Decisión de Ejecución (UE) 2021/1773 de la Comisión de 28 de junio de 2021 con arreglo a la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, relativa a la protección adecuada de los datos personales por parte del Reino Unido [notificada con el número C(2021) 4801]
o da CEDH) e de delito de utilização abusiva de informações privadas (a parte requerida admitiu, finalmente, a violação do DPA e da CEDH, pelo que o julgamento se centrou na forma de reparação mais adequada). Em resultado destas violações, o tribunal conferiu uma indemnização pecuniária ao requerente. (198)  Section 8(1) do Human Rights Act 1998. (199)  Section 36(3) do DPA 2018. (200)  Section 56 do Digital Economy Act 2017, disponível na seguinte ligação https://www. legislation. gov. uk/ukpga/2017/30/contents (201)  Section 48 do Digital Economy Act 2017. (202)  Section 7 do Crime and Courts Act 2013, disponível na seguinte ligação: https://www. legislation. gov. uk/ukpga/2013/22/contents (203)  Section 68 do Serious Crime Act 2007, disponível na seguinte ligação https://www. legislation. gov. uk/ukpga/2007/27/contents (204)  Authorised Professional Practice on Information Sharing, disponível na seguinte ligação: https://www. app. college. police. uk/app-content/information-management/sharing-police-information (205)  Ver, por exemplo, o processo M/the Chief Constable of Sussex Police [2019] EWHC 975 (Admin), no qual foi pedido ao High Court que analisasse a partilha de dados entre a polícia e a Business Crime Reduction Partnership (BCRP), uma organização habilitada a gerir regimes de notificações de exclusão, que proíbem as pessoas de entrar nas instalações comerciais dos seus membros. O tribunal analisou a partilha de dados, que decorria com base num acordo que tinha como finalidade proteger o público e prevenir a criminalidade e, por fim, concluiu que a maioria dos aspetos da partilha de dados era lícita, à exceção de algumas informações sensíveis partilhadas entre a polícia e a BCRP. Outro exemplo é o processo Cooper/NCA [2019] EWCA Civ 16, no qual o Court of Appeal (Tribunal de Recurso) analisou a partilha de dados entre a polícia e a Serious Organised Crime Agency (SOCA), uma agência de aplicação da lei que atualmente faz parte da NCA. (206)  Section 36(4) do DPA 2018. (207)  Decisão de Execução da Comissão nos termos do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho sobre a adequação do nível de proteção dos dados pessoais assegurado pelo Reino Unido [C(2021) 4800]. (208)  Section 19 do Counter Terrorism Act 2008, disponível na seguinte ligação: https://www. legislation. gov. uk/ukpga/2008/28/section/19 (209)  A section 2(2) do Intelligence Service Act 1994 (ver https://www. legislation. gov.  uk/ukpga/1994/13/contents) determina que «[o] responsável do serviço de informações é responsável pela eficácia desse serviço e cabe-lhe a ele garantir – a) que existem mecanismos que garantem que o serviço de informações apenas obtém as informações estritamente necessárias ao exercício adequado das suas funções e que o serviço de informações apenas divulga as informações estritamente necessárias — i) para o efeito; ii) no interesse da segurança nacional; iii) para efeitos de prevenção ou deteção da criminalidade grave; ou iv) para efeitos de processos penais; e b) que o serviço de informações não toma nenhuma medida para promover os interesses de algum partido político do Reino Unido», ao passo que a section 2(2) do Security Service Act 1989 (ver https://www. legislation. gov. uk/ukpga/1989/5/contents) prevê que «[o] diretor-geral é responsável pela eficácia do serviço e cabe-lhe a ele garantir — a) que existem mecanismos que garantem que o serviço apenas obtém as informações estritamente necessárias ao exercício adequado das suas funções e que apenas divulga as informações estritamente necessárias para esse efeito ou para efeitos de prevenção ou deteção da [criminalidade grave ou para efeitos de processos penais]; b) que o serviço não toma nenhuma medida para promover os interesses de algum partido político; e c) que existem mecanismos acordados com o diretor-geral da National Crime Agency para a coordenação das atividades do serviço, nos termos da section 1(4) da presente lei, com as atividades das forças policiais, a National Crime Agency e outras agências de aplicação da lei». (210)  As salvaguardas e as limitações dos poderes dos serviços de informações também são regulamentadas pelo Investigatory Powers Act 2016, que, juntamente com o Regulation of Investigatory Powers Act 2000 (Regulamento de 2000 relativo aos poderes de investigação), para a Inglaterra, o País de Gales e a Irlanda do Norte, e o Regulation of Investigatory Powers (Scotland) Act 2000 [Regulamento de 2000 (da Escócia) relativo aos poderes de investigação], para a Escócia, proporcionam a base jurídica para a utilização de tais poderes. No entanto, estes poderes não são pertinentes no contexto da «transferência subsequente», uma vez que abrangem a recolha direta de dados pessoais por parte das agências de informações.  Para uma avaliação dos poderes concedidos às agências de informações ao abrigo do Investigatory Powers Act, ver a Decisão de Execução da Comissão nos termos do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho sobre a adequação do nível de proteção dos dados pessoais assegurado pelo Reino Unido [C(2021) 4800]. (211)  Ao abrigo da section 86(6) do DPA 2018, para determinar a lealdade e a transparência do tratamento, há que ter em consideração o método empregue para a obtenção dos dados. Neste sentido, o requisito de lealdade e transparência é preenchido se os dados forem obtidos junto de uma pessoa que esteja legalmente autorizada ou obrigada a fornecê-los. (212)  Ao abrigo da section 87 do DPA 2018, as finalidades do tratamento têm de ser determinadas, explícitas e legítimas. Os dados não podem ser tratados de uma forma incompatível com as finalidades para as quais foram recolhidos. Ao abrigo da section 87(3) só pode ser permitido um tratamento de dados pessoais compatível se o responsável pelo tratamento estiver autorizado por lei a tratar os dados para essa finalidade e o tratamento for necessário e proporcionado para essa outra finalidade. As operações de tratamento devem ser consideradas tratamento compatível se se compuserem de operações de tratamento para fins de arquivo de interesse público, para fins de investigação científica ou histórica ou para fins estatísticos e estiverem sujeitas a garantias adequadas [section 87(4) do DPA 2018]. (213)  Os dados pessoais têm de ser adequados, relevantes e não excessivos (section 88 do DPA 2018). (214)  Os dados pessoais têm de ser precisos e atualizados (section 89 do DPA 2018). (215)  Os dados pessoais têm de ser conservados apenas durante o período necessário (section 90 do DPA 2018). (216)  O sexto princípio de proteção de dados consiste na obrigatoriedade de os dados pessoais serem tratados de uma forma que inclua a tomada de medidas de segurança adequadas no que diz respeito aos riscos decorrentes do tratamento de dados pessoais. Os riscos incluem (nomeadamente) o acesso acidental ou não autorizado aos dados pessoais ou a respetiva destruição, perda, utilização, modificação ou divulgação (section 91 do DPA 2018).  A section 107 exige igualmente que 1) cada responsável pelo tratamento aplique as medidas de segurança adequadas tendo em conta os riscos decorrentes do tratamento de dados pessoais e 2) em caso de tratamento automatizado, cada responsável pelo tratamento e subcontratante aplique medidas preventivas ou de atenuação com base numa avaliação do risco. (217)  Section 86(2)(b) e schedule 10 do DPA 2018. (218)  Parte 4, capítulo 3, do DPA 2018, nomeadamente os direitos: de acesso, de retificação e apagamento, de se opor ao tratamento e de não ficar sujeito a nenhuma decisão automatizada, de intervir na decisão automatizada e de ser informado da decisão automatizada. Além disso, o responsável pelo tratamento tem de informar o titular dos dados do tratamento dos seus dados pessoais. (219)  Section 103 do DPA 2018. (220)  Section 109 do DPA 2018. É possível efetuar transferências de dados pessoais para organizações internacionais ou países fora do Reino Unido caso as transferências constituam uma medida necessária e proporcionada para efeitos das funções legais do responsável pelo tratamento ou para outras finalidades previstas em artigos específicos do Security Service Act 1989 e do Intelligence Service Act 1994. (221)  Ver processo Baker/Secretary of State for the Home Department [2001] UKIT NSA2 («Baker/Secretary of State»). (222)  UK Explanatory Framework for Adequacy Discussions, Section H: National Security Data Protection and Investigatory Powers Framework (Quadro explicativo do Reino Unido para as conversações em matéria de adequação, secção H: Proteção dos dados no âmbito da segurança nacional e quadro dos poderes de investigação), p 15 e 16, disponível na seguinte ligação: https://assets. publishing. service. gov. uk/government/uploads/system/uploads/attachment_data/file/872239/H_-_National_Security. pdf. Ver igualmente processo Baker/Secretary of State (ver nota de rodapé 220 acima), no qual o tribunal anulou um certificado de segurança nacional emitido pelo ministro da tutela e confirma a aplicação da isenção de segurança nacional, tendo em conta que não havia motivo para criar uma isenção geral da obrigação de responder a pedidos de acesso e que, ao permitir essa isenção em todas as circunstâncias sem uma análise caso a caso, excedeu-se o que seria necessário e proporcionado para a proteção da segurança nacional.  (223)  Ver o memorando de entendimento entre o ICO e a comunidade de serviços de informações do Reino Unido, segundo o qual «[a]pós a receção de uma reclamação efetuada por um titular de dados, o ICO certificar-se-á de que a questão foi tratada corretamente e, se for caso disso, de que a aplicação de eventuais isenções foi utilizada adequadamente» (memorando de entendimento entre o Gabinete do Comissário para a Informação e a comunidade de serviços de informações do Reino Unido, ponto 16, disponível na seguinte ligação: https://ico. org. uk/media/about-the-ico/mou/2617438/uk-intelligence-community-ico-mou. pdf). (224)  O DPA 2018 revogou a possibilidade de emitir certificados ao abrigo da section 28(2) do Data Protection Act 1998. Todavia, continua a existir a possibilidade de emitir «certificados antigos», na medida em que existe um desafio histórico ao abrigo da lei de 1998 (ver n. o 17 da parte 5 do schedule 20 do DPA 2018). Todavia, esta possibilidade afigura-se muito rara e só se aplicará em casos limitados, como, por exemplo, quando um titular dos dados contesta a utilização da isenção relativa à segurança nacional a respeito de um tratamento efetuado ao abrigo da lei de 1998 por uma autoridade pública. Importa observar que, nestes casos, a section 28 do DPA 1998 será aplicável na sua totalidade, incluindo, por conseguinte, a possibilidade de o titular dos dados contestar o certificado perante o tribunal. De momento não foram emitidos nenhuns certificados de segurança nacional ao abrigo do DPE 1998. (225)  United Kingdom Government Guidance on National Security Certificates under the Data Protection Act 2018 (orientação do Governo do Reino Unido em matéria de certificados de segurança nacional ao abrigo do Data Protection Act 2018), disponível na seguinte ligação: https://assets. publishing. service. gov. uk/government/uploads/system/uploads/attachment_data/file/910279/Data_Protection_Act_2018_-_National_Security_Certificates_Guidance. pdf (226)  De acordo com a section 130 do DPA 2018, o ICO pode decidir não publicar o texto ou parte do texto do certificado, se tal for contrário ao interesse da segurança nacional ou ao interesse público, ou for suscetível de comprometer a segurança de qualquer pessoa. Nestes casos, o ICO divulgará, todavia, o facto de o certificado ter sido emitido. (227)  United Kingdom Government Guidance on National Security Certificates, ponto 15, ver nota de rodapé 225. (228)  United Kingdom Government Guidance on National Security Certificates, ponto 5, ver nota de rodapé 225. (229)  A section 102 do DPA 2018 exige que o responsável pelo tratamento demonstre que cumpriu o DPA 2018.  Tal implica que o serviço de informações teria de demonstrar ao ICO que, ao recorrer à isenção, teve em conta as circunstâncias específicas do caso. O ICO também publica um registo dos certificados de segurança nacional, disponível na seguinte ligação: https://ico. org. uk/about-the-ico/our-information/national-security-certificates/ (230)  O Upper Tribunal é o tribunal competente para apreciar os recursos contra as decisões tomadas pelos tribunais administrativos inferiores e dispõe de competências específicas para lidar com recursos diretos contra decisões tomadas por determinados organismos governamentais. (231)  Section 111(3) do DPA 2018. (232)  Section 111(5) do DPA 2018. (233)  No processo Baker/Secretary of State (ver nota de rodapé 221), o Information Tribunal (tribunal especializado em questões de informação) anulou um certificado de segurança nacional emitido pelo ministro da tutela, tendo em conta que não havia motivo para criar uma exceção geral da obrigação de responder a pedidos de acesso e que, ao permitir essa exceção em todas as circunstâncias sem uma análise caso a caso, excedeu-se o que seria necessário e proporcionado para a proteção da segurança nacional. (234)  United Kingdom Government Guidance on National Security Certificates, ponto 25, ver nota de rodapé 224. (235)  Estas incluem: i) os princípios de proteção de dados estabelecidos na parte 4, à exceção do requisito da licitude do tratamento previsto no primeiro princípio e a obrigatoriedade de o tratamento cumprir uma das condições relevantes estabelecidas nos schedules 9 e 10; ii) os direitos dos titulares de dados; e iii) os deveres relativos à denúncia de violações ao ICO. (236)  De acordo com o quadro explicativo do Reino Unido, as isenções «baseadas na categoria» são: i) informações sobre a concessão de títulos e altos cargos da Coroa; ii) a prerrogativa legal de confidencialidade; iii) referências confidenciais em matéria de emprego, formação ou educação; e iv) as respostas e classificações de exames. As isenções «com base no prejuízo» dizem respeito às seguintes questões: i) prevenção ou deteção de crimes; detenção e repressão de infratores; ii) privilégio parlamentar; iii) processos judiciais; iv) a eficácia do combate das forças armadas da Coroa; v) o bem-estar económico do Reino Unido; vi) as negociações com o titular dos dados; vii) investigação científica ou histórica ou fins estatísticos; viii) arquivo de interesse público. UK Explanatory Framework for Adequacy Discussions, Section H: National Security, p. 13, ver nota de rodapé 222. (237)  Section 116 do DPA 2018.  (238)  Nos termos da section 149(2) do DPA 2018, lida em conjugação com a section 155, as notificações de execução e sanção podem ser emitidas a um responsável pelo tratamento ou a um subcontratante relativamente a violações da parte 4, capítulo 2, do DPA 2018 (princípios do tratamento), uma disposição da parte 4 do DPA 2018 que confere direitos a um titular de dados, um requisito de comunicação de uma violação de dados pessoais ao comissário imposto pela section 108 do DPA 2018 e os princípios aplicáveis às transferências de dados pessoais para países terceiros, países que não sejam signatários da convenção e organizações internacionais da section 109 do DPA 2018. (Para mais informações sobre a notificação de execução e sanção, ver os considerandos 102)a 103). (239)  Nos termos da section 147(6) do DPA 2018, o comissário para a informação não pode remeter uma notificação de avaliação a um organismo indicado na section 23(3) do Freedom of Information Act 2000 (Lei de 2000 relativa à liberdade de informação). Entre eles incluem-se o Security Service (MI5), o Secret Intelligence Service (MI6) e o quartel-general de comunicações do governo. (240)  As disposições passíveis de isenção são: A section 108 (comunicação de uma violação de dados pessoais ao comissário), a section 119 (inspeção em conformidade com as obrigações internacionais); sections 142 a 154 e schedule 15 (notificações do comissário e poderes de entrada e inspeção); e sections 170 a 173 (infrações relacionadas com os dados pessoais). Para além disso, relativamente ao tratamento pelos serviços de informações previsto no schedule 13 (outras funções gerais do comissário), n. o 1, alíneas a) e g), e n. o 2. (241)  Ver, por exemplo, processo Baker/Secretary of State for the Home Department (ver nota de rodapé 221). (242)  Memorando de entendimento entre o ICO e a comunidade dos serviços de informações do Reino Unido, ver nota de rodapé 231.  (243)  Em sete destes casos, o ICO aconselhou o reclamante a suscitar as suas preocupações junto do responsável pelo tratamento (trata-se dos casos em que a pessoa suscitou as suas preocupações junto do ICO, mas deveria tê-lo feito primeiro junto do responsável pelo tratamento), num dos casos, o ICO aconselhou de modo geral o responsável pelo tratamento (esta opção é utilizada quando não se afigura que os atos do responsável pelo tratamento tenham violado a legislação, mas uma melhoria das práticas poderia ter evitado que a preocupação fosse suscitada junto do ICO) e noutros 13 casos não foi necessária qualquer medida por parte do responsável pelo tratamento (esta opção é utilizada quando as preocupações suscitadas pelas pessoas são abrangidas pelo Data Protection Act 2018 uma vez que dizem respeito ao tratamento de informações pessoais, mas, com base nas informações transmitidas, não se afigura que o responsável pelo tratamento tenha violado a legislação). (244)  Conforme explicado pelas autoridades do Reino Unido, a JSA expandiu as competências da ISC no sentido de incluir uma função na supervisão da comunidade dos serviços de informações, permitindo uma supervisão retrospetiva das atividades operacionais dos serviços em matérias de interesse nacional significativo. (245)  Section 1 do JSA 2013. Os ministros não são elegíveis para assumir funções como membros. O mandato dos membros da ISC tem igual duração à legislatura em que foram nomeados. Podem ser exonerados por resolução da câmara pela qual foram nomeados, se deixarem de ser deputados ao parlamento ou se passarem a ministros. Os membros também podem renunciar ao cargo. (246)  Os relatórios e as declarações da comissão estão disponíveis em linha na seguinte ligação: http://isc. independent. gov. uk/committee-reports. Em 2015, a ISC publicou um relatório intitulado Privacy and Security: A modern and transparent legal framework» (Privacidade e segurança: um quadro jurídico moderno e transparente) (ver: https://b1cba9b3-a-5e6631fd-s-sites. googlegroups. com/a/independent. gov. uk/isc/files/20150312_ISC_P%2BS%2BRpt%28web%29. pdf) no qual analisou o quadro jurídico para as técnicas de vigilância utilizadas pelos serviços de informações e formulou um conjunto de recomendações que foram então tidas em conta e integradas no projeto de lei relativa aos poderes de investigação que se converteu em lei, a IPA 2016. A resposta do governo ao relatório sobre a privacidade e a segurança está disponível na seguinte ligação: https://b1cba9b3-a-5e6631fd-s-sites. googlegroups. com/a/independent. gov. uk/isc/files/20151208_Privacy_and_Security_Government_Response. pdf (247)  Section 2 do JSA 2013.  (248)  Memorando de entendimento entre o primeiro-ministro e a ISC, disponível na seguinte ligação: http://data. parliament. uk/DepositedPapers/Files/DEP2013-0415/AnnexA-JSBill-summaryofISCMoU. pdf (249)  Memorando de entendimento entre o primeiro-ministro e a ISC, ponto 14, ver nota de rodapé 248. (250)  O ministro da tutela só pode recusar a divulgação da informação por dois motivos: a informação é sensível e não deve ser divulgada à ISC a bem da segurança nacional; ou trata-se de informação de tal natureza que, se fosse chamado a produzi-la perante uma comissão especial parlamentar da Câmara dos Comuns, levaria o ministro da tutela a considerar (por motivos que não se limitam à segurança nacional) que seria conveniente não o fazer (schedule 1, n. o 4, ponto 2, da JSA 2013). (251)  UK Explanatory Framework – Section H: National Security, p. 43. (252)  Section 94(11) do DPA 2018. (253)  Section 99(4) do DPA 2018. (254)  Section 169 do DPA 2018, que permite pedidos de indemnização de «[u]ma pessoa que sofra danos devido a uma violação de um requisito da legislação em matéria de proteção de dados pessoais». (255)  Section 169(5) do DPA 2018. (256)  Ver section 65(2)(b) do RIPA. (257)  Nos termos do schedule 3 do RIPA 2000, os membros têm de ter uma determinada experiência judicial e o seu mandato é renovável. (258)  Sobre a noção de «comunicado», ver nota de rodapé 183. (259)  Schedule 3, n. o 1, ponto 5, do RIPA 2000. (260)  Section 65(4) do RIPA 2000. (261)  Tais circunstâncias dizem respeito aos atos das autoridades públicas que ocorrem num contexto de autoridade (por exemplo, um mandado, uma autorização/notificação para a aquisição de comunicações, etc. ) ou se as circunstâncias forem tais (exista ou não tal autoridade) que não teria sido adequado que os atos tivessem sido praticados sem ela, ou pelo menos sem ter sido dada a devida consideração se tal autoridade deveria ser solicitada. Os atos autorizados por um comissário judicial são considerados como tendo ocorrido em circunstâncias contestáveis [section 65 (7ZA) do RIPA 2000], enquanto outros atos que ocorrem com a autorização de uma pessoa que exerça funções jurisdicionais são considerados como não tendo ocorrido em circunstâncias contestáveis [section 65(7) e (8) do RIPA 2000].  (262)  De acordo com as informações fornecidas pelas autoridades do Reino Unido, o baixo limiar para a apresentação de uma reclamação implica que não é raro que a investigação do tribunal determine que o autor da reclamação nunca foi, na verdade, objeto de investigação por uma autoridade pública. O último relatório estatístico do IPT especifica que, em 2016, o tribunal recebeu 209 reclamações, 52% das quais foram consideradas levianas ou vexatórias e 25% receberam um resultado «sem determinação». As autoridades do Reino Unido explicaram que tal significa que não foram utilizadas atividades/poderes encobertos em relação aos autores das reclamações, ou que foram utilizadas técnicas encobertas e que o tribunal determinou que a atividade era lícita. Além disso, 11% foram excluídas da competência, foram retiradas ou não eram válidas, 5% foram consideradas intempestivas e 7% foram decididas a favor do autor da reclamação. Relatório estatístico do Investigatory Powers Tribunal de 2016, disponível na seguinte ligação: https://www. ipt-uk. com/docs/IPT%20Statisical%20Report%202016. pdf (263)  Ver processo Human Rights Watch/Secretary of State [2016] UKIPTrib15_165-CH. Neste processo, o Investigatory Powers Tribunal, remetendo para jurisprudência do TEDH, considerou que o critério adequado no que respeita à convicção de que um ato abrangido pela subsection 68(5) do RIPA 2000 foi levado a cabo por qualquer um dos serviços de informações ou em seu nome consiste em apurar se existe algum fundamento para tal convicção, incluindo o facto de uma pessoa só poder alegar ser vítima de uma violação ocasionada pela mera existência de medidas secretas ou de legislação que permita medidas secretas, se puder demonstrar que, devido à sua situação pessoal, está potencialmente em risco de ser sujeita a tais medidas (ver Human Rights Watch/Secretary of State, n. o 41). (264)  Section 67(3) do RIPA 2000. (265)  Section 67(2) do RIPA 2000. (266)  Section 68(4) do RIPA 2000. (267)  Tal pode incluir uma ordem que exija a destruição de qualquer gravação de informações detida por qualquer autoridade pública relacionada com qualquer pessoa. (268)  High Court of Justice, Liberty, [2019] EWHC 2057 (Admin. ), n. o 170. (269)  Section 8(1) do Human Rights Act 1998. (270)  Schrems, n. o 65.  L_2021360NL. 01006901. xml 11. 10. 2021    NL Publicatieblad van de Europese Unie L 360/69 UITVOERINGSBESLUIT (EU) 2021/1773 VAN DE COMMISSIE van 28 juni 2021 overeenkomstig Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad betreffende de adequate bescherming van persoonsgegevens door het Verenigd Koninkrijk (Kennisgeving geschied onder nummer C(2021) 4801) DE EUROPESE COMMISSIE, Gezien het Verdrag betreffende de werking van de Europese Unie, Gezien Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van Kaderbesluit 2008/977/JBZ van de Raad (1), en met name artikel 36, lid 3, Overwegende hetgeen volgt: 1. INLEIDING (1) In Richtlijn (EU) 2016/680 worden de regels uiteengezet voor de doorgifte van persoonsgegevens door bevoegde autoriteiten in de Unie aan derde landen en internationale organisaties voor zover die doorgifte valt onder het toepassingsgebied van die richtlijn. De regels betreffende internationale doorgiften van gegevens door bevoegde autoriteiten zijn vastgesteld in hoofdstuk V van Richtlijn (EU) 2016/680, meer bepaald in de artikelen 35 tot en met 40. De stroom van persoonsgegevens naar en van landen buiten de Europese Unie is van essentieel belang voor doeltreffende samenwerking op het gebied van de rechtshandhaving, maar wel moet worden gewaarborgd dat het beschermingsniveau voor persoonsgegevens in de Europese Unie door dergelijke doorgiften niet wordt aangetast (2). (2) Op grond van artikel 36, lid 3, van Richtlijn (EU) 2016/680 kan de Commissie aan de hand van een uitvoeringshandeling besluiten dat een derde land, een gebied of één of meerdere nader bepaalde sectoren in een derde land, of een internationale organisatie een adequaat beschermingsniveau verzekert. Onder deze voorwaarde mogen doorgiften van persoonsgegevens aan een derde land plaatsvinden zonder dat daarvoor verdere toelating moet worden verkregen (behalve wanneer een andere lidstaat waarvan de gegevens zijn verkregen zijn toestemming aan de doorgifte moet geven), zoals bepaald in artikel 35, lid 1, en overweging 66 van Richtlijn (EU) 2016/680. (3) Zoals bepaald in artikel 36, lid 2, van Richtlijn (EU) 2016/680 moet de beoordeling van de vraag of het beschermingsniveau adequaat is, gebaseerd zijn op een grondige analyse van de rechtsorde van het derde land.  Bij haar beoordeling moet de Commissie nagaan of het betrokken derde land een beschermingsniveau waarborgt dat “in wezen overeenkomt” met het niveau dat in de Europese Unie wordt verzekerd (overweging 67 van Richtlijn (EU) 2016/680). De norm die wordt toegepast om die “wezenlijke overeenkomst” te beoordelen, is de norm die is vastgesteld door de EU-wetgeving, met name Richtlijn (EU) 2016/680, evenals de jurisprudentie van het Hof van Justitie van de Europese Unie (3). Ook het vademecum over adequaatheid van het Europees Comité voor gegevensbescherming is in dit verband van belang (4). (4) Zoals het Hof van Justitie van de Europese Unie heeft opgemerkt, is het hiervoor niet noodzakelijk dat hetzelfde beschermingsniveau (5) wordt geboden. Met name mogen de middelen die het betrokken derde land tot zijn beschikking heeft voor de bescherming van persoonsgegevens anders zijn dan de middelen die binnen de Europese Unie worden ingezet, zolang zij in de praktijk doeltreffend genoeg blijken om een adequaat beschermingsniveau te bieden (6). De adequaatheidsnorm vereist daarom niet dat de voorschriften van de Unie integraal worden overgenomen. Het gaat er veeleer om of het betreffende buitenlandse systeem als geheel het vereiste beschermingsniveau biedt, door de invulling van het recht op privacy, de doeltreffende toepassing en afdwingbaarheid daarvan en het toezicht dat wordt uitgeoefend (7). (5) De Commissie heeft het relevante recht en de rechtspraktijk van het Verenigd Koninkrijk zorgvuldig geanalyseerd. Op grond van haar bevindingen, die hieronder worden uiteengezet, concludeert de Commissie dat het Verenigd Koninkrijk een adequaat beschermingsniveau verzekert voor persoonsgegevens die onder het toepassingsgebied van Richtlijn (EU) 2016/680 vallen en die door bevoegde autoriteiten in de Unie worden doorgegeven aan bevoegde autoriteiten in het Verenigd Koninkrijk die vallen onder het toepassingsgebied van deel 3 van de Data Protection Act 2018 (de Britse wet gegevensbescherming, hierna “DPA 2018” genoemd) (8). (6) Dit besluit heeft tot gevolg dat dergelijke doorgiften mogen plaatsvinden gedurende een periode van vier jaar, die mogelijk kan worden verlengd, zonder dat er verdere toelating moet worden verkregen en onverminderd de voorwaarden van artikel 35 van Richtlijn (EU) 2016/680. 2. REGELS DIE GELDEN VOOR DE VERWERKING VAN PERSOONSGEGEVENS DOOR BEVOEGDE AUTORITEITEN MET HET OOG OP DE HANDHAVING VAN HET STRAFRECHT 2. 1. Het grondwettelijk kader (7) Het Verenigd Koninkrijk is een parlementaire democratie.  Het land heeft een soeverein parlement, dat boven alle andere overheidsinstellingen staat, een uitvoerende macht die uit leden van het parlement is samengesteld en die aan het parlement verantwoording moet afleggen, en een onafhankelijke rechterlijke macht. Het gezag van de uitvoerende macht berust op het vertrouwen dat zij kan afdwingen van het gekozen House of Commons (Lagerhuis) en de uitvoerende macht moet verantwoording afleggen aan beide kamers van het parlement (het House of Commons en het House of Lords of Hogerhuis), die verantwoordelijk zijn voor het toezicht op de regering en voor het bespreken en aannemen van wetten. Het Britse parlement heeft bevoegdheden gedelegeerd aan het Schotse parlement, het parlement van Wales (Senedd Cymru) en de assemblee van Noord-Ierland om wetgeving vast te stellen met betrekking tot interne kwesties in Schotland, Wales en Noord-Ierland. Hoewel gegevensbescherming een aangelegenheid is die voorbehouden is voor het Britse parlement, d. w. z. dat voor het hele land dezelfde wetgeving geldt, zijn andere beleidsgebieden die voor dit besluit van belang zijn, gedelegeerd. Zo zijn de strafrechtsystemen, met inbegrip van het politiewerk (de activiteiten verricht door de politie) van Schotland en Noord-Ierland gedelegeerd aan het Schots parlement respectievelijk de assemblee van Noord-Ierland (9). (8) Hoewel het Verenigd Koninkrijk niet beschikt over een gecodificeerde grondwet in de zin van een document waarin de grondwet vast verankerd is, zijn de grondwettelijke beginselen van het land, die meer bepaald uit de jurisprudentie en conventies werden afgeleid, in de loop der tijd duidelijk naar voren gekomen. De grondwettelijke waarde van bepaalde statutes (geschreven wetten), zoals de Magna Carta, de Bill of Rights van 1689 en de Human Rights Act van 1998 werd erkend. De grondrechten van personen, als onderdeel van de grondwet, werden ontwikkeld aan de hand van common law (rechtsvorming waarin de jurisprudentie leidend is), statutes en internationale verdragen, met name het Europees Verdrag voor de rechten van de mens (EVRM), dat in 1951 door het Verenigd Koninkrijk werd geratificeerd. In 1987 heeft het Verenigd Koninkrijk tevens het Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens van de Raad van Europa (hierna “Verdrag 108” genoemd) geratificeerd (10). (9) Met de Human Rights Act 1998 (mensenrechtenwet 1998) worden de rechten uit het EVRM opgenomen in het recht van het Verenigd Koninkrijk.  Deze wet verleent elke persoon de grondrechten en fundamentele vrijheden waarin is voorzien bij de artikelen 2 tot en met 12 en artikel 14 EVRM en bij de artikelen 1, 2 en 3, van het Protocol nr. 1 en artikel 1 van Protocol nr. 13 bij het EVRM, gelezen in samenhang met de artikelen 16, 17 en 18 EVRM. Dit omvat het recht op eerbiediging van privéleven, familie- en gezinsleven, dat op zijn beurt het recht op gegevensbescherming omvat, en het recht op een onpartijdig gerecht (11). Overeenkomstig artikel 8 EVRM is geen inmenging van enig openbaar gezag toegestaan in de uitoefening van het recht op eerbiediging van privéleven, familie- en gezinsleven, dan voor zover bij de wet is voorzien en in een democratische samenleving noodzakelijk is in het belang van de nationale veiligheid, de openbare veiligheid of het economisch welzijn van het land, het voorkomen van ordeverstoring en strafbare feiten, de bescherming van de gezondheid of de goede zeden of voor de bescherming van de rechten en vrijheden van anderen. (10) Overeenkomstig de Human Rights Act 1998 moet elk optreden van de overheid verenigbaar zijn met een recht dat door het EVRM wordt gewaarborgd (12). Bovendien moet primaire en secundaire wetgeving op een wijze worden uitgelegd en uitgevoerd die verenigbaar is met die rechten (13). Voor zover personen van mening zijn dat hun rechten, waaronder het recht op eerbiediging van het privéleven en het recht op gegevensbescherming, door een overheidsdienst zijn geschonden, kunnen zij op grond van de Human Rights Act 1998 rechtsherstel vorderen bij de rechtbanken van het Verenigd Koninkrijk en kunnen zij, wanneer hun beroepsmogelijkheden in eigen land uitgeput zijn, uiteindelijk bij het Europees Hof voor de Rechten van de Mens rechtsherstel vorderen voor inbreuken op de uit hoofde van het EVRM gewaarborgde rechten. 2. 2. Het kader voor gegevensbescherming van het Verenigd Koninkrijk (11) Op 31 januari 2020 heeft het Verenigd Koninkrijk zich teruggetrokken uit de Unie. Op grond van het Akkoord inzake de terugtrekking van het Verenigd Koninkrijk van Groot-Brittannië en Noord-Ierland uit de Europese Unie en de Europese Gemeenschap voor Atoomenergie (14) bleef het Unierecht tijdens de overgangsperiode tot en met 31 december 2020 gelden in het Verenigd Koninkrijk.  Vóór de terugtrekking en tijdens de overgangsperiode bestond het rechtskader inzake de bescherming van persoonsgegevens in het Verenigd Koninkrijk waarmee de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de preventie, het onderzoek, de opsporing of de vervolging van strafbare feiten en de uitvoering van straffen wordt geregeld, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid, uit de toepasselijke delen van de Data Protection Act 2018, waarmee Richtlijn (EU) 2016/680 werd omgezet. (12) Als voorbereiding op de terugtrekking uit de EU stelde de regering van het Verenigd Koninkrijk de European Union (Withdrawal) Act 2018 (EUWA) (15) (wet inzake de terugtrekking uit de Europese Unie 2018) vast, waarin rechtstreeks toepasselijk Unierecht werd omgezet in het recht van het Verenigd Koninkrijk en waarin werd bepaald dat zogenoemde „EU-derived domestic legislation” (van de EU afgeleide interne wetgeving) verder rechtsgevolgen zou blijven hebben na afloop van de overgangsperiode. Deel 3 van de DPA 2018 (16) tot omzetting van Richtlijn (EU) 2016/680 vormt „EU-derived domestic legislation” in de zin van de EUWA. Overeenkomstig de EUWA moet de ongewijzigde van de EU afgeleide interne wetgeving door de rechtbanken van het Verenigd Koninkrijk worden uitgelegd overeenkomstig de relevante jurisprudentie van het Hof van Justitie van de Europese Unie (hierna “Hof van Justitie” genoemd) en de algemene beginselen van het Unierecht zoals deze onmiddellijk vóór het einde van de overgangsperiode van toepassing waren (respectievelijk „retained EU case law” (gehandhaafde EU-jurisprudentie) en „retained general principles of EU law” (gehandhaafde algemene beginselen van het Unierecht) genoemd) (17). (13) De ministers van het Verenigd Koninkrijk zijn uit hoofde van de EUWA bevoegd om aan de hand van statutory instruments (gedelegeerde handelingen van de uitvoerende macht) secundaire wetgeving in te voeren teneinde in het gehandhaafde Unierecht de nodige wijzigingen door te voeren die voortvloeien uit de terugtrekking van het Verenigd Koninkrijk uit de Unie. Deze bevoegdheid werd uitgeoefend met de Data Protection, Privacy and Electronic Communications (Amendments etc. ) (EU Exit) Regulations 2019 (DPPEC Regulations) (18). Met deze rechtshandelingen werd de gegevensbeschermingswetgeving van het Verenigd Koninkrijk, waaronder de DPA 2018, gewijzigd en aangepast aan de binnenlandse context (19).  (14) Bijgevolg zullen de rechtsnormen inzake de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de preventie, het onderzoek, de opsporing of de vervolging van strafbare feiten en de uitvoering van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid in het Verenigd Koninkrijk na de overgangsperiode uit hoofde van het Terugtrekkingsakkoord in de relevante delen van de DPA 2018 uiteengezet blijven, maar wel zoals gewijzigd bij de DPPEC Regulations, met name deel 3 van die rechtshandeling. De Britse General Data Protection Regulation (hierna de “UK GDPR” genoemd), de algemene rechtshandeling met betrekking tot gegevensbescherming, is niet van toepassing op dit type verwerking. (15) Deel 3 van de DPA 2018 voorziet in de regels voor de verwerking van persoonsgegevens met het oog op de handhaving van het strafrecht, met inbegrip van beginselen inzake gegevensbescherming, rechtsgrondslagen van de verwerking (rechtmatigheid), rechten van de betrokkenen, verplichtingen van de bevoegde autoriteiten in hun hoedanigheid van verwerkingsverantwoordelijke en beperkingen op verdere doorgifte. In de delen 5 en 6 van de DPA 2018 wordt meteen ook voorzien in toepasselijke regels inzake toezicht, handhaving en verhaal op het gebied van rechtshandhaving. (16) In het licht van de belangrijke rol die de politiediensten vervullen op het gebied van rechtshandhaving moeten bovendien de regels voor het politiewerk in beschouwing worden genomen. Aangezien politiewerk een gedecentraliseerde aangelegenheid is, zijn verschillende stukken wetgeving, die inhoudelijk echter vaak niet veel van elkaar verschillen, van toepassing op het politiewerk in a) Engeland en Wales, b) Schotland en c) Noord-Ierland (20). Bovendien verschaffen verschillende richtsnoeren aanvullende toelichtingen op de manier waarop de politie haar bevoegdheden moet gebruiken. Er zijn drie belangrijke soorten richtsnoeren voor de politie: 1) wettelijke richtsnoeren die zijn uitgevaardigd uit hoofde van de wetgeving, zoals de Code of Ethics (21) (gedragscode) en de Code of Practice on the Management of Police Information (MoPI Code of Practice, de praktijkcode beheer politie-informatie, MoPI-praktijkcode) (22) uitgevaardigd uit hoofde van de Police Act 1996 (23) of PACE-codes (24) uitgevaardigd uit hoofde van de Police and Criminal Evidence Act (25), 2) toegestane beroepspraktijken in verband met het beheer van politie-informatie (Authorised Professional Practice on the Management of Police Information, APP-richtsnoeren) (26), uitgevaardigd door het College of Policing (College van politiezaken) en 3) operationele richtsnoeren (die door de politie zelf worden gepubliceerd).  De National Police Chiefs” Council (een coördinerend orgaan voor alle politiediensten in het Verenigd Koninkrijk) publiceert operationele richtsnoeren die alle politiediensten hebben goedgekeurd en die derhalve nationaal van toepassing zijn (27). Deze richtsnoeren moeten zorgen voor samenhang in de manier waarop informatie door alle politiediensten wordt beheerd (28). (17) De MoPI-praktijkcode werd in 2005 uitgevaardigd door de Secretary of State (minister), die daarvoor gebruikmaakte van de bevoegdheden zoals bepaald in artikel 39A van de Police Act 1996 (29). Elke praktijkcode die uit hoofde van de Police Act wordt uitgevaardigd, moet worden goedgekeurd door de Secretary of State en voor overleg worden voorgelegd aan het National Crime Agency (NCA — nationale recherche) voordat deze praktijkcode aan het parlement wordt voorgelegd. Volgens artikel 39A, lid 7, van de Police Act moet de politie codes die uit hoofde van die wet worden uitgevaardigd naar behoren in acht nemen en wordt dus verwacht dat de politie zich aan die codes houdt (30). Bovendien moeten niet-wettelijke richtsnoeren (zoals de APP-richtsnoeren in verband met het beheer van politie-informatie) altijd in overeenstemming zijn met de MoPI-praktijkcode, die voorrang heeft (31). Hoewel er bepaalde operationele situaties kunnen bestaan waarin politieagenten van deze richtsnoeren moeten afwijken, moeten zij steeds de voorschriften van deel 3 van de DPA 2018 naleven (32). (18) Verdere richtsnoeren in verband met de gegevenbeschermingswetgeving van het Verenigd Koninkrijk voor de verwerking van gegevens op het gebied van rechtshandhaving worden verstrekt door de Information Commissioner’s Office (het bureau van de toezichthouder informatie, hierna ook “ICO” genoemd) (33) (nadere informatie over het ICO is te vinden in de overwegingen 93 tot en met 109). Hoewel de richtsnoeren geen juridisch bindend karakter hebben, zouden rechtbanken in een rechtszaak verplicht zijn rekening te houden met een inbreuk op die richtsnoeren, aangezien zij van belang zijn voor de interpretatie en aangeven hoe de gegevensbeschermingswetgeving in de praktijk door de Information Commissioner wordt uitgelegd en gehandhaafd (34). (19) Tot slot moeten de Britse rechtshandhavingsinstanties, zoals vermeld in de overwegingen 8, 9 en 10, de naleving van het EVRM en Verdrag 108 waarborgen. (20) Het juridisch kader voor de gegevensverwerking door Britse strafrechtelijke handhavingsinstanties vertoont qua structuur en hoofdonderdelen dus grote gelijkenis met het juridisch kader dat in de EU van toepassing is.  Dit omvat het feit dat dit kader niet alleen berust op in het interne recht neergelegde verplichtingen, die zijn vormgegeven door het Unierecht, maar ook op verplichtingen die zijn verankerd in het internationaal recht, met name doordat het Verenigd Koninkrijk zich houdt aan het EVRM en Verdrag 108 en zich onderwerpt aan de rechtspraak van het Europees Hof voor de Rechten van de Mens. Deze verplichtingen die voortvloeien uit juridisch bindende internationale instrumenten, met name betreffende de bescherming van persoonsgegevens, zijn daarom een zeer belangrijk onderdeel van het juridisch kader dat in dit besluit wordt beoordeeld. 2. 3. Materieel en territoriaal toepassingsgebied (21) Het materiële toepassingsgebied van deel 3 van de DPA 2018 valt samen met het toepassingsgebied van Richtlijn (EU) 2016/680 zoals bepaald in artikel 2, lid 2, van die richtlijn. Deel 3 van de DPA 2018 is van toepassing op de geheel of gedeeltelijk geautomatiseerde, alsmede op de niet-geautomatiseerde verwerking door een bevoegde autoriteit van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen. (22) Om onder het toepassingsgebied van deel 3 van de DPA 2018 te vallen, moet de verwerkingsverantwoordelijke bovendien een bevoegde autoriteit (“competent authority”) zijn en moet de verwerking worden verricht met het oog op rechtshandhaving (“law enforcement purpose”). De gegevensbeschermingsregeling die in dit besluit wordt beoordeeld, is derhalve van toepassing op alle rechtshandhavingsactiviteiten van deze bevoegde autoriteiten. (23) Het begrip “bevoegde autoriteit” wordt in artikel 30 van de DPA 2018 gedefinieerd als een persoon die is opgenomen in bijlage 7 bij de DPA 2018 evenals elke andere persoon voor zover die persoon wettelijke taken vervult ten behoeve van rechtshandhaving. De bevoegde autoriteiten die in bijlage 7 zijn opgenomen, omvatten niet alleen politiediensten, maar ook alle Britse ministeriële overheidsinstanties evenals andere autoriteiten met een onderzoeksopdracht (bv. de Commissioner for Her Majesty’s Revenue and Customs, de Welsh Revenue Authority, de Competition and Markets Authority, Her Majesty’s Land Register of het National Crime Agency), met vervolging belaste instanties, andere strafrechtelijke instanties en andere functionarissen of organisaties die zijn belast met rechtshandhaving (35). Deel 3 van de DPA 2018 geldt ook voor rechtbanken en hoven wanneer zij hun rechterlijke taken uitoefenen, met uitzondering van het gedeelte in verband met de rechten van betrokkenen en ICO-toezicht (36).  De lijst met bevoegde autoriteiten in bijlage 7 is niet definitief en kan door de Secretary of State aan de hand van regulations (een van de eerder genoemde statutory instruments) worden geactualiseerd, met inachtneming van wijzigingen in de organisatie van de openbare diensten (37). (24) De desbetreffende verwerking moet ook dienen voor een “rechtshandhavingsdoeleinde”, dat wordt gedefinieerd als de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de uitvoering van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid (38). Verwerking door een bevoegde autoriteit wordt niet geregeld in deel 3 van de DPA 2018 wanneer dit niet gebeurt ten behoeve van rechtshandhaving. Dat is bijvoorbeeld het geval wanneer de Competition and Markets Authority (Autoriteit Concurrentie en Markten) zaken onderzoekt die niet strafbaar zijn gesteld (bijvoorbeeld fusies tussen ondernemingen). In dat geval zal de UK GDPR, samen met deel 2 van de DPA 2018, van toepassing zijn aangezien de verwerking van persoonsgegevens door bevoegde autoriteiten wordt verricht voor andere doeleinden dan rechtshandhavingsdoeleinden. Om te bepalen welke gegevensbeschermingsregeling (deel 3 of deel 2 van de DPA 2018) van toepassing is op de verwerking van de betrokken persoonsgegevens, moet de bevoegde autoriteit, d. w. z. de verwerkingsverantwoordelijke, nagaan of het hoofddoel van de verwerking een van de rechtshandhavingsdoeleinden in de zin van de DPA 2018 is. (25) Wat het territoriale toepassingsgebied van deel 3 van de DPA 2018 betreft, is in artikel 207, lid 2, bepaald dat de DPA geldt voor de verwerking van persoonsgegevens in het kader van de activiteiten van een persoon die een vestiging heeft op het gehele grondgebied van het Verenigd Koninkrijk. Dit omvat overheidsinstanties van het grondgebied van Engeland, Wales, Schotland en Noord-Ierland die vallen onder het materiële toepassingsgebied van deel 3 van de DPA 2018 (39). 2. 3. 1. Definitie van persoonsgegevens en verwerking (26) De sleutelbegrippen “persoonsgegevens” en “verwerking” zijn gedefinieerd in artikel 3 van de DPA 2018 en zijn van toepassing in de gehele DPA. De definities sluiten nauw aan bij de overeenkomstige definities in artikel 3 van Richtlijn (EU) 2016/680. Krachtens de DPA 2018 zijn persoonsgegevens alle informatie over een geïdentificeerde of identificeerbare levende persoon (40).  Op grond van artikel 3, lid 3, van de DPA 2018 is een persoon identificeerbaar als hij/zij direct of indirect kan worden geïdentificeerd aan de hand van de informatie, onder meer met behulp van een verwijzing naar een naam of een identificatiemiddel of naar een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die persoon. Het begrip “verwerking” wordt gedefinieerd als een bewerking of een geheel van bewerkingen met betrekking tot informatie of een geheel van informatie, zoals a) het verzamelen, vastleggen, ordenen, structureren of opslaan; b) het bijwerken of wijzigen; c) het opvragen, raadplegen of gebruiken; d) het verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen; e) het aligneren of combineren; of f) het afschermen, wissen of vernietigen van gegevens. Bovendien wordt “gevoelige verwerking” in de wet gedefinieerd als “a) de verwerking van persoonsgegevens die ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen of het lidmaatschap van een vakbond onthult; b) de verwerking van genetische gegevens of van biometrische gegevens met het oog op de unieke identificatie van een persoon; c) de verwerking van gegevens over gezondheid; d) de verwerking van gegevens betreffende het seksuele gedrag of de seksuele gerichtheid van een persoon” (41). In dit verband wordt in artikel 205 van de DPA 2018 de definitie verstrekt van “biometrische gegevens” (42), “gegevens over gezondheid” (43) en “genetische gegevens” (44). (27) Artikel 32 van de DPA 2018 verduidelijkt de definities van “verwerkingsverantwoordelijke” en “verwerker” in verband met de verwerking van persoonsgegevens ten behoeve van rechtshandhaving; die definities sluiten nauw aan bij de equivalente definities in Richtlijn (EU) 2016/680. De verwerkingsverantwoordelijke is de bevoegde autoriteit die de doeleinden van en de middelen voor de verwerking van persoonsgegevens vaststelt. Wanneer de verwerking volgens de wet vereist is, is de verwerkingsverantwoordelijke de bevoegde autoriteit waaraan die verplichting door de betrokken wet is opgelegd. Een verwerker is elke persoon die ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt (en die geen werknemer is van de verwerkingsverantwoordelijke). 2. 4. Waarborgen, rechten en verplichtingen 2. 4. 1. Rechtmatigheid en behoorlijkheid van de verwerking (28) Krachtens artikel 35 van de DPA 2018 moet de verwerking van persoonsgegevens rechtmatig en eerlijk zijn, zoals ook wordt vermeld in artikel 4, lid 1, punt a), van Richtlijn (EU) 2016/680.  Overeenkomstig artikel 35, lid 2, van de DPA 2018 is de verwerking van persoonsgegevens ten behoeve van rechtshandhaving alleen rechtmatig als die verwerking gebaseerd is op het recht en ofwel de betrokkene toestemming heeft gegeven voor de verwerking voor dat doel ofwel de verwerking noodzakelijk is voor de vervulling van een taak die met dat doel door een bevoegde autoriteit wordt verricht. 2. 4. 1. 1. Verwerking op basis van het recht (29) Net als in artikel 8 van Richtlijn (EU) 2016/680 is bepaald, moet een verwerking die valt onder deel 3 van de DPA 2018 op het recht zijn gebaseerd om rechtmatig te zijn. “Rechtmatige” verwerking betekent dat de verwerking is toegestaan op grond van een statute, common law of koninklijk prerogatief (45). (30) De bevoegdheden van de bevoegde autoriteiten worden in het algemeen geregeld door statutes, hetgeen betekent dat hun taken en bevoegdheden duidelijk zijn uiteengezet in door het parlement aangenomen wetgeving (46). In bepaalde gevallen kunnen de politie en andere bevoegde autoriteiten die zijn opgenomen in de lijst van bijlage 7 bij de DPA 2018 op common law steunen voor de verwerking van gegevens (47). De common law is opgebouwd via precedenten die door beslissingen van de rechtbanken zijn vastgesteld. De common law is relevant in het kader van de bevoegdheden waarover de politie beschikt, die uit deze rechtsbron haar kernopdracht afleidt, namelijk het publiek beschermen door misdrijven op te sporen en te voorkomen (48). De politiediensten hebben echter zowel bevoegdheden uit hoofde van de common law als uit hoofde van de wet (49) om die opdracht uit te voeren. Wanneer de politie een bevoegdheid heeft die op een statute (een geschreven wet) gebaseerd is, komt deze in de plaats van een bevoegdheid op grond van de common law (50). (31) Zoals erkend is door de rechtbanken omvatten de bevoegdheden en verplichtingen van politieagenten op grond van de common law “alle stappen die volgens hen nodig zijn om de vrede te bewaren, misdrijven te voorkomen of eigendom te beschermen tegen geweldmisdrijven” (51). Bevoegdheden op grond van de common law zijn geen absolute bevoegdheden. Zij zijn onderworpen aan een reeks beperkingen, onder meer beperkingen die zijn vastgesteld door de rechtbanken (52) en door de wetgeving, met name de Human Rights Act 1998 en de Equality Act 2010 (gelijkheidswet 2010) (53).  Voor bevoegde autoriteiten die gegevens verwerken krachtens deel 3 van de DPA 2018 houdt dit bovendien in dat zij hun bevoegdheden op grond van de common law moeten uitoefenen in overeenstemming met de voorschriften van de DPA 2018 (54). In een besluit om eender welke vorm van gegevensverwerking te verrichten moet voorts rekening worden gehouden met de voorschriften van de toepasselijke richtsnoeren, zoals de MoPI-praktijkcode, en van richtsnoeren die specifiek in een van de landen van het Verenigd Koninkrijk geldig zijn (55). De regering en de operationele politie hebben een aantal richtsnoeren uitgevaardigd om ervoor te zorgen dat politieagenten hun bevoegdheden uitoefenen binnen de grenzen die zijn vastgelegd in de common law of de betrokken statute (56). (32) Koninklijke prerogatieven vormen een ander bestanddeel van het recht; zij verwijzen naar bepaalde bevoegdheden waarover de Kroon beschikt en die door de uitvoerende macht mogen worden uitgeoefend, en die niet gebaseerd zijn op een statute, maar voortvloeien uit de soevereiniteit van de vorst (57). In de context van de rechtshandhaving zijn slechts enkele voorbeelden van prerogatieve bevoegdheden relevant. Daartoe behoren onder meer het kader voor wederzijdse rechtsbijstand aan de hand waarvan een Secretary of State (minister) met derde landen gegevens kan delen ten behoeve van rechtshandhaving. De bevoegdheid om op deze manier gegevens te delen is niet altijd vastgesteld in een statute (58). Koninklijke prerogatieven zijn gebonden door commonlaw-beginselen (59) en zijn ondergeschikt aan de statutes, met als gevolg dat zij onderworpen zijn aan de grenzen die zijn bepaald in de Human Rights Act 1998 en de DPA 2018 (60). (33) Net als artikel 8 van Richtlijn (EU) 2016/680 vereist ook de Britse regeling dat de bevoegde autoriteiten om te voldoen aan het rechtmatigheidsbeginsel ervoor moeten zorgen dat, wanneer de verwerking gebaseerd is op het recht, die verwerking ook “noodzakelijk” moet zijn voor de uitvoering van een taak ten behoeve van rechtshandhaving. Het ICO verstrekt hierover richtsnoeren waarin wordt verduidelijkt dat “er sprake moet zijn van een doelgericht en evenredig middel om het doel te bereiken. De rechtsgrondslag is niet van toepassing als het doel redelijkerwijs kan worden bereikt met behulp van andere, minder indringende middelen. Volgens het ICO volstaat het niet dat iemand stelt dat de verwerking noodzakelijk is omdat hij/zij ervoor heeft gekozen zijn/haar bedrijf op een bepaalde manier te runnen. De vraag is of de verwerking noodzakelijk is voor het vermelde doel” (61). 2. 4. 1. 2.  Verwerking op grond van de toestemming van de betrokkene (34) Zoals vermeld in overweging 28, is in artikel 35, lid 2, van de DPA 2018 voorzien in de mogelijkheid om persoonsgegevens te verwerken op basis van de toestemming (“consent”) van de betrokkene. (35) Toestemming blijkt echter geen rechtsgrond te zijn die relevant is voor de verwerkingsactiviteiten die onder het toepassingsgebied van dit besluit vallen. In feite zullen de verwerkingsactiviteiten die onder dit besluit vallen altijd betrekking hebben op gegevens die uit hoofde van Richtlijn (EU) 2016/680 door een bevoegde autoriteit van een lidstaat zijn doorgegeven aan een Britse bevoegde autoriteit. Die activiteiten zullen daarom doorgaans geen betrekking hebben op de directe interactie (het verzamelen van gegevens) tussen een overheid en betrokkenen die gebaseerd kan zijn op toestemming uit hoofde van artikel 35, lid 2, punt a), van de DPA 2018. (36) Hoewel het gebruik van toestemming niet relevant wordt geacht voor de beoordeling die uit hoofde van dit besluit wordt verricht, is het volledigheidshalve wel vermeldenswaard dat verwerking in het kader van de rechtshandhaving nooit uitsluitend gebaseerd is op toestemming aangezien een bevoegde autoriteit altijd moet beschikken over een onderliggende bevoegdheid waardoor zij gemachtigd is de gegevens te verwerken (62). Meer specifiek en vergelijkbaar met wat is toegestaan uit hoofde van Richtlijn (EU) 2016/680 (63), betekent dit dat toestemming dient als een aanvullende voorwaarde om bepaalde begrensde en specifieke verwerkingsactiviteiten mogelijk te maken die anders niet uitgevoerd zouden kunnen worden, bijvoorbeeld de verzameling en verwerking van een DNA-monster van een persoon die geen verdachte is. In dat geval zou de verwerking niet uitgevoerd worden als de toestemming niet wordt gegeven of wordt ingetrokken (64). (37) In gevallen waarin de toestemming van de betrokkene vereist is, moet die toestemming ondubbelzinnig zijn en een duidelijke actieve handeling behelzen (65). De politiediensten moeten een privacyverklaring hebben, waarin onder meer de nodige informatie is opgenomen in verband met het geldige gebruik van toestemming. Daarnaast publiceren sommige politiediensten aanvullende informatie over de manier waarop zij de gegevensbeschermingswetgeving naleven, onder meer hoe en wanneer zij toestemming als rechtsgrond zouden gebruiken (66). 2. 4. 1. 3. Verwerking van gevoelige gegevens (38) Wanneer bijzondere categorieën gegevens worden verwerkt, moet worden voorzien in bijzondere waarborgen.  In dit verband worden, naar analogie van het bepaalde in artikel 10 van Richtlijn (EU) 2016/680, in deel 3 van de DPA 2018 sterkere waarborgen geboden voor zogenoemde „sensitive processing” (verwerking van gevoelige gegevens) (67). (39) Volgens artikel 35, lid 3, van de DPA 1998 kunnen gevoelige gegevens slechts in twee gevallen door bevoegde autoriteiten met het oog op rechtshandhaving worden verwerkt: 1) de betrokkene heeft toestemming gegeven voor de verwerking met het oog op rechtshandhaving en de verwerkingsverantwoordelijke beschikt op het ogenblik waarop de verwerking plaatsvindt over een passend beleidsdocument (68); of 2) de verwerking is strikt noodzakelijk ten behoeve van rechtshandhaving, de verwerking voldoet aan ten minste een van de voorwaarden in bijlage 8 bij de DPA 2018, en de verwerkingsverantwoordelijke beschikt op het ogenblik waarop de verwerking plaatsvindt over een passend beleidsdocument (69). (40) Wat het eerste geval betreft, en zoals uiteengezet in overweging 38, wordt het inroepen van toestemming niet relevant geacht voor de doorgiftesituaties als bedoeld in dit besluit (70). (41) Wanneer de verwerking van gevoelige gegevens niet op toestemming berust, kan deze worden verricht aan de hand van een van de voorwaarden die zijn opgenomen in bijlage 8 bij de DPA 2018. Deze voorwaarden hebben betrekking op verwerking die noodzakelijk is voor wettelijke doeleinden; de rechtsbedeling; de bescherming van de vitale belangen van de betrokkene of een andere persoon; de bescherming van kinderen en van personen die risico lopen; rechtsvorderingen; gerechtelijke uitspraken; de voorkoming van fraude; archivering; wanneer persoonsgegevens kennelijk openbaar gemaakt zijn door de betrokkene. Met uitzondering van het geval waarin de gegevens kennelijk openbaar zijn gemaakt, worden alle voorwaarden van bijlage 8 aan een toetsing van strikte noodzakelijkheid (“strict necessity”) onderworpen. Zoals door het ICO wordt verduidelijkt, “betekent “strikt noodzakelijk” in dit verband dat de verwerking verband moet houden met een dringende sociale behoefte, en dat daaraan redelijkerwijze niet kan worden tegemoetgekomen met minder indringende middelen” (71). Bovendien gelden er voor sommige voorwaarden aanvullende beperkingen. Om bijvoorbeeld de voorwaarde “wettelijke doeleinden” of “bescherming” (bijlage 8, punten 1 en 4) te kunnen inroepen, moet er een aanvullende uitgebreide toetsing van het openbaar belang worden verricht. In verband met de voorwaarden met betrekking tot de bescherming van het kind (bijlage 8, punt 4) moet de betrokkene ook een welbepaalde leeftijd hebben en aangemerkt zijn als een persoon die risico loopt.  Bovendien kan de verwerkingsverantwoordelijke de in bijlage 8, punt 4, vastgestelde voorwaarde uitsluitend toepassen in welbepaalde omstandigheden (72). Evenzo gelden er beperkingen voor de voorwaarden “gerechtelijke uitspraken” en “voorkoming van fraude” (bijlage 8, punten 7 en 8). Beide zijn alleen op specifieke verwerkingsverantwoordelijken van toepassing. Wat gerechtelijke uitspraken betreft, mag alleen een rechtbank of een andere rechterlijke instantie gebruikmaken van een dergelijke voorwaarde, en in het geval van fraudepreventie kunnen alleen verwerkingsverantwoordelijken die fraudebestrijdingsorganisaties zijn deze voorwaarde inroepen. (42) Wanneer de verwerking tot slot berust op een van de in bijlage 8 vermelde voorwaarden, respectievelijk geschiedt uit hoofde van artikel 42 van de DPA 2018, moet er een passend beleidsdocument bestaan — waarin de procedures worden toegelicht die de verwerkingsverantwoordelijke gebruikt om naleving van de gegevensbeschermingsbeginselen te garanderen en de beleidsmaatregelen worden toegelicht die de verwerkingsverantwoordelijke heeft getroffen in verband met de bewaring en wissing van persoonsgegevens — en gelden de verplichtingen inzake het bijhouden van een uitgebreid register. 2. 4. 2. Doelbinding (43) Persoonsgegevens moeten worden verwerkt voor een specifiek doel en mogen vervolgens uitsluitend worden gebruikt voor doeleinden die niet onverenigbaar zijn met het doel van de verwerking. Dit gegevensbeschermingsbeginsel wordt gewaarborgd door artikel 36 van de DPA 2018. Net als artikel 4, lid 1, punt b), van Richtlijn (EU) 2016/680 vereist deze bepaling dat a) persoonsgegevens in elk geval voor welbepaalde, uitdrukkelijk omschreven en legitieme rechtshandhavingdoeleinden moeten worden verzameld en b) niet op een met die doeleinden onverenigbare wijze mogen worden verwerkt. (44) Wanneer bevoegde autoriteiten gegevens verwerken ten behoeve van rechtshandhaving, kan het daarbij gaan om archivering, wetenschappelijk of historisch onderzoek of statistische doeleinden (73). In deze gevallen wordt in de DPA 2018 ook verduidelijkt dat archivering (of de verwerking met het oog op wetenschappelijk of historisch onderzoek of voor statistische doeleinden) niet is toegestaan wanneer dit wordt verricht met betrekking tot besluiten in verband met een welbepaalde betrokkene of indien dit wellicht zou leiden tot aanzienlijke schade of leed voor deze betrokkene (74). 2. 4. 3. Juistheid en gegevensminimalisatie (45) De gegevens moeten juist zijn en moeten zo nodig worden bijgewerkt. Zij moeten ook toereikend zijn, ter zake dienend en niet bovenmatig in verhouding tot de doeleinden waarvoor zij worden verwerkt. Deze beginselen worden, naar analogie van het bepaalde in artikel 4, lid 1, punten c), d) en e), van Richtlijn (EU) 2016/680, gewaarborgd in de artikelen 37 en 38 van de DPA 2018.  Alle redelijke maatregelen moeten worden genomen om te waarborgen dat onjuiste persoonsgegevens (75) onverwijld worden gewist of rechtgezet (76), in het licht van het rechtshandhavingsdoel waarvoor zij worden verwerkt (77), en om te waarborgen dat onjuiste, onvolledige of niet langer actuele persoonsgegevens niet worden doorgegeven of beschikbaar worden gesteld voor een van de rechtshandhavingsdoelen (78). (46) Voorts wordt, net als in artikel 7 van Richtlijn (EU) 2016/680, ook in de Britse gegevensbeschermingsregeling gespecificeerd dat persoonsgegevens die op feiten zijn gebaseerd, voor zover mogelijk moeten worden onderscheiden van persoonsgegevens die op een persoonlijk oordeel zijn gebaseerd (79). Waar relevant en voor zover mogelijk moet een duidelijk onderscheid worden gemaakt tussen persoonsgegevens in verband met verschillende categorieën van betrokkenen, zoals verdachten, personen die voor een strafbaar feit zijn veroordeeld, slachtoffers van een strafbaar feit en getuigen (80). 2. 4. 4. Opslagbeperking (47) Krachtens artikel 5 van Richtlijn (EU) 2016/680 mogen gegevens in principe niet langer worden bewaard dan nodig is voor de doeleinden waarvoor de persoonsgegevens worden verwerkt. Overeenkomstig artikel 39 van de DPA 2018 en naar analogie van artikel 5 van die richtlijn is het verboden om persoonsgegevens die werden verwerkt met het oog op rechtshandhaving langer te bewaren dan nodig is in verband met het doel waarvoor ze worden verwerkt. Volgens de rechtsorde van het Verenigd Koninkrijk moeten passende termijnen worden vastgelegd voor een periodieke evaluatie van de noodzaak van verdere opslag van persoonsgegevens ten behoeve van rechtshandhaving. Verdere regels voor werkwijzen in verband met de bewaring van persoonsgegevens en de toepasselijke termijnen zijn uiteengezet in de relevante wetgeving en richtsnoeren voor de bevoegdheden en de werking van de politie. In Engeland en Wales, bijvoorbeeld, voorziet de MoPI-praktijkcode van het College of Policing, samen met de APP-richtsnoeren in verband met het beheer van politie-informatie, in een kader dat een consistent op risico’s gebaseerd bewarings-, evaluatie- en verwijderingsproces voor het beheer van operationele politie-informatie moet waarborgen (81). In dit kader wordt duidelijk uiteengezet wat er van alle diensten wordt verwacht in verband met de manier waarop informatie wordt aangemaakt, gedeeld, gebruikt en beheerd bij en tussen afzonderlijke politiediensten en andere instanties (82). Van de politie wordt verwacht dat zij de praktijkcode naleeft en die naleving wordt gecontroleerd door Her Majesty’s Inspectorate of Constabulary and Fire & Rescue Services (83). (48) De Police Service of Northern Ireland (PSNI) is wettelijk niet verplicht om zich aan de MoPI-praktijkcode te houden.  Het in 2011 vastgestelde MoPI-kader is echter aangevuld met een PSNI Handbook (84) waarin beleidsmaatregelen en procedures zijn uiteengezet over de manier waarop de MoPI-praktijkcode in Noord-Ierland wordt toegepast. (49) In Schotland maken de politiediensten gebruik van de Record Retention Standard Operating Procedure (SOP) (85), een operationele standaardprocedure die dient ter ondersteuning van hun beleid voor archiefbeheer (86). In de SOP zijn specifieke archiveringsregels vastgesteld voor de dossiers van de Schotse politie. (50) Naast het overkoepelende vereiste om dossiers te controleren, dat geldt in het gehele Verenigd Koninkrijk, zijn in plaatselijke regelgeving nadere bijzonderheden vastgesteld. Een paar voorbeelden: met betrekking tot Engeland en Wales zijn in de Police and Criminal Evidence Act, zoals gewijzigd bij de Protection of Freedom Act 2012 (PoFA) bepalingen opgenomen betreffende de bewaring van vingerafdrukken en DNA-profielen en betreffende een specifieke regeling voor niet-veroordeelde personen (87). Met de PoFA werd ook de functie van Commissioner for the Retention and Use of Biometric Material (de Biometrics Commissioner, de toezichthouder bewaring en gebruik van biometrische materialen) in het leven geroepen (88). Specifieke regels in verband met beeldmateriaal van mensen in verzekerde bewaring zijn vastgesteld in de Custody Image Review van 2017 (89). Voor Schotland voorziet de Criminal Procedure (Scotland) Act 1995 in regels voor het verkrijgen en bewaren van vingerafdrukken en biologische monsters (90). Net als in Engeland en Wales is de bewaring van biometrische gegevens in verschillende gevallen bij wet geregeld (91). 2. 4. 5. Beveiliging van gegevens (51) Persoonsgegevens moeten op een dusdanige manier worden verwerkt dat de beveiliging ervan gewaarborgd is, en dat zij onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging. Daartoe moeten overheidsinstanties passende technische of organisatorische maatregelen treffen om de persoonsgegevens te beschermen tegen mogelijke bedreigingen. Bij de beoordeling van die maatregelen moet rekening worden gehouden met de stand van de techniek en de ermee gemoeide kosten. (52) Deze beginselen komen tot uitdrukking in artikel 40 van de DPA 2018, waarin, naar analogie van het bepaalde in artikel 4, lid 1, punt f), van Richtlijn (EU) 2016/680, is vastgesteld dat persoonsgegevens die worden verwerkt met het oog op rechtshandhaving met gebruikmaking van passende technische of organisatorische middelen op een dusdanige manier moeten worden verwerkt dat de beveiliging ervan gewaarborgd is. Dit behelst ook dat de gegevens beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging (92).  In artikel 66 van de DPA 2018 is voorts bepaald dat elke verwerkingsverantwoordelijke en elke verwerker passende technische en organisatorische maatregelen moet treffen om een beveiligingsniveau te waarborgen dat is afgestemd op de risico’s die voortvloeien uit de verwerking van persoonsgegevens. Volgens de memorie van toelichting moet de verwerkingsverantwoordelijke de risico’s analyseren en passende veiligheidsmaatregelen toepassen op basis van deze analyse, bijvoorbeeld encryptie of veiligheidsmachtigingen van een bepaald niveau voor de medewerkers die de gegevens verwerken (93). In de analyse moet ook rekening worden gehouden met, bijvoorbeeld, de aard van de verwerkte gegevens en andere relevante factoren of omstandigheden die de veiligheid van de verwerking nadelig zouden kunnen beïnvloeden. (53) De regeling in verband met de naleving van de gegevensbeschermingsbeginselen loopt sterk gelijk met de regeling die is vastgesteld bij de artikelen 29, 30 en 31 van Richtlijn (EU) 2016/680. Wanneer zich een inbreuk in verband met persoonsgegevens voordoet waarvoor de verwerkingsverantwoordelijke verantwoordelijk is, moet deze laatste, overeenkomstig artikel 67, lid 1, van de DPA 2018, zonder onnodige vertraging en indien mogelijk niet meer dan 72 uur nadat hij/zij ervan kennis heeft genomen, deze inbreuk melden aan de Information Commissioner (94). Deze meldingsplicht geldt niet wanneer de inbreuk in verband met persoonsgegevens waarschijnlijk geen risico met zich meebrengt voor de rechten en vrijheden van personen (95). De verwerkingsverantwoordelijke moet de feiten omtrent een inbreuk, de gevolgen ervan en de genomen corrigerende maatregelen dusdanig documenteren dat de Information Commissioner de naleving van de DPA kan controleren (96). Als een verwerker in kennis wordt gesteld van een inbreuk op de beveiliging, moet deze die inbreuk zonder onnodige vertraging melden aan de verwerkingsverantwoordelijke (97). (54) Als een inbreuk in verband met persoonsgegevens waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van personen, moet de verwerkingsverantwoordelijke, krachtens artikel 68, lid 1, van de DPA 2018, de betrokkene zonder onnodige vertraging in kennis stellen van die inbreuk (98). De melding moet dezelfde informatie bevatten als de in overweging 53 bedoelde kennisgeving aan de Information Commissioner. Deze verplichting geldt niet wanneer de verwerkingsverantwoordelijke passende technische en organisatorische beschermingsmaatregelen heeft genomen, die zijn toegepast op de persoonsgegevens waarop de inbreuk in verband met persoonsgegevens betrekking heeft. Deze verplichting geldt evenmin als de verwerkingsverantwoordelijke achteraf maatregelen heeft genomen om ervoor te zorgen dat het hoge risico voor de rechten en vrijheden van betrokkenen zich waarschijnlijk niet meer zal voordoen.  Tot slot hoeft de verwerkingsverantwoordelijke de betrokkene geen melding te doen als dit een onevenredige inspanning zou vergen (99). In dat geval moet de informatie op een andere, even doeltreffende manier aan de betrokkene beschikbaar worden gesteld, bijvoorbeeld via een openbare mededeling (100). Indien de verwerkingsverantwoordelijke de inbreuk in verband met persoonsgegevens nog niet aan de betrokkene heeft meegedeeld, kan de Information Commissioner, na ontvangst van de melding krachtens artikel 67 van de DPA en na te hebben nagegaan of de inbreuk in verband met persoonsgegevens een hoog risico met zich meebrengt, de verwerkingsverantwoordelijke ertoe verplichten de inbreuk te melden aan de betrokkene (101). 2. 4. 6. Transparantie (55) Betrokkenen moeten worden ingelicht over de belangrijkste kenmerken van de verwerking van hun persoonsgegevens. Dit beginsel komt tot uitdrukking in artikel 44 van de DPA 2018 waarin, net als in artikel 13 van Richtlijn (EU) 2016/680, is bepaald dat de verwerkingsverantwoordelijke de algemene verplichting heeft om de betrokkenen informatie over de verwerking van hun persoonsgegevens te bezorgen (door die informatie algemeen beschikbaar of op een andere manier ter beschikking te stellen) (102). De informatie die ter beschikking moet worden gesteld, omvat a) de identiteit en contactgegevens van de verwerkingsverantwoordelijke; b) in voorkomend geval, de contactgegevens van de functionaris voor gegevensbescherming; c) de doeleinden van de verwerking waarvoor de persoonsgegevens zijn bestemd; d) het bestaan van het recht van de betrokkenen om de verwerkingsverantwoordelijke te verzoeken om toegang tot en rectificatie of wissing van hun persoonsgegevens, of beperking van de verwerking ervan; e) het bestaan van het recht een klacht in te dienen bij de Information Commissioner en de desbetreffende contactgegevens (103). (56) In specifieke gevallen met als doel de uitoefening van de rechten van een betrokkene krachtens de DPA 2018 mogelijk te maken (bijvoorbeeld wanneer de verwerkte persoonsgegevens werden verzameld zonder medeweten van de betrokkene), moet de verwerkingsverantwoordelijke de betrokkene informatie geven over a) de rechtsgrond van de verwerking; b) de periode gedurende welke de persoonsgegevens zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen; c) in voorkomend geval, de categorieën van ontvangers van de persoonsgegevens, ook in derde landen of internationale organisaties; d) indien noodzakelijk, extra informatie die nodig is om de betrokkene in staat te stellen zijn/haar rechten uit hoofde van deel 3 van de DPA 2018 uit te oefenen (104). 2. 4. 7.  Individuele rechten (57) Aan betrokkenen moet een aantal afdwingbare rechten worden verleend. In deel 3, hoofdstuk 3, van de DPA 2018 is bepaald dat personen recht hebben op inzage, rectificatie, wissing en beperking (105); deze rechten zijn vergelijkbaar met de rechten als bedoeld in hoofdstuk III van Richtlijn (EU) 2016/680. (58) Het inzagerecht is neergelegd in artikel 45 van de DPA 2018. Ten eerste heeft de betrokkene het recht om van de verwerkingsverantwoordelijke uitsluitsel te krijgen over de al dan niet verwerking van hem/haar betreffende persoonsgegevens (106). Ten tweede heeft de betrokkene, wanneer zijn/haar persoonsgegevens worden verwerkt, het recht om die persoonsgegevens in te zien en om de volgende informatie over de verwerking te verkrijgen: a) de doeleinden van en de rechtsgrond voor de verwerking; b) de betrokken gegevenscategorieën; c) de ontvanger aan wie de gegevens zijn bekendgemaakt; d) de periode gedurende welke de persoonsgegevens worden opgeslagen; e) het recht van de betrokkene om de persoonsgegevens te laten rectificeren of wissen; f) het recht om een klacht in te dienen, en g) alle informatie over de oorsprong van de desbetreffende persoonsgegevens (107). (59) Krachtens artikel 46 van de DPA 2018 heeft de betrokkene het recht van de verwerkingsverantwoordelijke rectificatie van hem/haar betreffende persoonsgegevens te verlangen. De verwerkingsverantwoordelijke moet de gegevens zonder onnodige vertraging rectificeren (of aanvullen wanneer de gegevens onjuist zijn omdat ze onvolledig zijn). Als de persoonsgegevens als bewijsmateriaal moeten worden bewaard, moet de verwerkingsverantwoordelijke de verwerking van de persoonsgegevens beperken (in plaats van ze te rectificeren) (108). (60) In artikel 47 van de DPA 2018 is bepaald dat personen het recht hebben hun persoonsgegevens te laten wissen en de verwerking ervan te beperken. De verwerkingsverantwoordelijke moet (109) persoonsgegevens zonder onnodige vertraging wissen wanneer de verwerking van de persoonsgegevens in strijd is met een van de gegevensbeschermingsbeginselen, de rechtsgronden van de verwerking of de waarborgen in verband met archivering en de verwerking van gevoelige gegevens. De verwerkingsverantwoordelijke moet de gegevens ook wissen als hij/zij daartoe wettelijk verplicht is. Als de persoonsgegevens moeten worden bewaard als bewijsmateriaal, moet de verwerkingsverantwoordelijke de verwerking van de persoonsgegevens beperken (in plaats van ze te wissen) (110). De verwerkingsverantwoordelijke moet de verwerking van persoonsgegevens beperken als een betrokkene de juistheid van de persoonsgegevens betwist en er niet kan worden vastgesteld of deze al dan niet juist zijn (111). 