Brussel, 14 april – Tijdens zijn plenaire zitting heeft de EDPB twee adviezen over ontwerp-adequaatheidsbesluiten voor het VK goedgekeurd. Advies 14/2021 is gebaseerd op de AVG en beoordeelt zowel aspecten op het vlak van algemene gegevensbescherming als de toegang van de overheid tot persoonsgegevens die vanuit de EER worden doorgegeven ten behoeve van de in het ontwerp-adequaatheidsbesluit opgenomen doeleinden op het gebied van rechtshandhaving en nationale veiligheid. Deze beoordeling is gebaseerd op AVG-adequaatheidsreferentie WP254. Advies 15/2021 is gebaseerd op de richtlijn gegevensbescherming bij rechtshandhaving en analyseert het ontwerp-adequaatheidsbesluit in het licht van Aanbevelingen 01/2021 over de adequaatheidsreferentie in het kader van de richtlijn gegevensbescherming bij rechtshandhaving, alsook de relevante jurisprudentie zoals weergegeven in Aanbevelingen 02/2020 over de Europese essentiële garanties voor surveillancemaatregelen. Dit is het eerste ontwerp-uitvoeringsbesluit over de adequaatheid van een derde land in het kader van de richtlijn gegevensbescherming bij rechtshandhaving dat door de Europese Commissie wordt ingediend en door de EDPB wordt beoordeeld.
De EDPB merkt op dat de gegevensbeschermingskaders van de EU en het VK grote overeenkomsten vertonen wat een aantal belangrijke bepalingen betreft: gronden voor rechtmatige en behoorlijke verwerking voor legitieme doeleinden; doelbinding; kwaliteit en evenredigheid van de gegevens; bewaring, beveiliging en vertrouwelijkheid van de gegevens; transparantie; bijzondere categorieën van gegevens; en geautomatiseerde besluitvorming en profilering.
Andrea Jelinek, voorzitter van het Europees Comité voor gegevensbescherming: “Het gegevensbeschermingskader van het VK is grotendeels gebaseerd op dat van de EU. Bij de Britse Data Protection Act uit 2018 wordt niet alleen de toepassing van de AVG in het Britse recht nader gespecificeerd en de richtlijn gegevensbescherming bij rechtshandhaving omgezet, maar worden ook bevoegdheden verleend en verplichtingen opgelegd aan de nationale toezichthoudende autoriteit voor gegevensbescherming, de ICO. Daarom erkent de EDPB dat het VK de AVG en de richtlijn gegevensbescherming bij rechtshandhaving grotendeels in zijn gegevensbeschermingskader heeft overgenomen. Uit zijn analyse van het recht en de praktijk van het VK maakt de EDPB op dat vele aspecten in wezen gelijkwaardig zijn. De wetten kunnen en mogen evolueren, maar moeten gelijklopend blijven. Het stemt ons dan ook tevreden dat de Commissie heeft besloten de toegekende adequaatheid in de tijd te beperken en dat zij van plan is de ontwikkelingen in het VK nauwlettend te volgen.”
De EDPB benadrukt dat bepaalde punten verder moeten worden beoordeeld en/of zorgvuldig gemonitord door de Europese Commissie in het kader van haar besluit op basis van de AVG:
- de zogenaamde “immigration exemption” (waarbij in het kader van immigratie in bepaalde omstandigheden kan worden afgeweken van de AVG-regels) en de gevolgen daarvan voor beperkingen van de rechten van betrokkenen;
- de toepassing van beperkingen op de verdere doorgifte van persoonsgegevens vanuit de EER naar het VK, bijvoorbeeld op basis van toekomstige, door het VK vastgestelde adequaatheidsbesluiten, internationale overeenkomsten tussen het VK en derde landen, of afwijkingen.
Wat betreft de toegang die overheidsinstanties met het oog op de nationale veiligheid hebben tot naar het VK doorgegeven persoonsgegevens, stelt de EDPB met tevredenheid vast dat er een instantie is opgericht die bevoegd is om de problemen in verband met beroep op het gebied van de nationale veiligheid aan te pakken (de Investigatory Powers Tribunal of IPT) en dat in de Investigatory Powers Act (IPA) van 2016 zogenaamde Judicial Commissioners zijn opgenomen die op dat vlak voor beter toezicht moeten zorgen. Wat de volgende punten betreft, is volgens de EDPB verdere verduidelijking en/of monitoring vereist:
- bulkinterceptie;
- onafhankelijke beoordeling van en toezicht op het gebruik van geautomatiseerde verwerkingsinstrumenten;
- waarborgen uit hoofde van het Britse recht met betrekking tot verstrekking aan het buitenland, met name gezien de toepassing van vrijstellingen in verband met nationale veiligheid.
De EDPB heeft richtsnoeren voor de toepassing van artikel 65, lid 1, punt a), AVG aangenomen om de belangrijkste fasen van de procedure af te bakenen en duidelijkheid te verschaffen over de bevoegdheid van de EDPB bij de vaststelling van een juridisch bindend besluit op grond van artikel 65, lid 1, punt a), AVG. In de richtsnoeren worden onder meer de toepasselijke procedurele waarborgen en rechtsmiddelen beschreven. Over de richtsnoeren zal gedurende zes weken een openbare raadpleging worden gehouden.
De EDPB heeft na een openbare raadpleging de definitieve versie van de richtsnoeren inzake het targeten van socialemediagebruikers vastgesteld. Die richtsnoeren moeten de rol en de verantwoordelijkheid van aanbieders van sociale media en getargette personen verduidelijken. In de definitieve versie zijn de bewoordingen aangepast om tegemoet te komen aan opmerkingen en feedback uit de openbare raadpleging.
De EDPB heeft een verklaring over internationale overeenkomsten, onder meer inzake verdere doorgifte aangenomen. De EDPB verzoekt de EU-lidstaten die internationale overeenkomsten inzake internationale doorgifte van persoonsgegevens hebben gesloten voor 24 mei 2016 (als ze relevant zijn voor de AVG) en voor 6 mei 2016 (als ze relevant zijn voor de richtlijn gegevensbescherming bij rechtshandhaving), deze te beoordelen en, waar nodig, te herzien en in overeenstemming te brengen met het EU-recht inzake gegevensbescherming.
Noot voor de redactie:
Alle documenten die tijdens de plenaire zitting van het Europees Comité voor gegevensbescherming worden goedgekeurd, worden onderworpen aan de nodige juridische, taalkundige en formatteringscontroles en zullen op de website van het comité beschikbaar worden gesteld zodra deze controles zijn afgerond.
EDPB_Press Release_2021_03