Komisjoni rakendusotsus (EL) 2021/1772, 28. juuni 2021, mis põhineb Euroopa Parlamendi ja nõukogu määrusel (EL) 2016/679 ning käsitleb isikuandmete piisavat kaitset Ühendkuningriigis (teatavaks tehtud numbri C(2021) 4800 all) (EMPs kohaldatav tekst)
Een lid van dat Tribunal kan door Hare Majesteit van zijn functie worden ontheven op basis van een address (488) door het Lager- en het Hogerhuis (489). (265) Het Tribunal is krachtens artikel 65 van de RIPA 2000 de passende rechterlijke instantie voor klachten van personen die zich benadeeld achten door gedragingen in het kader van de IPA 2016, de RIPA 2000 of andere gedragingen van de inlichtingendiensten (490). (266) Om zich tot het Investigatory Powers Tribunal te wenden (“procesbevoegdheidsvereiste”), moet een persoon overeenkomstig artikel 65 van de RIPA 2000 ervan overtuigd zijn (491) dat de gedraging van een inlichtingendienst heeft plaatsgevonden met betrekking tot hem, zijn eigendom, eventuele door of aan hem verzonden of voor hem bedoelde communicatie, of zijn gebruik van de posterijen, telecommunicatiediensten of telecommunicatiesystemen” (492). Bovendien moet de klager ervan overtuigd zijn dat de gedraging onder “betwistbare omstandigheden” (493) of “door of namens de inlichtingendiensten” (494) heeft plaatsgevonden. Doordat met name deze norm betreffende de “overtuiging” van de betrokkene nogal breed geïnterpreteerd is (495), gelden voor het aanhangig maken van een zaak bij dat Tribunal geringe procesbevoegdheidsvereisten. (267) Wanneer het Investigatory Powers Tribunal een bij hem ingediende klacht behandelt, is het de plicht van het Tribunal om te onderzoeken of de personen tegen wie beschuldigingen worden geuit in de klacht gedragingen met betrekking tot de klager hebben vertoond, en om onderzoek te doen naar de autoriteit die naar verluidt betrokken was bij de schendingen, en om na te gaan of de vermeende gedraging heeft plaatsgevonden (496). Wanneer een zaak aan dat Tribunal wordt voorgelegd, moet het dezelfde beginselen hanteren om in die zaak tot een vaststelling te komen als de beginselen die door een rechter zouden worden toegepast bij een verzoek om rechterlijke toetsing (497). Bovendien hebben degenen tot wie de bevelen of aanzeggingen/sommaties/beschikkingen uit hoofde van de IPA 2016 zijn gericht, en iedere andere persoon die een functie van de kroon bekleedt, in dienst is bij de politie of de Police Investigations and Review Commissioner (overheidsinstantie van de Schotse regering) de plicht om dat Tribunal alle documenten en informatie te verstrekken of te doen toekomen die het Tribunal kan vragen om het in staat te stellen zijn bevoegdheid uit te oefenen (498). (268) Het Investigatory Powers Tribunal moet de klager meedelen of er al dan niet een vaststelling in zijn voordeel is gedaan (499).  Het Tribunal heeft krachtens artikel 67, leden 6 en 7, van de RIPA 2000 de bevoegdheid om een uitspraak in kort geding te doen en om vergoeding toe te kennen of andere beschikkingen uit te vaardigen die het passend acht. Het kan hierbij gaan om een beschikking tot vernietiging of intrekking van bevelen of toestemmingen en een beschikking tot vernietiging van opgeslagen informatie die is verkregen bij de uitoefening van bevoegdheden die zijn toegekend in het kader van een bevel, toestemming of aanzegging/sommatie/beschikking, of die anderszins door overheidsinstanties worden uitgeoefend met betrekking tot een persoon (500). Overeenkomstig artikel 67 bis van de RIPA 2000 kan tegen een vaststelling van het Tribunal beroep worden ingesteld, afhankelijk van toestemming van het Tribunal of de relevante beroepsinstantie. (269) Ten slotte valt op te merken dat de rol van het Investigatory Powers Tribunal in de context van bij het Europees Hof voor de Rechten van de Mens aanhangige zaken herhaaldelijk is besproken, met name in de zaak Kennedy/het Verenigd Koninkrijk (501), en meer recentelijk in de zaak Big Brother Watch e. a. /Verenigd Koninkrijk (502), waarin de rechter verklaarde dat “het Investigatory Powers Tribunal een solide voorziening in rechte heeft geboden aan eenieder die vermoedde dat zijn of haar communicatie door de inlichtingendiensten was onderschept” (503). 3. 3. 4. 3. Andere beschikbare verhaalmogelijkheden (270) Zoals uitgelegd in de overwegingen (109) tot en met (111), zijn de verhaalsmogelijkheden uit hoofde van de Human Rights Act 1998 en voor het Europees Hof voor de Rechten van de Mens (504) ook beschikbaar op het gebied van de nationale veiligheid. In artikel 65, lid 2, van de RIPA 2000 wordt aan het Investigatory Powers Tribunal exclusieve bevoegdheid verleend voor alle rechtsvorderingen uit hoofde van de Human Rights Act in verband met de inlichtingendiensten (505). Zoals opgemerkt door de High Court, betekent dit het volgende: “de vraag of er inbreuk is gemaakt op de Human Rights Act met betrekking tot de feiten van een bepaalde zaak kan in principe worden gesteld en beantwoord door een onafhankelijk tribunaal dat toegang kan hebben tot al het relevante materiaal, met inbegrip van geheim materiaal.  […] Wij houden in dit verband ook rekening met het feit dat hiermee tegen het Tribunal zelf beroep kan worden ingesteld bij een geschikte beroepsinstantie (in Engeland en Wales zou dat het Court of Appeal zijn); en dat de Supreme Court onlangs heeft besloten dat het Tribunal in principe vatbaar is voor rechterlijke toetsing: zie R (Privacy International)/Investigatory Powers Tribunal [2019] UKSC 22; [2019] 2 WLR 1219” (506). (271) Uit het bovenstaande volgt dat wanneer Britse rechtshandhavingsinstanties of nationale veiligheidsdiensten toegang hebben tot persoonsgegevens die binnen het toepassingsgebied van dit besluit vallen, die toegang wordt geregeld door wetgeving waarin de voorwaarden worden vastgesteld waaronder toegang kan plaatsvinden en wordt gewaarborgd dat de toegang en het verdere gebruik van de gegevens worden beperkt tot hetgeen noodzakelijk en evenredig is voor het nagestreefde doel inzake de rechtshandhaving of de nationale veiligheid. Bovendien moet voor die toegang in de meeste gevallen voorafgaande toestemming worden verkregen van een rechterlijke instantie, door middel van de goedkeuring van een bevel of een beschikking tot overlegging, en in elk geval onafhankelijk toezicht worden uitgeoefend. Wanneer overheidsinstanties eenmaal toegang hebben tot gegevens, gelden voor de verwerking van die gegevens, met inbegrip van verdere deling en verdere doorgifte, specifieke waarborgen inzake gegevensbescherming uit hoofde van deel 3 van de DPA 2018, die in overeenstemming zijn met de in Richtlijn (EU) 2016/680 geboden waarborgen, wanneer er sprake is van verwerking door rechtshandhavingsinstanties, en van deel 4 van de DPA 2018, wanneer er sprake is van verwerking door inlichtingendiensten. Ten slotte genieten betrokkenen op dit gebied effectieve administratieve rechten en rechten op gerechtelijk verhaal, waaronder inzage in hun gegevens of rectificatie of wissing van dergelijke gegevens. (272) Gezien het belang van die voorwaarden, beperkingen en waarborgen voor de toepassing van dit besluit, zal de Commissie de toepassing en interpretatie van de Britse voorschriften betreffende toegang van de overheid tot gegevens van nabij blijven volgen. Dit omvat relevante ontwikkelingen in de wet- en regelgeving en de jurisprudentie, alsook de activiteiten van de Information Commissioner en andere toezichthoudende autoriteiten op dit gebied.  Ook zal bijzondere aandacht worden besteed aan de uitvoering door het Verenigd Koninkrijk van relevante rechtspraak van het Europees Hof voor de Rechten van de Mens, met inbegrip van de maatregelen die zijn vastgesteld in de “actieplannen” en “verslagen over acties” die bij het Comité van Ministers worden ingediend in de context van het toezicht op de naleving van de uitspraken van het Hof. 4. CONCLUSIE (273) De Commissie is van oordeel dat de UK GDPR en de DPA 2018 een beschermingsniveau voor uit de Europese Unie doorgegeven persoonsgegevens waarborgen dat in feite overeenkomt met het niveau dat bij Verordening (EU) 2016/679 wordt gegarandeerd. (274) Bovendien is de Commissie van oordeel dat, als geheel genomen, de toezichtsmechanismen en de verhaalsmogelijkheden waarin het Britse recht voorziet, het mogelijk maken om inbreuken in de praktijk vast te stellen en te bestraffen, en betrokkenen rechtsmiddelen bieden om toegang te krijgen tot de hen betreffende persoonsgegevens en, uiteindelijk, om deze gegevens te laten corrigeren of wissen. (275) Op basis van de beschikbare informatie over de Britse rechtsorde, is de Commissie ten slotte van oordeel dat inbreuken op de grondrechten van de personen wier persoonsgegevens vanuit de Europese Unie door Britse overheidsinstanties naar het Verenigd Koninkrijk worden doorgegeven met het oog op het algemeen belang, met name rechtshandhaving en de nationale veiligheid, zullen worden beperkt tot wat strikt noodzakelijk is om de desbetreffende legitieme doelstelling te verwezenlijken, en dat er sprake is van doeltreffende rechtsbescherming tegen dergelijke inbreuken. (276) Derhalve moet in het licht van de bevindingen van dit besluit worden besloten dat het Verenigd Koninkrijk een passend beschermingsniveau biedt in de zin van artikel 45 van Verordening (EU) 2016/679, geïnterpreteerd in het licht van het Handvest van de grondrechten van de Europese Unie. (277) Deze conclusie wordt gebaseerd op de relevante nationale regeling van het Verenigd Koninkrijk en zijn internationale verplichtingen, in het bijzonder de toetreding tot het Europees Verdrag voor de rechten van de mens en onderwerping aan de jurisdictie van het Europees Hof voor de Rechten van de Mens. Voortdurende naleving van dergelijke internationale verplichtingen is derhalve een zeer belangrijk onderdeel van de beoordeling waarop dit besluit is gebaseerd. 5.  GEVOLGEN VAN DIT BESLUIT EN INGRIJPEN VAN GEGEVENSBESCHERMINGSAUTORITEITEN (278) De lidstaten en hun organen moeten de maatregelen nemen die noodzakelijk zijn om te voldoen aan de handelingen van de instellingen van de Unie, aangezien deze laatste geacht worden rechtsgeldig te zijn en bijgevolg rechtsgevolgen in het leven roepen zolang zij niet zijn verlopen, ingetrokken, nietig verklaard in een beroep tot nietigverklaring of ongeldig verklaard na een prejudiciële verwijzing of op een exceptie van onwettigheid. (279) Daarom is een krachtens artikel 45, lid 3, van Verordening (EU) 2016/679 vastgesteld adequaatheidsbesluit van de Commissie bindend voor alle organen van de lidstaten waartoe het is gericht, met inbegrip van hun onafhankelijke toezichthoudende autoriteiten. In het bijzonder kunnen doorgiften van een verwerkingsverantwoordelijke of verwerker in de Europese Unie aan verwerkingsverantwoordelijken of verwerkers in het Verenigd Koninkrijk gedurende de toepassingsperiode van dit besluit plaatsvinden zonder dat daarvoor verdere toestemming is vereist. (280) Er zij aan herinnerd dat, overeenkomstig artikel 58, lid 5, van Verordening (EU) 2016/679 en zoals door het Hof van Justitie uitgelegd in het arrest in de zaak Schrems (507), wanneer een nationale gegevensbeschermingsautoriteit, ook indien na ontvangst van een klacht, de verenigbaarheid van een adequaatheidsbesluit van de Commissie met de grondrechten van de persoon op privacy en gegevensbescherming in twijfel trekt, het nationale recht moet voorzien in een rechtsmiddel voor die persoon om die grieven aan een nationale rechter voor te leggen die eventueel bij prejudiciële verwijzing het Hof van Justitie om beoordeling moet verzoeken (508). 6. TOEZICHT OP, EN OPSCHORTING, INTREKKING OF WIJZIGING VAN DIT BESLUIT (281) Overeenkomstig artikel 45, lid 4, van Verordening (EU) 2016/679 moet de Commissie na de aanneming van dit besluit doorlopend toezicht houden op relevante ontwikkelingen in het Verenigd Koninkrijk om te beoordelen of met het besluit nog altijd een beschermingsniveau wordt gewaarborgd dat in feite overeenkomend is. Dat toezicht is met name in dit geval van belang, aangezien het Verenigd Koninkrijk een nieuw stelsel voor gegevensbescherming zal uitvoeren, toepassen en handhaven, dat niet langer onder het recht van de Europese Unie valt en dat mogelijk nog zal worden gewijzigd.  In dat opzicht zal bijzondere aandacht worden besteed aan de toepassing in de praktijk van de Britse voorschriften betreffende de doorgifte van persoonsgegevens naar derde landen, en aan het effect dat die kan hebben op het niveau van de bescherming van gegevens die in het kader van dit besluit worden doorgegeven; aan de doeltreffendheid van de uitoefening van individuele rechten, met inbegrip van relevante ontwikkelingen in de rechtspraktijk met betrekking tot de uitzonderingen op of de beperkingen van die rechten (met name het recht in verband met de instandhouding van een doeltreffende controle van de immigratie); alsook naleving van de beperkingen en waarborgen met betrekking tot overheidstoegang. Ontwikkelingen in de jurisprudentie en het toezicht door de Information Commissioner en andere onafhankelijke instanties zullen onder andere als basis dienen voor de controletaak van de Commissie. (282) Om deze controle mogelijk te maken, moeten de Britse autoriteiten de Commissie onverwijld in kennis stellen van wezenlijke wijzigingen van de Britse rechtsorde die gevolgen hebben voor het rechtskader waarop dit besluit van toepassing is, alsook van ontwikkelingen in praktijken in verband met de verwerking van persoonsgegevens die in dit besluiten wordt onderzocht, zowel met betrekking tot de verwerking van persoonsgegevens door verwerkingsverantwoordelijken en gegevensverwerkers op grond van de UK GDPR, als tot de beperkingen en waarborgen die op de toegang tot persoonsgegevens door overheidsinstanties van toepassing zijn. Dit moet ook gelden voor ontwikkelingen met betrekking tot de in overweging (281) genoemde elementen. (283) Teneinde de Commissie in staat te stellen haar toezichthoudende taak doeltreffend uit te voeren, moeten de lidstaten de Commissie bovendien op de hoogte brengen van desbetreffende maatregelen van de nationale gegevensbeschermingsautoriteiten, met name inzake vragen of klachten van betrokkenen uit de EU betreffende de doorgifte van persoonsgegevens vanuit de Europese Unie aan verwerkingsverantwoordelijken of verwerkers in het Verenigd Koninkrijk. Voorts moet de Commissie geïnformeerd worden over eventuele aanwijzingen dat de maatregelen van de Britse overheidsinstanties die verantwoordelijk zijn voor de preventie, het onderzoek, de opsporing of de vervolging van strafbare feiten, of voor de nationale veiligheid, met inbegrip van toezichthoudende instanties, niet het vereiste beschermingsniveau waarborgen.  (284) Wanneer uit de beschikbare informatie, met name informatie die voortvloeit uit het toezicht op dit besluit of verstrekt wordt door de autoriteiten in het Verenigd Koninkrijk of in de lidstaten, blijkt dat het door het Verenigd Koninkrijk geboden beschermingsniveau niet langer passend is, moet de Commissie de bevoegde Britse autoriteiten daarvan onverwijld in kennis stellen en verzoeken dat binnen een opgegeven termijn van maximaal drie maanden geschikte maatregelen worden genomen. Indien nodig kan deze periode voor een bepaalde tijd worden verlengd, rekening houdend met de aard van de problematiek en/of de maatregelen die moeten worden genomen. Een dergelijke procedure zou bijvoorbeeld in gang worden gezet in gevallen waarin verdere doorgifte, onder andere op basis van nieuwe adequaatheidsbepalingen die door de Secretary of State worden aangenomen of door het Verenigd Koninkrijk gesloten internationale overeenkomsten, niet langer zou worden uitgevoerd in het kader van waarborgen die de continuïteit van de bescherming garanderen in de zin van artikel 44 van Verordening (EU) 2016/679. (285) Indien de bevoegde Britse autoriteiten die maatregelen bij het verstrijken van die opgegeven termijn niet hebben genomen of anderszins niet aannemelijk hebben kunnen maken dat dit besluit op een passend beschermingsniveau gebaseerd blijft, leidt de Commissie de in artikel 93, lid 2, van Verordening (EU) 2016/679 bedoelde procedure in teneinde dit besluit geheel of gedeeltelijk op te schorten of in te trekken. (286) Als alternatief zal de Commissie deze procedure inleiden met het oog op wijziging van dit besluit, met name door voor gegevensdoorgiften aanvullende voorwaarden te stellen of door de reikwijdte van de vaststelling van adequaatheid te beperken tot gegevensdoorgiften waarvoor een passend beschermingsniveau blijft gewaarborgd. (287) De Commissie zal om naar behoren gerechtvaardigde dwingende urgente redenen gebruikmaken van de mogelijkheid om overeenkomstig de in artikel 93, lid 3, van Verordening (EU) 2016/679 bedoelde procedure onmiddellijk toepasselijke uitvoeringshandelingen tot opschorting, intrekking of wijziging van het besluit vast te stellen. 7. DUUR EN VERLENGING VAN DIT BESLUIT (288) De Commissie moet rekening houden met het feit dat het Verenigd Koninkrijk, na afloop van de bij het terugtrekkingsakkoord vastgestelde overgangsperiode en zodra de overgangsbepaling uit hoofde van artikel 782 van de handels- en samenwerkingsovereenkomst tussen de Europese Unie en het Verenigd Koninkrijk niet langer van toepassing is, een nieuwe gegevensbeschermingsregeling zal uitvoeren, toepassen en handhaven ten opzichte van de regeling die gold toen het Verenigd Koninkrijk nog gebonden was door het EU-recht.  Dit kan met name betrekking hebben op wijzigingen of veranderingen in het kader voor gegevensbescherming dat in dit besluit wordt beoordeeld, alsook op andere relevante ontwikkelingen. (289) Derhalve moet worden bepaald dat dit besluit van toepassing zal zijn gedurende een periode van vier jaar vanaf de inwerkingtreding ervan. (290) Indien uit bepaalde uit het toezicht op dit besluit voortvloeiende informatie blijkt dat de bevindingen in verband met de adequaatheid van het in het Verenigd Koninkrijk geboden beschermingsniveau nog steeds feitelijk en juridisch gerechtvaardigd zijn, moet de Commissie uiterlijk zes maanden voordat dit besluit niet meer van toepassing zal zijn, de procedure inleiden tot wijziging van dit besluit door verlenging van de toepassingsduur ervan, in beginsel met een bijkomende periode van vier jaar. Uitvoeringshandelingen tot wijziging van dit besluit moeten overeenkomstig de in artikel 93, lid 2, van Verordening (EU) 2016/679 bedoelde procedure worden vastgesteld. 8. SLOTOVERWEGINGEN (291) Het Europees Comité voor gegevensbescherming heeft zijn advies (509) gepubliceerd, waarmee bij het opstellen van dit besluit rekening is gehouden. (292) De in dit besluit vervatte maatregelen zijn in overeenstemming met het advies van het bij artikel 93 van Verordening (EU) 2016/679 ingestelde comité, HEEFT HET VOLGENDE BESLUIT VASTGESTELD: Artikel 1 1. Het Verenigd Koninkrijk waarborgt met het oog op de toepassing van artikel 45 van Verordening (EU) 2016/679 een passend beschermingsniveau voor persoonsgegevens die binnen het toepassingsgebied van Verordening (EU) 2016/679 worden doorgegeven vanuit de Europese Unie naar het Verenigd Koninkrijk. 2. Dit besluit heeft geen betrekking op persoonsgegevens die worden doorgegeven met het oog op controle van de immigratie door het Verenigd Koninkrijk of die anderszins vallen binnen de omvang van de vrijstelling van bepaalde rechten van de betrokkene met het oog op instandhouding van doeltreffende controle van de immigratie overeenkomstig paragraaf 4, punt 1, van bijlage 2 bij de DPA 2018. Artikel 2 Wanneer de bevoegde toezichthoudende autoriteiten in de lidstaten, om personen te beschermen in verband met de verwerking van hun persoonsgegevens, hun bevoegdheden uit hoofde van artikel 58 van Verordening (EU) 2016/679 uitoefenen met betrekking tot gegevensdoorgiften die onder het in artikel 1 vastgestelde toepassingsgebied vallen, stelt de betrokken lidstaat de Commissie daarvan onverwijld in kennis. Artikel 3 1.  De Commissie houdt voortdurend toezicht op de toepassing van het rechtskader waarop dit besluit is gebaseerd, met inbegrip van de voorwaarden voor verdere doorgifte, voor de uitoefening van individuele rechten en voor toegang van Britse overheidsinstanties tot gegevens die op basis van dit besluit worden doorgegeven, teneinde te beoordelen of het Verenigd Koninkrijk een passend beschermingsniveau in de zin van artikel 1 blijft waarborgen. 2. De lidstaten en de Commissie stellen elkaar in kennis van gevallen waarin de Information Commissioner of enige andere bevoegde Britse autoriteit niet garandeert dat het rechtskader waarop dit besluit is gebaseerd wordt geëerbiedigd. 3. De lidstaten en de Commissie stellen elkaar in kennis van eventuele aanwijzingen dat inmenging van de Britse overheidsdiensten in het recht van personen op de bescherming van hun persoonsgegevens verder gaat dan hetgeen strikt noodzakelijk is, of dat er geen doeltreffende rechtsbescherming tegen dergelijke inmenging bestaat. 4. Wanneer de Commissie over aanwijzingen beschikt dat niet langer een passend beschermingsniveau wordt gewaarborgd, stelt zij de bevoegde autoriteiten van het Verenigd Koninkrijk daarvan in kennis en kan zij dit besluit opschorten, intrekken of wijzigen. 5. De Commissie kan dit besluit opschorten, intrekken of wijzigen indien zij door gebrek aan medewerking van de Britse regering niet kan bepalen of er sprake is van beïnvloeding van de bevinding in artikel 1, lid 1. Artikel 4 Dit besluit verstrijkt op 27 juni 2025, tenzij verlengd volgens de in artikel 93, lid 2, van Verordening (EU) 2016/679 bedoelde procedure. Artikel 5 Dit besluit is gericht tot de lidstaten. Gedaan te Brussel, 28 juni 2021. Voor de Commissie Didier REYNDERS Lid van de Commissie (1)  PB L 119 van 4. 5. 2016, blz. 1. (2)  Zie overweging 101 van Verordening (EU) 2016/679. (3)  Zie laatstelijke zaak van 16 juli 2020, Facebook Ireland en Schrems (“Schrems II”), C-311/18, ECLI:EU:C:2020:559. (4)  Europees Comité voor gegevensbescherming, adequaatheidsreferentie, WP 254 rev. 01. beschikbaar op: https://ec. europa. eu/newsroom/article29/item-detail. cfm?item_id=614108 (5)  Zaak C-362/14, Schrems (“Schrems I”), ECLI:EU:C:2015:650, punt 73. (6)  Schrems I, punt 74. (7)  Zie Mededeling van de Commissie aan het Europees Parlement en de Raad, Uitwisseling en bescherming van persoonsgegevens in een geglobaliseerde wereld, COM(2017)7 van 10. 1. 2017, deel 3. 1, blz. 6-7, beschikbaar op: https://eur-lex. europa.  eu/legal-content/NL/TXT/PDF/?uri=CELEX:52017DC0007&from=EN (8)  Rechter in tweede aanleg (civiele zaken), Open Rights Group v Secretary of State for the Home Department and Secretary of State for Digital, Culture, Media and Sport, [2021] EWCA Civ 800, punten 53 tot en met 56. De rechter in tweede aanleg heeft het besluit van de High Court of Justice (hoogste Britse rechterlijke instantie) tenietgedaan, die de uitzondering eerder had beoordeeld in het licht van Verordening (EU) 2016/679 (met name artikel 23) en het Handvest van de grondrechten van de Europese Unie en de uitzondering wettig had bevonden (Open Rights Group & Anor, R (On the Application Of) v Secretary of State for the Home Department & Anor [2019] EWHC 2562). (9)  Mits aan de toepasselijke voorwaarden wordt voldaan, mogen doorgiften met het oog op controle van de immigratie door het Verenigd Koninkrijk worden uitgevoerd op basis van de doorgiftemechanismen in de artikelen 46 tot en met 49 van Verordening (EU) 2016/679. (10)  De beginselen van Verdrag 108 werden in eerste instantie met de Data Protection Act 1984 (de Britse wet gegevensbescherming van 1984, hierna “DPA 1984” genoemd), die werd vervangen door de DPA 1998 en vervolgens door de DPA 2018 (gelezen in samenhang met de AVG van het VK), omgezet in de wet van het Verenigd Koninkrijk. Het Verenigd Koninkrijk heeft in 2018 ook het Protocol tot wijziging van het Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens (ook wel Verdrag 108+) ondertekend en werkt momenteel aan de ratificering van het verdrag. (11)  Artikelen 6 en 8 EVRM (zie ook bijlage 1 bij de Human Rights Act 1998). (12)  Artikel 6 van de Human Rights Act 1998. (13)  Artikel 3 van de Human Rights Act 1998. (14)  Akkoord inzake de terugtrekking van het Verenigd Koninkrijk van Groot-Brittannië en Noord-Ierland uit de Europese Unie en de Europese Gemeenschap voor Atoomenergie 2019/C 384 I/01, XT/21054/2019/INIT, (PB C 384I van 12. 11. 2019, blz. 1), beschikbaar op: https://eur-lex. europa.  eu/legal-content/NL/TXT/PDF/?uri=CELEX:12019W/TXT(02) (15)  Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de uitvoering van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van Kaderbesluit 2008/977/JBZ van de Raad (PB L 119 van 4. 5. 2016, blz. 89), beschikbaar op: https://eur-lex. europa. eu/legal-content/NL/TXT/PDF/?uri=CELEX:32016L0680 (16)  Data Protection Act 2018, beschikbaar op: https://www. legislation. gov. uk/ukpga/2018/12/contents/enacted (17)  European Union Withdrawal Act 2018, beschikbaar op: https://www. legislation. gov. uk/ukpga/2018/16/contents (18)  Het doel en het gevolg van de European Union (Withdrawal) Act 2018 was dat alle Uniewetgeving met rechtstreekse werking aan het einde van de overgangsperiode in het recht van het Verenigd Koninkrijk werd opgenomen zoals deze onmiddellijk vóór het einde van de overgangsperiode in het EU-recht gold, zie artikel 3 van de European Union (Withdrawal) Act 2018. (19)  In de toelichting bij de European Union (Withdrawal) Act 2018 wordt gespecificeerd dat wanneer wetgeving in het kader van dit artikel wordt omgezet, de tekst van de wetgeving zelf deel zal uitmaken van de interne wetgeving. Dit zal de volledige tekst van een EU-instrument omvatten (met inbegrip van de overwegingen hiervan). (Toelichting bij de European Union (Withdrawal) Act 2018, punt 83, beschikbaar op: https://www. legislation. gov. uk/ukpga/2018/16/pdfs/ukpgaen_20180016_en. pdf). Volgens informatie die door de Britse autoriteiten is verstrekt, was het niet noodzakelijk om de overwegingen op dezelfde manier te wijzigen als de artikelen van Verordening (EU) 2016/679 werden gewijzigd bij de DPPEC Regulations (de Britse regelingen betreffende gegevensbescherming, privacy en elektronische communicatie, hierna “DPPEC Regulations” genoemd), omdat de overwegingen niet de status van bindende rechtsregels hebben. (20)  Artikel 6 van de European Union (Withdrawal) Act 2018. (21)  De Data Protection, Privacy and Electronic Communications (Amendments etc. ) (EU Exit) Regulations 2019, beschikbaar op: https://www. legislation. gov. uk/uksi/2019/419/contents/made, zoals gewijzigd bij de DPPEC Regulations van 2020, beschikbaar op: https://www. legislation. gov. uk/ukdsi/2020/9780348213522 (22)  Deze wijzigingen van de United Kingdom General Data Protection Regulation (algemene verordening gegevensbescherming van het Verenigd Koninkrijk, hierna de “UK GDPR” genoemd) en de DPA 2018 zijn hoofdzakelijk van technische aard, zoals de schrapping van verwijzingen naar “de lidstaten” of de aanpassing van de terminologie (bv. het vervangen van verwijzingen naar Verordening (EU) 2016/679 door verwijzingen naar de UK GDPR).  In sommige gevallen waren wijzigingen noodzakelijk om de zuiver binnenlandse context van de bepalingen te weerspiegelen, zoals met betrekking tot “de instellingen” die “adequaatheidsbepalingen” vaststellen met het oog op het wettelijke kader voor gegevensbescherming van het VK (zie artikel 17A van de DPA 2018), d. w. z. de Secretary of State in plaats van de Europese Commissie. (23)  UK GDPR, bijlage Keeling, beschikbaar op: https://assets. publishing. service. gov. uk/government/uploads/system/uploads/attachment_data/file/946117/20201102_-_GDPR_-__MASTER__Keeling_Schedule__with_changes_highlighted__V3. pdf (24)  DPA 2018, bijlage Keeling, beschikbaar op: https://assets. publishing. service. gov. uk/government/uploads/system/uploads/attachment_data/file/946100/20201102_-_DPA_-__MASTER__Keeling_Schedule__with_changes_highlighted__V3. pdf (25)  Deze bevoegdheden zijn bijvoorbeeld opgenomen in de artikelen 16 (de bevoegdheid om, in specifieke, nauw afgebakende situaties, te voorzien in aanvullende vrijstellingen van de specifieke bepalingen van de UK GDPR), 17A (de bevoegdheid om adequaatheidsbepalingen vast te stellen), 212 en 213 (de bevoegdheid om wetgeving in gang te zetten en te voorzien in overgangsbepalingen) en 211 (de bevoegdheid om minimale en voortvloeiende wijzigingen aan te brengen) van de DPA 2018. (26)  Artikel 2, leden 1 en 5, van de UK GDPR. (27)  Artikel 4, leden 1 en 2, van de UK GDPR. (28)  De handmatige, ongestructureerde verwerking van persoonsgegevens wordt in artikel 2, lid 5, punt b), gedefinieerd als een verwerking van persoonsgegevens die niet bestaat in de geautomatiseerde of gestructureerde verwerking van persoonsgegevens. (29)  In artikel 2, lid 1A, van de UK GDPR is bepaald dat de UK GDPR ook van toepassing is op de handmatige, ongestructureerde verwerking van persoonsgegevens die in het bezit zijn van een FOI-overheidsinstantie. FOI-overheidsinstanties zijn overheidsinstanties zoals gedefinieerd in de Freedom of Information Act 2000 (de Britse wet op de vrijheid van informatie van 2000) of Schotse overheidsinstanties zoals gedefinieerd in de Freedom of Information (Scotland) Act 2002 (asp 13) (de Schotse wet op de vrijheid van informatie van 2002). Artikel 21, lid 5, van de DPA 2018. (30)  Artikel 2, lid 2, punt a), van de UK GDPR. (31)  Activiteiten in verband met de nationale veiligheid vallen alleen onder het toepassingsgebied van de UK GDPR voor zover zij niet worden uitgevoerd door een bevoegde autoriteit voor rechtshandhavingsdoeleinden (in dit geval is artikel 3 van de DPA 2018 van toepassing) of door of in opdracht van een inlichtingendienst, wier activiteiten zijn uitgesloten van het toepassingsgebied van de UK GDPR en die overeenkomstig artikel 2, lid 2, punt c), van de UK GDPR vallen onder artikel 4 van de DPA 2018.  De politie mag bijvoorbeeld veiligheidscontroles bij een werknemer uitvoeren om te waarborgen dat hij te vertrouwen is met materiaal inzake de nationale veiligheid. Ondanks het feit dat de politie een bevoegde autoriteit is voor rechtshandhavingsdoeleinden, vindt de verwerking in kwestie niet voor rechtshandhavingsdoeleinden plaats en is de UK GDPR hierop van toepassing. Zie het UK Explanatory Framework for Adequacy Discussions (het Britse toelichtingskader voor de adequaatheidsdiscussie), section H: National Security Data Protection and Investigatory Powers Framework, blz. 8, beschikbaar op https://assets. publishing. service. gov. uk/government/uploads/system/uploads/attachment_data/file/872239/H_-_National_Security. pdf (32)  Artikel 2, lid 1, punten a) en b), van de UK GDPR. (33)  Artikel 2, lid 2, punten b) en c), van de UK GDPR. (34)  Hetzelfde territoriale toepassingsgebied geldt voor de verwerking van persoonsgegevens in het kader van artikel 2 van de DPA 2018, die de UK GDPR aanvult (artikel 207, lid 1A). (35)  Dit houdt met name in dat de DPA 2018 en derhalve dit besluit niet van toepassing zijn op direct van de Britse Kroon afhankelijke gebieden (Jersey, Guernsey en Man), noch op de Britse overzeese gebieden, zoals de Falklandeilanden en het territorium Gibraltar. (36)  Artikel 4, leden 1, 2, 5, 7 en 8, van de UK GDPR. (37)  “Biometrische gegevens”: persoonsgegevens die het resultaat zijn van een specifieke technische verwerking met betrekking tot de fysieke, fysiologische of gedragsgerelateerde kenmerken van een persoon op grond waarvan eenduidige identificatie van die persoon mogelijk is of wordt bevestigd, zoals gezichtsafbeeldingen of vingerafdrukgegevens. (38)  “Gegevens over gezondheid”: persoonsgegevens die verband houden met de fysieke of mentale gezondheid van een persoon, waaronder gegevens over verleende gezondheidsdiensten waarmee informatie over zijn gezondheidstoestand wordt gegeven. (39)  “Genetische gegevens”: persoonsgegevens die verband houden met de overgeërfde of verworven genetische kenmerken van een persoon die unieke informatie verschaffen over de fysiologie of de gezondheid van die persoon en die met name voortkomen uit een analyse van een biologisch monster van die persoon.  (40)  Op grond van artikel 6, lid 1, van de UK GDPR is de verwerking slechts rechtmatig indien en voor zover aan een van de onderstaande voorwaarden is voldaan: a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden; b) de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen; c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust; d) de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen; e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen; of f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is. (41)  Paragrafen 38-40 van bijlage 1 bij de DPA 2018. (42)  In artikel 13, lid 1, punt f), en artikel 14, lid 1, punt f), zijn de verwijzingen naar adequaatheidsbesluiten van de Commissie vervangen door verwijzingen naar het gelijkwaardige Britse instrument, d. w. z. adequaatheidsbepalingen uit hoofde van de DPA 2018. Daarnaast zijn de verwijzingen naar het Unierecht of het recht van de lidstaten in artikel 14, lid 5, punten c) en d), vervangen door een verwijzing naar het nationale recht (als voorbeelden van dergelijk nationaal recht dat onder artikel 14, lid 5, punt c), kan vallen, heeft het Verenigd Koninkrijk artikel 7 van de Scrap Metal Dealers Act 2013 (de Britse wet inzake handelaren van metaalschroot van 2013) genoemd, waarin is voorzien in regels voor het registreren van vergunningen voor metaalschroot, evenals deel 35 van de Companies Act 2006 (de Britse vennootschapswet van 2006), waarin regels zijn vastgesteld voor het ondernemingsregister.  Voorbeelden van nationaal recht dat onder artikel 14, lid 5, punt d), kan vallen, zijn onder meer wetgeving waarin regels zijn vastgesteld met betrekking tot het beroepsgeheim of verplichtingen in arbeidsovereenkomsten of de geheimhoudingsplicht volgens het gewoonterecht (zoals persoonsgegevens die worden verwerkt door gezondheidswerkers, personeelsafdelingen, maatschappelijk werkers enz. ). (43)  In artikel 17, lid 1, punt e), en artikel 17, lid 3, punt b), zijn de verwijzingen naar het Unierecht en het recht van de lidstaten vervangen door een verwijzing naar nationaal recht (als voorbeelden van dergelijk nationaal recht in het kader van artikel 17, lid 1, punt e), heeft het Verenigd Koninkrijk de Education (Pupil Information) (England) Regulations 2006 (de Britse regelingen betreffende onderwijs (leerlinginformatie) (Engeland) van 2006) genoemd, waarin wordt vereist dat de namen van de leerlingen worden gewist uit de schoolregisters nadat zij de school hebben verlaten en artikel 34F van de Medical Act 1983 (de Britse wet op de geneeskunde van 1983), waarin de regels uiteengezet zijn inzake het wissen van namen uit het huisartsenregister en het specialistenregister. (44)  Het ontwerp van de praktijkcode is beschikbaar op: https://ico. org. uk/media/about-the-ico/consultations/2616882/direct-marketing-code-draft-guidance. pdf (45)  UK Explanatory Framework for Adequacy Discussions, section E: Restrictions, blz. 1, beschikbaar op: https://assets. publishing. service. gov. uk/government/uploads/system/uploads/attachment_data/file/872232/E_-_Narrative_on_Restrictions. pdf (46)  Open Rights Group & Anor, R (On the Application Of)/Secretary of State for the Home Department & Anor [2019] EWHC 2562 (Admin), punten 40 en 41. (47)  Guriev/Community Safety Development (United Kingdom) Ltd [2016] EWHC 643 (QB), punt 43. Zie in dit verband ook Lin/Commissioner of Police for the Metropolis [2015] EWHC 2484 (QB), punt 80. (48)  Paragraaf 2 van bijlage 2 bij de DPA 2018. (49)  Paragraaf 19 van bijlage 2 bij de DPA 2018. (50)  Paragraaf 20 van bijlage 2 bij de DPA 2018. (51)  Paragraaf 21 van bijlage 2 bij de DPA 2018. (52)  Beperkingen op het recht op melding van een inbreuk in verband met de gegevens zijn bijvoorbeeld alleen toegestaan in verband met strafbare feiten en belastingheffing (paragraaf 2 van bijlage 2 bij de DPA 2018), parlementaire voorrechten (paragraaf 13 van bijlage 2 bij de DPA 2018) en de verwerking voor journalistieke, academische, artistieke en literaire doeleinden (paragraaf 26 van bijlage 2 bij de DPA 2018). (53)  Paragraaf 2 van bijlage 2 bij de DPA 2018.  (54)  R (Lord)/Secretary of State for the Home Department [2003] EWHC 2073 (Admin), punt 100, en Guriev/Community Safety Development (United Kingdom) Ltd [2016] EWHC 643 (QB), punt 43. (55)  Open Rights Group & Anor, R (On the Application Of)/Secretary of State for the Home Department & Anor, punt 31. (56)  Volgens de informatie die de Britse autoriteiten hebben verstrekt, passen verwerkingsverantwoordelijken normaal gesproken versterkte waarborgen en beveiligingsmaatregelen toe bij de verwerking wanneer deze in het kader van de nationale veiligheid plaatsvindt, die aansluiten op de gevoelige aard van de verwerking. Welke waarborgen passend zijn, is afhankelijk van de risico’s die de verwerking met zich meebrengt. Dit kan beperkingen van de inzage in de gegevens omvatten, zodat alleen geautoriseerde personen met passende veiligheidsmachtiging erin inzage krijgen, strenge beperkingen op het delen van de gegevens en de strenge beveiligingsnorm die wordt toegepast op de opslag- en behandelingsprocedures. (57)  Zie ook Guriev/Community Safety Development (United Kingdom) Ltd [2016] EWHC 643 (QB), punt 45; Lin/Commissioner of the Police for the Metropolis [2015] EWHC 2484 (QB), punt 80. (58)  Zie de richtsnoeren van de Information Commissioner over de uitzondering inzake de nationale veiligheid en defensie, beschikbaar op https://ico. org. uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/national-security-and-defence/ (59)  Volgens een voorbeeld van de Britse autoriteiten zou het bij lopende onderzoeken door MI5, wanneer een persoon die verdacht wordt van terrorisme een verzoek om inzage indient bij het ministerie van Binnenlandse Zaken (bijvoorbeeld omdat hij een geschil heeft met het ministerie van Binnenlandse Zaken met betrekking tot immigratiekwesties), noodzakelijk zijn om te voorkomen dat de betrokkene op de hoogte wordt gesteld van het eventuele delen van gegevens door MI5 met het ministerie van Binnenlandse Zaken in verband met lopende onderzoeken, wat nadelig zou kunnen zijn voor gevoelige bronnen, methoden of technieken en/of kunnen leiden tot een verhoging van de dreiging die uitgaat van de persoon. In dergelijke omstandigheden is het waarschijnlijk dat zou zijn voldaan aan de drempel voor de toepassing van de uitzondering van artikel 26 en dat een uitzondering op het verstrekken van de informatie noodzakelijk zou zijn om de nationale veiligheid te waarborgen.  Wanneer het ministerie van Binnenlandse Zaken echter ook beschikt over gegevens over de persoon die geen verband houden met het onderzoek van MI5 en die informatie zou kunnen worden verstrekt zonder dat de nationale veiligheid in gevaar komt, zou de uitzondering voor de nationale veiligheid niet van toepassing zijn wanneer de verstrekking van informatie aan de persoon wordt overwogen. De Information Commissioner stelt momenteel richtsnoeren op voor de wijze waarop verwerkingsverantwoordelijken het gebruik van de uitzondering van artikel 26 moeten benaderen. De richtsnoeren zullen naar verwachting eind maart 2021 worden gepubliceerd. (60)  Het Information Tribunal werd opgericht om beroepen inzake de gegevensbescherming in het kader van de Data Protection Act 1984 te behandelen. In 2010 werd het Information Tribunal onderdeel van de General Regulatory Chamber (de algemene kamer voor regelgeving) van het First Tier Tribunal (de Britse administratieve rechtbank van eerste aanleg), in het kader van de hervorming van de structuur van het Britse stelsel van administratieve rechtbanken. (61)  Zie Baker/Secretary of State for the Home Department [2001] UKIT NSA2 (hierna: “Baker/Secretary of State” genoemd). (62)  Zie artikel 85 van de UK GDPR en bijlage 2, deel 5, paragraaf 26, punt 9, bij de DPA 2018. (63)  Overeenkomstig bijlage 2, deel 5, paragraaf 26, punt 2, bij de DPA 2018 is de uitzondering van toepassing op de verwerking van persoonsgegevens voor bijzondere doeleinden (journalistieke, academische, artistieke en literaire doeleinden) wanneer de verwerking plaatsvindt met het oog op de publicatie door een persoon van journalistiek, academisch, artistiek of literair materiaal en de verwerkingsverantwoordelijke redelijkerwijs van mening is dat de publicatie van dat materiaal in het algemeen belang zou zijn. Om te bepalen of een publicatie in het algemeen belang zou zijn, moet de verwerkingsverantwoordelijke rekening houden met het speciale algemene belang bij de vrijheid van meningsuiting en informatie. De verwerkingsverantwoordelijke moet bovendien praktijkcodes of richtsnoeren in aanmerking nemen die relevant zijn voor de publicatie in kwestie (de redactionele richtsnoeren van de BBC, de Ofcom Broadcasting Code en de praktijkcode van redacteuren). Om een uitzondering toe te passen, moet de verwerkingsverantwoordelijke daarnaast redelijkerwijs van mening zijn dat de naleving van de desbetreffende bepaling onverenigbaar zou zijn met de bijzondere doeleinden (punt 26(3) van bijlage 2 bij de DPA 2018).  (64)  In het arrest in NT1/Google [2018] EWHC 799 (QB), punt 102, werd de vraag besproken of de verwerkingsverantwoordelijke er redelijkerwijs van overtuigd was dat de publicatie in het algemeen belang was en dat de naleving van de desbetreffende bepalingen onverenigbaar was met de bijzondere doeleinden. De rechter merkte op dat artikel 32, lid 1, punten b) en c), van de Data Protection Act 1998 een subjectief en een objectief element had: de verwerkingsverantwoordelijke moest aantonen dat hij de overtuiging had dat de publicatie in het algemeen belang zou zijn en dat deze overtuiging objectief gezien redelijk was; hij moest daarnaast de subjectieve overtuiging hebben dat de naleving van de bepaling waarop de uitzondering zou worden toegepast, onverenigbaar zou zijn met de bijzondere doeleinden in kwestie. (65)  Een voorbeeld van de toepassing van de toets van redelijke overtuiging is opgenomen in het besluit van het ICO om een sanctie op te leggen aan True Visions Productions, dat in het kader van de Data Protection Act 1998 werd genomen. De Information Commissioner aanvaardde dat de verwerkingsverantwoordelijke voor de media de subjectieve overtuiging had dat de naleving van het eerste beginsel betreffende gegevensbescherming (behoorlijkheid en rechtmatigheid) onverenigbaar was met journalistieke doeleinden. De Information Commissioner was echter van mening dat deze overtuiging objectief gezien niet redelijk was. Het besluit van de Information Commissioner is beschikbaar op: https://ico. org. uk/media/action-weve-taken/mpns/2614746/true-visions-productions-20190408. pdf (66)  Volgens de richtsnoeren moeten organisaties kunnen uitleggen waarom de naleving van de desbetreffende bepaling van de Data Protection Act 1998 onverenigbaar is met de journalistieke doeleinden. Verwerkingsverantwoordelijken moeten met name het nadelige effect van de naleving op de journalistiek afwegen tegen het nadelige effect van de niet-naleving op de rechten van betrokkenen. Als journalisten hun redactionele doelen kunnen behalen op een wijze die in overeenstemming is met de standaardbepalingen van de DPA, moeten zij dit doen. Organisaties moeten hun gebruik van de beperking voor elke bepaling die zij niet hebben nageleefd, kunnen rechtvaardigen. “Data protection and journalism: a guide for the media”, beschikbaar op: https://ico. org. uk/media/for-organisations/documents/1552/data-protection-and-journalism-media-guidance. pdf (67)  Voorbeelden van algemeen belang zijn onder andere het onthullen of opsporen van strafbare feiten, het beschermen van de volksgezondheid of openbare veiligheid, het onthullen van misleidende beweringen van personen of organisaties of het onthullen van onbekwaamheid die gevolgen heeft voor het publiek. Zie de richtsnoeren van OFCOM op: https://www. ofcom. org. uk/__data/assets/pdf_file/0017/132083/Broadcast-Code-Section-8. pdf en de redactionele richtsnoeren van de BBC op: https://www.  bbc. com/editorialguidelines/guidelines/privacy (68)  Zie artikel 89 van de UK GDPR en bijlage 2, deel 6, paragraaf 27, punt 2, en paragraaf 28, punt 2, bij de DPA 2018. (69)  Dit is onder voorwaarde van de vereiste dat de persoonsgegevens worden verwerkt in overeenstemming met artikel 89, lid 1, van de UK GDPR, zoals aangevuld door artikel 19 van de DPA 2018. (70)  Zie de overwegingen (281) tot en met (287). (71)  Met uitzondering van artikel 48 van Verordening (EU) 2016/679, dat het Verenigd Koninkrijk niet heeft overgenomen in de UK GDPR. In dat opzicht moet er allereerst op worden gewezen dat de norm die moet worden beschouwd als een norm die een adequaat beschermingsniveau biedt een norm is waarvan het niveau “in feite overeenkomend” is in plaats van identiek, zoals uitgelegd door het Hof van Justitie (Schrems I, punten 73 en74) en erkend wordt door het EDPB (adequaatheidsreferentie, bladzijde 3). Zoals door het EDPB wordt uitgelegd in zijn adequaatheidsreferentie, is het doel derhalve niet om “de Europese wetgeving punt voor punt te weerspiegelen, maar om de essentiële — belangrijkste vereisten van die wetgeving vast te stellen”. In dat opzicht is het belangrijk om erop te wijzen dat, hoewel de Britse rechtsorde formeel gezien geen aan artikel 48 identieke bepaling bevat, hetzelfde effect wordt gewaarborgd door andere wettelijke bepalingen en beginselen, d. w. z. dat naar aanleiding van een verzoek om persoonsgegevens van een rechterlijke instantie of administratieve autoriteit in een derde land, persoonsgegevens alleen naar dat derde land kunnen worden doorgegeven indien er sprake is van een internationale overeenkomst — op basis waarvan de gerechtelijke uitspraak of het administratieve besluit in kwestie van het derde land wordt erkend of gehandhaafd in het Verenigd Koninkrijk — of indien die doorgifte is gebaseerd op een van de doorgiftemechanismen van hoofdstuk V van de UK GDPR. Om een buitenlands arrest uit te voeren, moeten rechters in het Verenigd Koninkrijk meer specifiek kunnen verwijzen naar gewoonterecht of geschreven recht dat de afdwingbaarheid hiervan mogelijk maakt. Noch in het gewoonterecht (zie Adams and Others v Cape Industries Plc. , [1990] 2 W. L. R. 657), noch in het geschreven recht is echter voorzien in de uitvoering van buitenlandse arresten die de doorgifte van gegevens vereisen zonder dat sprake is van een internationale overeenkomst.  Als gevolg hiervan zijn verzoeken om gegevens bij het ontbreken van een internationale overeenkomst niet afdwingbaar op grond van het Britse recht. Bovendien blijft de doorgifte van persoonsgegevens naar derde landen — ook op verzoek van een buitenlandse rechter of administratieve autoriteit — vallen onder de beperkingen van hoofdstuk V van de UK GDPR, die identiek zijn aan de overeenkomstige bepalingen van Verordening (EU) 2016/679 en derhalve vereisen om zich te baseren op een van de gronden voor doorgifte van hoofdstuk V in overeenstemming met de specifieke voorwaarden die uit hoofde van dat hoofdstuk op de doorgifte van toepassing zijn. (72)  De Britse autoriteiten hebben uitgelegd dat de beschrijving van een land of internationale organisatie verwijst naar een situatie waarin het noodzakelijk zou zijn om een specifieke en gedeeltelijke bepaling van adequaatheid te verrichten met gerichte beperkingen (bijvoorbeeld adequaatheidsbepalingen in verband met uitsluitend bepaalde soorten doorgiften van gegevens). (73)  Zie het memorandum van overeenstemming tussen de Secretary of State van het Ministerie van Digitale Zaken, Cultuur, Media en Sport en het bureau van de Information Commissioner over de rol van de Information Commissioner in verband met de nieuwe adequaatheidsbepalingen van het Verenigd Koninkrijk, beschikbaar op https://www. gov. uk/government/publications/memorandum-of-understanding-mou-on-the-role-of-the-ico-in-relation-to-new-uk-adequacy-assessments (74)  Wanneer dit gebeurt, hebben de bepalingen uiteindelijk geen verdere rechtsgevolgen meer. (75)  In de UK GDPR zijn de regels van artikel 47 van Verordening (EU) 2016/679 overgenomen, waarbij slechts wijzigingen zijn aangebracht om ervoor te zorgen dat de regels in de binnenlandse context passen, bijvoorbeeld door de verwijzingen naar de bevoegde toezichthoudende autoriteit te vervangen door verwijzingen naar de Information Commissioner en de verwijzingen naar het coherentiemechanisme van lid 1 en het volledige lid 3 te schrappen.  (76)  Op grond van artikel 49 van de UK GDPR kunnen doorgiften slechts plaatsvinden mits aan één van de volgende voorwaarden is voldaan: a) de betrokkene heeft uitdrukkelijk met de voorgestelde doorgifte ingestemd, na te zijn ingelicht over de risico’s die dergelijke doorgiften voor hem kunnen inhouden bij ontstentenis van een adequaatheidsbesluit en van passende waarborgen; b) de doorgifte is noodzakelijk voor de uitvoering van een overeenkomst tussen de betrokkene en de verwerkingsverantwoordelijke of voor de uitvoering van op verzoek van de betrokkene genomen precontractuele maatregelen; c) de doorgifte is noodzakelijk voor de sluiting of de uitvoering van een in het belang van de betrokkene tussen de verwerkingsverantwoordelijke en een andere natuurlijke persoon of rechtspersoon gesloten overeenkomst; d) de doorgifte is noodzakelijk wegens gewichtige redenen van algemeen belang; e) de doorgifte is noodzakelijk voor de instelling, uitoefening of onderbouwing van een rechtsvordering; f) de doorgifte is noodzakelijk voor de bescherming van de vitale belangen van de betrokkene of van andere personen, indien de betrokkene lichamelijk of juridisch niet in staat is zijn toestemming te geven; g) de doorgifte geschiedt vanuit een register dat krachtens het nationale recht is bedoeld om het publiek voor te lichten en dat door het publiek in het algemeen of door eenieder die zich op een rechtmatig belang kan beroepen, kan worden geraadpleegd, maar alleen voor zover in het gegeven geval aan de in het nationale recht neergelegde voorwaarden voor raadpleging wordt voldaan. Wanneer geen van de bovenstaande voorwaarden van toepassing is, mag een doorgifte bovendien alleen plaatsvinden mits deze niet repetitief is, een beperkt aantal betrokkenen betreft, noodzakelijk is voor dwingende gerechtvaardigde belangen van de verwerkingsverantwoordelijke die niet ondergeschikt zijn aan de belangen of rechten en vrijheden van de betrokkene, en de verwerkingsverantwoordelijke alle omstandigheden in verband met de gegevensdoorgifte heeft beoordeeld en op basis van die beoordeling passende waarborgen voor de bescherming van persoonsgegevens heeft geboden. (77)  In overweging 111 van de UK GDPR is gespecificeerd dat doorgiften in verband met een overeenkomst of rechtsvordering alleen mogen plaatsvinden wanneer deze incidenteel zijn. (78)  Richtsnoeren van de Information Commissioner inzake internationale doorgiften, beschikbaar op: https://ico. org.  uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/international-transfers/#ib7 (79)  Gedurende een periode van ten hoogste zes maanden die uiterlijk op 30 juni 2021 eindigt, moet de toepasselijkheid van dit nieuwe kader worden beoordeeld in het licht van artikel 782 van de Handels- en samenwerkingsovereenkomst tussen de Europese Unie en de Europese Gemeenschap voor Atoomenergie, enerzijds, en het Verenigd Koninkrijk van Groot-Brittannië en Noord-Ierland, anderzijds (PB L 444 van 31. 12. 2020, blz. 14) (hierna “de handels- en samenwerkingsovereenkomst EU-VK” genoemd), beschikbaar op: https://eur-lex. europa. eu/legal-content/NL/TXT/PDF/?uri=CELEX:22020A1231(01) (80)  Waar nodig zijn deze verwijzingen vervangen door verwijzingen naar de Britse autoriteiten. Op grond van artikel 17 van de DPA 2018 kan de Information Commissioner of een nationale accreditatie-instantie van het Verenigd Koninkrijk bijvoorbeeld een persoon die voldoet aan de vereisten van artikel 43 van de UK GDPR accrediteren om de naleving van een certificering te controleren. (81)  Het jaarverslag en de jaarrekening 2019-2020 van de Information Commissioner, beschikbaar op: https://ico. org. uk/media/about-the-ico/documents/2618021/annual-report-2019-20-v83-certified. pdf (82)  De relatie tussen de Information Commissioner en het ministerie is geregeld in een beheersovereenkomst. De belangrijkste taken van het Ministerie van Digitale Zaken, Cultuur, Media en Sport als financierder zijn onder meer: zorgen dat de Information Commissioner beschikt over voldoende middelen; de belangen van de Information Commissioner behartigen bij het parlement en andere ministeries; waarborgen dat er een robuust nationaal kader voor gegevensbescherming bestaat; en voorzien in richtsnoeren voor en ondersteuning van het bureau van de Information Commissioner met betrekking tot zakelijke kwesties zoals vastgoedvraagstukken, leases en aanbesteding (de Management Agreement 2018-2021, beschikbaar op: https://ico. org. uk/media/about-the-ico/documents/2259800/management-agreement-2018-2021. pdf). (83)  Governance Code on Public Appointments, beschikbaar op: https://assets. publishing. service. gov. uk/government/uploads/system/uploads/attachment_data/file/578498/governance_code_on_public_appointments_16_12_2016. pdf (84)  Tweede verslag van sessie 2015-2016 van de commissie voor Cultuur, Media en Sport van het Lagerhuis, beschikbaar op: https://publications. parliament. uk/pa/cm201516/cmselect/cmcumeds/990/990. pdf (85)  Een “address” is een motie die wordt voorgelegd aan het parlement, waarmee ernaar wordt gestreefd de vorst op de hoogte te stellen van de standpunten van het parlement over een bepaalde kwestie. (86)  Paragraaf 3, punt 3, van bijlage 12 bij de DPA 2018. (87)  Artikel 137 van de DPA 2018, zie overweging (17). (88)  In de artikelen 137 en 138 van de DPA 2018 is een aantal waarborgen opgenomen om te garanderen dat de vergoedingen op een passend niveau worden vastgesteld.  Met name in artikel 137, lid 4, worden de zaken genoemd die de Secretary of State in aanmerking moet nemen bij het vaststellen van regelingen waarin het bedrag wordt gespecificeerd dat verschillende organisaties moeten betalen. Artikel 138, lid 1, en artikel 182 van de DPA 2018 bevatten daarnaast een wettelijk vereiste voor de Secretary of State om de Information Commissioner en andere vertegenwoordigers of personen voor wie de regelingen waarschijnlijk gevolgen zullen hebben, te raadplegen alvorens deze regelingen vast te stellen, zodat rekening kan worden gehouden met hun standpunten. Op grond van artikel 138, lid 2, van de DPA 2018 moet de Information Commissioner bovendien de werking van de Charges Regulations blijven evalueren en kan hij bij de Secretary of State voorstellen indienen tot wijziging van de Regulations. Wanneer regelingen enkel worden vastgesteld om rekening te houden met een stijging van de index van kleinhandelsprijzen (waarbij deze vallen onder de negatieve procedure) moet hiervoor de bevestigende procedure worden gevolgd en mogen zij niet worden vastgesteld voordat zij per resolutie zijn goedgekeurd door beide kamers van het parlement. (89)  In de beheersovereenkomst is verduidelijkt dat de Secretary of State betalingen aan de Information Commissioner mag verrichten met geld dat door het parlement ter beschikking wordt gesteld op grond van paragraaf 9 van bijlage 12 bij de DPA 2018. Na raadpleging van de Information Commisioner betaalt het Ministerie van Digitale Zaken, Cultuur, Media en Sport de Information Commissioner passende bedragen (de subsidies) voor administratieve kosten van het ICO en voor de uitoefening van de taken van de Information Commissioner in verband met een aantal specifieke taken, waaronder de vrijheid van informatie (Management Agreement 2018-2021, paragraaf 1. 12, zie voetnoot 82). (90)  Zie artikel 134 van de DPA 2018. (91)  Artikel 142 van de DPA 2018 (behoudens de in artikel 143 van de DPA 2018 vastgestelde beperkingen). (92)  Artikel 146 van de DPA 2018 (behoudens de in artikel 147 van de DPA 2018 vastgestelde beperkingen). (93)  Artikelen 149 tot en met 151 van de DPA 2018 (behoudens de in artikel 152 van de DPA 2018 vastgestelde beperkingen). (94)  Artikel 155 van de DPA 2018 en artikel 83 van de UK GDPR.  (95)  Dit volgt uit artikel 155, lid 1, van de DPA 2018, gelezen in samenhang met artikel 149, leden 2 en 5, van de DPA 2018, en uit artikel 156, lid 4, van de DPA 2018, waarin het opleggen van sanctiebeschikkingen alleen wordt beperkt met betrekking tot de commissarissen staatsdomeinen en verwerkingsverantwoordelijken voor de koninklijke familie overeenkomstig artikel 209, lid 4, van de DPA 2018. (96)  Regulatory Action Policy, beschikbaar op: https://ico. org. uk/media/about-the-ico/documents/2259467/regulatory-action-policy. pdf (97)  Waaronder de aard en ernst van de inbreuk (rekening houdend met de aard, de omvang of het doel van de verwerking in kwestie, alsmede het aantal getroffen betrokkenen en de omvang van de door hen geleden schade), de opzettelijke of nalatige aard van de inbreuk, de door de verwerkingsverantwoordelijke genomen maatregelen om de door betrokkenen geleden schade te beperken, de mate waarin de verwerkingsverantwoordelijke of de verwerker verantwoordelijk is (rekening houdend met de technische en organisatorische maatregelen die hij heeft uitgevoerd), eerdere relevante inbreuken door de verwerkingsverantwoordelijke of de verwerker; de mate waarin met de Commissioner is samengewerkt, de categorieën persoonsgegevens waarop de inbreuk betrekking heeft, elke andere op de omstandigheden van de zaak toepasselijke verzwarende of verzachtende omstandigheid, zoals behaalde financiële winsten, of vermeden verliezen, die al dan niet rechtstreeks uit de inbreuk voortvloeien. (98)  Volgens de door de Britse autoriteiten verstrekte informatie werd in de periode die het jaarverslag 2019-2020 van de Information Commissioner beslaat in ongeveer 25 % van de gevallen een inbreuk geconstateerd, werd de betrokkene in ongeveer 29 % van de gevallen verzocht de kwestie eerst bij de verwerkingsverantwoordelijke onder de aandacht te brengen, te wachten op het antwoord van de verwerkingsverantwoordelijke of de lopende dialoog met de verwerkingsverantwoordelijke voort te zetten, werd in ongeveer 17 % van de gevallen geen inbreuk vastgesteld, maar advies verleend aan de verwerkingsverantwoordelijke, werd in ongeveer 25 % van de gevallen een inbreuk vastgesteld door de Information Commissioner en werd advies verleend aan de verwerkingsverantwoordelijke of werd hij gelast bepaalde maatregelen te nemen, werd in ongeveer 3 % van de gevallen vastgesteld dat de klacht niet viel onder Verordening (EU) 2016/679 en werd ongeveer 1 % van de gevallen doorgestuurd naar een andere autoriteit voor gegevensbescherming in het kader van het Europees Comité voor gegevensbescherming.  (99)  Het ICO kan deze onderzoeken starten op basis van informatie die van verschillende bronnen wordt verkregen, waaronder meldingen van inbreuken in verband met persoonsgegevens, doorverwijzingen van andere Britse overheidsinstanties of buitenlandse autoriteiten voor gegevensbescherming en klachten van personen of maatschappelijke organisaties. (100)  Het jaarverslag en de jaarrekening 2019-2020 van de Information Commissioner (zie voetnoot 81). (101)  Volgens het voorgaande jaarverslag voor de periode 2018-2019 vaardigde de Information Commissioner in de verslagperiode 22 sanctiebeschikkingen op grond van de DPA 1998 uit, met geldboetes van in totaal 3 010 610 GBP, waaronder twee geldboetes van 500 000 GBP (het maximum dat uit hoofde van de DPA 1998 was toegestaan). In 2018 voerde de Information Commissioner met name een onderzoek uit naar het gebruik van data-analyse voor politieke doeleinden naar aanleiding van de onthullingen omtrent Cambridge Analytica. Het onderzoek resulteerde in een beleidsrapport, een reeks aanbevelingen, een boete van 500 000 GBP voor Facebook en een sommatie tot nakoming voor Aggregate IQ, een Canadese gegevensmakelaar, waarbij het bedrijf werd gelast persoonsgegevens van Britse onderdanen en inwoners van het Verenigd Koninkrijk te wissen (zie het jaarverslag en de jaarrekening 2018-2019 van de Information Commissioner, beschikbaar op: https://ico. org. uk/media/about-the-ico/documents/2615262/annual-report-201819. pdf) (102)  Zie de website van het ICO voor een samenvatting van de getroffen handhavingsmaatregelen, beschikbaar op: https://ico. org. uk/action-weve-taken/enforcement/ (103)  Artikel 170 van de DPA 2018. (104)  Artikel 171 van de DPA 2018. (105)  Artikel 119 van de DPA 2018. (106)  Artikelen 144 en 148 van de DPA 2018. (107)  Artikel 117 van de DPA 2018. (108)  Het panel is verantwoordelijk voor het verstrekken van richtsnoeren en opleidingen aan de rechterlijke macht. Het behandelt daarnaast klachten van betrokkenen in verband met de verwerking van persoonsgegevens door rechters, administratieve rechtbanken en personen die optreden in een rechterlijke hoedanigheid. Het panel moet de middelen verstrekken om alle klachten te kunnen oplossen. Indien een klager ontevreden is met een beslissing van het panel en aanvullend bewijs overlegt, kan het panel zijn beslissing heroverwegen. Hoewel het panel zelf geen financiële sancties oplegt, kan het, wanneer het van mening is dat sprake is van een voldoende ernstige inbreuk op de DPA 2018, de zaak doorverwijzen naar het Judicial Conduct Investigation Office (het Britse Onderzoeksbureau Gerechtelijk Optreden, hierna “JCIO” genoemd), dat de klacht zal onderzoeken.  Als de klacht gegrond wordt verklaard, moeten de Lord Chancellor (grootkanselier) en de Lord Chief Justice (of een hoge rechter aan wie hij deze taak delegeert) besluiten welke maatregelen tegen de ambtsdrager moeten worden genomen. Dit kan het volgende omvatten, in volgorde van ernst: een formeel advies, een formele waarschuwing, een berisping en, uiteindelijk, de ontzetting uit het ambt. Als een persoon ontevreden is met de wijze waarop de klacht door het JCIO is onderzocht, kan hij een verdere klacht indienen bij de Judicial Appointments and Conduct Ombudsman (ombudsman voor gerechtelijke benoemingen en gerechtelijk optreden) (zie https://www. gov. uk/government/organisations/judicial-appointments-and-conduct-ombudsman). De ombudsman is bevoegd om het JCIO te verzoeken een klacht opnieuw te onderzoeken en kan voorstellen om een vergoeding te betalen aan de klager wanneer hij van mening is dat deze schade heeft geleden als gevolg van wanbeheer. (109)  De privacyverklaring van de Lord Chief Justice en de Senior President of Tribunals is beschikbaar op: https://www. judiciary. uk/about-the-judiciary/judiciary-and-data-protection-privacy-notice (110)  De privacyverklaring van de Lord Chief Justice van Noord-Ierland is beschikbaar op: https://judiciaryni. uk/data-privacy (111)  De privacyverklaring voor de Schotse rechters en administratieve rechtbanken is beschikbaar op: https://www. judiciary. uk/about-the-judiciary/judiciary-and-data-protection-privacy-notice (112)  De DSJ verstrekt richtsnoeren aan de rechterlijke macht en onderzoekt inbreuken en/of klachten met betrekking tot de verwerking van persoonsgegevens door rechters of personen die optreden in een rechterlijke hoedanigheid. (113)  Wanneer de klacht of inbreuk ernstig wordt geacht, wordt deze doorgestuurd naar de Judicial Complaints Officer (functionaris voor gerechtelijke klachten) voor een verder onderzoek in overeenstemming met de praktijkcode voor klachten van de Lord Chief Justice van Noord-Ierland. De uitkomst van een dergelijke klacht kan zijn: geen verdere maatregelen, advies, opleiding of begeleiding, een informele waarschuwing, een formele waarschuwing, een laatste waarschuwing, beperking van de praktijk of doorverwijzing naar een statutaire administratieve rechtbank. De privacyverklaring van de Lord Chief Justice van Noord-Ierland is beschikbaar op: https://judiciaryni. uk/sites/judiciary/files/media-files/14G. %20CODE%20OF%20PRACTICE%20Judicial%20~%2028%20Feb%2013%20%28Final%29%20updated%20with%20new%20comp. __1. pdf (114)  Gegronde klachten worden onderzocht door de DSJ en doorverwezen naar de Lord President, die bevoegd is om advies, een formele waarschuwing of een berisping vast te stellen indien hij dit nodig acht (voor leden van administratieve rechtbanken bestaan gelijkwaardige regels, die beschikbaar zijn op: https://www. judiciary. scot/docs/librariesprovider3/judiciarydocuments/complaints/complaintsaboutthejudiciaryscotlandrules2017_1d392ab6e14f6425aa0c7f48d062f5cc5. pdf?sfvrsn=5d3eb9a1_2). (115)  Artikel 77 van de UK GDPR.  (116)  In artikel 166 van de DPA 2018 wordt specifiek verwezen naar de volgende situaties: a) de Commissioner heeft niet de passende stappen genomen om op de klacht te reageren, b) de Commissioner heeft voor het einde van de periode van drie maanden vanaf de ontvangst van de klacht door de Commissioner geen informatie verstrekt aan de klager over de voortgang of het resultaat van de klacht of c) de Commissioner heeft, indien de behandeling van de klacht door de Commissioner niet binnen de bovengenoemde periode wordt afgerond, de klager hiervan niet binnen een daaropvolgende periode van drie maanden op de hoogte gesteld. (117)  Artikel 78, lid 2, van de UK GDPR en artikel 166 van de DPA 2018. (118)  Artikel 78, lid 1, van de UK GDPR en artikel 162 van de DPA 2018. (119)  Artikel 7, lid 1, van de Human Rights Act 1998. Overeenkomstig artikel 7, lid 7, is een persoon alleen het slachtoffer van een onrechtmatige handeling als hij een slachtoffer zou zijn in de zin van artikel 34 van het Europees Verdrag voor de rechten van de mens wanneer in verband met die handeling een procedure zou worden ingesteld voor het Europees Hof voor de Rechten van de Mens. (120)  Artikel 8, lid 1, van de Human Rights Act 1998. (121)  Zie Schrems II, punten 174–175, en de aangehaalde rechtspraak. Zie ook, wat de toegang van overheidsinstanties van de lidstaten betreft, het arrest van het Hof (grote kamer) van 6 oktober 2020, Privacy International, Zaak C-623/17, ECLI:EU:C:2020:790, punt 65; en het arrest van het Hof (grote kamer) van 6 oktober 2020, La Quadrature du Net e. a. , gevoegde zaken C-511/18, C-512/18 en C-520/18, ECLI:EU:C:2020:791, punt 175. (122)  Zie Schrems II, punten 176 en 181, en de aangehaalde rechtspraak. Zie ook, wat de toegang van overheidsinstanties van de lidstaten betreft, Privacy International, punt 68, en La Quadrature du Net e. a. , punt 132. (123)  Zie Schrems II, punt 176. Zie ook, wat de toegang van overheidsinstanties van de lidstaten betreft, Privacy International, punt 68, en La Quadrature du Net e. a. , punt 132. (124)  Zie Schrems II, punt 179. (125)  Zie Schrems II, punten 181–182. (126)  Zie Schrems I, punt 95 en Schrems II, punt 194.  In dat verband heeft het HvJ-EU met name benadrukt dat artikel 47 van het Handvest van de grondrechten (dat het recht op een doeltreffende voorziening in rechte bij een onafhankelijk en onpartijdig gerecht waarborgt), deel uitmaakt van “het binnen de Unie vereiste beschermingsniveau en [dat] de Commissie de naleving [ervan] moet vaststellen alvorens een adequaatheidsbesluit op grond van artikel 45, lid 1, AVG vast te stellen” (Schrems II, punt 186). (127)  Artikel 6 van de Human Rights Act 1998. (128)  Arrest van het Europees Hof voor de Rechten van de Mens, Klass e. a. /Duitsland, verzoekschrift nr. 5029/71, punten 17–51. (129)  Arrest van het Europees Hof voor de Rechten van de Mens, Kennedy/Verenigd Koninkrijk, verzoekschrift nr. 26839/05, (“Kennedy”), punten 167 en 190. (130)  Voor meer informatie over het Europees Verdrag tot bescherming van de rechten van de mens en de opneming daarvan in de wetgeving van het Verenigd Koninkrijk via de Human Rights Act 1998, alsmede over Verdrag 108, zie overweging (9). (131)  Evenzo zijn, uit hoofde van artikel 11 van Verdrag 108+, beperkingen van bepaalde specifieke rechten en verplichtingen van het Verdrag ten behoeve van de nationale veiligheid of het voorkomen, onderzoeken en vervolgen van strafbare feiten en de uitvoering van straffen alleen toegestaan indien zij bij wet zijn voorzien, zij de wezenlijke inhoud van de fundamentele rechten en vrijheden eerbiedigen, en zij in een democratische samenleving noodzakelijk en evenredig zijn. Verwerkingsactiviteiten voor nationale veiligheids- en defensiedoeleinden moeten ook onderworpen zijn aan onafhankelijke en doeltreffende toetsing en toezicht uit hoofde van de nationale wetgeving van de respectieve partij bij het verdrag. (132)  Artikel 31 van de DPA 2018. (133)  De in bijlage 7 vermelde bevoegde autoriteiten omvatten niet alleen de politiemacht, maar ook alle Britse ministeriële overheidsdiensten alsook alle overige autoriteiten met opsporingstaken (bv. de Commissioner for Her Majesty’s Revenue and Customs (de Britse toezichthouder voor douane en accijnzen, the National Crime Agency, the Welsh Revenue Authority (de belastingdienst voor Wales), de Competition and Markets Authority (de Autoriteit concurrentie en markten) of Her Majesty’s Land Register (het Britse kadaster)), vervolgingsinstanties, andere strafrechtelijke instanties en andere houders of organisaties die rechtshandhavingsactiviteiten verrichten (daarvan worden in bijlage 7 bij de DPA 2018 de directeurs van de officieren van justitie, de directeur van de officieren van justitie voor Noord-Ierland of de Information Commissioner vermeld). (134)  Artikel 30, lid 2, van de DPA 2018. (135)  Artikel 35 van de DPA 2018.  (136)  Artikel 36 van de DPA 2018. (137)  Artikel 37 van de DPA 2018. (138)  Artikel 38 van de DPA 2018. (139)  Artikel 39 van de DPA 2018. (140)  Artikel 40 van de DPA 2018. (141)  Artikel 44 van de DPA 2018. (142)  Artikel 45 van de DPA 2018. (143)  Artikelen 46 en 47 van de DPA 2018. (144)  Artikelen 49 en 50 van de DPA 2018. (145)  Artikelen 56 tot en met 65 van de DPA 2018. (146)  Artikel 66 van de DPA 2018. (147)  Artikelen 67 en 68 van de DPA 2018. (148)  Artikel 69 tot en met 71 van de DPA 2018. (149)  Artikelen 67 en 68 van de DPA 2018. (150)  Hoofdstuk 5 van deel 3 van de DPA 2018. (151)  Uit hoofde van artikel 86, lid 6, van de DPA 2018 moet, om de behoorlijkheid en transparantie van de verwerking te bepalen, worden gekeken naar de methode waarmee deze gegevens zijn verkregen. In die zin wordt aan het vereiste van behoorlijkheid en transparantie voldaan indien de gegevens worden verkregen van een persoon die wettelijk gemachtigd of verplicht is ze te verstrekken. (152)  Uit hoofde van artikel 87 van de DPA 2018 moeten de doeleinden van de verwerking welbepaald, uitdrukkelijk en rechtmatig zijn. De gegevens mogen niet worden verwerkt op een wijze die onverenigbaar is met de doeleinden waarvoor zij worden verzameld. Uit hoofde van artikel 87, lid 3, van de DPA 2018 kan verdere verenigbare verwerking van persoonsgegevens alleen worden toegestaan indien de verwerkingsverantwoordelijke bij wet gemachtigd is om de gegevens voor dat doel te verwerken en de verwerking noodzakelijk en evenredig is met dat andere doel. De verwerking moet als verenigbaar worden beschouwd indien de verwerking bestaat uit verwerking voor archiveringsdoeleinden in het algemeen belang, voor wetenschappelijk of historisch onderzoek of voor statistische doeleinden, en deze verwerking met passende waarborgen is omgeven (artikel 87, lid 4, van de DPA 2018). (153)  Persoonsgegevens moeten toereikend, ter zake dienend en niet bovenmatig zijn (artikel 88 van de DPA 2018). (154)  Persoonsgegevens moeten juist en actueel zijn (artikel 89 van de DPA 2018). (155)  Persoonsgegevens mogen niet langer worden bewaard dan nodig is (artikel 90 van de DPA 2018). (156)  Het zesde gegevensbeschermingsbeginsel houdt in dat persoonsgegevens op zodanige wijze moeten worden verwerkt dat onder meer passende beveiligingsmaatregelen worden genomen ten aanzien van de risico’s die voortvloeien uit de verwerking van persoonsgegevens.  De risico’s omvatten (maar zijn niet beperkt tot) toevallige of ongeoorloofde toegang tot, of vernietiging, verlies, gebruik, wijziging of openbaarmaking van persoonsgegevens (artikel 91 van de DPA 2018). Artikel 107 vereist ook dat 1) elke verwerkingsverantwoordelijke passende beveiligingsmaatregelen neemt die zijn afgestemd op de risico’s die voortvloeien uit de verwerking van persoonsgegevens, en 2) in het geval van geautomatiseerde verwerking, elke verwerkingsverantwoordelijke en elke verwerker preventieve of beschermende maatregelen neemt op basis van een risicobeoordeling. (157)  Artikel 86, lid 2, punt b), en bijlage 10 bij de DPA 2018. (158)  Hoofdstuk 3 van deel 4 van de DPA 2018, met name het recht: op inzage, rectificatie en wissing, het recht op bezwaar tegen de verwerking en het recht om niet te worden onderworpen aan geautomatiseerde besluitvorming, om in te grijpen in geautomatiseerde besluitvorming en om te worden geïnformeerd over de besluitvorming. Bovendien moet de verwerkingsverantwoordelijke de betrokkene informatie verstrekken over de verwerking van zijn persoonsgegevens. Zoals uitgelegd in de richtsnoeren van de Information Commissioner over de verwerking door inlichtingendiensten, kunnen personen al hun rechten (met inbegrip van een verzoek om rectificatie) uitoefenen door een klacht in te dienen bij de Information Commissioner of naar de rechter te stappen (zie de richtsnoeren van de Information Commissioner over verwerking door inlichtingendiensten, beschikbaar op https://ico. org. uk/for-organisations/guide-to-data-protection/guide-to-intelligence-services-processing/). (159)  Artikel 103 van de DPA 2018. (160)  Artikel 109 van de DPA 2018. Doorgifte van persoonsgegevens aan internationale organisaties of landen buiten het Verenigd Koninkrijk is mogelijk indien de doorgifte een noodzakelijke en evenredige maatregel is die wordt uitgevoerd ten behoeve van de wettelijke taken van de verwerkingsverantwoordelijke, of voor andere doeleinden waarin is voorzien in specifieke artikelen van de Security Service Act 1989 (de Britse wet inzake de veiligheidsdiensten van 1989) en de Intelligence Services Act 1994 (de Britse wet inzake de inlichtingendiensten van 1994). (161)  Richtsnoeren van de Information Commissioner, zie voetnoot 158. Artikel 30 van de DPA 2018 en bijlage 7 bij de DPA 2018. (162)  Artikel 110, lid 2, van de DPA 2018 somt de bepalingen op waarvan vrijstelling is toegestaan. 