None
(64)


De schade
, waaronder immateriële schade,
 die betrokkenen ten gevolge van een onrechtmatige verwerking kunnen lijden, moet worden vergoed door de voor de verwerking verantwoordelijke of de verwerker, die van zijn aansprakelijkheid kan worden vrijgesteld indien hij bewijst dat het schade veroorzakende feit hem niet kan worden toegerekend, wat met name het geval is wanneer hij aantoont dat er sprake is van een fout van de betrokkene of van overmacht. [Am. 49]











(65)


Er moet worden voorzien in sancties jegens alle natuurlijke personen of rechtspersonen, ongeacht of deze onder het publiekrecht dan wel onder het privaatrecht vallen, die deze richtlijn niet naleven. De lidstaten dienen erop toe te zien dat de sancties doeltreffend, evenredig en afschrikkend zijn en alle maatregelen te nemen om de sancties ten uitvoer te leggen.
 (65 bis)






De doorgifte van persoonsgegevens naar andere autoriteiten of particuliere instanties is verboden, tenzij de doorgifte in overeenstemming is met het recht, en de ontvanger in een lidstaat gevestigd is, en er geen specifieke belangen van de betrokkene zijn die de doorgifte verhinderen, en de doorgifte in een specifiek geval voor de voor de verwerking verantwoordelijke noodzakelijk is om een rechtmatig toegewezen taak uit te voeren of om een onmiddellijke en ernstige bedreiging van de openbare veiligheid af te wenden, dan wel om te voorkomen dat de rechten van personen ernstig worden geschonden. De voor de verwerking verantwoordelijke moet de ontvanger inlichten over het doel van de verwerking en hij moet de toezichthoudende autoriteit informeren over de doorgifte. De ontvanger moet tevens geïnformeerd worden over beperkingen voor de verwerking en ervoor zorgen dat deze in acht worden genomen. [Am. 50]











(66)


Met het oog op de verwezenlijking van de doelstellingen van deze richtlijn, namelijk het beschermen van de grondrechten en fundamentele vrijheden van natuurlijke personen, in het bijzonder hun recht op de bescherming van persoonsgegevens, en het waarborgen van het vrije verkeer van persoonsgegevens tussen de bevoegde autoriteiten in de Unie, dient aan de Commissie de bevoegdheid te worden overgedragen om overeenkomstig artikel 290 van het Verdrag betreffende de werking van de Europese Unie handelingen vast te stellen. In het bijzonder dient de mogelijkheid te bestaan om

moeten
 gedelegeerde handelingen vast te stellen met betrekking tot de melding van inbreuken

worden vastgesteld met het oog op de nadere invulling van de criteria en de voorwaarden voor verwerkingen waarvoor een privacyeffectbeoordeling vereist is; de criteria en vereisten om een inbreuk
 in verband met persoonsgegevens aan de toezichthoudende autoriteit

vast te stellen en met betrekking tot het passende beschermingsniveau van persoonsgegevens dat een derde land, dan wel een gebied of een verwerkende sector binnen dat derde land, of een internationale organisatie, biedt. Het is van bijzonder belang dat de Commissie bij haar voorbereidende werkzaamheden tot passende raadpleging overgaat, onder meer op deskundigenniveau
en in het bijzonder van het Europees Comité voor gegevensbescherming. De Commissie moet er bij de voorbereiding en opstelling van de gedelegeerde handelingen ervoor zorgen dat de desbetreffende documenten tijdig en op gepaste wijze gelijktijdig worden toegezonden aan het Europees Parlement en
aan
 de Raad.  [Am. 54]











(70)


Daar de doelstellingen van deze richtlijn, namelijk het beschermen van de fundamentele rechten en vrijheden van natuurlijke personen, in het bijzonder hun recht op de bescherming van
hun
 persoonsgegevens, en het waarborgen van het vrije verkeer van persoonsgegevens tussen de bevoegde autoriteiten in de Unie, niet voldoende door de lidstaten kunnen worden verwezenlijkt en derhalve, gezien

maar vanwege
 de omvang en de gevolgen van de maatregelen, beter door de Unie kunnen worden verwezenlijkt, kan de Unie, overeenkomstig het in artikel 5 van het Verdrag betreffende de Europese Unie neergelegde subsidiariteitsbeginsel, maatregelen nemen. Overeenkomstig het in hetzelfde artikel neergelegde evenredigheidsbeginsel gaat deze richtlijn niet verder dan
wat
 nodig is om dit doel

deze doelstellingen
 te verwezenlijken.
De lidstaten kunnen voorzien in strengere normen dan die welke in deze richtlijn zijn vastgesteld. [Am. 55]











(71)


Kaderbesluit 2008/977/JBZ dient bij deze richtlijn te worden ingetrokken.
(72)


Specifieke bepalingen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, die zijn opgenomen in handelingen van de Unie die voorafgaand aan de vaststelling van deze richtlijn zijn vastgesteld en die de verwerking van persoonsgegevens tussen lidstaten onderling en de toegang van door de lidstaten aangewezen autoriteiten tot op grond van de Verdragen opgerichte informatiesystemen regelen, dienen ongewijzigd te blijven.
 Gezien het feit dat artikel 8 van het Handvest van de grondrechten en artikel 16 VWEU bepalen dat het grondrecht op bescherming van persoonsgegevens op een consistente en uniforme wijze in de EU moet worden gewaarborgd, dient d
e Commissie dient

binnen twee jaar na de inwerkingtreding van deze richtlijn
 na te gaan wat het verband is tussen deze richtlijn en handelingen die voorafgaand aan de vaststelling van deze richtlijn zijn vastgesteld en die de verwerking van persoonsgegevens tussen lidstaten onderling en de toegang van door de lidstaten aangewezen autoriteiten tot op grond van de Verdragen opgerichte informatiesystemen regelen, teneinde de noodzaak van aanpassing van die specifieke bepalingen aan deze richtlijn te beoordelen

, en dient zij passende voorstellen in te dienen om te zorgen voor consistente en homogene voorschriften voor de verwerking van persoonsgegevens door bevoegde autoriteiten of voor de toegang van door de lidstaten aangewezen autoriteiten tot op grond van de Verdragen opgerichte informatiesystemen, evenals voor de verwerking van persoonsgegevens door de instellingen, organen, bureaus en agentschappen van de Unie met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van strafrechtelijke sancties binnen de werkingssfeer van deze richtlijn
. [Am. 56]











(73)


Teneinde de algehele en samenhangende bescherming van persoonsgegevens in de Unie te waarborgen, dienen internationale overeenkomsten die de
Unie of de
 lidstaten voor de inwerkintreding van deze richtlijn hebben gesloten, te worden gewijzigd in overeenstemming met deze richtlijn. [Am. 57]











(74)


Deze richtlijn laat de voorschriften ter bestrijding van seksueel misbruik en seksuele uitbuiting van kinderen en kinderpornografie, zoals opgenomen in Richtlijn 2011/93/EU van het Europees Parlement en de Raad (7), onverlet.
 (75)


Overeenkomstig artikel 6 bis van Protocol nr. 21 betreffende de positie van het Verenigd Koninkrijk en Ierland ten aanzien van de ruimte van vrijheid, veiligheid en recht, dat gehecht is aan het Verdrag betreffende de Europese Unie en het Verdrag betreffende de werking van de Europese Unie, zijn het Verenigd Koninkrijk en Ierland niet gebonden door de in deze richtlijn vastgestelde voorschriften, wanneer het Verenigd Koninkrijk en Ierland niet gebonden zijn door de regels van de Unie betreffende de vormen van justitiële samenwerking in strafzaken of van politiële samenwerking in het kader waarvan de op grond van artikel 16 van het Verdrag betreffende de werking van de Europese Unie vastgestelde bepalingen moeten worden nageleefd.
(76)


Overeenkomstig de artikelen 2 en 2 bis van Protocol nr. 22 betreffende de positie van Denemarken, dat gehecht is aan het Verdrag betreffende de Europese Unie en het Verdrag betreffende de werking van de Europese Unie, zijn de bepalingen van deze richtlijn niet bindend voor, noch van toepassing in Denemarken. Aangezien deze richtlijn een uitwerking inhoudt van het Schengenacquis overeenkomstig titel V van het derde deel van het Verdrag betreffende de werking van de Europese Unie, beslist Denemarken overeenkomstig artikel 4 van dat Protocol binnen zes maanden na de vaststelling van een maatregel of het deze maatregel in zijn nationale wetgeving zal omzetten.
[Am. 58]











(77)


Wat Noorwegen en IJsland betreft, vormt deze richtlijn een ontwikkeling van de bepalingen van het Schengenacquis in de zin van de Overeenkomst tussen de Raad van de Europese Unie, de Republiek IJsland en het Koninkrijk Noorwegen inzake de wijze waarop laatstgenoemden worden betrokken bij de uitvoering, de toepassing en de ontwikkeling van het Schengenacquis (8).
 (78)


Wat Zwitserland betreft, vormt deze richtlijn een ontwikkeling van de bepalingen van het Schengenacquis in de zin de Overeenkomst tussen de Europese Unie, de Europese Gemeenschap en de Zwitserse Bondsstaat inzake de wijze waarop Zwitserland wordt betrokken bij de uitvoering, de toepassing en de ontwikkeling van het Schengenacquis (9).
(79)


Wat Liechtenstein betreft, vormt deze verordening een ontwikkeling van de bepalingen van het Schengenacquis als bedoeld in het Protocol tussen de Europese Unie, de Europese Gemeenschap, de Zwitserse Bondsstaat en het Vorstendom Liechtenstein betreffende de toetreding van het Vorstendom Liechtenstein tot de Overeenkomst tussen de Europese Unie, de Europese Gemeenschap en de Zwitserse Bondsstaat inzake de wijze waarop Zwitserland wordt betrokken bij de uitvoering, de toepassing en de ontwikkeling van het Schengenacquis (10).
(80)


Deze richtlijn eerbiedigt de grondrechten en neemt de beginselen in acht die erkend zijn in het Handvest, zoals verankerd in het Verdrag, met name het recht op eerbiediging van het privéleven en het familie- en gezinsleven, het recht op bescherming van persoonsgegevens en het recht op een doeltreffende voorziening in rechte en op een onpartijdig gerecht. De beperkingen op de uitoefening van deze rechten zijn in overeenstemming met artikel 52, lid 1, van het Handvest, omdat zij noodzakelijk zijn om te beantwoorden aan door de Unie erkende doelstellingen van algemeen belang of aan de eisen van de bescherming van de rechten en vrijheden van anderen.
 (81)


Overeenkomstig de gezamenlijke politieke verklaring van de lidstaten en de Commissie van 28 september 2011 over toelichtende stukken (11) hebben de lidstaten zich ertoe verbonden om in gerechtvaardigde gevallen de kennisgeving van omzettingsmaatregelen vergezeld te doen gaan van één of meer stukken waarin het verband tussen de onderdelen van een richtlijn en de overeenkomstige delen van de nationale omzettingsinstrumenten wordt toegelicht. Ten aanzien van deze richtlijn acht de wetgever de toezending van dergelijke toelichtende documenten verantwoord.
(82)


Deze richtlijn dient de lidstaten niet te beletten om bepalingen betreffende de uitoefening van de rechten van betrokkenen inzake informatie, toegang, rectificatie, uitwissing en beperking van hun persoonsgegevens die worden verwerkt in het kader van strafrechtelijke procedures, alsmede eventuele beperkingen daarop, in het nationale strafprocesrecht op te nemen,




HEBBEN DE VOLGENDE RICHTLIJN VASTGESTELD:
HOOFDSTUK I
ALGEMENE BEPALINGEN
Artikel 1
Onderwerp en doelstellingen
1.   Bij deze richtlijn worden bepalingen vastgesteld betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of

en
 de tenuitvoerlegging van straffen
, en bepalingen ten aanzien van het vrije verkeer van die persoonsgegevens.
2.   Overeenkomstig deze richtlijn hebben de lidstaten de verplichting:






a)


de grondrechten en fundamentele vrijheden van natuurlijke personen en met name hun recht op bescherming van
hun
 persoonsgegevens
en van hun persoonlijke levenssfeer
 te beschermen; alsmede










b)


erop toe te zien dat de uitwisseling van persoonsgegevens binnen de Unie door bevoegde autoriteiten niet wordt beperkt of verboden om redenen die betrekking hebben op de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens.
2 bis.
 Deze richtlijn belet de lidstaten niet om uitgebreidere waarborgen te bieden dan die waarin deze richtlijn voorziet. [Am. 59]

Artikel 2
Toepassingsgebied
1.   Deze richtlijn is van toepassing op de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de in artikel 1, lid 1, bedoelde doeleinden.
2.   Deze richtlijn is van toepassing op de geheel of gedeeltelijk geautomatiseerde, alsmede op de niet-geautomatiseerde verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen.
3.   Deze richtlijn is niet van toepassing op de verwerking van persoonsgegevens:







a)



in het kader van activiteiten die buiten de werkingssfeer van het EU-recht vallen, met name activiteiten op het gebied van de nationale veiligheid;











b)




door instellingen, organen en instanties van de Unie.
 [Am. 60] Artikel 3 Definities Voor de toepassing van deze richtlijn wordt verstaan onder: (1) „betrokkene”: een geïdentificeerde natuurlijke persoon of een natuurlijke persoon die direct of indirect, met behulp van middelen waarvan redelijkerwijs te verwachten is dat zij door de voor de verwerking verantwoordelijke dan wel door een andere natuurlijke persoon of rechtspersoon in te zetten zijn, kan worden geïdentificeerd, met name aan de hand van een identificatienummer, gegevens over de verblijfplaats, een online-identificatiemiddel of een of meer elementen die kenmerkend zijn voor zijn lichamelijke, fysiologische, genetische, geestelijke, economische, culturele of sociale identiteit; (2) „persoonsgegevens”: iedere informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon, hierna „ betrokkene ” te noemen; als identificeerbaar wordt beschouwd een persoon die direct of indirect kan worden geïdentificeerd, in het bijzonder aan de hand van een identificatiemiddel, zoals een naam, een identificatienummer, gegevens over de verblijfplaats, een unieke identificatiecode of van een of meer specifieke elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele, sociale of genderidentiteit van die persoon ; (2 bis) „pseudonieme gegevens”: persoonsgegevens die niet aan een specifieke betrokkene kunnen worden gekoppeld zonder dat er aanvullende gegevens worden gebruikt, zo lang als dergelijke aanvullende informatie apart wordt bewaard en op voorwaarde dat technische en organisatorische maatregelen worden genomen om niet-koppeling te waarborgen; (3) „verwerking”: elke bewerking of elk geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd met behulp van geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enigerlei andere wijze van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het beperken, wissen of vernietigen van gegevens; (3 bis) „profilering”: elke vorm van geautomatiseerde verwerking van persoonsgegevens die tot doel heeft om bepaalde persoonlijke aspecten met betrekking tot een natuurlijke persoon te evalueren, met de bedoeling met name beroepsprestaties, economische situatie, verblijfplaats, gezondheid, persoonlijke voorkeuren, betrouwbaarheid of gedrag te analyseren of te voorspellen; (4) „beperken van de verwerking”: het markeren van opgeslagen persoonsgegevens met als doel de verwerking ervan in de toekomst te beperken; (5) „bestand”: elk gestructureerd geheel van persoonsgegevens die volgens bepaalde criteria toegankelijk zijn, ongeacht of dit geheel gecentraliseerd dan wel gedecentraliseerd is of verspreid op een functioneel of geografisch bepaalde wijze; (6) „voor de verwerking verantwoordelijke”: een bevoegde overheidsinstantie die, alleen of tezamen met anderen, het doel van en de voorwaarden en middelen voor de verwerking van persoonsgegevens vaststelt; wanneer het doel van en de voorwaarden en middelen voor de verwerking worden vastgesteld bij het recht van de EU of het recht van delidstaat, kan in het recht van de EU of het recht van de lidstaat worden bepaald wie de voor de verwerking verantwoordelijke is of volgens welke criteria deze wordt aangewezen; (7) „verwerker”: een natuurlijke persoon of rechtspersoon, overheidsinstantie, dienst of enig ander lichaam die of dat ten behoeve van de voor de verwerking verantwoordelijke persoonsgegevens verwerkt; (8) „ontvanger”: een natuurlijke persoon of rechtspersoon, overheidsinstantie, dienst of enig ander lichaam aan wie, respectievelijk waaraan de persoonsgegevens worden verstrekt; (9) „inbreuk in verband met persoonsgegevens”: een inbreuk op de beveiliging, met als gevolg de vernietiging, het verlies, de wijziging, of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot verstrekte, opgeslagen of anderszins verwerkte gegevens, hetzij per ongeluk, hetzij onrechtmatig; (10) „genetische gegevens”: gegevens, van welke aard ook, over de overgeërfde of tijdens de vroege prenatale ontwikkeling verkregen kenmerken van een persoon; (11) „biometrische gegevens”: gegevens alle persoonsgegevens met betrekking tot de fysieke, fysiologische of gedragskenmerken van een persoon op grond waarvan de eenduidige kenmerking van die persoon mogelijk is, zoals afbeeldingen van het gezicht of dactyloscopische gegevens; (12) „gegevens over gezondheid”: informatie persoonsgegevens over de fysieke of mentale gezondheid van een persoon, of over de verlening van een gezondheidsdienst aan een persoon; (13) „kind”: een persoon die jonger is dan achttien jaar; (14) „bevoegde autoriteiten”: elke overheidsinstantie die bevoegd is ten aanzien van de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten of de tenuitvoerlegging van straffen; (15) „toezichthoudende autoriteit”: een door een lidstaat overeenkomstig artikel 39 ingestelde overheidsinstantie. De lidstaten bepalen dat de bevoegde autoriteiten uitsluitend toegang mogen hebben tot persoonsgegevens die oorspronkelijk voor andere dan de in artikel 1, lid 1 bepaalde doeleinden zijn verwerkt, indien zij hiertoe specifiek bevoegd zijn op grond van het recht van de Unie of of het recht van de desbetreffende lidstaat, die moet voldoen aan de vereisten van artikel 7, lid 1 bis, en zij bepalen dat:










a)






de toegang uitsluitend wordt toegestaan aan naar behoren gemachtigd personeel van de bevoegde autoriteiten voor de uitvoering van hun taken indien er in specifieke gevallen goede redenen bestaan om aan te nemen dat de persoonsgegevens een wezenlijke bijdrage leveren aan de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen;














b)






verzoeken tot toegang schriftelijk zijn en dat daarin verwezen wordt naar de rechtsgrond van het verzoek;














c)






het schriftelijk verzoek gedocumenteerd is; en














d)






passende waarborgen worden geboden ter bescherming van de grondrechten en fundamentele vrijheden in verband met de verwerking van persoonsgegevens. Deze waarborgen doen geen afbreuk aan en vormen een aanvulling op de specifieke voorwaarden voor toegang tot persoonsgegevens, zoals toestemming van een rechter overeenkomstig het recht van de lidstaat.
2.
Toegang tot persoonsgegevens in handen van particuliere partijen of andere overheidsinstanties is uitsluitend toegestaan voor onderzoek of vervolging van strafbare feiten overeenkomstig de vereisten van noodzakelijkheid en evenredigheid die in het recht van de Unie of in het recht van een lidstaat moeten worden vastgesteld, in volledige overeenstemming met artikel 7 bis. [Am. 63]



Artikel 4 ter




Termijnen voor opslag en toetsing




1.
De lidstaten zorgen ervoor dat persoonsgegevens die uit hoofde van deze richtlijn worden verwerkt, door de bevoegde autoriteiten worden gewist zodra ze niet meer nodig zijn voor de doeleinden waarvoor ze zijn verwerkt.
2.
 De lidstaten zorgen ervoor dat de bevoegde autoriteiten mechanismen instellen waarmee, overeenkomstig artikel 4, termijnen worden vastgesteld voor het wissen van persoonsgegevens en voor een periodieke toetsing van de noodzaak tot het opslaan van deze gegevens, met inbegrip van vaste opslagtermijnen voor de verschillende categorieën persoonsgegevens. Proceduremaatregelen worden vastgesteld om ervoor te zorgen dat deze termijnen en de intervallen voor periodieke toetsing in acht worden genomen. [Am. 64]

Artikel 5

Onderscheid tussen Verschillende categorieën betrokkenen
1.   De lidstaten bepalen dat de
bevoegde autoriteiten alleen persoonsgegevens kunnen verwerken
 voor de
in artikel 1, lid 1 bedoelde doeleinden van de volgende categorieën betrokkenen, en de voor de
 verwerking verantwoordelijke voor zover mogelijk

maakt
 een
duidelijk
 onderscheid maakt tussen persoonsgegevens betreffende verschillende

deze
 categorieën betrokkenen, zoals:






a)


personen ten aanzien van wie gegronde

redelijke
 vermoedens bestaan dat zij een strafbaar feit hebben gepleegd of zullen gaan plegen;










b)


personen die veroordeeld zijn voor een strafbaar feit

misdrijf
;










c)


slachtoffers van een strafbaar feit, of personen ten aanzien van wie op basis van bepaalde feiten wordt vermoed dat zij slachtoffer zouden kunnen worden van een strafbaar feit;
alsmede












d)


personen die als derden bij een strafbaar feit betrokken zijn, zoals personen die als getuige kunnen worden opgeroepen in een onderzoek naar strafbare feiten of een daaruit voortvloeiende strafprocedure, personen die informatie kunnen verstrekken over strafbare feiten, of personen die contact hebben of banden onderhouden met een van de personen vermeld onder a) of b). alsmede












e)




personen die onder geen van de bovengenoemde categorieën vallen.
2.
 Persoonsgegevens van andere dan de in lid 1 bedoelde betrokkenen mogen alleen worden verwerkt:










a)






zolang dat noodzakelijk is voor het onderzoek of de vervolging van een specifiek strafbaar feit teneinde te bepalen in hoeverre de gegevens voor een van de in lid 1 genoemde categorieën relevant zijn; of














b)






wanneer deze verwerking onontbeerlijk is voor gerichte, preventieve doeleinden of met het oog op de strafrechtelijke analyse, indien en zolang als dit doel rechtmatig, welbepaald en specifiek is en de verwerking strikt beperkt blijft tot het beoordelen van de relevantie van de gegevens voor een van de in lid 1 genoemde categorieën. Dit wordt ten minste iedere zes maanden regelmatig herzien. Elk ander gebruik is verboden.
3.
De lidstaten bepalen dat aanvullende beperkingen en waarborgen, overeenkomstig het recht van de lidstaat, van toepassing zijn op de verdere verwerking van persoonsgegevens betreffende de in lid 1, onder c) en d) vermelde betrokkenen. [Am. 65]

Artikel 6
Verschillende graden van juistheid en betrouwbaarheid van persoonsgegevens
1.   De lidstaten zien erop toe

nemen maatregelen
 dat de verschillende categorieën

juistheid en betrouwbaarheid van
 persoonsgegevens die worden verwerkt, voor zover mogelijk worden onderscheiden naar de graad van juistheid en betrouwbaarheid

gewaarborgd.
2.   De lidstaten zien erop toe dat persoonsgegevens die op feiten zijn gebaseerd, voor zover mogelijk, worden onderscheiden van persoonsgegevens die op een persoonlijk oordeel zijn gebaseerd
, naar de graad van juistheid en betrouwbaarheid.
2 bis.
 De lidstaten zien erop toe dat persoonsgegevens die onjuist, onvolledig of niet meer actueel zijn, niet worden doorgegeven of beschikbaar gesteld. Hiertoe bepalen zij dat de bevoegde autoriteiten de kwaliteit van de persoonsgegevens moeten beoordelen alvorens deze door te geven of beschikbaar te stellen. Voor zover mogelijk, wordt bij iedere doorgifte van gegevens informatie meegezonden aan de hand waarvan de ontvangende lidstaat de juistheid, volledigheid en betrouwbaarheid van de gegevens, en ook de mate waar deze actueel zijn, kan beoordelen. Het is verboden om zonder verzoek daartoe van de bevoegde autoriteit persoonsgegevens door te geven, in het bijzonder persoonsgegevens die oorspronkelijk in handen waren van particuliere partijen.
2 ter.
Indien wordt vastgesteld dat onjuiste gegevens zijn doorgegeven, of gegevens op onrechtmatige wijze zijn doorgegeven, dient dit onmiddellijk aan de ontvanger te worden meegedeeld. De ontvanger is verplicht de gegevens onverwijld te corrigeren overeenkomstig lid 1, en artikel 15, dan wel te wissen als overeenkomstig artikel 16. [Am. 66]

Artikel 7
Rechtmatigheid van de verwerking


1.
De lidstaten bepalen dat het verwerken van persoonlijke gegevens slechts rechtmatig is wanneer en voor zover die verwerking
plaatsvindt op grond van het recht van de Unie of een lidstaat, voor een van de in artikel 1, lid 1, genoemde doeleinden en het
 noodzakelijk is:






a)


voor het uitvoeren van een taak door een bevoegde autoriteit, op grond van een wettelijke bepaling, voor een van de in artikel 1, lid 1, genoemde doeleinden; of











b)




om een wettelijke verplichting na te komen waaraan de voor de verwerking verantwoordelijke is onderworpen; of











c)


om een vitaal belang van de betrokkene of een andere persoon te beschermen; of










d)


om een onmiddellijke en ernstige bedreiging van de openbare veiligheid te voorkomen.
1 bis.
 Het recht van de lidstaten betreffende de verwerking van persoonsgegevens binnen de werkingssfeer van deze richtlijn bevat uitdrukkelijke en gedetailleerde bepalingen, waarin ten minste het volgende nader wordt bepaald:










a)






de doelstellingen van de verwerking;














b)






de persoonsgegevens die worden verwerkt;














c)






de specifieke doeleinden van en de middelen voor de verwerking;














d)






de benoeming van de voor de verwerking verantwoordelijke of de specifieke criteria voor de benoeming van de voor de verwerking verantwoordelijke;














e)






de categorieën van naar behoren gemachtigd personeel van de bevoegde autoriteiten voor de verwerking van persoonsgegevens;














f)






de voor de verwerking te volgen procedure;














g)






het gebruik dat van de verkregen persoonsgegevens mag worden gemaakt;














h)






de beperkingen van de werkingssfeer van bevoegdheden die aan de bevoegde autoriteiten zijn verleend in verband met de verwerkingsactiviteiten. [Am. 67]







Artikel 7 bis




Verdere verwerking voor onverenigbare doeleinden




1.
De lidstaten zien erop toe dat persoonsgegevens uitsluitend verder verwerkt mogen worden voor andere dan de in artikel 1, lid 1, bepaalde doeleinden, die niet verenigbaar zijn met het doel waarvoor ze oorspronkelijk zijn verzameld, indien en voor zover:










a)






het doel strikt noodzakelijk en evenredig is in een democratische samenleving en vereist door het recht van de Unie of het recht van de lidstaat voor een rechtmatig, welbepaald en specifiek doel;














b)






de verwerking strikt beperkt blijft tot ten hoogste de tijd die nodig is voor de specifieke gegevensverwerking;














c)






verder gebruik voor andere doeleinden verboden is;








Voorafgaand aan de verwerking raadpleegt de lidstaat bevoegde nationale toezichthoudende autoriteit en voert hij een privacyeffectbeoordeling uit.
2.
 In aanvulling op de vereisten van artikel 7, lid 1 bis, bevat het recht van de lidstaten op grond waarvan toestemming wordt verleend voor verdere verwerking als bedoeld in lid 1, uitdrukkelijke en gedetailleerde bepalingen waarin ten minste het volgende nader wordt bepaald:










a)






de specifieke doeleinden van en de middelen voor de betreffende verwerking;














b)






dat de toegang uitsluitend wordt toegestaan aan naar behoren gemachtigd personeel van de bevoegde autoriteiten voor de uitvoering van hun taken indien er in specifieke gevallen goede redenen bestaan om aan te nemen dat de persoonsgegevens een wezenlijke bijdrage leveren aan de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen; alsmede














c)






dat passende waarborgen worden geboden ter bescherming van de grondrechten en fundamentele vrijheden in verband met de verwerking van persoonsgegevens.
De lidstaten kunnen eisen dat overeenkomstig hun nationale recht aan de toegang tot persoonsgegevens aanvullende voorwaarden worden gesteld, zoals toestemming van een rechter.
3.
De lidstaten kunnen eveneens de mogelijkheid tot verdere verwerking bieden voor historische, statistische of wetenschappelijke doeleinden, mits zij passende waarborgen bieden, zoals het anonimiseren van de gegevens. [Am. 68]

Artikel 8
Verwerking van bijzondere categorieën van persoonsgegevens
1.   De lidstaten verbieden de verwerking van persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, godsdienstige of levensbeschouwelijke overtuiging
, seksuele gerichtheid
 of
genderidentiteit,
 lidmaatschap van
en activiteiten voor
 een vakvereniging blijkt

blijken
,
en de verwerking
 van genetische

biometrische
 gegevens of van gegevens die de gezondheid of het seksuele leven betreffen.
 2.   Lid 1 is niet van toepassing wanneer:






a)


de verwerking is toegestaan op grond van wetgeving die passende waarborgen biedt

strikt noodzakelijk en evenredig is voor het uitvoeren van een taak door de bevoegde autoriteiten voor een van de in artikel 1, lid 1, genoemde doeleinden, op grond van het recht van de Unie of van een lidstaat, dat voorziet in specifieke en maatregelen om de gerechtvaardigde belangen van de betrokkene te beschermen, waaronder de specifieke toestemming van een rechter, indien dit volgens het nationale recht vereist is
; of










b)


de verwerking noodzakelijk is ter bescherming van een vitaal belang van de betrokkene of een andere persoon; of










c)


de verwerking betrekking heeft op gegevens die kennelijk door de betrokkene openbaar zijn gemaakt
, voor zover die relevant zijn en strikt noodzakelijk zijn voor de beoogde doeleinden in een specifiek geval
. [Am. 69]







Artikel 8 bis




Verwerking van genetische gegevens in het kader van een strafrechtelijk onderzoek of een gerechtelijke procedure




1.
De lidstaten zien erop toe dat genetische gegevens uitsluitend gebruikt mogen worden om een genetische link vast te stellen met het oog op het verkrijgen van bewijs, het voorkomen van een bedreiging van de openbare veiligheid of het voorkomen van specifieke strafbare feiten. Genetische gegevens mogen niet worden gebruikt om andere kenmerken vast te stellen die genetisch gekoppeld kunnen worden.
2.
De lidstaten zien erop toe dat genetische gegevens of informatie die worden afgeleid uit analyses uitsluitend bewaard worden zolang als dit noodzakelijk is voor de doeleinden waarvoor de gegevens verwerkt worden en indien de betrokkene is veroordeeld voor ernstige misdrijven tegen het leven, de integriteit of de veiligheid van personen, waarbij strikte opslagtermijnen gehanteerd moeten worden die in het recht van de lidstaat worden vastgesteld.
3.
 De lidstaten zorgen ervoor dat genetische gegevens of informatie die worden afgeleid uit analyses uitsluitend gedurende langere perioden worden opgeslagen, indien de genetische gegevens niet aan een persoon gekoppeld kunnen worden, met name indien deze gegevens op de plaats delict zijn aangetroffen. [Am. 70]

Artikel 9
Maatregelen op basis van profilering en geautomatiseerde verwerking
1.   De lidstaten bepalen dat maatregelen die voor de betrokkene een nadelig rechtsgevolg hebben of voor hem of haar wezenlijke consequenties hebben, en die uitsluitend

gedeeltelijk of geheel
 berusten op geautomatiseerde verwerking van persoonsgegevens die bedoeld is om bepaalde aspecten van zijn persoonlijkheid te beoordelen, worden verboden, tenzij zulks is toegestaan op grond van wetgeving die ook maatregelen bevat voor de bescherming van de gerechtvaardigde belangen van de betrokkene.
2.   De geautomatiseerde gegevensverwerking die bedoeld is om bepaalde aspecten van de persoonlijkheid van de betrokkene te beoordelen, wordt niet uitsluitend gebaseerd op de in artikel 8 genoemde speciale categorieën persoonsgegevens.
2 bis.
De geautomatiseerde gegevensverwerking die bedoeld is om een betrokkene te onderscheiden zonder een aanvankelijke verdenking dat de betrokkene mogelijk een strafbaar feit heeft gepleegd of dit zal gaan plegen is alleen rechtmatig indien en voor zover zij strikt noodzakelijk is voor het onderzoek van een ernstig strafbaar feit of voor het afwenden van een duidelijk en dreigend gevaar, op basis van concrete aanwijzingen, voor de openbare veiligheid, het voortbestaan van de staat of het leven van personen.
2 ter.
Profilering die, al dan niet opzettelijk, leidt tot discriminatie van personen op grond van ras of etnische afkomst, politieke opvattingen, godsdienst of overtuiging, het lidmaatschap van een vakbond, gender of seksuele gerichtheid, of die, al dan niet opzettelijk, resulteert in maatregelen met dat effect, is onder alle omstandigheden verboden. [Am. 71]



Artikel 9 bis




Algemene beginselen met betrekking tot de rechten van de betrokkene.
 1.
De lidstaten zorgen ervoor dat de grondslag voor gegevensbescherming duidelijk is en met ondubbelzinnige rechten voor de betrokkene die door de voor de verwerking verantwoordelijke worden geëerbiedigd. De bepalingen van deze richtlijn zijn erop gericht deze rechten te versterken, verduidelijken, waarborgen en waar nodig, te codificeren.
2.
De lidstaten zorgen ervoor dat deze rechten onder meer omvatten de verstrekking van duidelijke en gemakkelijk te begrijpen informatie over de verwerking van de persoonsgegevens van de betrokkene, de rechten van toegang, rectificatie en uitwissing van persoonsgegevens, het recht om gegevens te verkrijgen, het recht om bezwaar te maken bij de bevoegde gegevensbeschermingsautoriteit en om gerechtelijke procedures aan te spannen om zijn of haar rechten af te dwingen evenals het recht op schadevergoeding ten gevolge van een onrechtmatige verwerking. Dergelijke rechten worden in het algemeen kosteloos uitgeoefend. De voor de verwerking verantwoordelijke reageert binnen een redelijke termijn op verzoeken van de betrokkene. [Am. 72]

HOOFDSTUK III
RECHTEN VAN DE BETROKKENE
Artikel 10
Modaliteiten voor de uitoefening van de rechten van de betrokkene
1.   De lidstaten bepalen dat de voor de verwerking verantwoordelijke alle redelijke maatregelen neemt om een
beknopt,
 transparant
, duidelijk
 en eenvoudig toegankelijk beleid te voeren

voert
 met betrekking tot de verwerking van persoonsgegevens en de uitoefening van de rechten van de betrokkene.
2.   De lidstaten bepalen dat de voor de verwerking verantwoordelijke de betrokkene alle informatie en mededelingen over de verwerking van persoonsgegevens verstrekt in begrijpelijke vorm en in duidelijke en eenvoudige taal
in het bijzonder indien de informatie specifiek voor een kind bestemd is.
 3.   De lidstaten bepalen dat de voor de verwerking verantwoordelijke alle redelijke maatregelen neemt om procedures vast te stellen

vaststelt
 voor het verstrekken van de in artikel 11 bedoelde informatie en voor de uitoefening van de in de artikelen 12 tot en met 17 genoemde rechten van de betrokkene.
Indien persoonsgegevens geautomatiseerd worden verwerkt stelt de voor de verwerking verantwoordelijke de middelen ter beschikking om verzoeken elektronisch in te dienen.
4.   De lidstaten bepalen dat de voor de verwerking verantwoordelijke de betrokkene zonder onnodige vertraging
en in elk geval uiterlijk binnen een maand na ontvangst van zijn of haar verzoek,
 inlicht over het gevolg dat aan zijn verzoek is gegeven.
De informatie wordt schriftelijk verstrekt. Indien de betrokkene het verzoek elektronisch indient, wordt de informatie in elektronische vorm ter beschikking gesteld.
5.   De lidstaten bepalen dat alle informatie die de voor de verwerking verantwoordelijke verstrekt en alle maatregelen die hij neemt naar aanleiding van een verzoek als bedoeld in de leden 3 en 4, kosteloos dienen te zijn. Wanneer verzoeken vexatoir

kennelijk buitensporig
 zijn, bijvoorbeeld door

met name vanwege
 hun repetitieve karakter, of hun omvang, mag

kan
 de voor de verwerking verantwoordelijke een
redelijke
 vergoeding
in rekening brengen, daarbij rekening houdend met de administratieve kosten
 voor het verstrekken van de informatie of het verrichten van de gevraagde maatregel in rekening brengen, dan wel de gevraagde actie achterwege laten. In dat geval rust de bewijslast met betrekking tot het vexatoire

duidelijk buitensporige
 karakter van het verzoek op de voor de verwerking verantwoordelijke.
5 bis.
 De lidstaten kunnen bepalen dat de betrokkene zijn recht rechtstreeks tegenover de voor de verwerking verantwoordelijke, of door tussenkomst van de bevoegde nationale toezichthoudende autoriteit kan doen gelden. Indien de toezichthoudende autoriteit op verzoek van de betrokkene heeft gehandeld, wordt deze door de toezichthoudende autoriteit over de uitgevoerde verificaties ingelicht. [Am. 73]

Artikel 11
Informatieverstrekking aan de betrokkene
1.   De lidstaten zien erop toe dat wanneer persoonsgegevens worden verzameld, de voor de verwerking verantwoordelijke alle passende maatregelen treft om de betrokkene ten minste de hierna volgende informatie de verstrekken

verstrekt
:






a)


de identiteit en de contactgegevens van de voor de verwerking verantwoordelijke en de functionaris voor gegevensbescherming;










b)




de rechtsgrondslag en
 de doeleinden van de verwerking waarvoor de gegevens zijn bestemd;










c)


de periode gedurende welke de persoonsgegevens worden opgeslagen;










d)


het bestaan van het recht om van de voor de verwerking verantwoordelijke toegang tot en rectificatie of wissing van de persoonsgegevens betreffende de betrokkene of beperking van de verwerking van die gegevens te verlangen;










e)


het bestaan van het recht om een klacht in te dienen bij de in artikel 39 bedoelde toezichthoudende autoriteit en de contactgegevens van de toezichthoudende autoriteit;










f)


de ontvangers of categorieën ontvangers van de persoonsgegevens, ook die in derde landen of internationale organisaties
en degene die tot toegang bevoegd is op grond van het recht van dat derde land of de voorschriften van die internationale organisatie, het al of niet bestaan van een besluit waarbij het beschermingsniveau door de Commissie passend wordt verklaard of in geval van doorgiften zoals bedoeld in artikel 35 of in artikel 36, de middelen om een kopie te verkrijgen van de voor de doorgifte gebruikte passende waarborgen
;












f bis)






indien de voor de verwerking verantwoordelijke persoonsgegevens verwerkt zoals beschreven in artikel 9, lid 1, informatie over het bestaan van verwerking naar aanleiding van een in artikel 9, lid 1 genoemde maatregel en over de beoogde gevolgen van zulke verwerking voor de betrokkene, informatie over de aan de profilering ten grondslag liggende logica en het recht op menselijke beoordeling;














f ter)






informatie aangaande veiligheidsmaatregelen ter bescherming van persoonsgegevens;












g)


alle verdere informatie voor zover die nodig is om tegenover de betrokkene een eerlijke verwerking te waarborgen, met inachtneming van de bijzondere omstandigheden waaronder de gegevens worden verwerkt.
 2.   Wanneer de persoonsgegevens bij de betrokkene worden verzameld, deelt de voor de verwerking verantwoordelijke de betrokkene, naast de in lid 1 genoemde informatie, mee of de verstrekking van persoonsgegevens verplicht is dan wel op basis van vrijwilligheid geschiedt en wat de mogelijke gevolgen zijn wanneer wordt nagelaten deze gegevens te verstrekken.
3.   De voor de verwerking verantwoordelijke verstrekt de in lid 1 genoemde informatie:






a)


op het tijdstip waarop de persoonsgegevens van de betrokkene worden verkregen; of










b)


indien de persoonsgegevens niet bij de betrokkene worden verzameld, op het tijdstip van vastlegging of binnen een redelijke termijn na de verzameling, met inachtneming van de specifieke omstandigheden waaronder de gegevens worden verwerkt.
4.   De lidstaten kunnen wettelijke maatregelen treffen om de informatieverstrekking aan de betrokkene
in een specifiek geval
 uit te stellen,
of
 te beperken of achterwege te laten, voor zover en zolang een dergelijke gehele of gedeeltelijke beperking in een democratische samenleving, met inachtneming van de
grondrechten en de
 gerechtvaardigde belangen van de persoon in kwestie, een noodzakelijke en evenredige maatregel is:






a)


om belemmering van officiële of gerechtelijke onderzoeken of procedures te voorkomen;










b)


om te voorkomen dat afbreuk wordt gedaan aan de preventie, de opsporing, het onderzoek of de vervolging ter zake van strafbare feiten of de tenuitvoerlegging van straffen;










c)


ter bescherming van de openbare veiligheid;










d)


ter bescherming van de nationale veiligheid;










e)


ter bescherming van de rechten en vrijheden van anderen.
 5.   De lidstaten
bepalen dat de voor de verwerking verantwoordelijke in elk afzonderlijk geval door middel van een concreet en individueel onderzoek beoordeelt of een gedeeltelijke of gehele beperking op grond van een van de in lid 4 genoemde redenen van toepassing is. De lidstaten
 kunnen
bij wet tevens
 categorieën gegevensverwerking vaststellen die geheel of gedeeltelijk onder de in lid 4
, onder a) tot en met d),
 genoemde uitzonderingsbepalingen vallen. [Am. 74]

Artikel 12
Recht van toegang van de betrokkene
1.   De lidstaten zien erop toe dat de betrokkene het recht heeft om van de voor de verwerking verantwoordelijke uitsluitsel te verkrijgen omtrent het al dan niet plaatsvinden van verwerking van hem of haar betreffende gegevens. Wanneer verwerkingen van dergelijke persoonsgegevens plaatsvinden, verstrekt de voor de verwerking verantwoordelijke de volgende informatie
, voor zover deze nog niet is verstrekt
:








-a)






de persoonsgegevens waarvan verwerking plaatsvindt en alle beschikbare informatie over de bron van die gegevens, en in voorkomend geval, begrijpelijke informatie over de bij elke geautomatiseerde verwerking gebruikte logica;














-a bis)






het belang en de verwachte gevolgen van deze verwerking, in elk geval van de in artikel 9 bedoelde maatregelen;












a)


de doeleinden van de verwerking
alsmede de rechtsgrondslag voor de verwerking
;










b)


de betrokken gegevenscategorieën;










c)


de ontvangers of categorieën ontvangers aan wie de gegevens zijn verstrekt, met name ontvangers in derde landen;










d)


de periode gedurende welke de persoonsgegevens worden opgeslagen;










e)


het bestaan van het recht om van de voor de verwerking verantwoordelijke rectificatie of wissing van de persoonsgegevens betreffende de betrokkene of beperking van de verwerking van die gegevens te verlangen;










f)


het recht om een klacht in te dienen bij de toezichthoudende autoriteit alsmede de contactgegevens van de toezichthoudende autoriteit;











g)




de persoonsgegevens waarvan verwerking plaatsvindt en alle beschikbare informatie over de bron van die gegevens;





2.   De lidstaten voorzien in het recht van de betrokkene om van de voor de verwerking verantwoordelijke een kopie te verkrijgen van de persoonsgegevens die worden verwerkt.
 Wanneer de betrokkene zijn verzoek in elektronische vorm indient, wordt de informatie elektronisch verstrekt, tenzij de betrokkene anderszins verzoekt. [Am. 75]

Artikel 13
Beperking van het recht van toegang
1.   De lidstaten kunnen wettelijke maatregelen treffen om het recht van toegang van de betrokkene
in individuele gevallen, afhankelijk van het specifieke geval
 geheel of gedeeltelijk te beperken, voor zover
en zolang
 een dergelijke gehele of gedeeltelijke beperking in een democratische samenleving, met inachtneming van de
grondrechten en de
 gerechtvaardigde belangen van de persoon in kwestie, een
strikt
 noodzakelijke en evenredige maatregel is:






a)


om belemmering van officiële of gerechtelijke onderzoeken of procedures te voorkomen;










b)


om te voorkomen dat afbreuk wordt gedaan aan de preventie, de opsporing, het onderzoek of de vervolging ter zake van strafbare feiten of de tenuitvoerlegging van straffen;










c)


ter bescherming van de openbare veiligheid;










d)


ter bescherming van de nationale veiligheid;










e)


ter bescherming van de rechten en vrijheden van anderen.
2.   
De lidstaten zien erop toe dat de voor de verwerking verantwoordelijke in elk geval afzonderlijk door middel van een concreet en individueel onderzoek beoordeelt of een gedeeltelijke of gehele beperking op grond van een van de in lid 1 genoemde redenen van toepassing is.
De lidstaten kunnen
tevens
 bij wet categorieën gegevensverwerking vaststellen die geheel of gedeeltelijk onder de in lid 1
, onder a) tot en met d),
 genoemde uitzonderingen vallen.
 3.   De lidstaten bepalen dat, in de gevallen bedoeld in de leden 1 en 2, de voor de verwerking verantwoordelijke de betrokkene
onverwijld
 schriftelijk de weigering of beperking van toegang en de
gemotiveerde
 redenen voor de weigering meedeelt en hem inlicht over de mogelijkheden om een klacht in te dienen bij de toezichthoudende autoriteit en beroep bij de rechter in te stellen. De inlichtingen over de feitelijke of juridische redenen die aan het besluit ten grondslag liggen, kunnen achterwege blijven indien de verstrekking van die informatie een van de in lid 1 genoemde doeleinden in gevaar brengt.
4.   De lidstaten zien erop toe dat de voor de verwerking verantwoordelijke de
in lid 2 bedoelde beoordeling en ook de
 redenen documenteert voor het achterwege laten

beperken
 van de verstrekking van de feitelijke of juridische redenen die aan het besluit ten grondslag liggen.
Die informatie wordt op verzoek aan de nationale toezichthoudende autoriteiten verstrekt. [Am. 76]

Artikel 14
Modaliteiten voor de uitoefening van het recht van toegang
1.   De lidstaten voorzien in het recht van de betrokkene om te verzoeken dat

allen tijde
 de toezichthoudende autoriteit
te verzoeken
 de rechtmatigheid van de verwerking verifieert

te verifiëren
, met name in de gevallen bedoeld in artikel

de artikelen 12 en
 13.
2.   De lidstaten bepalen dat de voor de verwerking verantwoordelijke de betrokkene inlicht over zijn recht om te verzoeken om de tussenkomst van de toezichthoudende autoriteit als bedoeld in lid 1.
3.   Indien het in lid 1 bedoelde recht wordt uitgeoefend, deelt de toezichthoudende autoriteit de betrokkene ten minste mee dat alle noodzakelijke verificaties door de toezichthoudende autoriteit zijn verricht en licht zij hem in over het resultaat daarvan wat de rechtmatigheid van de verwerking in kwestie betreft.
 De toezichthoudende autoriteit informeert de betrokkene tevens over zijn of haar recht om een beroep in rechte in te stellen.
3 bis.
De lidstaten kunnen bepalen dat de betrokkene dit recht rechtstreeks tegenover de voor de verwerking verantwoordelijke, of door tussenkomst van de bevoegde nationale toezichthoudende autoriteit kan doen gelden.
3 ter.
De lidstaten zien erop toe dat de verwerking verantwoordelijke over een redelijke termijn beschikt om op verzoeken te reageren van de betrokkene met betrekking tot zijn of haar recht op toegang. [Am. 77]

Artikel 15
Recht van rectificatie
en completering


1.   De lidstaten voorzien in het recht van de betrokkene op rectificatie
of completering
 van hem betreffende onjuiste
of niet volledige
 persoonsgegevens door de voor
de
 verwerking verantwoordelijke. De betrokkene heeft recht op completering van onvolledige persoonlijke gegevens, met name door middel van een rectificerende
of completerende
 verklaring.
2.   De lidstaten bepalen dat de voor de verwerking verantwoordelijke de betrokkene schriftelijk de weigering van rectificatie
of completering
 en de
motiverende
 redenen van de weigering meedeelt en hem inlicht over de mogelijkheden om een klacht in te dienen bij de toezichthoudende autoriteit en beroep bij de rechter in te stellen.
2 bis.
De lidstaten zien erop toe dat de voor de verwerking verantwoordelijke iedere ontvanger aan wie gegevens zijn verstrekt op de hoogte stelt van elke uitgevoerde rectificatie, tenzij dit onmogelijk blijkt of onevenredig veel moeite kost.
2 ter.
De lidstaten zien erop toe dat de voor de verwerking verantwoordelijke de rectificatie van de onjuiste persoonsgegevens doorgeeft aan de derden van wie de onjuiste persoonsgegevens afkomstig zijn.
2 quater.
 De lidstaten bepalen dat de betrokkene dit recht tevens door tussenkomst van de bevoegde nationale toezichthoudende autoriteit kan doen gelden. [Am. 78]

Artikel 16
Recht om gegevens te laten wissen
1.   De lidstaten voorzien in het recht van de betrokkene om hem of haar betreffende persoonsgegevens door de voor de verwerking verantwoordelijke te laten wissen, indien de verwerking niet voldoet aan de bepalingen die krachtens artikel

de artikelen
 4, onder a) tot en met e), en de artikelen

6,
 7 en 8 van deze richtlijn zijn vastgesteld.
2.   De voor de verwerking verantwoordelijke wist de gegevens onverwijld.
De voor de verwerking verantwoordelijke zorgt er tevens voor dat verdere verspreiding van dergelijke gegevens achterwege blijft.
3.   De voor verwerking verantwoordelijke markeert

beperkt de verwerking van
 de persoonsgegevens in plaats van deze te wissen wanneer:






a)


de juistheid ervan door de betrokkene wordt betwist, gedurende een periode die de voor de verwerking verantwoordelijke in staat stelt de juistheid van de gegevens te verifiëren;










b)


de persoonsgegevens moeten worden bewaard om als bewijs te dienen
of ter bescherming van de vitale belangen van de betrokkene of iemand anders
;











c)




de betrokkene zich tegen het wissen verzet en in de plaats daarvan om beperking van het gebruik ervan verzoekt.
3 bis.
Wanneer de verwerking van persoonsgegevens op grond van artikel 3 is beperkt, informeert de voor de verwerking verantwoordelijke de betrokkene alvorens de beperking inzake de verwerking op te heffen.
4.   De lidstaten bepalen dat de voor de verwerking verantwoordelijke de betrokkene schriftelijk, met een gemotiveerde onderbouwing,
 de weigering van wissing of markering

de beperking van de verwerking
 en de redenen van de weigering meedeelt en hem inlicht over de mogelijkheden om een klacht in te dienen bij de toezichthoudende autoriteit en beroep bij de rechter in te stellen.
4 bis.
 De lidstaten zien erop toe dat de voor de verwerking verantwoordelijke de ontvanger van de gegevens laat weten dat gegevens gewist zijn in de zin van lid 1, tenzij dit onmogelijk blijkt of onevenredig veel moeite kost, De voor de verwerking verantwoordelijke stelt de betrokkene op de hoogte van die derden.
4 ter.
De lidstaten kunnen bepalen dat de betrokkene dit recht rechtstreeks tegenover de voor de verwerking verantwoordelijke, of door tussenkomst van de bevoegde nationale toezichthoudende autoriteit kan doen gelden. [Am. 79]

Artikel 17
Rechten van de betrokkene bij strafrechtelijke onderzoeken en procedures
De lidstaten kunnen bepalen dat, indien de persoonsgegevens zijn vervat in een rechterlijke beslissing of dossier en worden verwerkt in het kader van strafrechtelijke onderzoeken en procedures, het recht van informatie, toegang, rectificatie, wissing en beperking van de verwerking, zoals bedoeld in de artikelen 11 tot en met 16, wordt uitgeoefend overeenkomstig het nationale strafprocesrecht.
HOOFDSTUK IV
VOOR DE VERWERKING VERANTWOORDELIJKE EN VERWERKER
AFDELING 1
ALGEMENE VERPLICHTINGEN
Artikel 18
Verantwoordelijkheden van de voor de verwerking verantwoordelijke
1.   De lidstaten bepalen dat de voor de verwerking verantwoordelijke beleid vaststelt en passende maatregelen uitvoert om ervoor te zorgen
en te kunnen aantonen, op een transparante wijze en voor iedere verwerking,
 dat de verwerking van persoonsgegevens in overeenstemming met de krachtens deze richtlijn vastgestelde bepalingen wordt uitgevoerd
, zowel op het tijdstip van de vaststelling van de middelen voor de verwerking als op het tijdstip van de eigenlijke verwerking.
 2.   De in lid 1 bedoelde maatregelen betreffen met name:






a)


het bewaren van documentatie overeenkomstig artikel 23;












a bis)






het uitvoeren van een privacyeffectbeoordeling overeenkomstig artikel 25 bis;












b)


het voldoen aan de verplichting inzake voorafgaand overleg overeenkomstig artikel 26;










c)


het voldoen aan de in artikel 27 vastgestelde eisen inzake gegevensbeveiliging;










d)


het aanstellen van een functionaris voor gegevensbescherming overeenkomstig artikel 30.
d bis)






waar nodig, de uitwerking en toepassing van specifieke waarborgen met betrekking tot de verwerking van persoonsgegevens van kinderen.
3.   De voor de verwerking verantwoordelijke voorziet in mechanismen om ervoor te zorgen dat de
adequaatheid en
 effectiviteit van de in lid 1 bedoelde maatregelen wordt getoetst. Indien evenredig met het doel, wordt deze toetsing uitgevoerd door onafhankelijke interne of externe controleurs. [Am. 80]

Artikel 19
Privacy by design en by default
1.   De lidstaten bepalen dat de voor de verwerking verantwoordelijke
en de verwerker
,
indien aanwezig
, met inachtneming van de stand van de techniek
, het actuele technische kennisniveau, internationale optimale praktijken
 en de uitvoeringskosten

met de gegevensverwerking verbonden risico's
,
zowel ten tijde van de vaststelling van de doeleinden als van de middelen van de verwerking en ten tijde van de eigenlijke verwerking
, zodanig passende technische en organisatorische maatregelen en procedures ten uitvoer legt dat de verwerking aan de voorwaarden van de krachtens deze richtlijn vastgestelde bepalingen voldoet en de bescherming van de rechten van de betrokkene waarborgt
, in het bijzonder met het oog op de in artikel 4 opgenomen beginselen.
 Gegevensbescherming by design is met name gericht op het beheer van de hele levenscyclus van persoonsgegevens, vanaf het verzamelen tot het verwerken en verwijderen, waarbij stelselmatig aandacht wordt besteed aan allesomvattende procedurele waarborgen met betrekking tot de nauwkeurigheid, de vertrouwelijkheid, de integriteit, de fysieke veiligheid en de verwijdering van persoonsgegevens. Wanneer de voor de verwerking verantwoordelijke ingevolge artikel 25 bis een privacyeffectbeoordeling heeft uitgevoerd, worden de resultaten daarvan in acht genomen bij de ontwikkeling van die maatregelen en procedures.
2.   De voor de verwerking verantwoordelijke voorziet in mechanismen om te waarborgen

zorgt ervoor
 dat in beginsel alleen die persoonsgegevens worden verwerkt die voor de doeleinden

elk specifiek doeleinde van de verwerking nodig zijn en dat in het bijzonder het verzamelen, bewaren of verspreiden van die gegevens zich, zowel wat betreft de hoeveelheid gegevens als de periode van opslag daarvan, beperkt tot dat wat voor die doeleinden strikt noodzakelijk is. Deze mechanismen zorgen er met name voor dat persoonsgegevens in beginsel niet voor een onbeperkt aantal natuurlijke personen toegankelijk worden gemaakt en dat de betrokkenen controle hebben over de verspreiding van hun persoonsgegevens. [Am. 81]

Artikel 20
Gezamenlijk voor de verwerking verantwoordelijken


1.
De lidstaten bepalen dat wanneer een voor de verwerking verantwoordelijke de doeleinden, voorwaarden en middelen voor de verwerking van persoonsgegevens samen met anderen vaststelt, de gezamenlijk voor de verwerking verantwoordelijken door middel van een onderlinge regeling

juridisch bindende overeenkomst
 moeten vaststellen wat hun respectieve verantwoordelijkheden zijn voor de naleving van de krachtens deze richtlijn vastgestelde bepalingen, met name met betrekking tot de procedures en mechanismen voor de uitoefening van de rechten van de betrokkene.
2.
