Brussel, 19 januari – Tijdens zijn meest recente plenaire vergadering heeft het EDPB een verslag aangenomen ter ondersteuning van de evaluatie van de richtlijn rechtshandhaving door de Europese Commissie.

De Commissie moet haar openbaar verslag* over de evaluatie en herziening van deze richtlijn uiterlijk op 6 mei 2026 bij het Europees Parlement en de Raad indienen. In de aanloop hierop heeft de Commissie de standpunten van de Europese gegevensbeschermingsautoriteiten (DPA’s) verzameld over de toepassing en werking van de richtlijn rechtshandhaving in de periode van januari 2022 tot en met 31 augustus 2025**.

 “Wij zijn ingenomen met de regelmatige evaluaties door de Europese Commissie van de toepassing van de richtlijn gegevensbescherming bij rechtshandhaving en wij zijn vastbesloten onze expertise voor deze evaluaties ter beschikking te stellen om ervoor te zorgen dat de richtlijn gegevensbescherming bij rechtshandhaving hoge gegevensbeschermingsnormen blijft handhaven.”  

EDPB-voorzitter, Anu Talus

Het EDPB faciliteert de samenwerking en coördinatie tussen gegevensbeschermingsautoriteiten bij het toezicht op de rechtshandhaving. Het secretariaat van het EDPB verzorgt ook het secretariaat van het Comité voor gecoördineerd toezicht (CSC), dat zorgt voor gecoördineerd toezicht op grootschalige IT-systemen en EU-organen en -agentschappen op het gebied van rechtshandhaving en strafrecht. 

In zijn verslag benadrukt het EDPB de sleutelrol van de richtlijn rechtshandhaving bij de bescherming van persoonsgegevens in het kader van rechtshandhaving. De gegevensbeschermingsautoriteiten hebben de bevoegde nationale autoriteiten in toenemende mate geadviseerd over het beperken van inbreuken in verband met gegevens, terwijl veel gegevensbeschermingsautoriteiten ook bewustmakingsactiviteiten hebben uitgevoerd en richtsnoeren hebben verstrekt.

Het EDPB neemt nota van het verzoek van gegevensbeschermingsautoriteiten om meer duidelijkheid te krijgen over het toepassingsgebied van de richtlijn rechtshandhaving, met name de grens ervan met de AVG, en om de uitdagingen van het toenemende gebruik van nieuwe technologieën, zoals AI, in het kader van rechtshandhaving grondiger aan te pakken. Het EDPB benadrukt dat rechtshandhavingsinstanties deze instrumenten moeten gebruiken in strikte overeenstemming met de richtlijn rechtshandhaving, en ervoor moeten zorgen dat het gebruik ervan noodzakelijk, evenredig en onderworpen aan passende waarborgen is. 

Volgens het EDPB is het in de context van de jurisprudentie die sinds de laatste evaluatie van de richtlijn is ontwikkeld, van essentieel belang om de nationale uitvoering van de richtlijn rechtshandhaving in de hele Europese Unie verder te versterken. Daarnaast moet de rol van functionarissen voor gegevensbescherming worden versterkt om de doeltreffende en consistente toepassing van de gegevensbeschermingsregels bij rechtshandhavingsactiviteiten te waarborgen.

In het verslag wordt ook gewezen op de noodzaak van betere samenwerking, zowel tussen de bevoegde autoriteiten die verantwoordelijk zijn voor de richtlijn rechtshandhaving als tussen rechtshandhavingsinstanties in bredere zin.

Tot slot benadrukt het EDPB dat zowel gegevensbeschermingsautoriteiten als het EDPB extra financiële en personele middelen nodig hebben om nieuwe taken uit te voeren die voortvloeien uit recente rechtshandelingen, waaronder verantwoordelijkheden in verband met het CSC, waarvan de activiteiten nu ook het toezicht op systemen zoals het Visuminformatiesysteem (VIS), Prüm II en het bestaande inreissysteem (EES) omvatten. 

Vervolgens heeft het EDPB aanbevelingen vastgesteld over de goedkeuringsaanvraag en over de elementen en beginselen in de bindende bedrijfsvoorschriften voor verwerkers (BCR-P).

Deze aanbevelingen vormen een update van de bestaande BCR-P-referentie, die de criteria voor BCR-P-goedkeuring bevat, en voegen deze samen met het standaardaanvraagformulier voor BCR-P. 

BCR-P's zijn een doorgifte-instrument dat door een groep ondernemingen of ondernemingen kan worden gebruikt om persoonsgegevens buiten de Europese Economische Ruimte door te geven aan verwerkers binnen dezelfde groep. BCR's creëren afdwingbare rechten en bevatten toezeggingen om een niveau van gegevensbescherming vast te stellen dat in wezen gelijkwaardig is aan het niveau dat door de AVG wordt geboden. 

De nieuwe aanbevelingen bouwen voort op de overeenkomsten die zijn bereikt en de ervaring die is opgedaan door gegevensbeschermingsautoriteiten in de loop van de goedkeuringsprocedures voor concrete BCR-P-toepassingen sinds de inwerkingtreding van de AVG, alsook op de werkzaamheden die zijn uitgevoerd in het kader van de bijgewerkte aanbevelingen inzake bindende bedrijfsvoorschriften voor verwerkingsverantwoordelijken (BCR-C). 

De aanbevelingen bevatten duidelijke criteria en toelichtingen om ervoor te zorgen dat het door groepen ondernemingen of ondernemingen ontwikkelde BCR-P in overeenstemming is met de AVG. In de aanbevelingen wordt verduidelijkt wanneer BCR-P kan worden gebruikt, namelijk alleen voor overdrachten binnen een groep tussen verwerkers, wanneer de verwerkingsverantwoordelijke geen deel uitmaakt van de groep. 

Daarnaast wordt in de aanbevelingen verduidelijkt dat het BHG-P is ontworpen om te voldoen aan de vereisten van artikel 28, lid 4, AVG. Dit betekent dat elke verwerker binnen de Groep die BCR-P gebruikt geen afzonderlijke subverwerkingsovereenkomst hoeft te ondertekenen met elke subverwerker in de Groep.  

De aanbevelingen staan tot 2 maart 2026 open voor openbare raadpleging. 

De EDPB-leden houden ook een gedachtewisseling over het komende gezamenlijke advies over de digitale omnibus, dat tijdens de plenaire vergadering van februari zal worden goedgekeurd.

Opmerking voor redacteuren

*De rechtsgrondslag voor het optreden van de Commissie is artikel 62 van Richtlijn (EU) 2016/680 (richtlijn rechtshandhaving), op grond waarvan de Commissie de toepassing van de richtlijn moet evalueren en daarover verslag moet uitbrengen.

**Zie ook het verslag van de Europese Commissie over de toepassing van de richtlijn rechtshandhaving, COM(2022) 364 final, waaraan het EDPB heeft bijgedragen.