24.5.2017   

NL

Publicatieblad van de Europese Unie

C 164/1

24.5.2017   

NL

Publicatieblad van de Europese Unie

C 164/2

1.

Op 10 januari 2017 heeft de Europese Commissie een voorstel aangenomen voor een verordening van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit nr. 1247/2002/EG (1) („het voorstel”).

2.

Het grondrecht op de bescherming van persoonsgegevens is vastgelegd in artikel 8 van het Handvest van de grondrechten van de Europese Unie („het Handvest”) en artikel 16 van het Verdrag betreffende de werking van de Europese Unie („het VWEU”).

3.

De Europese Toezichthouder voor gegevensbescherming („de EDPS”) is de onafhankelijke toezichtautoriteit die de verantwoordelijkheid heeft om ervoor te zorgen dat de Europese instellingen, organen en instanties („de EU-instellingen”) voldoen aan de gegevensbeschermingswetgeving bij de verwerking van persoonsgegevens (2). Het vereiste om te voorzien in onafhankelijke controle in het Europese gegevensbeschermingssysteem is verankerd in het primaire recht, zowel in artikel 16, lid 2, van het VWEU als in artikel 8, lid 3, van het Handvest. Het Hof van Justitie heeft consequent benadrukt dat controle door een onafhankelijke autoriteit een wezenlijk onderdeel van het recht op gegevensbescherming is en heeft de criteria voor een dergelijke onafhankelijkheid vastgelegd (3). In het bijzonder geldt dat de toezichtautoriteit volledig onafhankelijk te werk moet kunnen gaan, hetgeen inhoudt dat de beslissingsbevoegdheid onafhankelijk van directe of indirecte externe invloed is (4) en dat er geen enkel vermoeden van partijdigheid mag zijn (5).

4.

Het belangrijkste wetgevingsinstrument dat van toepassing is op de verwerking van persoonsgegevens door de EU-instellingen is Verordening (EG) nr. 45/2001 (6) („Verordening 45/2001”), aangevuld door Besluit nr. 1247/2002/EG (7).

5.

Na de afronding op 27 april 2016 van de verlengde onderhandelingen over het nieuwe gegevensbeschermingskader in de EU — de algemene verordening gegevensbescherming en de richtlijn voor politie en justitie — markeert dit voorstel (naast het voorstel van de Commissie voor een verordening betreffende privacy en elektronische communicatie („de e-privacyverordening” (8))) het begin van een cruciale fase in het proces van voltooiing van dit Europese gegevensbeschermingskader. Het voorstel beoogt de bepalingen van Verordening 45/2001 in overeenstemming te brengen met de regels die in de algemene verordening gegevensbescherming zijn vastgelegd, teneinde een sterker en coherenter gegevensbeschermingskader in de Unie te creëren en het mogelijk te maken dat beide instrumenten gelijktijdig in werking treden (9). Daarnaast bevat het voorstel ook de nieuwe regels voor de bescherming van eindapparatuur van eindgebruikers, die neergelegd zijn in het voorstel van de Commissie voor de nieuwe e-privacyverordening.

6.

In zijn strategie voor 2015-2019 heeft de EDPS zich verbonden tot samenwerking met het Europees Parlement, de Raad en de Commissie om ervoor te zorgen dat de huidige regels van Verordening 45/2001 in overeenstemming worden gebracht met de algemene verordening gegevensbescherming en dat uiterlijk begin 2018 een herzien kader van kracht wordt. De EDPS is verheugd over het feit dat de Commissie hem informeel heeft geraadpleegd alvorens het voorstel aan te nemen en dat het voorstel rekening lijkt te hebben gehouden met een groot aantal elementen dat hij tot dusverre in zijn informele bijdragen heeft aangekaart. Hij acht het huidige voorstel meer dan bevredigend vanuit het oogpunt van maximale afstemming op de algemene verordening gegevensbescherming tenzij nauwkeurig omschreven specifieke kenmerken van de Europese overheidssector afwijking rechtvaardigen, en waardeert met name het door de Commissie gevonden evenwicht tussen de verschillende belangen die op het spel staan.

7.

Hoewel in dit advies een aantal gebieden wordt aangegeven waarop het voorstel verder zou kunnen worden verbeterd, moedigt de EDPS de Europese wetgever aan zo snel mogelijk overeenstemming over het voorstel te bereiken, zodat de EU-instellingen kunnen profiteren van een redelijke overgangsperiode voordat de nieuwe verordening volledig van kracht wordt.

8.

In het verleden heeft de EDPS geadviseerd om de inhoudelijke regels voor de EU-instellingen in het (toenmalige) ontwerpvoorstel voor de algemene verordening gegevensbescherming op te nemen (10). De EU-wetgever heeft een andere optie gekozen: een afzonderlijk wetgevingsinstrument dat voor de EU-instellingen geldt en dat is afgestemd op de algemene verordening gegevensbescherming en tegelijk daarmee van toepassing wordt. De EDPS ondersteunt deze aanpak: het zou onacceptabel zijn wanneer de Europese Commissie en de andere EU-instellingen niet gebonden zouden zijn aan regels die gelijkwaardig zijn aan de regels die binnenkort op lidstaatniveau van kracht worden. Bovendien zou het onwenselijk zijn dat de EDPS toezicht zou moeten houden op de naleving door de EU-instellingen van inhoudelijke regels die inferieur zijn aan de regels waarop zijn tegenhangers op nationaal niveau toezicht houden, met name gezien het feit dat de EDPS lid zal zijn van het toekomstige Europees Comité voor gegevensbescherming („EDPB”) (11).

9.

De toekomstige regels voor de verwerking van persoonsgegevens door EU-instellingen moeten derhalve worden afgestemd op de bepalingen van de algemene verordening gegevensbescherming, tenzij nauwkeurig omschreven specifieke kenmerken van de overheidssector afwijking rechtvaardigen. In dit opzicht verwelkomt de EDPS overweging 5 van het voorstel, waarin de noodzaak van de maximaal mogelijke afstemming wordt benadrukt en het volgende wordt verduidelijkt: „[w]anneer een bepaling van deze verordening op hetzelfde concept is gebaseerd als een bepaling van [de algemene verordening gegevensbescherming], dienen beide bepalingen homogeen te worden uitgelegd, in het bijzonder omdat gezien de opzet van deze verordening, zij moet worden opgevat als de tegenhanger van [de algemene verordening gegevensbescherming]”.

10.

Tegelijkertijd kan de afstemming op de algemene verordening gegevensbescherming noch volledig, noch automatisch zijn. De algemene verordening gegevensbescherming bevat een groot aantal artikelen die toestaan dat de lidstaten specifieke wetgeving in stand houden of introduceren op bepaalde gebieden, waaronder voor overheidsorganen (12). In gevallen waarin de algemene verordening gegevensbescherming specifieke regels voor overheidsorganen kent (13) of de lidstaten ruimte biedt voor de tenuitvoerlegging van de bepalingen ervan, kan het voorstel geacht worden een rol te spelen die vergelijkbaar is met een nationale wet ter „uitvoering” van de algemene verordening gegevensbescherming, zoals bijvoorbeeld artikel 9 „Doorzending van persoonsgegevens aan ontvangers die geen instelling of orgaan van de Unie zijn” of artikel 66 „Administratieve geldboeten” van het voorstel (zie 2.8.1 hieronder). Daarnaast is het belangrijk om ervoor te zorgen dat het hoge beschermingsniveau dat momenteel voor de EU-instellingen geldt, wordt gehandhaafd. Vandaar dat het noodzakelijk is om bepaalde specifieke elementen van Verordening 45/2001 te behouden, zoals in artikel 25 „Beperkingen” (zie 2.3.1 hieronder) en artikel 44 „Aanwijzing van de functionaris voor gegevensbescherming” (zie 2.4.5.1 hieronder).

11.

Afgezien van de inhoudelijke afstemming op de algemene verordening gegevensbescherming, is het ook van essentieel belang dat de herziene regels tegelijk met de algemene verordening gegevensbescherming in hun geheel van toepassing worden, d.w.z. op 25 mei 2018. Het bestaande netwerk van functionarissen voor gegevensbescherming voorziet in een efficiënt kanaal om informatie te delen en samen te werken. Derhalve vertrouwt de EDPS erop dat naleving na een relatief korte overgangsperiode, bijv. drie maanden, zal kunnen worden gerealiseerd.

12.

Het beginsel van verantwoordingsplicht dat ten grondslag ligt aan de algemene verordening gegevensbescherming — alsmede aan het huidige voorstel — gaat verder dan de eenvoudige naleving van de regels en impliceert een cultuuromslag. Ter vergemakkelijking van de overgang heeft de EDPS een „verantwoordingsproject” gelanceerd. In dit verband heeft de EDPS in de loop van 2016 en 2017 contact gehad met zeven belangrijke instellingen en organen van de EU om hen te helpen zich tijdig op de toepassing van de algemene verordening gegevensbescherming voor te bereiden.

13.

De EDPS heeft de Commissie in het verleden verschillende keren opgeroepen om met een voorstel te komen voor een robuust en uitgebreid systeem dat ambitieus is en de effectiviteit en coherentie van gegevensbescherming in de EU vergroot, teneinde een gezonde omgeving voor verdere ontwikkeling in de komende jaren te waarborgen (14). De Commissie heeft een andere aanpak gekozen en een afzonderlijk wetgevingsinstrument voor gegevensbescherming op het gebied van wetshandhaving voorgesteld (15). Dit werd gevolgd door een aantal voorstellen voor rechtshandelingen die „op zichzelf staande” gegevensbeschermingsregimes introduceerden (16).

14.

De EDPS erkent dat het huidige, zij het gefragmenteerde, wetgevingskader voor de bescherming van persoonsgegevens de beste uitkomst is die nu realiseerbaar is (17). De EDPS begrijpt dat het huidige voorstel zou blijven gelden voor die EU-instellingen die nu onder het toepassingsgebied van Verordening 45/2001 vallen (18) (in feite alle voormalige instellingen, organen en instanties in de eerste en tweede pijler (19)), maar als zodanig geen gevolgen zou hebben voor bestaande of op handen zijnde „op zichzelf staande” regimes (20). Dergelijke regimes ondervinden alleen gevolgen van het huidige voorstel indien en voor zover dit uitdrukkelijk in het betreffende wetgevingsinstrument wordt bepaald. De EDPS neemt kennis van deze aanpak, maar stelt voor dat dit uitdrukkelijker in de considerans van het voorstel wordt opgenomen en mogelijk ook in artikel 2 „Toepassingsgebied”. Tegelijkertijd wil de EDPS graag benadrukken dat de fragmentatie en toenemende complexiteit van het wetgevingskader voor gegevensverwerking door de verschillende EU-instellingen in de voormalige eerste en derde „pijlers” geen volledig bevredigende uitkomst zijn en dat dit mogelijk op de middellange termijn door de EU-wetgever moet worden aangepakt.

15.

Verordening 45/2001 voorziet in maatregelen die gericht zijn op de bescherming van de persoonlijke levenssfeer en de vertrouwelijkheid van communicatie in gevallen waarin de EU-instellingen controle hebben over de voor communicatie gebruikte infrastructuur. Met het oog hierop bevat de verordening enkele bepalingen die gedeeltes van het toepassingsgebied van Richtlijn 2002/58/EG („de e-privacyrichtlijn”) (21) bestrijken en legt de verordening het beginsel vast dat regels ter bescherming van de grondrechten op consequente en geharmoniseerde wijze in de gehele Unie moeten worden toegepast, onder verwijzing naar de betreffende instrumenten zoals de richtlijn betreffende privacy en elektronische communicatie (22). De noodzaak tot handhaving van hetzelfde niveau van privacy en vertrouwelijkheid van communicatie waarbij de EU-instellingen betrokken zijn, blijft onveranderd, en aan het beginsel van consequente en geharmoniseerde toepassing moet derhalve worden vastgehouden. De EDPS is dan ook van oordeel dat het voorstel ervoor dient te zorgen dat de betreffende regels van de algemene verordening gegevensbescherming en de toekomstige e-privacyverordening dienovereenkomstig voor de EU-instellingen zullen gelden. Dit geldt zowel voor het behoud van de vertrouwelijkheid en privacy in verband met de door de EU-instellingen gecontroleerde communicatiediensten als voor andere beginselen van de toekomstige e-privacyverordening, zoals de bescherming van eindapparatuur en andere regels, bijvoorbeeld inzake tracering en spam.

16.

Tot slot geldt dat, hoewel de gegevensbeschermingswetgeving van de EU ook op de Europese Economische Ruimte van toepassing is en de deelnemende EVA-landen verplicht zijn tot oprichting van onafhankelijke toezichtautoriteiten overeenkomstig de algemene verordening gegevensbescherming, de instellingen van de EVA niet onderworpen zijn aan specifieke gegevensbeschermingsregels en toezicht, ondanks dat zij persoonsgegevens met EU-instellingen uitwisselen. De EDPS is van mening dat het huidige voorstel een kans zou kunnen zijn om deze kwestie aan te pakken.

90.

Globaal gezien is de EDPS van mening dat het voorstel de regels voor de EU-instellingen succesvol heeft afgestemd op de algemene verordening gegevensbescherming, rekening houdend met de specifieke kenmerken van de Europese overheidssector. Het hoge beschermingsniveau met betrekking tot de gegevensverwerking door de EU-instellingen is over het algemeen in het voorstel bewaard gebleven. De EDPS waardeert in het bijzonder het door de Commissie gevonden evenwicht tussen de verschillende belangen die op het spel staan.

91.

De EDPS is van mening dat het voorstel verder moet worden verbeterd, vooral op het punt van de modaliteiten voor beperkingen op grond van artikel 25. Om de naleving van de vereisten betreffende de kwaliteit van de wet te waarborgen zou artikel 25, lid 1, van het voorstel zodanig moeten worden aangepast dat slechts rechtshandelingen die op basis van de verdragen zijn aangenomen de grondrechten zouden moeten kunnen inperken, waarmee aan EU-instellingen dezelfde normen worden opgelegd als die welke voor de lidstaten gelden op grond van de algemene verordening gegevensbescherming. Voor zover beperkingen in artikel 34 „Vertrouwelijkheid van elektronische communicatie” worden overwogen, roept de EDPS de Europese wetgever op ervoor te zorgen dat mogelijke beperkingen van het grondrecht op privacy bij de communicatie door de EU-instellingen in hun eigen activiteiten dezelfde normen volgen als die welke zijn neergelegd in het recht van de Unie, zoals uitgelegd door het Hof van Justitie op dit gebied.

92.

De EDPS verwelkomt het feit dat het voorstel een afzonderlijk artikel bevat dat gewijd is aan de rol van het EDPS als adviseur van de EU-instellingen (artikel 42 van het voorstel). Hij is echter bezorgd over het feit dat de formulering „[n]a het vaststellen van voorstellen” (in plaats van „[w]anneer de Commissie een wetgevingsvoorstel aanneemt” in artikel 28, lid 2, van Verordening 45/2001) de reeds lang bestaande committering van de Europese Commissie om op informele wijze, meestal in de fase van het interinstitutionele overleg, met de EDPS over conceptvoorstellen te overleggen, in twijfel zou kunnen trekken. Gezien het belang van informeel overleg zou de EDPS een overweging verwelkomen waarin de Commissie zijn committering aan deze reeds lang bestaande praktijk zou herhalen. Tevens zou hij er voorstander van zijn dat het voorstel de formulering van artikel 28, lid 2, van Verordening 45/2001 („wanneer de Commissie een wetgevingsvoorstel aanneemt”) handhaaft, hetgeen in dit opzicht meer manoeuvreerruimte zou bieden. Hij is van mening dat artikel 42 in de voorgestelde vorm voldoende duidelijkheid biedt ten aanzien van de respectieve taken van de EDPS en het Europees Comité voor gegevensbescherming om onnodig dubbel werk in de toekomst te voorkomen.

93.

De EDPS is van mening dat de mogelijkheid om de functie van functionaris voor gegevensbescherming uit te besteden niet geschikt is voor EU-instellingen die een publieke taak uitoefenen. Derhalve dient het tweede alternatief in artikel 44, lid 4 („of kan de taken op grond van een dienstverleningsovereenkomst verrichten”), te worden geschrapt.

94.

De EDPS verwelkomt artikel 66 van het voorstel, dat de EDPS de bevoegdheid zou geven om administratieve geldboeten op te leggen. Hij is van mening dat het aan de EU-toezichthouder ontnemen van de mogelijkheid tot oplegging van administratieve geldboeten er in voorkomende gevallen toe zou leiden dat de EU-instellingen een bevoorrechte positie genieten vergeleken met instellingen in de overheidssector in veel lidstaten.

95.

De EDPS is van mening dat certiferingsmechanismen een zeer nuttig instrument voor de EU-instellingen kunnen zijn en dat deze in bepaalde contexten reeds worden gebruikt, bijv. ter certificering dat aan algemeen aanvaarde normen wordt voldaan. Derhalve dienen er verwijzingen naar het gebruik van certificering (maar niet naar gedragscodes) te worden toegevoegd aan artikel 26 „Verantwoordelijkheid van de verwerkingsverantwoordelijke”, artikel 27 „Gegevensbescherming door ontwerp en door standaardinstellingen”, alsmede aan artikel 33 „Beveiliging van de verwerking”.

96.

Hoewel dit advies een aantal gebieden aangeeft waarop het voorstel verder zou kunnen worden verbeterd, wil de EDPS de Europese wetgever graag aanmoedigen om zo snel mogelijk overeenstemming over het voorstel te bereiken zodat de EU-instellingen kunnen profiteren van een redelijke overgangsperiode voordat de nieuwe verordening tegelijk met de algemene verordening gegevensbescherming in mei 2018 van kracht wordt.

24.5.2017   

NL

Publicatieblad van de Europese Unie

C 164/7

1.

Op 15 mei 2017 heeft de Commissie een aanmelding van een voorgenomen concentratie in de zin van artikel 4 van Verordening (EG) nr. 139/2004 van de Raad (1) ontvangen. Hierin is meegedeeld dat de ondernemingen Zalando SE (Duitsland) en Bestseller United A/S (Denemarken) in de zin van artikel 3, lid 1, onder b), en artikel 3, lid 4, van de concentratieverordening de gezamenlijke zeggenschap verkrijgen over de joint venture Fashiontrade.com B.V. (Nederland) door een kapitaalsverhoging in Fashiontrade.com B.V. waarna Zalando SE en Bestseller United A/S elk 50 % van het aandelenkapitaal van de joint venture zullen bezitten.

2.

De activiteiten van de betrokken ondernemingen zijn:

—   Zalando SE: Zalando SE is actief in de B2C-verkoop (detailhandel) van kleding en schoenen. Op zijn online platform voor elektronische handel kunnen consumenten aankopen verrichten uit een uitgebreid aanbod aan schoenen en kleding van verschillende merken. Zalando verkoopt ook kleding en schoenen in zijn online outlet. Daarnaast verricht Zalando B2C-platformdiensten voor elektronische handel en andere diensten voor merken.

—   Bestseller United A/S: Bestseller United A/S is een modebedrijf met verschillende modemerken. Het is actief in de verkoop van kleding en schoenen onder verschillende merken, zowel via B2B (groothandel) als via B2C (detailhandel).

—   Fashiontrade.com B.V.: Fashiontrade.com B.V. zal activiteiten ontwikkelen op de markt als verstrekker van B2B-platformdiensten voor elektronische handel. Het platform zal modemerken (groothandelsbedrijven) in contact brengen met detailhandelsbedrijven.

3.

Op grond van een voorlopig onderzoek is de Commissie van oordeel dat de aangemelde transactie binnen het toepassingsgebied van de concentratieverordening kan vallen. Ten aanzien van dit punt wordt de definitieve beslissing echter aangehouden. Er zij op gewezen dat deze zaak in aanmerking kan komen voor de vereenvoudigde procedure zoals uiteengezet in de mededeling van de Commissie betreffende een vereenvoudigde procedure voor de behandeling van bepaalde concentraties krachtens Verordening (EG) nr. 139/2004 van de Raad (2).

4.

De Commissie verzoekt belanghebbenden haar hun eventuele opmerkingen over de voorgenomen concentratie kenbaar te maken.

Deze opmerkingen moeten de Commissie uiterlijk tien dagen na dagtekening van deze bekendmaking hebben bereikt. Ze kunnen per fax (+32 22964301), per e-mail naar COMP-MERGER-REGISTRY@ec.europa.eu of per post, onder vermelding van zaaknummer M.8433 — Zalando/Bestseller United/JV, aan onderstaand adres worden toegezonden: