None
L_2023231NL.01011801.xml











20.9.2023   


NL


Publicatieblad van de Europese Unie


L 231/118








            UITVOERINGSBESLUIT (EU) 2023/1795 VAN DE COMMISSIE

van 10 juli 2023

overeenkomstig Verordening (EU) 2016/679 van het Europees Parlement en de Raad inzake het passende niveau van bescherming van persoonsgegevens krachtens het EU-VS-kader voor gegevensbescherming


(Kennisgeving geschied onder nummer C(2023) 4745)


(Voor de EER relevante tekst)


DE EUROPESE COMMISSIE,

Gezien het Verdrag betreffende de werking van de Europese Unie,


Gezien Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) (1), en met name artikel 45, lid 3,

Overwegende hetgeen volgt:
1.   INLEIDING







(1)


Bij Verordening (EU) 2016/679 (2) zijn de voorschriften vastgesteld voor de doorgifte van persoonsgegevens door verwerkingsverantwoordelijken of verwerkers in de Unie aan derde landen en internationale organisaties, voor zover die doorgiften onder het toepassingsgebied ervan vallen. De voorschriften inzake de internationale doorgifte van gegevens zijn vastgelegd in hoofdstuk V van die verordening. Hoewel het verkeer van persoonsgegevens van en naar landen buiten de Europese Unie noodzakelijk is voor de ontwikkeling van het grensoverschrijdende handelsverkeer en de internationale samenwerking, mogen doorgiften aan derde landen of internationale organisaties (3) niet ten koste gaan van het beschermingsniveau van de persoonsgegevens in de Unie.
 (2)


Op grond van artikel 45, lid 3, van Verordening (EU) 2016/679 kan de Commissie door middel van een uitvoeringshandeling besluiten dat een derde land, een gebied of één of meerdere nader bepaalde sectoren in een derde land een passend beschermingsniveau waarborgt. Onder deze voorwaarde kan de doorgifte van persoonsgegevens aan een derde land plaatsvinden zonder dat verdere toestemming noodzakelijk is, zoals bepaald in artikel 45, lid 1, en overweging 103 van Verordening (EU) 2016/679.
(3)


Zoals bepaald in artikel 45, lid 2, van Verordening (EU) 2016/679 moet de vaststelling van een adequaatheidsbesluit berusten op een grondige analyse van de rechtsorde van het derde land, die zowel de voorschriften betreft die gelden voor de importeurs van gegevens als de beperkingen en waarborgen wat betreft de toegang van overheidsinstanties tot persoonsgegevens. Bij haar beoordeling moet de Commissie nagaan of het betrokken derde land een beschermingsniveau waarborgt dat “in feite overeenkomend” is met het niveau dat in de Unie wordt verzekerd (overweging 104 van Verordening (EU) 2016/679). Of dit het geval is, moet worden beoordeeld aan de hand van de wetgeving van de Unie, met name Verordening (EU) 2016/679, alsook de rechtspraak van het Hof van de Europese Unie (hierna “het Hof” genoemd) (4).
 (4)


Zoals het Hof in zijn arrest van 6 oktober 2015 in zaak C-362/14, Maximillian Schrems/Data Protection Commissioner (5) (“Schrems”), heeft verduidelijkt, is het hiervoor niet noodzakelijk dat hetzelfde beschermingsniveau wordt geboden. Met name mogen de middelen die het derde land in kwestie voor de bescherming van de persoonsgegevens tot zijn beschikking heeft, anders zijn dan de middelen die binnen de Unie worden ingezet, zolang zij in de praktijk doeltreffend genoeg blijken om een passend beschermingsniveau te bieden (6). De adequaatheidsnorm vereist daarom niet dat de voorschriften van de Unie integraal worden overgenomen. Het gaat er veeleer om of het betreffende buitenlandse systeem als geheel het vereiste beschermingsniveau biedt, door de invulling van het recht op privacy, de doeltreffende toepassing en afdwingbaarheid daarvan en het toezicht dat wordt uitgeoefend (7). Voorts moet de Commissie volgens dit arrest bij de toepassing van deze norm met name beoordelen of het rechtskader van het betrokken derde land voorziet in regels ter beperking van inmengingen in de grondrechten van de personen van wie de gegevens vanuit de Unie worden doorgegeven, waarbij geldt dat de overheidsinstanties van dat land tot een dergelijke inmenging mogen overgegaan wanneer zij legitieme doelstellingen, zoals de nationale veiligheid, nastreven, en er effectieve rechtsbescherming tegen dat soort inmengingen bestaat (8). De adequaatheidsreferentie van het Europees Comité voor gegevensbescherming, die deze norm verder beoogt te verduidelijken, biedt in dit verband ook een leidraad (9).
 (5)


De toepasselijke norm met betrekking tot een dergelijke inmenging in de grondrechten op privacy en gegevensbescherming werd verder verduidelijkt door het Hof in zijn arrest van 16 juli 2020 in zaak C-311/18, Data Protection Commissioner/Facebook Ireland Limited en Maximillian Schrems (hierna “Schrems II”), waarbij Uitvoeringsbesluit (EU) 2016/1250 (10) van de Commissie inzake een eerder trans-Atlantisch kader voor gegevensstromen, het EU-VS-privacyschild (hierna “privacyschild” genoemd), nietig werd verklaard. Het Hof was van oordeel dat de beperkingen van de bescherming van persoonsgegevens die voortvloeien uit het interne recht van de Verenigde Staten inzake de toegang tot en het gebruik door de Amerikaanse overheidsinstanties van dergelijke gegevens die vanuit de Unie naar de Verenigde Staten worden doorgegeven, niet zodanig zijn afgebakend dat wordt voldaan aan vereisten die in grote lijnen overeenkomen met die welke in het Unierecht worden gesteld, wat de noodzaak en de evenredigheid van dergelijke inbreuken op het recht op gegevensbescherming betreft (11). Het Hof was ook van oordeel dat er geen rechtsmiddel bij een orgaan beschikbaar was dat personen wier gegevens aan de Verenigde Staten zijn doorgegeven, waarborgen biedt die in grote lijnen overeenkomen met die welke door artikel 47 van het Handvest betreffende het recht op een doeltreffende voorziening in rechte worden vereist (12).
 (6)


Na het arrest Schrems II is de Commissie besprekingen aangegaan met de Amerikaanse overheid met het oog op een mogelijk nieuw adequaatheidsbesluit dat zou voldoen aan de vereisten van artikel 45, lid 2, van Verordening (EU) 2016/679, zoals uitgelegd door het Hof. Als gevolg van deze besprekingen hebben de Verenigde Staten op 7 oktober 2022 uitvoeringsbevel (Executive Order) 14086 “Enhancing Safeguards for US Signals Intelligence Activities” [De waarborgen verbeteren voor activiteiten van de VS op het gebied van signals intelligence (SIGINT — inlichtingen uit het berichtenverkeer)] (EO 14086) vastgesteld, dat wordt aangevuld met een “Regulation on the Data Protection Review Court” (Verordening inzake de toetsingsinstantie voor gegevensbescherming), uitgevaardigd door de U.S. Attorney General (minister van Justitie van de Verenigde Staten) (hierna de “AG Regulation” genoemd) (13). Bovendien is het kader dat van toepassing is op commerciële entiteiten die gegevens verwerken die uit de Unie zijn doorgegeven in het kader van dit besluit — het “EU-VS-kader voor gegevensbescherming” (hierna het “EU-VS-DPF” of het “DPF” genoemd) — geactualiseerd.
(7)


De Commissie heeft de Amerikaanse wetten en praktijken zorgvuldig geanalyseerd, met inbegrip van EO 14086 en de AG Regulation. Op basis van de bevindingen in de overwegingen 9 tot en met 200 concludeert de Commissie dat door de Verenigde Staten een passend beschermingsniveau wordt gewaarborgd voor persoonsgegevens die in het kader van het EU-VS-DPF door een verwerkingsverantwoordelijke of verwerker in de Unie (14) worden doorgegeven aan gecertificeerde organisaties in de Verenigde Staten.
 (8)


Dit besluit heeft tot gevolg dat doorgifte door verwerkingsverantwoordelijken en verwerkers in de Unie (15) aan gecertificeerde organisaties in de Verenigde Staten zonder verdere toestemming kan plaatsvinden. Dit doet geen afbreuk aan de directe toepassing van Verordening (EU) 2016/679 op dergelijke entiteiten, voor zover is voldaan aan de voorwaarden betreffende het territoriale toepassingsgebied zoals vastgelegd in artikel 3 van die verordening.
2.   HET EU-VS-KADER VOOR GEGEVENSBESCHERMING

2.1   Persoonlijk en materieel toepassingsgebied

2.1.1   
Gecertificeerde organisaties








(9)


Het EU-VS-DPF is gebaseerd op een systeem van certificering waarbij Amerikaanse organisaties een reeks privacybeginselen onderschrijven — de beginselen van het EU-VS-kader voor gegevensbescherming, met inbegrip van de aanvullende beginselen (hierna samen “de beginselen” genoemd) — die door het Amerikaanse ministerie van Handel (U.S. Department of Commerce) zijn gepubliceerd en in bijlage I bij dit besluit zijn opgenomen (16). Om in aanmerking te komen voor certificering krachtens het EU-VS-DPF moet een organisatie onderworpen zijn aan de onderzoeks- en handhavingsbevoegdheden van de Federal Trade Commission (FTC) of het Amerikaanse ministerie van Vervoer (U.S. Department of Transportation) (17). De beginselen zijn onmiddellijk na de certificering van toepassing. Zoals in de overwegingen 48 tot en met 52 nader wordt toegelicht, moeten de EU-VS-DPF-organisaties jaarlijks opnieuw certificeren dat zij de beginselen onderschrijven (18).
2.1.2   
Definities van persoonsgegevens en de concepten van verwerkingsverantwoordelijke en “vertegenwoordiger”









(10)


De bescherming die het EU-VS-DPF biedt, geldt voor alle persoonsgegevens die vanuit de Unie worden doorgegeven aan organisaties in de VS die bij het ministerie van Handel hebben gecertificeerd dat zij de beginselen onderschrijven, met uitzondering van gegevens die worden verzameld voor publicatie, uitzending of andere vormen van openbare communicatie van journalistiek materiaal en informatie in eerder gepubliceerd materiaal dat uit media-archieven wordt verspreid (19). Deze informatie kan derhalve niet worden doorgegeven op basis van het EU-VS-DPF.
 (11)


De beginselen definiëren persoonsgegevens/persoonlijke informatie op dezelfde manier als Verordening (EU) 2016/679, d.w.z. als “gegevens over een geïdentificeerde of identificeerbare persoon die binnen het toepassingsgebied van de AVG vallen en door een organisatie in de Verenigde Staten uit de EU zijn ontvangen en in welke vorm dan ook zijn vastgelegd” (20). Bijgevolg hebben zij ook betrekking op gepseudonimiseerde (of “versleutelde”) onderzoeksgegevens (ook wanneer de sleutel niet wordt gedeeld met de ontvangende Amerikaanse organisatie) (21). Evenzo wordt het begrip verwerking gedefinieerd als “elke bewerking of elk geheel van bewerkingen met betrekking tot persoonsgegevens, al dan niet uitgevoerd met behulp van geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken of verspreiden, alsmede het wissen of vernietigen van gegevens” (22).
(12)


Het EU-VS-DPF is van toepassing op organisaties in de VS die als verwerkingsverantwoordelijke (d.w.z. als een persoon of organisatie die, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt) (23) of verwerker (d.w.z. een vertegenwoordiger die namens een verwerkingsverantwoordelijke optreedt) (24) worden aangemerkt. Amerikaanse verwerkers moeten er contractueel toe verbonden zijn dat zij slechts volgens instructies van de EU-verwerkingsverantwoordelijke handelen en die laatste bijstaan bij het geven van antwoord aan natuurlijke personen die hun rechten uit hoofde van de beginselen uitoefenen (25). In het geval van subverwerking moet de verwerker bovendien een overeenkomst met de subverwerker sluiten die hetzelfde beschermingsniveau garandeert als de beginselen, en stappen ondernemen om voor de correcte uitvoering daarvan te zorgen (26).
2.2   Beginselen van het EU-VS-kader voor gegevensbescherming

2.2.1   
Doelbinding en keuze








(13)


Persoonsgegevens moeten op rechtmatige en behoorlijke wijze worden verwerkt. Persoonsgegevens moeten worden verzameld voor een specifiek doel en mogen vervolgens uitsluitend worden gebruikt voor doeleinden die niet onverenigbaar zijn met het doel van de verwerking.
 (14)


Onder het EU-VS-DPF wordt dit gewaarborgd via verschillende beginselen. Ten eerste mag een organisatie onder het Data Integrity and Purpose Limitation Principle (beginsel van gegevensintegriteit en doelbinding), vergelijkbaar met artikel 5, lid 1, punt b), van Verordening (EU) 2016/679, geen persoonsgegevens verwerken op een wijze die onverenigbaar is met het doel waarvoor deze oorspronkelijk zijn verzameld of waarvoor de betrokkene later toestemming heeft gegeven (27).
(15)


Ten tweede moet de organisatie, voordat zij persoonsgegevens gebruikt voor een nieuw (gewijzigd) doel dat wezenlijk verschilt maar nog steeds verenigbaar is met het oorspronkelijke doel, of voordat zij deze aan derden verstrekt, de betrokkenen de mogelijkheid bieden om bezwaar te maken (opt-out), overeenkomstig het Choice Principle (keuzebeginsel) (28), door middel van een duidelijk, opvallend en gemakkelijk beschikbaar mechanisme. Belangrijk is dat dit beginsel niet in de plaats treedt van het uitdrukkelijke verbod op onverenigbare verwerking (29).
2.2.2   
Verwerking van bijzondere categorieën van persoonsgegevens








(16)


Wanneer “bijzondere categorieën” gegevens worden verwerkt, moeten bijzondere waarborgen bestaan.
(17)


Overeenkomstig het keuzebeginsel gelden specifieke waarborgen voor de verwerking van “gevoelige informatie”, d.w.z. persoonsgegevens over medische of gezondheidstoestanden, ras of etnische afkomst, politieke opvattingen, religieuze of filosofische overtuigingen, vakbondslidmaatschap, informatie over het seksleven van de natuurlijke persoon of andere informatie die van derden is ontvangen en door die partij als gevoelig wordt aangemerkt en behandeld (30). Dit betekent dat alle gegevens die krachtens de Uniewetgeving inzake gegevensbescherming als gevoelig worden beschouwd (waaronder gegevens over seksuele geaardheid, genetische gegevens en biometrische gegevens) krachtens het EU-VS-DPF door gecertificeerde organisaties als gevoelig zullen worden behandeld.
 (18)


Als algemene regel geldt dat organisaties de uitdrukkelijke toestemming (d.w.z. opt-in) van natuurlijke personen moeten verkrijgen om gevoelige informatie te gebruiken voor andere doeleinden dan die waarvoor ze oorspronkelijk is verzameld of waarvoor de natuurlijke persoon later toestemming heeft gegeven (via opt-in), of om ze aan derden te verstrekken (31).
(19)


Die toestemming hoeft niet te worden verkregen in beperkte omstandigheden die vergelijkbaar zijn met soortgelijke uitzonderingen waarin de EU-wetgeving inzake gegevensbescherming voorziet, bijvoorbeeld wanneer de verwerking van gevoelige gegevens in het vitale belang van een persoon is; ze noodzakelijk is om rechtsvorderingen geldend te maken; of noodzakelijk is voor het verstrekken van medische zorg of het stellen van een diagnose (32).
2.2.3   
Nauwkeurigheid, beveiliging en minimale verwerking van gegevens








(20)


De gegevens moeten juist zijn en zo nodig worden geactualiseerd. Ze moeten ook toereikend en ter zake dienend zijn en beperkt blijven tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt en mogen in principe niet langer worden bewaard dan noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt.
(21)


Overeenkomstig het beginsel van gegevensintegriteit en doelbinding (33) moeten de persoonsgegevens beperkt blijven tot hetgeen relevant is voor het doel van de verwerking. Bovendien moeten organisaties, voor zover dat nodig is voor de doeleinden van de verwerking, redelijke stappen ondernemen om ervoor te zorgen dat de persoonsgegevens betrouwbaar zijn voor het beoogde gebruik en correct, volledig en actueel zijn.
 (22)


Bovendien mag persoonlijke informatie slechts worden opgeslagen in een vorm die een natuurlijke persoon identificeert of identificeerbaar maakt (en dus in de vorm van persoonsgegevens) (34), zolang dit het doel of de doeleinden dient waarvoor die informatie oorspronkelijk is verzameld of waarvoor de natuurlijke persoon later overeenkomstig het keuzebeginsel toestemming heeft gegeven. Deze verplichting belet niet dat organisaties persoonlijke informatie voor langere perioden blijven verwerken, maar alleen voor de termijn en in de mate dat die verwerking redelijkerwijs een van de volgende specifieke doeleinden dient die vergelijkbaar zijn met soortgelijke uitzonderingen waarin de EU-wetgeving inzake gegevensbescherming voorziet: archivering in het openbaar belang, journalistiek, literatuur en kunst, wetenschappelijk en historisch onderzoek en statistische analyse (35). Wanneer persoonsgegevens voor een van deze doeleinden worden bewaard, is de verwerking ervan onderworpen aan de waarborgen van de beginselen (36).
(23)


Persoonsgegevens moeten ook op een dusdanige manier worden verwerkt dat de beveiliging ervan gewaarborgd is, en dat zij onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging. Daartoe moeten verwerkingsverantwoordelijken en verwerkers passende technische of organisatorische maatregelen treffen om de persoonsgegevens te beschermen tegen mogelijke bedreigingen. Deze maatregelen moeten worden beoordeeld met inachtneming van de stand van de techniek, de daaraan verbonden kosten en de aard, de reikwijdte, de context en de doeleinden van de verwerking, alsmede de risico’s voor de rechten van natuurlijke personen.
(24)


In het kader van het EU-VS-DPF wordt dit gewaarborgd door het Security Principle (beveiligingsbeginsel), dat, naar analogie van artikel 32 van Verordening (EU) 2016/679, voorschrijft dat redelijke en passende beveiligingsmaatregelen moeten worden genomen, rekening houdend met de risico’s van de verwerking en de aard van de gegevens (37).
2.2.4   
Transparantie








(25)


Betrokkenen moeten worden ingelicht over de belangrijkste kenmerken van de verwerking van hun persoonsgegevens.
 (26)


Dit wordt gewaarborgd door het Notice Principle (kennisgevingsbeginsel) (38), dat, analoog aan de transparantievereisten van Verordening (EU) 2016/679, organisaties verplicht om betrokkenen te informeren over onder meer i) de deelname van de organisatie aan het DPF, ii) de aard van de verzamelde gegevens, iii) het doel van de verwerking, iv) het type of de identiteit van derden waaraan persoonsgegevens kunnen worden verstrekt en de doeleinden daarvoor, v) hun individuele rechten, vi) hoe zij contact kunnen opnemen met de organisatie en vii) de beschikbare verhaalmechanismemogelijkheden.
(27)


Deze kennisgeving moet in duidelijke en opvallende taal worden gedaan wanneer natuurlijke personen voor het eerst om persoonsgegevens wordt gevraagd of zo spoedig mogelijk daarna, maar in ieder geval voordat de gegevens worden gebruikt voor een wezenlijk ander (maar verenigbaar) doel dan het doel waarvoor ze zijn verzameld, of voordat ze aan derden worden verstrekt (39).
(28)


Bovendien moeten organisaties hun privacybeleid dat de beginselen weerspiegelt, openbaar maken (of, in het geval van personeelsgegevens, gemakkelijk toegankelijk maken voor de betrokken personen) en links verstrekken naar de website van het ministerie van Handel (met nadere informatie over certificering, de rechten van de betrokkenen en de beschikbare beroepsmogelijkheden), de lijst van deelnemende organisaties aan het kader voor gegevensbescherming (DPF-lijst) en de website van een passende aanbieder van alternatieve geschillenbeslechting (40).
2.2.5   
Individuele rechten








(29)


Betrokkenen moeten bepaalde rechten hebben die kunnen worden afgedwongen ten opzichte van de verwerkingsverantwoordelijke of de verwerker, en met name het recht op inzage van de gegevens, het recht om bezwaar te maken tegen de verwerking en het recht op rectificatie of wissing van de gegevens.
 (30)


Het Access Principle (toegangsbeginsel) (41) van het EU-VS-DPF verleent natuurlijke personen dergelijke rechten. In het bijzonder hebben betrokkenen het recht om, zonder opgave van redenen, van een organisatie te verlangen dat deze bevestigt of zij persoonsgegevens over hen verwerkt; de gegevens aan hen te laten meedelen; en informatie te verkrijgen over het doel van de verwerking, de categorieën persoonsgegevens die worden verwerkt en de (categorieën) ontvangers aan wie de gegevens worden verstrekt (42). Organisaties moeten binnen een redelijke termijn reageren op verzoeken om toegang (43). Een organisatie kan redelijke grenzen stellen aan het aantal keren dat binnen een bepaalde periode aan verzoeken om toegang van een bepaalde persoon wordt voldaan en kan een vergoeding vragen die niet buitensporig is, bijvoorbeeld wanneer verzoeken duidelijk buitensporig zijn, met name vanwege hun repetitieve karakter (44).
 (31)


Het recht van toegang kan alleen worden beperkt in uitzonderlijke omstandigheden die vergelijkbaar zijn met die waarin de EU-wetgeving inzake gegevensbescherming voorziet, met name wanneer de legitieme rechten van anderen zouden worden geschonden; wanneer de lasten of kosten van het verlenen van toegang niet in verhouding zouden staan tot de risico’s voor de persoonlijke levenssfeer van de natuurlijke persoon in de omstandigheden van het geval (hoewel lasten en kosten geen doorslaggevende factoren zijn om te bepalen of het verlenen van toegang redelijk is); voor zover openbaarmaking in strijd zou zijn met belangrijke openbare belangen, zoals de nationale of openbare veiligheid, of defensie; wanneer de informatie vertrouwelijke commerciële informatie bevat; of wanneer de informatie uitsluitend voor onderzoeks- of statistische doeleinden wordt verwerkt (45). Het weigeren of het beperken van een recht moet nodig en naar behoren gerechtvaardigd zijn, waarbij de organisatie moet aantonen dat aan deze voorschriften is voldaan (46). Wanneer de organisatie die beoordeling verricht, moet zij in het bijzonder rekening houden met de belangen van de natuurlijke persoon (47). Wanneer het mogelijk is informatie te scheiden van andere gegevens waarvoor een beperking geldt, moet de organisatie de vertrouwelijke informatie bewerken en de niet-vertrouwelijke informatie beschikbaar stellen (48).
(32)


Bovendien hebben betrokkenen het recht onjuiste gegevens te laten corrigeren of wijzigen en gegevens die in strijd met de beginselen (49) zijn verwerkt, te laten wissen. Tevens hebben natuurlijke personen, zoals uiteengezet in overweging 15, het recht bezwaar te maken tegen/zich te verzetten tegen de verwerking van hun gegevens voor wezenlijk andere (maar verenigbare) doeleinden dan die waarvoor de gegevens zijn verzameld en tegen de verstrekking van hun gegevens aan derden. Wanneer persoonsgegevens worden gebruikt voor direct marketing, hebben personen een algemeen recht om zich te allen tijde te verzetten tegen de verwerking (50).
 (33)


De beginselen hebben niet specifiek betrekking op besluiten die gevolgen hebben voor de betrokkene en die uitsluitend gebaseerd zijn op de geautomatiseerde verwerking van persoonsgegevens. Wat betreft de persoonsgegevens die in de Europese Unie zijn verzameld, wordt elk besluit dat is gebaseerd op geautomatiseerde verwerking, echter doorgaans genomen door de verwerkingsverantwoordelijke in de Unie (die een directe relatie met de betrokkene heeft) en is daarom onderworpen aan Verordening (EU) 2016/679 (51). Dit omvat doorgiftescenario’s waarin de verwerking wordt uitgevoerd door een buitenlandse (bijvoorbeeld Amerikaanse) bedrijfsexploitant die handelt als verwerker namens de verwerkingsverantwoordelijke in de Unie (of als subverwerker die handelt namens de verwerker in de Unie, die de gegevens heeft ontvangen van een EU-verwerkingsverantwoordelijke die ze heeft verzameld) die op deze basis de beslissing neemt.
(34)


Dit werd bevestigd door een studie waartoe de Commissie in 2018 opdracht had gegeven in het kader van de tweede jaarlijkse evaluatie van de werking van het privacyschild (52), waarin werd geconcludeerd dat er op dat moment geen aanwijzingen waren dat er normaliter geautomatiseerde besluitvorming werd uitgevoerd door privacyschildorganisaties op basis van persoonsgegevens die in het kader van het privacyschild waren doorgegeven.
 (35)


In ieder geval biedt de Amerikaanse wetgeving op gebieden waar ondernemingen waarschijnlijk een beroep doen op de geautomatiseerde verwerking van persoonsgegevens om beslissingen te nemen die de natuurlijke persoon betreffen (bv. kredietverschaffing, aanbiedingen van hypothecaire leningen, werkgelegenheid, huisvesting en verzekeringen), specifieke bescherming tegen ongunstige beslissingen (53). Die wetten voorzien er doorgaans in dat natuurlijke personen het recht hebben om te worden geïnformeerd over de specifieke redenen die aan de beslissing (bv. de weigering van een krediet) ten grondslag liggen, om onvolledige of niet correcte informatie te betwisten (alsook het feit dat met onrechtmatige factoren rekening is gehouden), en om verhaal te halen. Op het gebied van consumentenkrediet bevatten de Fair Credit Reporting Act (wet billijke kredietrapportage, hierna “FCRA”) en de Equal Credit Opportunity Act (wet gelijke kredietkansen, hierna “ECOA”) waarborgen die de consument een vorm van recht op uitleg bieden evenals een recht om de beslissing aan te vechten. Deze wetten zijn relevant op een groot aantal gebieden, waaronder krediet, werkgelegenheid, huisvesting en verzekeringen. Bovendien bieden bepaalde antidiscriminatiewetten, zoals Titel VII van de Civil Rights Act (wet burgerrechten) en de Fair Housing Act (wet billijke huisvesting), natuurlijke personen bescherming tegen modellen die worden gebruikt bij geautomatiseerde besluitvorming die kunnen leiden tot discriminatie op grond van bepaalde kenmerken, en verlenen zij personen het recht om dergelijke, ook geautomatiseerde, besluiten aan te vechten. Met betrekking tot gezondheidsinformatie creëert de privacyregel van de Health Insurance Portability and Accountability Act (wet overdraagbaarheid en verantwoordingsplicht gezondheidsverzekering, hierna “HIPAA”) bepaalde rechten die vergelijkbaar zijn met die van Verordening (EU) 2016/679 wat betreft de toegang tot persoonlijke gezondheidsinformatie. Bovendien moeten medische zorgverleners op grond van richtsnoeren van de Amerikaanse autoriteiten informatie ontvangen waarmee zij personen op de hoogte kunnen stellen van geautomatiseerde besluitvormingssystemen die in de medische sector worden gebruikt (54).
 (36)


Deze regels bieden dan ook soortgelijke bescherming als die waarin de EU-wetgeving inzake gegevensbescherming voorziet in de onwaarschijnlijke situatie waarin de EU-VS-DPF-organisatie zelf geautomatiseerde besluiten zou nemen.
2.2.6   
Beperkingen op verdere doorgifte








(37)


Het beschermingsniveau dat wordt geboden voor persoonsgegevens die worden doorgegeven vanuit de Unie naar organisaties in de Verenigde Staten mag niet worden ondermijnd door de verdere doorgifte van dergelijke gegevens aan ontvangers in de Verenigde Staten of in een ander derde land.
(38)


Volgens het Accountibility for Onward Transfer Principle (beginsel van verantwoording voor de verdere doorgifte) (55) gelden er bijzondere regels voor zogenaamde “verdere doorgiften”, d.w.z. doorgiften van persoonsgegevens van een EU-VS-DPF-organisatie naar een derde-verwerkingsverantwoordelijke of -verwerker, ongeacht of die laatste in de Verenigde Staten of een derde land buiten de Verenigde Staten (en de Unie) is gevestigd. Verdere doorgifte kan alleen plaatsvinden i) voor beperkte en gespecificeerde doeleinden, ii) op basis van een overeenkomst tussen de EU-VS-DPF-organisatie en de derde (56) (of een vergelijkbare regeling binnen een concern (57)) en iv) alleen als die overeenkomst de derde verplicht hetzelfde beschermingsniveau te bieden als het niveau dat door de beginselen wordt gewaarborgd.
(39)


Deze verplichting om hetzelfde beschermingsniveau te bieden als door de beginselen wordt gewaarborgd, in combinatie met het beginsel van gegevensintegriteit en doelbinding, houdt met name in dat de derde de aan hem doorgegeven persoonsgegevens alleen mag verwerken voor doeleinden die niet onverenigbaar zijn met de doeleinden waarvoor ze zijn verzameld of waarvoor de betrokkene later toestemming heeft gegeven (overeenkomstig het keuzebeginsel).
 (40)


Het beginsel van verantwoording voor de verdere doorgifte moet worden gelezen in samenhang met het kennisgevingsbeginsel en, in het geval van een verdere doorgifte naar een derde-verwerker (58), het keuzebeginsel, volgens welke betrokkenen moeten worden geïnformeerd (onder andere) over de aard/identiteit van derde-ontvangers, het doel van de verdere doorgifte en de geboden keuze en zich kunnen verzetten (opt-out) of, in het geval van gevoelige gegevens “uitdrukkelijke bevestigende toestemming” moeten geven (opt-in) voor de verdere doorgiften.
(41)


De verplichting hetzelfde beschermingsniveau te bieden als het door de beginselen vereiste niveau geldt voor alle derden die bij de verwerking van de op die manier doorgegeven gegevens zijn betrokken (in de Verenigde Staten of een ander derde land), alsook wanneer de oorspronkelijke derde-ontvanger zelf die gegevens naar een andere derde-ontvanger doorgeeft, bijvoorbeeld met het oog op subverwerking.
(42)


In alle gevallen moet de overeenkomst met de derde-ontvanger erin voorzien dat die laatste de EU-VS-DPF-organisatie ervan in kennis zal stellen als hij vaststelt dat hij niet langer aan die verplichting kan voldoen. Wanneer een dergelijke vaststelling wordt gedaan, moet de verwerking door de derde worden stopgezet of moeten andere redelijke en passende stappen worden ondernomen om de situatie te verhelpen (59).
 (43)


In het geval van een verdere doorgifte naar een derde-vertegenwoordiger (m.a.w. een verwerker) geldt aanvullende bescherming. In een dergelijk geval moet de Amerikaanse organisatie ervoor zorgen dat de vertegenwoordiger alleen in haar opdracht handelt en redelijke en passende stappen ondernemen i) om ervoor te zorgen dat de vertegenwoordiger daadwerkelijk de doorgegeven persoonlijke informatie verwerkt op een manier die in overeenstemming is met de verplichtingen van de organisatie uit hoofde van de beginselen, en ii) om na kennisgeving de niet-toegestane verwerking stop te zetten en te verhelpen (60). De organisatie kan door het ministerie van Handel worden verplicht om een samenvatting of een representatief exemplaar van de privacybepalingen van het contract te verstrekken (61). Wanneer zich in een (sub)verwerkingsketen nalevingsproblemen voordoen, wordt de organisatie die optreedt als verantwoordelijke voor de verwerking van de persoonsgegevens in beginsel aansprakelijk gesteld, zoals bepaald in het Recourse, Enforcement and Liability Principle (beginsel inzake verhaal, handhaving en aansprakelijkheid), behalve wanneer zij bewijst dat zij niet verantwoordelijk is voor de gebeurtenis die aanleiding heeft gegeven tot de schade (62).
2.2.7   
Verantwoording








(44)


Volgens het verantwoordingsbeginsel moeten entiteiten die gegevens verwerken passende technische en organisatorische maatregelen nemen om doeltreffend hun verplichtingen inzake gegevensbescherming te kunnen naleven, en moeten zij de naleving daarvan kunnen aantonen, in het bijzonder ten overstaan van de bevoegde toezichthoudende autoriteit.
 (45)


Zodra een organisatie vrijwillig heeft gekozen voor certificering (63) in het kader van het EU-VS-DPF, is haar daadwerkelijke naleving van de beginselen verplicht en afdwingbaar. Krachtens het beginsel inzake verhaal, handhaving en aansprakelijkheid (64) moeten de EU-VS-DPF-organisaties voorzien in doeltreffende mechanismen om de naleving van de beginselen te waarborgen. Organisaties moeten ook maatregelen nemen om te controleren (65) of hun privacybeleid in overeenstemming is met de beginselen en daadwerkelijk wordt nageleefd. Dit kan gebeuren door middel van hetzij een systeem van zelfbeoordeling, dat interne procedures moet omvatten om te garanderen dat de werknemers worden opgeleid om het privacybeleid van de organisatie uit te voeren en dat de naleving periodiek op objectieve wijze wordt geëvalueerd, hetzij externe evaluaties van de naleving, waarvan de methoden onder meer kunnen bestaan in audits, steekproefsgewijze controles of het gebruik van technologische hulpmiddelen.
(46)


Bovendien moeten organisaties gegevens over de uitvoering van hun EU-VS-DPF-praktijken bewaren en op verzoek beschikbaar stellen in het kader van een onderzoek of een klacht over niet-naleving aan een onafhankelijke instantie voor geschillenbeslechting of een bevoegde handhavingsautoriteit (66).
2.3   Beheer, toezicht en handhaving







(47)


Het EU-VS-DPF wordt beheerd en gecontroleerd door het ministerie van Handel. Het kader voorziet in toezichts- en handhavingsmechanismen om na te gaan en te garanderen dat EU-VS-DPF-organisaties de beginselen naleven en dat tegen niet-naleving wordt opgetreden. Die mechanismen zijn beschreven in de beginselen (bijlage I) en de verbintenissen van het ministerie van Handel (bijlage III), de FTC (bijlage IV) en het ministerie van Vervoer (bijlage V).
 2.3.1   
(Her)certificering








(48)


Om zich in het kader van het EU-VS-DPF te certificeren (of jaarlijks te hercertificeren) moeten organisaties publiekelijk verklaren dat zij zich ertoe verbinden de beginselen na te leven, hun privacybeleid beschikbaar stellen en dit volledig uitvoeren (67). Als onderdeel van hun (her)certificeringsaanvraag moeten organisaties het ministerie van Handel informatie verstrekken over onder meer de naam van de betrokken organisatie, een beschrijving van de doeleinden waarvoor de organisatie persoonsgegevens zal verwerken, de persoonsgegevens die onder de certificering vallen, alsmede de gekozen verificatiemethode, het relevante onafhankelijke verhaalmechanisme en de wettelijke instantie die bevoegd is om de naleving van de beginselen te handhaven (68).
(49)


Organisaties kunnen persoonsgegevens ontvangen op grond van het EU-VS-DPF vanaf de datum waarop zij door het ministerie van Handel op de DPF-lijst zijn geplaatst. Om rechtszekerheid te garanderen en “valse beweringen” te voorkomen, mogen organisaties die voor het eerst gecertificeerd worden, niet publiekelijk verwijzen naar hun naleving van de beginselen voordat het ministerie van Handel heeft vastgesteld dat de certificering van de organisatie volledig is en de organisatie is toegevoegd aan de DPF-lijst (69). Om voor het ontvangen van persoonsgegevens uit de Unie gebruik te mogen blijven maken van het EU-VS-DPF, moeten dergelijke organisaties hun deelname aan het kader jaarlijks opnieuw certificeren. Wanneer een organisatie om welke reden dan ook het EU-VS-DPF verlaat, moet zij alle openbare verklaringen verwijderen waarmee wordt gesuggereerd dat de organisatie blijft deelnemen aan het kader (70).
 (50)


Zoals blijkt uit de verbintenissen in bijlage III, zal het ministerie van Handel nagaan of organisaties aan alle certificeringseisen voldoen en een (openbaar) privacybeleid hebben ingevoerd dat de krachtens het kennisgevingsbeginsel vereiste informatie bevat (71). Voortbouwend op de ervaring met het (her)certificeringsproces in het kader van het privacyschild zal het ministerie van Handel een aantal controles uitvoeren, onder meer om na te gaan of het privacybeleid van organisaties een hyperlink bevat naar het juiste klachtenformulier op de website van het relevante mechanisme voor geschillenbeslechting en, wanneer verschillende entiteiten en dochterondernemingen van één organisatie bij een certificeringsaanvraag zijn betrokken, of het privacybeleid van elk van die entiteiten aan de certificeringsvereisten voldoet en gemakkelijk beschikbaar is voor betrokkenen (72). Bovendien zal het ministerie van Handel, waar nodig, kruiscontroles uitvoeren met de FTC en het ministerie van Vervoer om na te gaan of de organisaties onderworpen zijn aan de toezichthoudende instantie die zij in hun (her)certificeringsaanvragen hebben vermeld, en zal het samenwerken met instanties voor alternatieve geschillenbeslechting om na te gaan of de organisaties geregistreerd zijn voor het onafhankelijke verhaalmechanisme dat zij in hun (her)certificeringsaanvraag hebben vermeld (73).
(51)


Het ministerie van Handel zal de organisaties meedelen dat zij, om de (her)certificering te voltooien, alle tijdens de evaluatie geconstateerde problemen moeten aanpakken. Indien een organisatie niet reageert binnen een door het ministerie van Handel vastgestelde termijn (voor hercertificering wordt bijvoorbeeld verwacht dat het proces binnen 45 dagen wordt afgerond) (74) of anderszins haar certificering niet voltooit, wordt de indiening als stopgezet beschouwd. In dat geval kan elke onjuiste voorstelling van zaken over deelname aan of naleving van het EU-VS-DPF aanleiding geven tot handhavingsmaatregelen van de FTC of het ministerie van Vervoer (75).
 (52)


Voor een correcte toepassing van het EU-VS-DPF moeten de belanghebbenden, zoals de betrokkenen, degenen die gegevens naar het buitenland doorgeven en de nationale gegevensbeschermingsautoriteiten kunnen vaststellen welke organisaties de beginselen onderschrijven. Om deze transparantie bij het “ingangspunt” te waarborgen, heeft het ministerie van Handel toegezegd de lijst bij te houden en voor het publiek toegankelijk te maken van de organisaties die door certificering de beginselen hebben onderschreven en die onder de rechtsbevoegdheid vallen van ten minste een van de in de bijlagen IV en V bij dit besluit genoemde handhavingsautoriteiten (76). Het ministerie van Handel werkt de lijst bij op basis van de jaarlijks doorgegeven hercertificering van de organisatie en wanneer een organisatie zich terugtrekt of wordt verwijderd uit het EU-VS-DPF. Voorts zal het ministerie van Handel, om ook op het “exitpunt” transparantie te garanderen, een bestand bijhouden en openbaar maken waarin organisaties zijn opgenomen die van de lijst zijn verwijderd, waarbij telkens de reden voor die verwijdering wordt aangegeven (77). Ten slotte zal het een link geven naar de webpagina van de FTC over het EU-VS-DPF, waarop de handhavingsacties van de FTC binnen het kader zijn vermeld (78).
 2.3.2   
Toezicht op de naleving








(53)


Het ministerie van Handel zal via verschillende mechanismen voortdurend toezicht houden op de daadwerkelijke naleving van de beginselen door de EU-VS-DPF-organisaties (79). Het zal met name “steekproefsgewijze controles” uitvoeren bij willekeurig geselecteerde organisaties, alsook ad-hocsteekproeven bij specifieke organisaties wanneer potentiële nalevingsproblemen worden vastgesteld (bv. gemeld aan het ministerie van Handel door derden) om na te gaan of i) de contactpunten voor de behandeling van klachten en verzoeken van betrokkenen beschikbaar zijn en reageren; ii) het privacybeleid van de organisatie gemakkelijk beschikbaar is, zowel op haar website als via een hyperlink op de website van het ministerie van Handel; iii) het privacybeleid van de organisatie blijft voldoen aan de certificeringseisen en iv) het door de organisaties gekozen onafhankelijke mechanisme voor geschillenbeslechting beschikbaar is voor de behandeling van klachten (80).
(54)


Indien er geloofwaardige aanwijzingen zijn dat een organisatie haar verbintenissen in het kader van het EU-VS-DPF niet nakomt (ook indien het ministerie van Handel klachten ontvangt of de organisatie niet bevredigend reageert op vragen van het ministerie van Handel), zal het ministerie van Handel van de organisatie verlangen dat zij een gedetailleerde vragenlijst invult en indient (81). Een organisatie die de vragenlijst niet bevredigend en tijdig beantwoordt, wordt doorverwezen naar de bevoegde autoriteit (de FTC of het ministerie van Vervoer) voor eventuele handhavingsmaatregelen (82). Als onderdeel van het toezicht op de naleving in het kader van het privacyschild voerde het ministerie van Handel regelmatig de in overweging 53 genoemde steekproefsgewijze controles uit en hield het voortdurend toezicht op openbare verslagen, waardoor het nalevingsproblemen kon opsporen, aanpakken en oplossen (83). Een organisatie wordt in geval van permanente niet-naleving van de beginselen uit de DPF-lijst verwijderd en moet de in het kader van het EU-VS-DPF ontvangen persoonsgegevens terugbezorgen of wissen (84).
 (55)


In andere gevallen van verwijdering, zoals vrijwillige terugtrekking van deelname of verzuim de naleving opnieuw te certificeren, moet de organisatie de gegevens wissen of teruggeven, of mag zij deze bewaren, mits zij jaarlijks aan het ministerie van Handel bevestigt dat zij zich tot de naleving van de beginselen blijft verbinden of met andere toegestane middelen een passende bescherming voor de persoonsgegevens biedt (bv. met behulp van een overeenkomst die de vereisten van de bepalingen dienaangaande van de door de Commissie goedgekeurde modelovereenkomst volledig weerspiegelt) (85). In dit geval moet een organisatie een contactpunt binnen de organisatie aanwijzen voor alle vragen in verband met het EU-VS-DPF.
2.3.3   
Valse beweringen van deelname identificeren en aanpakken








(56)


Het ministerie van Handel zal zowel ambtshalve als op basis van klachten (bv. ontvangen van gegevensbeschermingsautoriteiten) eventuele valse beweringen inzake deelname aan het EU-VS-DPF of het onterechte gebruik van het keurmerk van het EU-VS-DPF controleren (86). Het ministerie van Handel zal met name voortdurend nagaan of organisaties die i) hun deelname aan het EU-VS-DPF beëindigen, ii) de jaarlijkse hercertificering niet voltooien (d.w.z. ofwel zijn begonnen, maar het jaarlijkse hercertificeringsproces niet tijdig hebben voltooid, ofwel niet eens zijn begonnen met het jaarlijkse hercertificeringsproces), iii) worden geschrapt als deelnemer, met name wegens “permanente niet-naleving”, of iv) een initiële certificering niet voltooien (d.w.z. zijn begonnen, maar het initiële certificeringsproces niet tijdig hebben voltooid), verwijzingen naar het EU-VS-DPF die impliceren dat de organisatie actief deelneemt aan het DPF-kader, uit alle relevante gepubliceerde verwijzingen naar het privacybeleid verwijderen (87). Het ministerie van Handel zal ook op internet zoeken naar verwijzingen naar het EU-VS-DPF in het privacybeleid van organisaties, onder meer om valse beweringen op te sporen van organisaties die nooit hebben deelgenomen aan het EU-VS-DPF (88).
 (57)


Wanneer het ministerie van Handel constateert dat verwijzingen naar het EU-VS-DPF niet zijn verwijderd of onterecht worden gebruikt, zal het de organisatie informeren over een mogelijke verwijzing naar de FTC/ministerie van Vervoer (89). Als een organisatie niet op bevredigende wijze reageert, zal het ministerie van Handel de zaak doorverwijzen naar de bevoegde instantie voor mogelijke handhavingsmaatregelen (90). Tegen een verkeerde voorstelling aan het grote publiek over de onderschrijving van de beginselen door een organisatie in de vorm van misleidende verklaringen of praktijken kan handhavend worden opgetreden door de FTC, het ministerie van Vervoer of andere bevoegde Amerikaanse handhavingsautoriteiten. Tegen verkeerde voorstellingen tegenover het ministerie van Handel kan handhavend worden opgetreden op grond van de False Statements Act (wet valse verklaringen) (18 U.S.C. § 1001).
2.3.4   
Handhaving








(58)


Om ervoor te zorgen dat in de praktijk een passend niveau van bescherming van persoonsgegevens wordt gewaarborgd, moet er worden voorzien in een onafhankelijke toezichthoudende autoriteit met bevoegdheden tot monitoring en handhaving van de naleving van de gegevensbeschermingsvoorschriften.
(59)


EU-VS-DPF-organisaties moeten onderworpen zijn aan de jurisdictie van de bevoegde Amerikaanse autoriteiten — de FTC en het ministerie van Vervoer — die over de nodige onderzoeks- en handhavingsbevoegdheden beschikken om de naleving van de beginselen daadwerkelijk te waarborgen (91).
(60)


De FTC is een onafhankelijke instantie die bestaat uit vijf commissarissen, die door de president worden benoemd met het advies en de instemming van de Senaat (92). De commissarissen worden benoemd voor een periode van zeven jaar en kunnen alleen door de president worden ontslagen wegens inefficiëntie, plichtsverzuim of ambtsmisdrijven. De FTC mag niet meer dan drie commissarissen van dezelfde politieke partij hebben en de commissarissen mogen tijdens hun benoeming geen andere zakelijke activiteiten, beroepen of functies uitoefenen.
 (61)


De FTC kan een onderzoek instellen naar de naleving van de beginselen, alsook naar valse beweringen over de naleving van de beginselen of de deelname aan het EU-VS-DPF door organisaties die niet langer op de DPF-lijst staan of die nooit zijn gecertificeerd (93). De FTC kan naleving afdwingen door administratieve of federale rechterlijke bevelen te vragen (met inbegrip van consent orders die via schikkingen tot stand zijn gekomen) (94) voor voorlopige of permanente bevelen of andere rechtsmiddelen, en zal systematisch toezien op de naleving van dergelijke bevelen (95). In geval van niet-naleving van dergelijke bevelen door organisaties kan de FTC civielrechtelijke sancties en ander herstel vorderen, onder meer voor door de onrechtmatige gedraging veroorzaakte schade. Elk tegen een EU-VS-DPF-organisatie uitgevaardigd consent order zal bepalingen inzake zelfrapportage bevatten (96) en organisaties zullen alle relevante delen over het EU-VS-DPF van bij de FTC ingediende nalevings- of beoordelingsverslagen openbaar moeten maken. Ten slotte zal de FTC online een lijst bijhouden van de organisaties waartegen bevelen van de FTC of een rechterlijke instantie zijn uitgevaardigd in zaken betreffende het EU-VS-DPF (97).
 (62)


Met betrekking tot het privacyschild heeft de FTC in ongeveer 22 gevallen handhavingsmaatregelen genomen, zowel met betrekking tot schendingen van specifieke vereisten van het kader (bv. nalaten om aan het ministerie van Handel te bevestigen dat de organisatie de privacyschildbeschermingen bleef toepassen nadat zij het kader had verlaten, nalaten om door middel van een zelfbeoordeling of een externe nalevingscontrole na te gaan of de organisatie aan het kader voldeed) (98) als met betrekking tot valse beweringen over deelname aan het kader (bv. door organisaties die niet de nodige stappen ondernamen om een certificering te verkrijgen, of hun certificering lieten verlopen maar een verkeerde voorstelling gaven van hun verdere deelname) (99). Deze handhavingsactie vloeide onder meer voort uit het proactieve gebruik van administratieve dwangbevelen om bij bepaalde deelnemers aan het privacyschild materiaal te verkrijgen om te controleren op materiële schendingen van de privacyschildverplichtingen (100).
(63)


Meer in het algemeen heeft de FTC de voorbije jaren handhavingsmaatregelen genomen in een aantal zaken betreffende de naleving van specifieke vereisten voor de bescherming van gegevens waarin ook is voorzien in het kader van het EU-VS-DPF, bv. in verband met de beginselen van doelbinding en bewaring van gegevens (101), minimale verwerking van gegevens (102), gegevensbeveiliging (103) en nauwkeurigheid van gegevens (104).
 (64)


Het ministerie van Vervoer heeft de exclusieve bevoegdheid om de privacypraktijken van luchtvaartmaatschappijen te reguleren en deelt rechtsbevoegdheid met de FTC met betrekking tot de privacypraktijken van reisbureaus bij de verkoop van luchtvervoer. De functionarissen van het ministerie van Vervoer proberen eerst een schikking te treffen en als dat niet mogelijk is, kunnen zij een handhavingsprocedure inleiden met een hoorzitting voor een bestuursrechter van het ministerie van Vervoer die bevoegd is om administratieve bevelen uit te vaardigen en civiele sancties op te leggen (105). Bestuursrechters genieten op grond van de Administrative Procedure Act (wet bestuursrechtelijke procedure, hierna “APA”) verschillende beschermingsmaatregelen om hun onafhankelijkheid en onpartijdigheid te waarborgen. Zij kunnen bijvoorbeeld alleen om gegronde redenen worden ontslagen; worden bij beurtrol aan zaken toegewezen; mogen geen taken vervullen die onverenigbaar zijn met hun taken en verantwoordelijkheden als bestuursrechter; staan niet onder toezicht van het onderzoeksteam van de autoriteit waarbij zij in dienst zijn (in dit geval het ministerie van Vervoer); en moeten hun rechtsprekende/handhavende functie onpartijdig uitoefenen (106). Het ministerie van Vervoer heeft toegezegd toezicht te houden op handhavingsbevelen en ervoor te zorgen dat bevelen die voortvloeien uit EU-VS-DPF-zaken beschikbaar zijn op zijn website (107).
2.4   Verhaalmechanismemogelijkheden







(65)


Om een passende bescherming en vooral de handhaving van individuele rechten te waarborgen, moeten aan de betrokkene doeltreffende administratieve en gerechtelijke verhaalmechanismemogelijkheden worden verstrekt.
 (66)


Het EU-VS-DPF vereist in het beginsel van verhaal, handhaving en aansprakelijkheid dat organisaties natuurlijke personen die door de niet-naleving worden getroffen, verhaalmechanismen bieden en dus voor betrokkenen uit de Unie de mogelijkheid bieden een klacht in te dienen betreffende niet-naleving door EU-VS-DPF-organisaties en die klachten opgelost te zien, indien nodig door een beslissing die een doeltreffend herstel biedt (108). Als onderdeel van hun certificering moeten organisaties voldoen aan de vereisten van dit beginsel door doeltreffende en direct beschikbare onafhankelijke verhaalmechanismen aan te bieden waarmee de klachten van een natuurlijke persoon en geschillen kunnen worden onderzocht en snel worden opgelost zonder kosten voor de natuurlijke persoon (109).
(67)


Organisaties mogen onafhankelijke verhaalmechanismen kiezen in hetzij de Unie hetzij de Verenigde Staten. Zoals in overweging 73 nader wordt toegelicht, omvat dit de mogelijkheid om zich vrijwillig tot samenwerking met de gegevensbeschermingsautoriteiten van de EU te verbinden. Wanneer organisaties personeelsgegevens verwerken, is een dergelijke verbintenis tot samenwerking met de gegevensbeschermingsautoriteiten van de EU verplicht. Andere alternatieven zijn onafhankelijke alternatieve geschillenbeslechting of door de particuliere sector ontwikkelde privacyprogramma’s die de beginselen in hun regels hebben opgenomen. Die programma’s moeten doeltreffende handhavingsmechanismen omvatten overeenkomstig de vereisten van het beginsel van verhaal, handhaving en aansprakelijkheid.
 (68)


Het EU-VS-DPF biedt betrokkenen bijgevolg een aantal mogelijkheden om hun rechten te doen handhaven, klachten in te dienen betreffende niet-naleving door EU-VS-DPF-organisaties en hun klachten opgelost te zien, indien nodig met een beslissing die een doeltreffend herstel biedt. Natuurlijke personen kunnen een klacht direct bij een organisatie indienen, bij een onafhankelijke geschillenbeslechtingsinstantie die door de organisatie is aangewezen, bij nationale gegevensbeschermingsautoriteiten, het ministerie van Handel of bij de FTC. In gevallen waarin hun klachten niet zijn opgelost door een van deze verhaalmechanisme- of handhavingsmechanismen, hebben natuurlijke personen ook het recht om bindende arbitrage in te roepen (bijlage I bij bijlage I bij dit besluit). Behalve voor het arbitragepanel, waarvoor bepaalde rechtsmiddelen moeten zijn uitgeput voordat het kan worden ingeroepen, staat het natuurlijke personen vrij om een of alle verhaalmechanismen van hun keuze te gebruiken, en zijn zij niet verplicht om voor het ene of het andere mechanisme te kiezen of een bepaalde volgorde te eerbiedigen.
