij van andere lidstaten hebben ontvangen, aan autoriteiten en particuliere instanties van lidstaten kunnen doorgeven of beschikbaar stellen, dienen op Europees niveau te worden vastgesteld. Vaak is het nodig dat persoonsgegevens door de rechterlijke macht, de politie of de douane aan particuliere instanties worden meegedeeld, om misdrijven te kunnen vervolgen of om een onmiddellijke en ernstige bedreiging voor de openbare veiligheid af te wenden of te voorkomen dat de rechten van personen ernstig worden geschonden; het betreft bijvoorbeeld het signaleren aan banken en kredietinstellingen van vervalsingen van waardepapieren, of, op het gebied van voertuigcriminaliteit, het meedelen van persoonsgegevens aan verzekeringsmaatschappijen teneinde handel in gestolen motorvoertuigen te voorkomen of de voorwaarden voor het terugkrijgen van gestolen motorvoertuigen in het buitenland te verbeteren. Dit staat niet gelijk met de overdracht van politiële of justitiële taken aan particuliere instanties.

De voorschriften van dit kaderbesluit die de mededeling van persoonsgegevens door de rechterlijke macht, de politie of de douane aan particuliere instanties betreffen, zijn niet van toepassing op de bekendmaking van gegevens aan particulieren (zoals advocaten en slachtoffers) in het kader van strafrechtelijke procedures.

De verdere verwerking van persoonsgegevens die zijn ontvangen van of beschikbaar gesteld door de bevoegde autoriteit van een andere lidstaat, in het bijzonder het verder doorgeven of het beschikbaar stellen van deze gegevens, moet gebonden zijn aan gemeenschappelijke regels op Europees niveau.

Met betrekking tot persoonsgegevens die verder mogen worden verwerkt nadat de lidstaat waarvan de gegevens afkomstig zijn, daarin heeft toegestemd, moet elke lidstaat die toestemming nader kunnen regelen, ook bijvoorbeeld in de vorm van een algemene toestemming voor categorieën van gegevens of categorieën van verdere verwerking.

In het geval verdere verwerking van persoonsgegevens is toegestaan voor administratieve doeleinden, wordt hieronder ook de werkzaamheden van regelgevings- of toezichtsorganen verstaan.

Voor de gerechtvaardigde werkzaamheden van politie, douane, gerecht en andere bevoegde autoriteiten kan het nodig zijn dat gegevens aan autoriteiten in derde landen of aan internationale instanties worden gezonden die met de preventie, het onderzoek, de opsporing of de vervolging van strafbare feiten of met de strafuitvoering zijn belast.

Persoonsgegevens die door een lidstaat worden doorgegeven aan derde landen of internationale organen moeten in beginsel adequaat beschermd worden.

Doorgifte van persoonsgegevens door een lidstaat aan derde landen of internationale organisaties kan in beginsel pas plaatsvinden nadat de lidstaat van herkomst daarin heeft toegestemd. Elke lidstaat mag deze toestemming nader regelen, bijvoorbeeld in de vorm van een algemene toestemming voor categorieën van gegevens of voor bepaalde landen.

In het belang van een efficiënte samenwerking op het gebied van de rechtshandhaving is het nodig dat indien een bedreiging voor de openbare veiligheid van een lidstaat of derde staat van zodanig onmiddellijke aard is dat het niet mogelijk is tijdig voorafgaande toestemming te verkrijgen, de bevoegde autoriteit de persoonsgegevens zonder voorafgaande toestemming aan de derde staat mag doorgeven. Hetzelfde zou kunnen gelden indien andere, even zwaarwegende wezenlijke belangen van een lidstaat op het spel staan, bijvoorbeeld in geval van onmiddellijke en ernstige dreiging voor de vitale infrastructuur van een lidstaat of ernstige verstoring van het financiële stelsel van een lidstaat.

Het kan geboden zijn de betrokkene in te lichten over de verwerking van zijn gegevens, in het bijzonder in het geval van zeer vergaande inmenging middels maatregelen van heimelijke gegevensvergaring, zodat hem de mogelijkheid van effectieve rechtsbescherming wordt gegarandeerd.

De lidstaten moeten erop toezien dat de betrokkene op de hoogte wordt gebracht van het feit dat de persoonsgegevens kunnen worden of worden verzameld, verwerkt of verstrekt aan een andere lidstaat met het oog op de preventie, het onderzoek, de opsporing en de vervolging ter zake van strafbare feiten en de tenuitvoerlegging van straffen. Het recht van de betrokkene om op de hoogte te worden gebracht, en de uitzonderingen daarop, worden nader geregeld in het nationaal recht. Dit kan in een algemene vorm gebeuren, bijvoorbeeld langs wettelijke weg of door bekendmaking van een lijst van verwerkingen.

Om de bescherming van persoonsgegevens te garanderen zonder dat de belangen van het strafrechtelijk onderzoek gevaar lopen, dienen de rechten van de betrokkenen te worden omschreven.

Sommige lidstaten kennen het recht van toegang van de betrokkene in strafzaken door middel van een systeem waarin de nationale toezichthoudende autoriteit in plaats van de betrokkene onbeperkte toegang heeft tot alle hem betreffende persoonsgegevens en de onjuiste gegevens kan verbeteren, wissen of bijwerken. Ten aanzien van deze indirecte toegang kan het nationaal recht bepalen dat de nationale toezichthoudende autoriteit de betrokkene alleen zal mededelen dat alle nodige verificaties zijn verricht. Deze lidstaten voorzien evenwel ook in mogelijkheden voor directe toegang voor de betrokkene in specifieke gevallen, zoals de toegang tot strafdossiers, het recht op een kopie van het eigen strafblad of van het verhoor dat hem door de politiediensten is afgenomen.

Er dienen gemeenschappelijke regels te worden vastgesteld met betrekking tot de vertrouwelijkheid en de beveiliging van de gegevensverwerking, aansprakelijkheid en sancties voor onrechtmatig gebruik door de bevoegde autoriteiten, alsmede rechtsmiddelen voor de betrokkenen. Het is evenwel aan iedere lidstaat zelf om de aard te bepalen van zijn regels inzake onrechtmatige daad en van de sancties die gelden voor inbreuken op de nationale gegevensbeschermingsvoorschriften.

Dit kaderbesluit biedt de mogelijkheid om bij de toepassing van de daarin vastgelegde beginselen rekening te houden met het beginsel van het recht van toegang van het publiek tot officiële documenten.

Indien noodzakelijk om persoonsgegevens te beschermen in het kader van verwerking die wegens de schaal waarop zij wordt toegepast of uit hun aard specifieke risico’s voor de fundamentele rechten en vrijheden opleveren — bijvoorbeeld verwerking met nieuwe technologieën, mechanismen of procedures — dient ervoor te worden gezorgd dat de bevoegde nationale toezichthoudende autoriteiten worden geraadpleegd voordat de voor de verwerking bedoelde bestanden worden gecreëerd.

Een essentieel onderdeel van de bescherming van persoonsgegevens die worden verwerkt in het kader van de politiële en justitiële samenwerking in strafzaken tussen de lidstaten, is dat de lidstaten toezichthoudende autoriteiten aanwijzen die hun opdracht volledig onafhankelijk vervullen.

De in de lidstaten reeds krachtens Richtlijn 95/46/EG ingestelde toezichthoudende autoriteiten kunnen eveneens de taken op zich nemen die de op grond van dit kaderbesluit op te richten nationale toezichthoudende autoriteiten moeten uitvoeren.

De toezichthoudende autoriteiten dienen over de middelen te beschikken om hun taak te kunnen vervullen, waaronder de bevoegdheid tot onderzoek en tot optreden, in het bijzonder bij klachten van personen, of de bevoegdheid om in rechte op te treden. Zij moeten ertoe bijdragen dat de gegevensverwerking in hun lidstaat transparant verloopt. Hun bevoegdheden mogen echter geen afbreuk doen aan de bestaande regels van het strafprocesrecht en de onafhankelijkheid van de rechterlijke macht.

Artikel 47 van het Verdrag betreffende de Europese Unie bepaalt dat geen enkele bepaling van dit verdrag afbreuk doet aan de Verdragen tot oprichting van de Europese Gemeenschappen, noch aan de Verdragen en akten waarbij deze Verdragen zijn gewijzigd of aangevuld. Dit kaderbesluit doet dan ook geen afbreuk aan de bescherming van persoonsgegevens door het Gemeenschapsrecht, in het bijzonder als geregeld in Richtlijn 95/46/EG, Verordening (EG) nr. 45/2001 van het Europees Parlement en de Raad van 18 december 2000 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de communautaire instellingen en organen en betreffende het vrije verkeer van die gegevens (4), en Richtlijn 2002/58/EG van het Europees Parlement en de Raad van 12 juli 2002 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie (richtlijn betreffende privacy en elektronische communicatie) (5).

Dit kaderbesluit doet geen afbreuk aan de regels betreffende onrechtmatige toegang tot gegevens die zijn vastgelegd in Kaderbesluit 2005/222/JBZ van de Raad van 24 februari 2005 over aanvallen op informatiesystemen (6).

Dit kaderbesluit doet geen afbreuk aan bestaande verplichtingen en verbintenissen die de lidstaten of de Europese Unie zijn aangegaan op grond van bilaterale en/of multilaterale overeenkomsten met derde landen. Latere overeenkomsten zullen moeten voldoen aan de voorschriften voor uitwisselingen met derde landen.

Verschillende besluiten op grond van titel VI van het Verdrag van de Europese Unie bevatten specifieke bepalingen inzake de bescherming van persoonsgegevens die op grond van die besluiten worden uitgewisseld of anderszins verwerkt. In sommige gevallen vormen die bepalingen een volledig en samenhangend pakket van regels, dat alle belangrijke aspecten van de gegevensbescherming bestrijkt (beginselen betreffende de gegevenskwaliteit, regels inzake gegevensbeveiliging, regeling van de rechten van en waarborgen voor de betrokkenen, organisatie van het toezicht en de aansprakelijkheid) en nauwkeuriger regelt dan het huidige kaderbesluit. Deze gegevensbeschermingsbepalingen, met name die welke de werking van Europol, Eurojust, het SIS en het DIS betreffen en die welke rechtstreekse toegang voor de autoriteiten van de lidstaten tot bepaalde gegevenssystemen van andere lidstaten invoeren, worden door dit kaderbesluit onverlet gelaten. Hetzelfde geldt voor de gegevensbeschermingsvoorschriften betreffende de geautomatiseerde overdracht tussen de lidstaten van DNA-profielen, dactyloscopische gegevens en gegevens uit de nationale kentekenregisters op grond van Besluit 2008/615/JBZ van de Raad van 23 juni 2008 inzake de intensivering van de grensoverschrijdende samenwerking, in het bijzonder ter bestrijding van terrorisme en grensoverschrijdende criminaliteit (7).

In andere gevallen hebben de gegevensbeschermingsbepalingen in op grond van titel VI van het Verdrag van de Europese Unie aangenomen besluiten een beperkter toepassingsgebied. Veelal worden daarin de lidstaten die van andere lidstaten informatie ontvangen welke persoonsgegevens omvat, specifieke voorwaarden opgelegd ten aanzien van het doel waarvoor zij die gegevens mogen gebruiken, maar wordt er voor de andere gegevensbeschermingsaspecten verwezen naar het Verdrag van de Raad van Europa van 28 januari 1981 tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens, of zelfs naar het nationaal recht. Voor zover de bepalingen van die besluiten waarbij aan de ontvangende lidstaten voorwaarden met betrekking tot het gebruik of de verdere overdracht van persoonsgegevens worden opgelegd, meer beperkend zijn dan de overeenkomstige bepalingen van dit kaderbesluit, moeten ook de eerstgenoemde bepalingen onverlet worden gelaten. Voor alle andere aspecten moeten evenwel de in dit kaderbesluit vastgestelde voorschriften worden toegepast.

Dit kaderbesluit laat het Verdrag van de Raad van Europa tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens, het aanvullend protocol bij dat Verdrag van 8 november 2001, alsmede de overeenkomsten van de Raad van Europa inzake justitiële samenwerking in strafzaken, onverlet.

Daar de doelstelling van dit kaderbesluit, namelijk het vaststellen van gemeenschappelijke regels voor de bescherming van persoonsgegevens die worden verwerkt in het kader van de politiële en justitiële samenwerking in strafzaken, niet voldoende door de lidstaten kan worden verwezenlijkt en derhalve vanwege de omvang en de gevolgen van het optreden beter door de Unie kan worden verwezenlijkt, kan de Unie, overeenkomstig het in artikel 5 van het EG-Verdrag neergelegde subsidiariteitsbeginsel, waarnaar in artikel 2 van het EU-Verdrag wordt verwezen, maatregelen nemen. Overeenkomstig het in artikel 5 van het EG-Verdrag neergelegde evenredigheidsbeginsel gaat dit kaderbesluit niet verder dan nodig is om deze doelstelling te verwezenlijken.

Het Verenigd Koninkrijk neemt deel aan dit kaderbesluit overeenkomstig artikel 5 van het Protocol tot opneming van het Schengenacquis in het kader van de Europese Unie, dat aan het EU-Verdrag en het EG-Verdrag is gehecht, en artikel 8, lid 2, van Besluit 2000/365/EG van de Raad van 29 mei 2000 betreffende het verzoek van het Verenigd Koninkrijk van Groot-Brittannië en Noord-Ierland deel te mogen nemen aan enkele van de bepalingen van het Schengenacquis (8).

Ierland neemt deel aan dit besluit overeenkomstig artikel 5 van het Protocol tot opneming van het Schengenacquis in het kader van de Europese Unie, dat aan het EU-Verdrag en het EG-Verdrag is gehecht, en artikel 6, lid 2, van Besluit 2002/192/EG van de Raad van 28 februari 2002 betreffende het verzoek van Ierland deel te mogen nemen aan bepalingen van het Schengenacquis (9).

Wat IJsland en Noorwegen betreft, houdt dit kaderbesluit een ontwikkeling in van de bepalingen van het Schengenacquis in de zin van de door de Raad van de Europese Unie en de Republiek IJsland en het Koninkrijk Noorwegen gesloten Overeenkomst inzake de wijze waarop IJsland en Noorwegen worden betrokken bij de uitvoering, de toepassing en de ontwikkeling van het Schengenacquis (10), die vallen onder het gebied dat is bedoeld in artikel 1, onder H en I, van Besluit 1999/437/EG van de Raad (11) inzake bepaalde toepassingsbepalingen van die overeenkomst.

Wat Zwitserland betreft, houdt dit kaderbesluit een nadere uitwerking in van de bepalingen van het Schengenacquis in de zin van de Overeenkomst die is gesloten door de Europese Unie, de Europese Gemeenschap en de Zwitserse Bondsstaat inzake de wijze waarop Zwitserland wordt betrokken bij de uitvoering, de toepassing en de ontwikkeling van het Schengenacquis (12), die vallen onder het gebied dat is bedoeld in artikel 1, onder H en I, van Besluit 1999/437/EG, juncto artikel 3 van Besluit 2008/149/JBZ (13) van de Raad betreffende de sluiting van de overeenkomst namens de Europese Unie van deze overeenkomst.

Wat Liechtenstein betreft, houdt dit kaderbesluit een nadere uitwerking in van de bepalingen van het Schengenacquis in de zin van het Protocol dat is ondertekend door de Europese Unie, de Europese Gemeenschap, de Zwitserse Bondsstaat en het Vorstendom Liechtenstein betreffende de toetreding van het Vorstendom Liechtenstein tot de Overeenkomst tussen de Europese Unie, de Europese Gemeenschap en de Zwitserse Bondsstaat inzake de wijze waarop Zwitserland wordt betrokken bij de uitvoering, de toepassing en de ontwikkeling van het Schengenacquis, die vallen onder het gebied dat is bedoeld in artikel 1, onder H en I, van Besluit 1999/437/EG, juncto artikel 3 van Besluit 2008/262/JBZ van de Raad (14) betreffende de ondertekening van dat Protocol namens de Europese Unie.

In dit kaderbesluit worden de grondrechten geëerbiedigd en de beginselen in acht genomen die met name in het Handvest van de grondrechten van de Europese Unie zijn vastgelegd (15). Dit kaderbesluit beoogt de volledige naleving van het recht op eerbiediging van het privéleven en het recht op bescherming van persoonsgegevens, vastgelegd in artikel 7, respectievelijk artikel 8 van het Handvest,

worden of zijn verstrekt of beschikbaar gesteld tussen de lidstaten;

door de lidstaten worden of zijn verstrekt of beschikbaar gesteld aan autoriteiten of informatiesystemen die krachtens titel VI van het Verdrag betreffende de Europese Unie zijn ingesteld, of

aan de bevoegde autoriteiten van de lidstaten worden of zijn verstrekt of beschikbaar gesteld door autoriteiten of informatiesystemen die krachtens het Verdrag betreffende de Europese Unie of het Verdrag tot oprichting van de Europese Gemeenschap zijn ingesteld.

„persoonsgegevens”: iedere informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon, hierna „betrokkene” genoemd; als identificeerbare persoon wordt beschouwd een persoon die direct of indirect kan worden geïdentificeerd, in het bijzonder aan de hand van een identificatienummer of van een of meer elementen die kenmerkend zijn voor zijn of haar fysieke, fysiologische, psychische, economische, culturele of sociale identiteit;

„verwerking van persoonsgegevens” en „verwerking”: elke verwerking of elk geheel van verwerkingen met betrekking tot persoonsgegevens, al dan niet uitgevoerd met behulp van geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, onthullen door middel van verstrekking, verspreiden of op een andere wijze beschikbaar stellen, samenbrengen, met elkaar in verband brengen, afschermen, wissen of vernietigen van gegevens;

„afschermen”: het markeren van opgeslagen persoonsgegevens met als doel de verwerking ervan in de toekomst te beperken;

„bestand van persoonsgegevens” en „bestand”: elk gestructureerd geheel van persoonsgegevens die volgens bepaalde criteria toegankelijk zijn, ongeacht of dit geheel gecentraliseerd dan wel gedecentraliseerd is of verspreid op een functioneel of geografisch bepaalde wijze;

„verwerker”: ieder lichaam dat ten behoeve van de voor de verwerking verantwoordelijke persoonsgegevens verwerkt;

„ontvanger”: orgaan aan wie de gegevens worden meegedeeld;

„toestemming van de betrokkene”: elke vrije, specifieke en op informatie berustende wilsuiting waarmee de betrokkene aanvaardt dat hem betreffende persoonsgegevens worden verwerkt;

„bevoegde autoriteiten”: middels een besluit van de Raad op grond van titel VI van het Verdrag betreffende de Europese Unie opgerichte agentschappen of organen, evenals politie-, douane-, justitiële en andere bevoegde autoriteiten van de lidstaten die krachtens het nationale recht gemachtigd zijn persoonsgegevens op het toepassingsgebied van dit kaderbesluit te verwerken;

„de verantwoordelijke”: de natuurlijke of rechtspersoon, de overheidsinstantie, de dienst of enig ander lichaam die, respectievelijk dat, alleen of tezamen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt;

„kenmerken”: het markeren van opgeslagen persoonsgegevens, zonder de bedoeling om hun toekomstige verwerking te beperken;

„anonimiseren”: het zodanig veranderen van persoonsgegevens dat de persoonlijke of zakelijke details niet meer aan een geïdentificeerde of identificeerbare natuurlijke persoon kunnen worden gekoppeld, tenzij daaraan onevenredig veel tijd, kosten en arbeidskracht worden besteed.

deze verwerking niet onverenigbaar is met het doel waarvoor de gegevens zijn verzameld;

de bevoegde autoriteiten bevoegd zijn om die gegevens te verwerken conform de toepasselijke wetsvoorschriften; en

deze verwerking noodzakelijk is en in verhouding staat tot dat doel.

de preventie, het onderzoek, de opsporing of de vervolging ter zake van andere strafbare feiten of de tenuitvoerlegging van andere straffen dan die waarvoor de gegevens waren verstrekt of beschikbaar gesteld;

andere gerechtelijke en administratieve procedures die rechtstreeks verband houden met de preventie, het onderzoek, de opsporing en de vervolging ter zake van strafbare feiten en de tenuitvoerlegging van straffen;

de voorkoming van een onmiddellijke en ernstige bedreiging van de openbare veiligheid, of

een ander doel, slechts na voorafgaande toestemming van de verstrekkende lidstaat of met instemming van de betrokkene, verleend overeenkomstig het nationale recht.

dit noodzakelijk is met het oog op de preventie, het onderzoek, de opsporing of de vervolging van strafbare feiten en de tenuitvoerlegging van straffen;

de ontvangende autoriteit in het derde land of het ontvangende internationale orgaan belast is met de preventie, het onderzoek, de opsporing of de vervolging van strafbare feiten of de tenuitvoerlegging van straffen;

de lidstaat waarvan de gegevens afkomstig zijn heeft toegestemd in de doorgifte met inachtneming van het nationale recht, en

het betrokken derde land of internationale orgaan een toereikend beschermingsniveau voor de voorgenomen gegevensverwerking waarborgt.

de nationale wetgeving van de lidstaat die de gegevens doorgeeft daarin voorziet wegens

het derde land of het ontvangende internationale orgaan, c.q. de ontvangende internationale organisatie garanties bieden die door de betrokken lidstaat conform de nationale wetgeving toereikend worden geacht.

de bevoegde autoriteit van de lidstaat van herkomst in de doorgifte heeft toegestemd, met inachtneming van het nationale recht;

geen gerechtvaardigde specifieke belangen van de betrokkene zich tegen doorgifte verzetten, en

in bijzondere gevallen de doorgifte essentieel is voor de bevoegde autoriteit die de gegevens verstrekt aan een particuliere instantie ten behoeve van:

van de toezichthoudende instantie of persoon of van de nationale toezichthoudende overheid tenminste antwoord te krijgen op de vraag of de hem betreffende gegevens zijn verstrekt of beschikbaar gesteld, informatie te krijgen over de ontvangers of categorieën van ontvangers aan wie de gegevens zijn verstrekt, alsook een opgave te krijgen van de gegevens die verwerking ondergaan, of

van de nationale toezichthoudende autoriteit tenminste de bevestiging te krijgen dat alle nodige verificaties zijn verricht.

om belemmering van officiële of gerechtelijke onderzoeken of procedures te voorkomen;

om te voorkomen dat de preventie, de opsporing, het onderzoek of de vervolging ter zake van strafbare feiten of de tenuitvoerlegging van straffen in het gedrang komt;

ter bescherming van de openbare veiligheid;

ter bescherming van de nationale veiligheid;

ter bescherming van de betrokkene of van de rechten en vrijheden van anderen.

te verhinderen dat onbevoegden toegang krijgen tot apparatuur voor de verwerking van persoonsgegevens (controle op de toegang tot de apparatuur);

te voorkomen dat onbevoegden de gegevensdragers lezen, kopiëren, wijzigen of verwijderen (controle op de gegevensdragers);

te verhinderen dat onbevoegden gegevens invoeren of opgeslagen persoonsgegevens inzien, wijzigen of verwijderen (opslagcontrole);

te voorkomen dat onbevoegden de systemen voor geautomatiseerde gegevensverwerking gebruiken met behulp van datatransmissieapparatuur (gebruikerscontrole);

ervoor te zorgen dat degenen die bevoegd zijn een systeem voor automatische gegevensverwerking te gebruiken, uitsluitend toegang hebben tot de gegevens waarop hun toegangsbevoegdheid betrekking heeft (controle op de toegang tot de gegevens);

ervoor te zorgen dat kan worden nagegaan en vastgesteld aan welke organen persoonsgegevens zijn of kunnen worden verstrekt of beschikbaar gesteld met behulp van datatransmissieapparatuur (transmissiecontrole);

ervoor te zorgen dat achteraf kan worden nagegaan en vastgesteld welke persoonsgegevens wanneer en door wie in een geautomatiseerd gegevensverwerkingssysteem zijn ingevoerd (invoercontrole);

te voorkomen dat onbevoegden de persoonsgegevens lezen, kopiëren, wijzigen of verwijderen bij de overdracht van persoonsgegevens of het vervoer van gegevensdragers (vervoerscontrole);

ervoor te zorgen dat de gebruikte systemen in geval van storing opnieuw ingezet kunnen worden (herstel);

ervoor te zorgen dat de functies van het systeem werken, dat eventuele functionele storingen gesignaleerd worden (betrouwbaarheid) en dat opgeslagen gegevens niet door verkeerd functioneren van het systeem beschadigd kunnen worden (integriteit).

bijzondere categorieën gegevens als bedoeld in artikel 6 worden verwerkt, of

de aard van de verwerking, in het bijzonder met gebruikmaking van nieuwe technologieën, mechanismen of procedures, anderszins specifieke risico’s met zich meebrengt voor de fundamentele rechten en vrijheden van de betrokkene, in het bijzonder zijn recht op bescherming van de persoonlijke levenssfeer.

onderzoeksbevoegdheden, zoals het recht van toegang tot gegevens die voorwerp van verwerking zijn en bevoegdheden om alle inlichtingen in te winnen die voor de uitoefening van haar toezichtstaak noodzakelijk zijn;

effectieve bevoegdheden om in te grijpen, zoals de bevoegdheid om voorafgaand aan de uitvoering van de verwerking advies uit te brengen en te zorgen voor een passende bekendmaking van het advies, of de bevoegdheid om gegevens te laten afschermen, wissen of vernietigen, een verwerking voorlopig of definitief te verbieden, de voor de verwerking verantwoordelijke te waarschuwen of te berispen, of de nationale parlementen of andere politieke instellingen in te schakelen;

de bevoegdheid om in rechte op te treden in geval van inbreuken op de krachtens dit kaderbesluit vastgestelde nationale bepalingen, of om die inbreuken onder de aandacht van het gerecht te brengen. Tegen de beslissingen van de toezichthoudende autoriteit kan beroep bij de rechter worden ingesteld.