9.2.2012   

NL

Publicatieblad van de Europese Unie

C 35/1

1.

Op 12 oktober 2011 heeft de Commissie haar goedkeuring gehecht aan de volgende voorstellen (hierna „de voorstellen”) inzake het gemeenschappelijk landbouwbeleid (hierna „GLB”) na 2013, die op dezelfde dag naar de EDPS werden verstuurd voor advies:

2.

De EDPS is ingenomen met het feit dat hij formeel door de Commissie is geraadpleegd en dat een verwijzing naar dit advies zal worden opgenomen in de preambules van de voorgestelde verordening rechtstreekse betalingen, de voorgestelde integrale-GMO-verordening, de voorgestelde verordening plattelandsontwikkeling en de voorgestelde horizontale verordening.

3.

De voorstellen zijn erop gericht een kader tot stand te brengen voor: 1. een rendabele voedselproductie, 2. een duurzaam beheer van de natuurlijke hulpbronnen en klimaatactie, en 3. een evenwichtige territoriale ontwikkeling. Om deze doelen te bereiken, worden bij deze verordeningen verschillende steunregelingen voor landbouwers ingevoerd, evenals een aantal andere maatregelen om de landbouw en de plattelandsontwikkeling te stimuleren.

4.

In het kader van deze regelingen worden persoonsgegevens — die hoofdzakelijk de begunstigden van de steun, maar ook derden betreffen — verwerkt in verschillende stappen (verwerking van steunaanvragen, waarborging van de transparantie van de betalingen, controle en fraudebestrijding, enz.). Hoewel de gegevensverwerking voornamelijk onder de verantwoordelijkheid van de lidstaten wordt uitgevoerd, heeft de Commissie toegang tot de meeste gegevens. De begunstigden en in sommige gevallen ook derden (bijv. in verband met de opsporing van fraude) moeten informatie verstrekken aan de aangewezen bevoegde autoriteiten.

5.

Het Hof van Justitie heeft in zijn arrest in de zaak-Schecke gewezen op het belang van gegevensbescherming in de context van het GLB en heeft EU-wetgeving inzake de publicatie van namen van begunstigden van landbouwfondsen ongeldig verklaard (10). De EDPS beseft dat in dit geval gegevensbescherming niet centraal staat in de onderhavige voorstellen. In zoverre de voorstellen echter betrekking hebben op de verwerking van persoonsgegevens, is een aantal opmerkingen ter zake op zijn plaats.

6.

Doel van dit advies is niet om het hele pakket voorstellen te analyseren, maar om input te geven en richtsnoeren op te stellen teneinde ervoor te zorgen dat de persoonsgegevens die noodzakelijk zijn voor de administratie van het GLB, op een wijze worden verwerkt die strookt met de fundamentele rechten op bescherming van de privacy en persoonsgegevens, en tegelijkertijd een doeltreffend beheer van de steun alsmede de preventie en opsporing van fraude mogelijk maakt, en ervoor zorgt dat betalingen transparant zijn en er rekenschap van wordt afgelegd.

7.

Te dien einde is dit advies onderverdeeld in twee delen: in het eerste, meer algemene deel wordt een analyse gegeven en worden aanbevelingen gedaan die relevant zijn voor de meeste voorstellen. Het gaat daarbij merendeels om opmerkingen over aan de Commissie gedelegeerde bevoegdheden en haar uitvoeringsbevoegdheden. In het tweede deel worden vervolgens specifieke bepalingen van een aantal voorstellen besproken (11) en aanbevelingen gedaan om de daarbij vastgestelde problemen te verhelpen.

8.

Zoals hierboven reeds vermeld, wordt de gegevensverwerking voor het grootste deel door de lidstaten uitgevoerd. De Commissie heeft echter in veel gevallen toegang tot de verwerkte persoonsgegevens. De EDPS is derhalve verheugd over het feit dat in de preambules van de relevante voorstellen (12) wordt gewezen op de toepasselijkheid van Richtlijn 95/46/EG en Verordening (EG) nr. 45/2001.

9.

In het algemeen kan worden geconstateerd dat tal van kwesties die van centraal belang zijn voor de gegevensbescherming, geen onderdeel vormen van de onderhavige voorstellen, maar zullen worden geregeld via uitvoeringshandelingen of gedelegeerde handelingen. Dit geldt bijvoorbeeld voor de maatregelen die zullen worden vastgesteld voor de monitoring van de steun, de invoering van IT-systemen, de doorgifte van gegevens naar derde landen en controles ter plaatse (13).

10.

In artikel 290 VWEU zijn de voorwaarden omschreven voor de uitoefening van gedelegeerde bevoegdheden door de Commissie. Aan de Commissie kan de bevoegdheid worden overgedragen om „niet-wetgevingshandelingen van algemene strekking vast te stellen ter aanvulling of wijziging van bepaalde niet-essentiële onderdelen van de wetgevingshandeling”. Bovendien moeten de „de doelstellingen, de inhoud, de strekking en de duur van de bevoegdheidsdelegatie” uitdrukkelijk worden afgebakend. Met betrekking tot uitvoeringsbevoegdheden is in artikel 291 VWEU bepaald dat deze aan de Commissie kunnen worden toegekend wanneer „juridisch bindende handelingen van de Unie volgens eenvormige voorwaarden worden uitgevoerd”. Hierbij moet voor passend toezicht door de lidstaten worden gezorgd.

11.

De EDPS is van oordeel dat de centrale aspecten van de in de voorstellen beoogde gegevensverwerking en de nodige waarborgen voor de gegevensbescherming niet als „niet-essentiële onderdelen” kunnen worden beschouwd. Derhalve dienen ten minste de volgende elementen reeds in de basisteksten van de wetgevingsinstrumenten te worden geregeld om voor meer rechtszekerheid te zorgen (14):

12.

Wanneer deze elementen in de basisteksten van de wetgevingsvoorstellen nader zijn bepaald, kunnen gedelegeerde handelingen of uitvoeringshandelingen worden gebruikt om deze specifieke waarborgen gedetailleerder uit te werken. De EDPS verwacht te zullen worden geraadpleegd over gedelegeerde handelingen en uitvoeringshandelingen die betrekking hebben op kwesties die van belang zijn voor de gegevensverwerking.

13.

In sommige gevallen kunnen gegevens betreffende (vermeende) strafbare feiten (bijv. in het geval van fraude) worden verwerkt. Aangezien de toepasselijke gegevensbeschermingswetgeving in een bijzondere bescherming van dergelijke gegevens voorziet (17), kan een voorafgaande toetsing door de nationale autoriteiten voor gegevensbescherming of de EDPS noodzakelijk zijn (18).

14.

Ten slotte moet worden voorzien in beveiligingsmaatregelen, met name voor geautomatiseerde gegevensbanken en systemen. Tevens moet rekening worden gehouden met de beginselen van verantwoordingsplicht en ingebouwde privacy.

15.

Krachtens artikel 157 van de integrale-GMO-verordening wordt de Commissie de bevoegdheid verleend om uitvoeringsmaatregelen vast te stellen met betrekking tot de meldingsvereisten voor verschillende doeleinden (zoals het waarborgen van de markttransparantie, het controleren van de GLB-maatregelen of het ten uitvoer leggen van internationale overeenkomsten) (19), waarbij de Commissie rekening moet houden met „de gegevensbehoeften en de synergieën tussen potentiële gegevensbronnen” (20). De EDPS beveelt aan om in deze bepaling nader te omschrijven welke gegevensbronnen voor welke specifieke doeleinden mogen worden gebruikt. In dit verband wenst de EDPS te herinneren aan het risico dat onderlinge verbindingen tussen databanken kunnen indruisen tegen het beginsel van doelafbakening (21), volgens hetwelk persoonsgegevens niet verder mogen verwerkt op een wijze die onverenigbaar is met het oorspronkelijke doeleinde waarvoor zij zijn verkregen (22).

16.

Artikel 74 en 77 van de verordening plattelandsontwikkeling voorziet in een elektronisch monitoring- en evaluatiesysteem dat „in samenwerking tussen de Commissie en de lidstaten [wordt] ingevoerd” voor monitoring- en evaluatiedoeleinden, alsook een elektronisch informatiesysteem. Dit systeem houdt in dat gegevens worden verwerkt betreffende „belangrijke kenmerken van de begunstigde en het project” die door de begunstigden zelf worden verstrekt (artikel 78). Indien deze „belangrijke informatie” persoonsgegevens omvat, moet dit in de desbetreffende bepaling worden vermeld. Bovendien moeten de categorieën gegevens die worden verwerkt, nader worden omschreven en moet de EDPS worden geraadpleegd over de in artikel 74 bedoelde uitvoeringshandelingen.

17.

Daarnaast voorziet ook artikel 92 van hetzelfde voorstel erin dat de Commissie „in samenwerking met de lidstaten” een nieuw informatiesysteem opzet voor de veilige uitwisseling van „gegevens van gemeenschappelijk belang”. De definitie van de uit te wisselen gegevens is te ruim en moet worden ingeperkt, indien met behulp van dit systeem persoonsgegevens worden uitgewisseld. Bovendien moet de verhouding tussen artikel 77 en artikel 92 worden verduidelijkt, daar niet duidelijk is of zij hetzelfde doel en hetzelfde toepassingsgebied hebben.

18.

In overweging 40 van de horizontale overweging wordt gesteld dat de lidstaten voor bepaalde betalingen een geïntegreerd beheers- en controlesysteem (23) moeten toepassen en dat hun moet worden „toegestaan om dit geïntegreerd systeem ook te gebruiken voor andere EU-steunregelingen”, teneinde „de EU-steun doeltreffender te maken en beter te monitoren”. Deze bepaling moet worden verduidelijkt, vooral indien zij niet alleen betrekking heeft op het benutten van synergie in termen van infrastructuur, maar ook op het gebruik van de daarin opgeslagen informatie voor het monitoren van andere steunregelingen.

19.

Volgens artikel 73, lid 1, onder c), van de horizontal verordeningen moeten in steunaanvragen, naast alle landbouwpercelen en betalingsrechten, ook „andere informatie waarin deze verordening voorziet of die vereist is met het oog op de uitvoering van de desbetreffende sectorale landbouwwetgeving of die verlangd wordt door de betrokken lidstaat”, worden aangegeven (24). Indien het de bedoeling is dat deze informatie persoonsgegevens omvat, dient nader te worden bepaald welke categorieën gegevens vereist zijn.

20.

Bij de horizontale verordening wordt een aantal organen voor de praktische uitvoering van het GLB opgericht en worden hieraan taken toegewezen (artikelen 7 tot en met 15). Aan de Commissie worden de volgende bevoegdheden verleend (titels IV tot en met VII):

21.

Voor de hierboven genoemde eerste taak is de verwerking van persoonsgegevens nodig, terwijl het voor de tweede taak prima facie niet noodzakelijk is dat persoonsgegevens worden verwerkt: een algemene evaluatie van de maatregelen kan immers ook worden uitgevoerd op basis van geaggregeerde of geanonimiseerde gegevens. Er dient te worden verduidelijkt dat voor de algemene evaluatie van de maatregelen aan de Commissie geen persoonsgegevens mogen worden doorgegeven, tenzij de Commissie afdoende kan rechtvaardigen waarom de verwerking van persoonsgegevens in deze context noodzakelijk is.

22.

In de artikelen 49 tot en met 52 en 61 tot en met 63 van de horizontale verordening zijn voorschriften voor controles ter plaatse vastgesteld (27). In het voorstel wordt gesteld dat deze controles voornamelijk zullen worden uitgevoerd door de bevoegde autoriteiten in de lidstaten, met name waar het bezoeken thuis of formele ondervragingen van personen betreft, maar dat de Commissie toegang heeft tot de hierbij verkregen gegevens. Hier dient de wetgever te vermelden dat de Commissie alleen toegang tot deze gegevens mag krijgen indien dit nodig is voor controledoeleinden. Tevens moet nader worden bepaald tot welke categorieën gegevens de Commissie toegang heeft.

23.

Om de steun te kunnen monitoren worden bij de horizontal verordening een beheers- en controlesysteem (28) opgezet (artikelen 68 tot en met 78), dat uit een aantal gegevensbanken bestaat:

24.

De geautomatiseerde gegevensbank zal uit één gegevensbank per lidstaat bestaan (die gedecentraliseerde gegevensbanken kan omvatten). In de gegevensbank worden voor elke begunstigde de gegevens uit de steunaanvragen en de betalingsaanvragen opgenomen. Gezien het feit dat wellicht niet alle gegevens die via steunaanvragen worden verkregen, noodzakelijk zijn voor controledoeleinden, moet aan mogelijkheden worden gedacht om de verwerking van persoonsgegevens in dit verband tot een minimum te beperken.

25.

De toegang tot het beheers- en controlesysteem is niet uitdrukkelijk geregeld. In aansluiting op zijn opmerkingen met betrekking tot controles ter plaatse adviseert de EDPS de wetgever om duidelijk omschreven regels vast te leggen voor de toegang tot dit systeem.

26.

De horizontale verordening voorziet in controles van handelsdocumenten, met inbegrip van die van derden (artikelen 79 tot en met 88) (29). Deze documenten kunnen persoonsgegevens van derden bevatten. De voorwaarden waaronder derden inzage in hun handelsdocumenten moeten geven, dienen in het instrument nader te worden ingevuld (30).

27.

In artikel 87 van hetzelfde voorstel is bepaald dat functionarissen van de Commissie „overeenkomstig de ter zake geldende nationale wettelijke bepalingen” toegang hebben tot alle documenten „die zijn opgesteld met het oog op of naar aanleiding van de controles”. Dit geldt zowel voor gevallen waarin zij aan de controles deelnemen (lid 2) als voor gevallen waarin bepaalde handelingen zijn voorbehouden aan functionarissen die daarvoor zijn aangewezen bij de wetgeving van de lidstaat waar de controle plaatsvindt (lid 4). In beide gevallen dient ervoor te worden gezorgd dat de functionarissen van de Commissie alleen toegang krijgen tot deze gegevens indien dit noodzakelijk is (voor controledoeleinden), ook wanneer de nationale wetgeving de toegang tot de gegevens voor andere doeleinden toestaat. De EDPS dringt er bij de wetgever op aan desbetreffende preciseringen aan te brengen in de tekst.

28.

Volgens artikel 102 van de horizontale verordening moeten de lidstaten de Commissie bepaalde informatie, declaraties en documenten te verstrekken. Hiertoe behoort ook „samenvatting van de resultaten van alle beschikbare audits en controles die zijn verricht” (artikel 102, lid 1, onder c), punt v). In dit geval dient te worden bepaald dat geen persoonsgegevens in dergelijke samenvattingen mogen worden opgenomen, of, indien deze gegevens noodzakelijk zijn, moet het doeleinde worden aangegeven waarvoor persoonsgegevens moeten worden meegedeeld.

29.

In artikel 70, lid 1, van de horizontale verordening wordt vermeld dat de geautomatiseerde gegevensbank de mogelijkheid biedt om „via de bevoegde autoriteit van de lidstaat” gegevens vanaf 2000 te raadplegen, evenals de mogelijkheid om de gegevens over „ten minste” de laatste vijf opeenvolgende kalenderjaren „rechtstreeks en onmiddellijk” te raadplegen (31).

30.

Het systeem voor de identificatie en de registratie van betalingsrechten maakt een „verificatie van de betalingsrechten, alsmede kruiscontroles door vergelijking met de steunaanvragen en door vergelijking met het systeem voor de identificatie van de landbouwpercelen” mogelijk. In artikel 72, lid 2, van de horizontale verordening is bepaald dat de gegevens „ten minste” gedurende een periode van vier jaar beschikbaar moeten zijn (32).

31.

In verband met deze twee systemen herinnert de EDPS aan artikel 6, lid 1, onder e) van Richtlijn 95/46/EG en artikel 4, lid 1, onder e) van Verordening (EG) nr. 45/2001, waarin is bepaald dat de persoonsgegevens in een vorm die het mogelijk maakt de betrokkenen te identificeren, niet langer mogen worden bewaard dan noodzakelijk is voor de verwezenlijking van de doeleinden waarvoor zij worden verzameld. Hieruit volgt dat ook maximale bewaartijden, en niet alleen minimale bewaartijden, moeten worden vastgesteld.

32.

In artikel 157, lid 1, tweede alinea, van de integrale-GMO-verordening is bepaald dat gegevens naar derde landen en internationale organisaties mogen worden doorgegeven. De EDPS wenst eraan te herinneren dat het doorgeven van persoonsgegevens aan landen die geen passende bescherming kunnen waarborgen alleen mag in afzonderlijke gevallen waarbij sprake is van een uitzondering als bedoeld in artikel 26 van Richtlijn 95/46/EG of artikel 9, lid 6, van Verordening (EG) nr. 45/2001 (bijvoorbeeld indien de doorgifte noodzakelijk of wettelijk verplicht is vanwege zwaarwegend algemeen belang).

33.

In dit geval moet het specifieke doel van de doorgifte worden vermeld (bijv. de tenuitvoerlegging van internationale overeenkomsten) (33). De internationale overeenkomsten in kwestie moeten specifieke waarborgen bieden voor de bescherming van de privacy en persoonsgegevens en voor de uitoefening van desbetreffende rechten door de betrokkenen. De Commissie kan alleen gegevens doorgeven indien EDPS daarvoor toestemming verleent (34).

34.

In overweging 70 van de horizontale verordening en de toelichting op het voorstel wordt gesteld dat thans wordt gewerkt aan nieuwe voorschriften inzake de publicatie van gegevens over begunstigden, „waarin rekening wordt gehouden met de bezwaren van het Hof” in de zaak-Schecke (35).

35.

De EDPS wenst eraan te herinneren dat de voorschriften inzake de publicatie van informatie over begunstigden in overeenstemming moeten zijn met het evenredigheidsbeginsel. Zoals het Hof van Justitie heeft bevestigd (36) moet het juiste evenwicht worden gevonden tussen enerzijds de fundamentele rechten van de begunstigden op privacy en gegevensbescherming, en anderzijds het belang van de Europese Unie om de transparantie van haar optreden en een optimaal gebruik van overheidsmiddelen te waarborgen.

36.

Dit is ook van belang voor artikel 157, lid 1, tweede alinea, van de integrale-GMO-verordening, waarin wordt bepaald dat gegevens „openbaar [kunnen] worden gemaakt, op voorwaarde dat de persoonsgegevens worden beschermd en rekening wordt gehouden met het rechtmatige belang dat ondernemingen hebben bij het bewaren van hun zakengeheimen”. Krachtens artikel 157, lid 2, onder d), en artikel 157, lid 3, onder c), wordt de Commissie ertoe gemachtigd gedelegeerde handelingen tot vaststelling van „de voorwaarden voor en de wijze van bekendmaking van de informatie” en uitvoeringshandelingen tot vaststelling van regelingen voor het ter beschikking stellen van informatie en documenten aan het publiek aan te nemen.

37.

De EDPS is verheugd over het feit dat informatie en documenten alleen kunnen worden gepubliceerd op voorwaarde dat de persoonsgegevens worden beschermd. Essentiële elementen zoals het doeleinde van de publicatie en de te publiceren categorieën gegevens dienen evenwel nader te worden bepaald in de voorstellen, en niet in uitvoeringshandelingen of gedelegeerde handelingen.

38.

De rechten van de betrokkenen moeten worden genoemd, met name het recht op informatie en het recht op toegang. Dit geldt met name voor artikel 81 van de horizontale verordening, krachtens hetwelk handelsdocumenten van begunstigden, maar ook die van leveranciers, klanten, vervoerders en andere derden kunnen worden gecontroleerd. De begunstigden van steun zijn zich er misschien van bewust dat hun gegevens worden verwerkt, maar derden moeten ook op passende wijze worden ingelicht over het feit dat de hen betreffende gegevens voor controledoeleinden kunnen worden gebruikt (bijv. door een privacyverklaring af te geven wanneer de gegevens worden vergaard en door het verstrekken van informatie op alle relevante websites en in alle relevante documenten). De verplichting om de betrokkenen, met inbegrip van derden, in te lichten dient te worden opgenomen in de voorstellen.

39.

Er moet worden voorzien in beveiligingsmaatregelen, met name voor geautomatiseerde gegevensbanken en systemen. Tevens moet rekening worden gehouden met de beginselen van verantwoordingsplicht en ingebouwde privacy. Een lijst van beveiligingsmaatregelen die voor deze geautomatiseerde gegevensbanken en systemen moeten worden getroffen, zouden ten minste via gedelegeerde handelingen of uitvoeringshandelingen kunnen worden ingevoerd. Dit is des te belangrijker daar de in verband met controles verwerkte persoonsgegevens gegevens over vermeende strafbare feiten kunnen omvatten.

40.

De EDPS is ingenomen met de voorschriften van artikel 103 van de horizontale verordening inzake vertrouwelijkheid en beroepsgeheim die van toepassing zijn op de controles als bedoeld in de artikelen 79 tot en met 88 van die verordening.

41.

De EDPS is van oordeel dat de centrale aspecten van de verwerkingsactiviteiten waarin de voorstellen voorzien, en de nodige waarborgen voor de gegevensbescherming in de hoofdtekst van de voorgestelde verordeningen dienen te worden geregeld, in plaats van in gedelegeerde handelingen of uitvoeringshandelingen, ten behoeve van meer rechtszekerheid:

42.

Deze elementen kunnen eventueel verder worden uitgewerkt in gedelegeerde handelingen of uitvoeringshandelingen. De EDPS verwacht in dat geval te zullen worden geraadpleegd.

43.

Daarnaast dient ten minste via uitvoeringshandelingen of gedelegeerde handelingen te worden voorzien in beveiligingsmaatregelen, met name voor geautomatiseerde gegevensbanken en systemen. Tevens moet rekening worden gehouden met de beginselen van verantwoordingsplicht en ingebouwde privacy.

44.

Gezien het feit dat in sommige gevallen gegevens met betrekking tot (vermeende) strafbare feiten (bijv. in gevallen van fraude) kunnen worden verwerkt, kan een voorafgaande toetsing door de bevoegde nationale autoriteiten voor gegevensbescherming of de EDPS noodzakelijk zijn.