1.   Bij deze verordening worden regels vastgesteld betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van persoonsgegevens. 2.   Deze verordening beschermt de grondrechten en de fundamentele vrijheden van natuurlijke personen en met name hun recht op bescherming van persoonsgegevens. 3.   Het vrije verkeer van persoonsgegevens in de Unie wordt noch beperkt noch verboden om redenen die verband houden met de bescherming van natuurlijke personen ten aanzien van de verwerking van persoonsgegevens. Passende overwegingen Overweging 1 - Gegevensbescherming Als Een Fundamenteel RechtOverweging 2 - Eerbiediging Van De Fundamentele Rechten En VrijhedenOverweging 3 - Richtlijn 95/46/Eg HarmonisatieOverweging 4 - Gegevensbescherming In Balans Met Andere Fundamentele RechtenOverweging 5 - Samenwerking Tussen Lidstaten Voor De Uitwisseling Van PersoonsgegevensOverweging 6 - Zorgen Voor Een Hoog Niveau Van Gegevensbescherming Ondanks De Toename Van GegevensuitwisselingOverweging 7 - Het Raamwerk Is Gebaseerd Op Controle En ZekerheidOverweging 8 - Opname In Nationaal RechtOverweging 9 - Verschillende Beschermingsniveaus Door Richtlijn 95/46/EgOverweging 10 - Geharmoniseerd Niveau Van Gegevensbescherming Ondanks Nationale ReikwijdteOverweging 11 - Harmonisatie Van De Bevoegdheden En SanctiesOverweging 12 - Autorisatie Van Het Europees Parlement En De Raad Veelgestelde vragen over artikel 1 +Wat is het doel van artikel 1 AVG? Artikel 1 stelt het onderwerp en de doelstellingen van de AVG vast. Het bevat regels ter bescherming van natuurlijke personen bij de verwerking van hun persoonsgegevens en beschermt het vrije verkeer van die gegevens binnen de EU. +Beschermt de AVG gegevens of mensen? De AVG beschermt natuurlijke personen bij de verwerking van hun persoonsgegevens en behandelt gegevensbescherming als een grondrecht. Zij beschermt niet de gegevens zelf, maar de personen op wie de gegevens betrekking hebben. +Kan het vrije verkeer van gegevens onder de AVG worden beperkt? Nee. Artikel 1 bepaalt dat het vrije verkeer van persoonsgegevens binnen de EU niet mag worden beperkt of verboden om redenen die verband houden met de bescherming van personen bij de verwerking. Gerelateerde kernkwesties GDPR Persoonsgegevens GDPR Verwerking GDPR Privacy by Design

1.   Deze verordening is van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking, alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen. 2.   Deze verordening is niet van toepassing op de verwerking van persoonsgegevens: a) in het kader van activiteiten die buiten de werkingssfeer van het Unierecht vallen; b) door de lidstaten bij de uitvoering van activiteiten die binnen de werkingssfeer van titel V, hoofdstuk 2, VEU vallen; c) door een natuurlijke persoon bij de uitoefening van een zuiver persoonlijke of huishoudelijke activiteit; d) door de bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid. 3.   Op de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie is Verordening (EG) nr. 45/2001 van toepassing. Verordening (EG) nr. 45/2001 en andere rechtshandelingen van de Unie die van toepassing zijn op een dergelijke verwerking van persoonsgegevens worden overeenkomstig artikel 98 aan de beginselen en regels van de onderhavige verordening aangepast. 4.   Deze verordening laat de toepassing van Richtlijn 2000/31/EG, en met name van de regels in de artikelen 12 tot en met 15 van die richtlijn betreffende de aansprakelijkheid van als tussenpersoon optredende dienstverleners onverlet. Passende overwegingen Overweging 13 - Rekening Houden Met Micro-, Kleine En Middelgrote OndernemingenOverweging 14 - Niet Van Toepassing Op RechtspersonenOverweging 15 - Technologische NeutraliteitOverweging 16 - Niet Van Toepassing Op Activiteiten Met Betrekking Tot Nationale En Gemeenschappelijke VeiligheidOverweging 17 - Aanpassing Van Verordening (Eg) Nr. 45/2001Overweging 18 - Niet Van Toepassing Op Persoonlijke Of Huishoudelijke ActiviteitenOverweging 19 - Niet Van Toepassing Op Strafrechtelijke VervolgingOverweging 20 - Respect Voor De Onafhankelijkheid Van De Rechterlijke MachtOverweging 21 - Aansprakelijkheidsregels Voor Tussenpartijdiensten Blijven OnaangetastOverweging 27 - Niet Van Toepassing Op Gegevens Van Overleden Personen Veelgestelde vragen over artikel 2 +Wat valt onder artikel 2 AVG? Artikel 2 bepaalt het materiële toepassingsgebied van de AVG. Zij geldt voor de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens en voor niet-geautomatiseerde verwerking van gegevens in een bestand. +Welke verwerkingen vallen buiten de AVG? De AVG geldt niet voor zuiver persoonlijke of huishoudelijke activiteiten, voor nationale veiligheid, of voor verwerking door autoriteiten met het oog op strafrechtelijke handhaving die onder de richtlijn gegevensbescherming politie en justitie valt. +Geldt de AVG voor papieren dossiers? Ja, maar alleen wanneer de papieren dossiers deel uitmaken van een gestructureerd bestand. Ongestructureerde handgeschreven notities die geen deel uitmaken van een bestand vallen buiten het materiële toepassingsgebied. Gerelateerde kernkwesties GDPR Persoonsgegevens GDPR Derde Landen

1.   Deze verordening is van toepassing op de verwerking van persoonsgegevens in het kader van de activiteiten van een vestiging van een verwerkingsverantwoordelijke of een verwerker in de Unie, ongeacht of de verwerking in de Unie al dan niet plaatsvindt. 2.   Deze verordening is van toepassing op de verwerking van persoonsgegevens van betrokkenen die zich in de Unie bevinden, door een niet in de Unie gevestigde verwerkingsverantwoordelijke of verwerker, wanneer de verwerking verband houdt met: a) het aanbieden van goederen of diensten aan deze betrokkenen in de Unie, ongeacht of een betaling door de betrokkenen is vereist; of b) het monitoren van hun gedrag, voor zover dit gedrag in de Unie plaatsvindt. 3.   Deze verordening is van toepassing op de verwerking van persoonsgegevens door een verwerkingsverantwoordelijke die niet in de Unie is gevestigd, maar op een plaats waar krachtens het internationaal publiekrecht het lidstatelijke recht van toepassing is. Passende overwegingen Overweging 22 - Verwerking Door Een VestigingOverweging 23 - Van Toepassing Op Verwerkingsverantwoordelijken/Verwerkers Die Niet In De Unie Zijn Gevestigd Als De Betrokkenen Binnen De Unie Worden GetargetOverweging 24 - Van Toepassing Op Verwerkingsverantwoordelijken/Verwerkers Die Niet In De Unie Zijn Gevestigd Als Betrokkenen Binnen De Unie Worden GeprofileerdOverweging 25 - Van Toepassing Op Verwerkingsverantwoordelijken Wegens Internationaal Recht Veelgestelde vragen over artikel 3 +Voor wie geldt de AVG? De AVG geldt voor organisaties die in de EU zijn gevestigd en persoonsgegevens verwerken, en voor organisaties buiten de EU die goederen of diensten aanbieden aan personen in de EU of hun gedrag volgen. +Geldt de AVG voor bedrijven buiten de EU? Ja. Op grond van artikel 3 valt een bedrijf buiten de EU eronder als het personen in de EU goederen of diensten aanbiedt of hun gedrag volgt, ongeacht waar het bedrijf is gevestigd. +Wat is het extraterritoriale bereik van de AVG? Extraterritoriaal bereik betekent dat de AVG ook buiten de EU kan gelden. Als een bedrijf buiten de EU gegevens van personen in de EU verwerkt in verband met een aanbod van goederen of diensten of het volgen van gedrag, moet het de AVG naleven. Gerelateerde kernkwesties GDPR Verwerking Functionaris voor gegevensbescherming – AVG

Voor de toepassing van deze verordening wordt verstaan onder: 1) „persoonsgegevens”: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon („de betrokkene”); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon; 2) „verwerking”: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens; 3) „beperken van de verwerking”: het markeren van opgeslagen persoonsgegevens met als doel de verwerking ervan in de toekomst te beperken; 4) „profilering”: elke vorm van geautomatiseerde verwerking van persoonsgegevens waarbij aan de hand van persoonsgegevens bepaalde persoonlijke aspecten van een natuurlijke persoon worden geëvalueerd, met name met de bedoeling zijn beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren, interesses, betrouwbaarheid, gedrag, locatie of verplaatsingen te analyseren of te voorspellen; 5) „pseudonimisering”: het verwerken van persoonsgegevens op zodanige wijze dat de persoonsgegevens niet meer aan een specifieke betrokkene kunnen worden gekoppeld zonder dat er aanvullende gegevens worden gebruikt, mits deze aanvullende gegevens apart worden bewaard en technische en organisatorische maatregelen worden genomen om ervoor te zorgen dat de persoonsgegevens niet aan een geïdentificeerde of identificeerbare natuurlijke persoon worden gekoppeld; 6) „bestand”: elk gestructureerd geheel van persoonsgegevens die volgens bepaalde criteria toegankelijk zijn, ongeacht of dit geheel gecentraliseerd of gedecentraliseerd is dan wel op functionele of geografische gronden is verspreid; 7) „verwerkingsverantwoordelijke”: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer de doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen; 8) „verwerker”: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt; 9) „ontvanger”: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan, al dan niet een derde, aan wie/waaraan de persoonsgegevens worden verstrekt. Overheidsinstanties die mogelijk persoonsgegevens ontvangen in het kader van een bijzonder onderzoek overeenkomstig het Unierecht of het lidstatelijke recht gelden echter niet als ontvangers; de verwerking van die gegevens door die overheidsinstanties strookt met de gegevensbeschermingsregels die op het betreffende verwerkingsdoel van toepassing zijn; 10) „derde”: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan, niet zijnde de betrokkene, noch de verwerkingsverantwoordelijke, noch de verwerker, noch de personen die onder rechtstreeks gezag van de verwerkingsverantwoordelijke of de verwerker gemachtigd zijn om de persoonsgegevens te verwerken; 11) „toestemming” van de betrokkene: elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling hem betreffende verwerking van persoonsgegevens aanvaardt; 12) „inbreuk in verband met persoonsgegevens”: een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens; 13) „genetische gegevens”: persoonsgegevens die verband houden met de overgeërfde of verworven genetische kenmerken van een natuurlijke persoon die unieke informatie verschaffen over de fysiologie of de gezondheid van die natuurlijke persoon en die met name voortkomen uit een analyse van een biologisch monster van die natuurlijke persoon; 14) „biometrische gegevens”: persoonsgegevens die het resultaat zijn van een specifieke technische verwerking met betrekking tot de fysieke, fysiologische of gedragsgerelateerde kenmerken van een natuurlijke persoon op grond waarvan eenduidige identificatie van die natuurlijke persoon mogelijk is of wordt bevestigd, zoals gezichtsafbeeldingen of vingerafdrukgegevens; 15) „gegevens over gezondheid”: persoonsgegevens die verband houden met de fysieke of mentale gezondheid van een natuurlijke persoon, waaronder gegevens over verleende gezondheidsdiensten waarmee informatie over zijn gezondheidstoestand wordt gegeven; 16) „hoofdvestiging”: a) met betrekking tot een verwerkingsverantwoordelijke die vestigingen heeft in meer dan één lidstaat, de plaats waar zijn centrale administratie in de Unie is gelegen, tenzij de beslissingen over de doelstellingen van en de middelen voor de verwerking van persoonsgegevens worden genomen in een andere vestiging van de verwerkingsverantwoordelijke die zich eveneens in de Unie bevindt, en die tevens gemachtigd is die beslissingen uit te voeren, in welk geval de vestiging waar die beslissingen worden genomen als de hoofdvestiging wordt beschouwd; b) met betrekking tot een verwerker die vestigingen in meer dan één lidstaat heeft, de plaats waar zijn centrale administratie in de Unie is gelegen of, wanneer de verwerker geen centrale administratie in de Unie heeft, de vestiging van de verwerker in de Unie waar de voornaamste verwerkingsactiviteiten in het kader van de activiteiten van een vestiging van de verwerker plaatsvinden, voor zover op de verwerker krachtens deze verordening specifieke verplichtingen rusten; 17) „vertegenwoordiger”: een in de Unie gevestigde natuurlijke persoon of rechtspersoon die uit hoofde van artikel 27 schriftelijk door de verwerkingsverantwoordelijke of de verwerker is aangewezen om de verwerkingsverantwoordelijke of de verwerker te vertegenwoordigen in verband met hun respectieve verplichtingen krachtens deze verordening; 18) „onderneming”: een natuurlijke persoon of rechtspersoon die een economische activiteit uitoefent, ongeacht de rechtsvorm ervan, met inbegrip van maatschappen en persoonsvennootschappen of verenigingen die regelmatig een economische activiteit uitoefenen; 19) „concern”: een onderneming die zeggenschap uitoefent en de ondernemingen waarover die zeggenschap wordt uitgeoefend; 20) „bindende bedrijfsvoorschriften”: beleid inzake de bescherming van persoonsgegevens dat een op het grondgebied van een lidstaat gevestigde verwerkingsverantwoordelijke of verwerker voert met betrekking tot de doorgifte of reeksen van doorgiften van persoonsgegevens aan een verwerkingsverantwoordelijke of verwerker in een of meer derde landen binnen een concern of een groepering van ondernemingen die gezamenlijk een economische activiteit uitoefenen; 21) „toezichthoudende autoriteit”: een door een lidstaat ingevolge artikel 51 ingestelde onafhankelijke overheidsinstantie; 22) „betrokken toezichthoudende autoriteit”: een toezichthoudende autoriteit die betrokken is bij de verwerking van persoonsgegevens omdat: a) de verwerkingsverantwoordelijke of de verwerker op het grondgebied van de lidstaat van die toezichthoudende autoriteit is gevestigd; b) de betrokkenen die in de lidstaat van die toezichthoudende autoriteit verblijven, door de verwerking wezenlijke gevolgen ondervinden of waarschijnlijk zullen ondervinden; of c) bij die toezichthoudende autoriteit een klacht is ingediend; 23) „grensoverschrijdende verwerking”: a) verwerking van persoonsgegevens in het kader van de activiteiten van vestigingen in meer dan één lidstaat van een verwerkingsverantwoordelijke of een verwerker in de Unie die in meer dan één lidstaat is gevestigd; of b) verwerking van persoonsgegevens in het kader van de activiteiten van één vestiging van een verwerkingsverantwoordelijke of van een verwerker in de Unie, waardoor in meer dan één lidstaat betrokkenen wezenlijke gevolgen ondervinden of waarschijnlijk zullen ondervinden; 24) „relevant en gemotiveerd bezwaar”: een bezwaar tegen een ontwerpbesluit over het bestaan van een inbreuk op deze verordening of over de vraag of de voorgenomen maatregel met betrekking tot de verwerkingsverantwoordelijke of de verwerker strookt met deze verordening, waarin duidelijk de omvang wordt aangetoond van de risico's die het ontwerpbesluit inhoudt voor de grondrechten en de fundamentele vrijheden van betrokkenen en, indien van toepassing, voor het vrije verkeer van persoonsgegevens binnen de Unie; 25) „dienst van de informatiemaatschappij”: een dienst als gedefinieerd in artikel 1, lid 1, punt b), van Richtlijn (EU) 2015/1535 van het Europees Parlement en de Raad ; 26) „internationale organisatie”: een organisatie en de daaronder vallende internationaalpubliekrechtelijke organen of andere organen die zijn opgericht bij of op grond van een overeenkomst tussen twee of meer landen. Passende overwegingen Overweging 15 - Technologische NeutraliteitOverweging 24 - Van Toepassing Op Verwerkingsverantwoordelijken/Verwerkers Die Niet In De Unie Zijn Gevestigd Als Betrokkenen Binnen De Unie Worden GeprofileerdOverweging 26 - Niet Van Toepassing Op Anonieme GegevensOverweging 28 - Invoering Van PseudonimiseringOverweging 29 - Pseudonimisatie Bij Dezelfde VerwerkingsverantwoordelijkeOverweging 30 - Online-Identificatoren Voor Profilering En IdentificatieOverweging 31 - Niet Van Toepassing Op Overheidsinstellingen In Verband Met Hun Officiële TakenOverweging 34 - Genetische GegevensOverweging 35 - GezondheidsgegevensOverweging 36 - Bepaling Van De HoofdvestigingOverweging 37 - Groep Van Ondernemingen Veelgestelde vragen over artikel 4 +Wat zijn persoonsgegevens volgens artikel 4 AVG? Persoonsgegevens zijn alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon. Hieronder vallen namen, identificatienummers, locatiegegevens, online-identificatoren en factoren die kenmerkend zijn voor iemands identiteit. +Wat is het verschil tussen een verwerkingsverantwoordelijke en een verwerker? De verwerkingsverantwoordelijke bepaalt de doeleinden en middelen van de verwerking, terwijl de verwerker handelt namens en op instructie van de verantwoordelijke. Artikel 4 geeft de juridische definities van beide rollen. +Wat betekent verwerking in de AVG? Verwerking omvat bijna elke bewerking van persoonsgegevens, zoals verzamelen, opslaan, gebruiken, verstrekken, wijzigen en wissen, ongeacht of dit geautomatiseerd of handmatig gebeurt. Gerelateerde kernkwesties GDPR Versleuteling GDPR Registers van Verwerkingsactiviteiten

1.   Persoonsgegevens moeten: a) worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is („rechtmatigheid, behoorlijkheid en transparantie”); b) voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt; de verdere verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden wordt overeenkomstig artikel 89, lid 1, niet als onverenigbaar met de oorspronkelijke doeleinden beschouwd („doelbinding”); c) toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt („minimale gegevensverwerking”); d) juist zijn en zo nodig worden geactualiseerd; alle redelijke maatregelen moeten worden genomen om de persoonsgegevens die, gelet op de doeleinden waarvoor zij worden verwerkt, onjuist zijn, onverwijld te wissen of te rectificeren („juistheid”); e) worden bewaard in een vorm die het mogelijk maakt de betrokkenen niet langer te identificeren dan voor de doeleinden waarvoor de persoonsgegevens worden verwerkt noodzakelijk is; persoonsgegevens mogen voor langere perioden worden opgeslagen voor zover de persoonsgegevens louter met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden worden verwerkt overeenkomstig artikel 89, lid 1, mits de bij deze verordening vereiste passende technische en organisatorische maatregelen worden getroffen om de rechten en vrijheden van de betrokkene te beschermen („opslagbeperking”); f) door het nemen van passende technische of organisatorische maatregelen op een dusdanige manier worden verwerkt dat een passende beveiliging ervan gewaarborgd is, en dat zij onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging („integriteit en vertrouwelijkheid”). 2.   De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen („verantwoordingsplicht”). Passende overwegingen Overweging 39 - Beginselen Van GegevensverwerkingOverweging 74 - Verantwoordelijkheid En Aansprakelijkheid Van De Verwerkingsverantwoordelijke Veelgestelde vragen over artikel 5 +Wat zijn de zeven beginselen van de AVG? Artikel 5 noemt zeven beginselen: rechtmatigheid, behoorlijkheid en transparantie, doelbinding, minimale gegevensverwerking, juistheid, opslagbeperking, integriteit en vertrouwelijkheid, en verantwoordingsplicht. +Wat is de verantwoordingsplicht in de AVG? De verantwoordingsplicht houdt in dat de verantwoordelijke de gegevensbeschermingsbeginselen moet naleven en dit moet kunnen aantonen. Het is de basis van de documentatie en governance onder de AVG. +Wat is minimale gegevensverwerking volgens artikel 5? Minimale gegevensverwerking vereist dat verzamelde gegevens toereikend, ter zake dienend en beperkt zijn tot wat noodzakelijk is voor het doel. Organisaties mogen niet meer gegevens verzamelen dan zij echt nodig hebben. Gerelateerde kernkwesties GDPR Recht om geïnformeerd te worden GDPR Privacy by Design GDPR Versleuteling

1.   De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan: a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden; b) de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen; c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust; d) de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen; e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen; f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is. De eerste alinea, punt f), geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken. 2.   De lidstaten kunnen specifiekere bepalingen handhaven of invoeren ter aanpassing van de manier waarop de regels van deze verordening met betrekking tot de verwerking met het oog op de naleving van lid 1, punten c) en e), worden toegepast; hiertoe kunnen zij een nadere omschrijving geven van specifieke voorschriften voor de verwerking en andere maatregelen om een rechtmatige en behoorlijke verwerking te waarborgen, ook voor andere specifieke verwerkingssituaties als bedoeld in hoofdstuk IX. 3.   De rechtsgrond voor de in lid 1, punten c) en e), bedoelde verwerking moet worden vastgesteld bij: a) Unierecht; of b) lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is. Het doel van de verwerking wordt in die rechtsgrond vastgesteld of is met betrekking tot de in lid 1, punt e), bedoelde verwerking noodzakelijk voor de vervulling van een taak van algemeen belang of voor de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend. Die rechtsgrond kan specifieke bepalingen bevatten om de toepassing van de regels van deze verordening aan te passen, met inbegrip van de algemene voorwaarden inzake de rechtmatigheid van verwerking door de verwerkingsverantwoordelijke; de types verwerkte gegevens; de betrokkenen; de entiteiten waaraan en de doeleinden waarvoor de persoonsgegevens mogen worden verstrekt; de doelbinding; de opslagperioden; en de verwerkingsactiviteiten en -procedures, waaronder maatregelen om te zorgen voor een rechtmatige en behoorlijke verwerking, zoals die voor andere specifieke verwerkingssituaties als bedoeld in hoofdstuk IX. Het Unierecht of het lidstatelijke recht moet beantwoorden aan een doelstelling van algemeen belang en moet evenredig zijn met het nagestreefde gerechtvaardigde doel. 4.   Wanneer de verwerking voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld niet berust op toestemming van de betrokkene of op een Unierechtelijke bepaling of een lidstaatrechtelijke bepaling die in een democratische samenleving een noodzakelijke en evenredige maatregel vormt ter waarborging van de in artikel 23, lid 1, bedoelde doelstellingen houdt de verwerkingsverantwoordelijke bij de beoordeling van de vraag of de verwerking voor een ander doel verenigbaar is met het doel waarvoor de persoonsgegevens aanvankelijk zijn verzameld onder meer rekening met: a) ieder verband tussen de doeleinden waarvoor de persoonsgegevens zijn verzameld, en de doeleinden van de voorgenomen verdere verwerking; b) het kader waarin de persoonsgegevens zijn verzameld, met name wat de verhouding tussen de betrokkenen en de verwerkingsverantwoordelijke betreft; c) de aard van de persoonsgegevens, met name of bijzondere categorieën van persoonsgegevens worden verwerkt, overeenkomstig artikel 9, en of persoonsgegevens over strafrechtelijke veroordelingen en strafbare feiten worden verwerkt, overeenkomstig artikel 10; d) de mogelijke gevolgen van de voorgenomen verdere verwerking voor de betrokkenen; e) het bestaan van passende waarborgen, waaronder eventueel versleuteling of pseudonimisering. Passende overwegingen Overweging 39 - Beginselen Van GegevensverwerkingOverweging 40 - Rechtmatigheid Van GegevensverwerkingOverweging 41 - Rechtsgrondslag Of Wettelijke MaatregelenOverweging 42 - Bewijslast En Vereisten Voor ToestemmingOverweging 43 - Vrijelijk Gegeven ToestemmingOverweging 44 - Nakoming Van Een ContractOverweging 45 - Nakoming Van Wettelijke VerplichtingenOverweging 46 - Vitale Belangen Van De BetrokkeneOverweging 47 - Overheersend Gerechtvaardigd BelangOverweging 48 - Override Van Gerechtvaardigd Belang Binnen Groep Van OndernemingenOverweging 49 - Netwerk- En Informatiebeveiliging Als Doorslaggevend Gerechtvaardigd BelangOverweging 50 - Verdere Verwerking Van PersoonsgegevensOverweging 171 - Intrekking Van Richtlijn 95/46/Eg En Overgangsbepalingen Veelgestelde vragen over artikel 6 +Wat zijn de zes rechtsgronden voor verwerking volgens de AVG? Artikel 6 noemt zes rechtsgronden: toestemming, uitvoering van een overeenkomst, wettelijke verplichting, vitale belangen, taak van algemeen belang en gerechtvaardigd belang. Ten minste één moet van toepassing zijn opdat de verwerking rechtmatig is. +Heb ik altijd toestemming nodig om persoonsgegevens te verwerken? Nee. Toestemming is slechts één van de zes rechtsgronden. Verwerking kan ook rechtmatig zijn als zij noodzakelijk is voor een overeenkomst, een wettelijke verplichting, vitale belangen, een taak van algemeen belang of een gerechtvaardigd belang. +Wat is gerechtvaardigd belang volgens de AVG? Gerechtvaardigd belang is een rechtsgrond die verwerking toestaat wanneer een organisatie een werkelijk belang heeft dat niet zwaarder wordt overstemd door de rechten en vrijheden van de betrokkene. Een belangenafweging moet worden gedocumenteerd. Gerelateerde kernkwesties GDPR Toestemming GDPR Verwerking

1.   Wanneer de verwerking berust op toestemming, moet de verwerkingsverantwoordelijke kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens. 2.   Indien de betrokkene toestemming geeft in het kader van een schriftelijke verklaring die ook op andere aangelegenheden betrekking heeft, wordt het verzoek om toestemming in een begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal zodanig gepresenteerd dat een duidelijk onderscheid kan worden gemaakt met de andere aangelegenheden. Wanneer een gedeelte van een dergelijke verklaring een inbreuk vormt op deze verordening, is dit gedeelte niet bindend. 3.   De betrokkene heeft het recht zijn toestemming te allen tijde in te trekken. Het intrekken van de toestemming laat de rechtmatigheid van de verwerking op basis van de toestemming vóór de intrekking daarvan, onverlet. Alvorens de betrokkene zijn toestemming geeft, wordt hij daarvan in kennis gesteld. Het intrekken van de toestemming is even eenvoudig als het geven ervan. 4.   Bij de beoordeling van de vraag of de toestemming vrijelijk kan worden gegeven, wordt onder meer ten sterkste rekening gehouden met de vraag of voor de uitvoering van een overeenkomst, met inbegrip van een dienstenovereenkomst, toestemming vereist is voor een verwerking van persoonsgegevens die niet noodzakelijk is voor de uitvoering van die overeenkomst. Passende overwegingen Overweging 32 - Voorwaarden Voor ToestemmingOverweging 33 - Toestemming Voor Bepaalde Gebieden Van Wetenschappelijk OnderzoekOverweging 42 - Bewijslast En Vereisten Voor ToestemmingOverweging 43 - Vrijelijk Gegeven Toestemming Veelgestelde vragen over artikel 7 +Wat zijn de voorwaarden voor geldige toestemming volgens de AVG? Volgens artikel 7 moet toestemming vrij, specifiek, geïnformeerd en ondubbelzinnig zijn. De verantwoordelijke moet de toestemming kunnen aantonen en het verzoek moet duidelijk te onderscheiden zijn van andere aangelegenheden. +Kan toestemming worden ingetrokken volgens de AVG? Ja. Personen kunnen hun toestemming op elk moment intrekken, en intrekken moet even eenvoudig zijn als geven. De intrekking laat de rechtmatigheid van de eerdere verwerking onverlet. +Vereist de AVG bewijs van toestemming? Ja. De verantwoordelijke moet kunnen aantonen dat geldige toestemming is verkregen, wat betekent dat hij vastlegt wanneer en hoe elke persoon toestemming heeft gegeven. Gerelateerde kernkwesties GDPR E-mailmarketing GDPR Recht om geïnformeerd te worden

1.   Wanneer artikel 6, lid 1, punt a), van toepassing is in verband met een rechtstreeks aanbod van diensten van de informatiemaatschappij aan een kind, is de verwerking van persoonsgegevens van een kind rechtmatig wanneer het kind ten minste 16 jaar is. Wanneer het kind jonger is dan 16 jaar is zulke verwerking slechts rechtmatig indien en voor zover de toestemming of machtiging tot toestemming in dit verband wordt verleend door de persoon die de ouderlijke verantwoordelijkheid voor het kind draagt. De lidstaten kunnen dienaangaande bij wet voorzien in een lagere leeftijd, op voorwaarde dat die leeftijd niet onder 13 jaar ligt. 2.   Met inachtneming van de beschikbare technologie doet de verwerkingsverantwoordelijke redelijke inspanningen om in dergelijke gevallen te controleren of de persoon die de ouderlijke verantwoordelijkheid voor het kind draagt, toestemming heeft gegeven of machtiging tot toestemming heeft verleend. 3.   Lid 1 laat het algemene overeenkomstenrecht van de lidstaten, zoals de regels inzake de geldigheid, de totstandkoming of de gevolgen van overeenkomsten ten opzichte van kinderen, onverlet. Passende overwegingen Overweging 38 - Bijzondere Bescherming Van Persoonsgegevens Van Kinderen Veelgestelde vragen over artikel 8 +Vanaf welke leeftijd kan een kind toestemming geven voor verwerking volgens de AVG? Volgens artikel 8 kunnen kinderen vanaf 16 jaar toestemming geven voor onlinediensten, al kunnen lidstaten die leeftijd verlagen tot niet onder de 13 jaar. Daaronder is toestemming van de ouders vereist. +Hebben onlinediensten ouderlijke toestemming nodig voor kinderen? Ja. Wanneer een onlinedienst rechtstreeks wordt aangeboden aan een kind onder de toepasselijke leeftijd, moet de verantwoordelijke toestemming verkrijgen van de drager van de ouderlijke verantwoordelijkheid en zich redelijk inspannen om dit te verifiëren. +Geldt artikel 8 voor elke verwerking van gegevens van kinderen? Nee. Artikel 8 betreft specifiek op toestemming gebaseerde onlinediensten die rechtstreeks aan kinderen worden aangeboden. Daarbuiten blijven andere rechtsgronden en waarborgen voor gegevens van kinderen gelden. Gerelateerde kernkwesties GDPR Privacy by Design GDPR Recht om geïnformeerd te worden

1.   Verwerking van persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid zijn verboden. 2.   Lid 1 is niet van toepassing wanneer aan een van de onderstaande voorwaarden is voldaan: a) de betrokkene heeft uitdrukkelijke toestemming gegeven voor de verwerking van die persoonsgegevens voor een of meer welbepaalde doeleinden, behalve indien in Unierecht of lidstatelijk recht is bepaald dat het in lid 1 genoemde verbod niet door de betrokkene kan worden opgeheven; b) de verwerking is noodzakelijk met het oog op de uitvoering van verplichtingen en de uitoefening van specifieke rechten van de verwerkingsverantwoordelijke of de betrokkene op het gebied van het arbeidsrecht en het socialezekerheids- en socialebeschermingsrecht, voor zover zulks is toegestaan bij Unierecht of lidstatelijk recht of bij een collectieve overeenkomst op grond van lidstatelijk recht die passende waarborgen voor de grondrechten en de fundamentele belangen van de betrokkene biedt; c) de verwerking is noodzakelijk ter bescherming van de vitale belangen van de betrokkene of van een andere natuurlijke persoon indien de betrokkene fysiek of juridisch niet in staat is zijn toestemming te geven; d) de verwerking wordt verricht door een stichting, een vereniging of een andere instantie zonder winstoogmerk die op politiek, levensbeschouwelijk, godsdienstig of vakbondsgebied werkzaam is, in het kader van haar gerechtvaardigde activiteiten en met passende waarborgen, mits de verwerking uitsluitend betrekking heeft op de leden of de voormalige leden van de instantie of op personen die in verband met haar doeleinden regelmatig contact met haar onderhouden, en de persoonsgegevens niet zonder de toestemming van de betrokkenen buiten die instantie worden verstrekt; e) de verwerking heeft betrekking op persoonsgegevens die kennelijk door de betrokkene openbaar zijn gemaakt; f) de verwerking is noodzakelijk voor de instelling, uitoefening of onderbouwing van een rechtsvordering of wanneer gerechten handelen in het kader van hun rechtsbevoegdheid; g) de verwerking is noodzakelijk om redenen van zwaarwegend algemeen belang, op grond van Unierecht of lidstatelijk recht, waarbij de evenredigheid met het nagestreefde doel wordt gewaarborgd, de wezenlijke inhoud van het recht op bescherming van persoonsgegevens wordt geëerbiedigd en passende en specifieke maatregelen worden getroffen ter bescherming van de grondrechten en de fundamentele belangen van de betrokkene; h) de verwerking is noodzakelijk voor doeleinden van preventieve of arbeidsgeneeskunde, voor de beoordeling van de arbeidsgeschiktheid van de werknemer, medische diagnosen, het verstrekken van gezondheidszorg of sociale diensten of behandelingen dan wel het beheren van gezondheidszorgstelsels en -diensten of sociale stelsels en diensten, op grond van Unierecht of lidstatelijk recht, of uit hoofde van een overeenkomst met een gezondheidswerker en behoudens de in lid 3 genoemde voorwaarden en waarborgen; i) de verwerking is noodzakelijk om redenen van algemeen belang op het gebied van de volksgezondheid, zoals bescherming tegen ernstige grensoverschrijdende gevaren voor de gezondheid of het waarborgen van hoge normen inzake kwaliteit en veiligheid van de gezondheidszorg en van geneesmiddelen of medische hulpmiddelen, op grond van Unierecht of lidstatelijk recht waarin passende en specifieke maatregelen zijn opgenomen ter bescherming van de rechten en vrijheden van de betrokkene, met name van het beroepsgeheim; j) de verwerking is noodzakelijk met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden overeenkomstig artikel 89, lid 1, op grond van Unierecht of lidstatelijk recht, waarbij de evenredigheid met het nagestreefde doel wordt gewaarborgd, de wezenlijke inhoud van het recht op bescherming van persoonsgegevens wordt geëerbiedigd en passende en specifieke maatregelen worden getroffen ter bescherming van de grondrechten en de belangen van de betrokkene. 3.   De in lid 1 bedoelde persoonsgegevens mogen worden verwerkt voor de in lid 2, punt h), genoemde doeleinden wanneer die gegevens worden verwerkt door of onder de verantwoordelijkheid van een beroepsbeoefenaar die krachtens Unierecht of lidstatelijk recht of krachtens door nationale bevoegde instanties vastgestelde regels aan het beroepsgeheim is gebonden, of door een andere persoon die eveneens krachtens Unierecht of lidstatelijk recht of krachtens door nationale bevoegde instanties vastgestelde regels tot geheimhouding is gehouden. 4.   De lidstaten kunnen bijkomende voorwaarden, waaronder beperkingen, met betrekking tot de verwerking van genetische gegevens, biometrische gegevens of gegevens over gezondheid handhaven of invoeren. Passende overwegingen Overweging 46 - Vitale Belangen Van De BetrokkeneOverweging 51 - Bescherming Van Gevoelige PersoonsgegevensOverweging 52 - Uitzonderingen Op Het Verbod Op De Verwerking Van Bijzondere Categorieën Van PersoonsgegevensOverweging 53 - Verwerking Van Gevoelige Gegevens In De Gezondheids- En Sociale SectorOverweging 54 - Verwerking Van Gevoelige Gegevens In De Publieke GezondheidssectorOverweging 55 - Algemeen Belang Bij Verwerking Door Officiële Autoriteiten Voor Doelstellingen Van Erkende Religieuze GemeenschappenOverweging 56 - Verwerking Van Persoonsgegevens Over De Politieke Opvattingen Van Mensen Door Partijen Veelgestelde vragen over artikel 9 +Wat zijn bijzondere categorieën van persoonsgegevens volgens de AVG? Hieronder vallen gegevens over ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, vakbondslidmaatschap, genetische en biometrische gegevens, gezondheidsgegevens en gegevens over seksueel gedrag of geaardheid. +Is het verwerken van gevoelige gegevens verboden volgens de AVG? Het verwerken van bijzondere categorieën is in beginsel verboden, maar artikel 9 voorziet in uitzonderingen zoals uitdrukkelijke toestemming, arbeidsrechtelijke verplichtingen, vitale belangen en zwaarwegend algemeen belang. +Welke voorwaarden staan het verwerken van gezondheidsgegevens toe? Gezondheidsgegevens mogen worden verwerkt bij uitdrukkelijke toestemming, voor medische zorg of diagnose, in het belang van de volksgezondheid of onder andere voorwaarden van artikel 9, meestal samen met een rechtsgrond uit artikel 6. Gerelateerde kernkwesties Functionaris voor gegevensbescherming – AVG GDPR Versleuteling

Persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen mogen op grond van artikel 6, lid 1, alleen worden verwerkt onder toezicht van de overheid of indien de verwerking is toegestaan bij Unierechtelijke of lidstaatrechtelijke bepalingen die passende waarborgen voor de rechten en vrijheden van de betrokkenen bieden. Omvattende registers van strafrechtelijke veroordelingen mogen alleen worden bijgehouden onder toezicht van de overheid. Passende overwegingen Overweging 50 - Verdere Verwerking Van Persoonsgegevens Veelgestelde vragen over artikel 10 +Mogen bedrijven gegevens over strafrechtelijke veroordelingen verwerken volgens de AVG? Artikel 10 beperkt de verwerking van gegevens over veroordelingen en strafbare feiten. Dit is alleen toegestaan onder toezicht van de overheid of wanneer het Unierecht of het lidstatelijke recht het met passende waarborgen toestaat. +Zijn strafrechtelijke gegevens een bijzondere categorie volgens de AVG? Gegevens over veroordelingen zijn technisch gezien geen bijzondere categorie uit artikel 9, maar krijgen onder artikel 10 een vergelijkbare verhoogde bescherming en vereisen een specifieke wettelijke grondslag. +Mogen werkgevers antecedenten controleren volgens de AVG? Alleen als het nationale recht dit toestaat en er passende waarborgen zijn. Werkgevers mogen strafrechtelijke gegevens niet vrij verwerken en hebben een door artikel 10 toegestane grondslag nodig. Gerelateerde kernkwesties GDPR Privacy Impact Assessment GDPR Registers van Verwerkingsactiviteiten

1.   Indien de doeleinden waarvoor een verwerkingsverantwoordelijke persoonsgegevens verwerkt, niet of niet meer vereisen dat hij een betrokkene identificeert, is hij niet verplicht om, uitsluitend om aan deze verordening te voldoen, aanvullende gegevens ter identificatie van de betrokkene bij te houden, te verkrijgen of te verwerken. 2.   Wanneer de verwerkingsverantwoordelijke in de in lid 1 van dit artikel bedoelde gevallen kan aantonen dat hij de betrokkene niet kan identificeren, stelt hij de betrokkene daarvan indien mogelijk in kennis. In dergelijke gevallen zijn de artikelen 15 tot en met 20 niet van toepassing, behalve wanneer de betrokkene, met het oog op de uitoefening van zijn rechten uit hoofde van die artikelen, aanvullende gegevens verstrekt die het mogelijk maken hem te identificeren. Passende overwegingen Overweging 57 - Aanvullende Gegevens Voor Identificatiedoeleinden Veelgestelde vragen over artikel 11 +Wat zegt artikel 11 AVG over identificatie? Artikel 11 verduidelijkt dat verantwoordelijken niet verplicht zijn aanvullende informatie te bewaren, te verkrijgen of te verwerken louter om een betrokkene te identificeren met als enig doel de AVG na te leven. +Gelden de rechten van betrokkenen als de verantwoordelijke de persoon niet kan identificeren? Als de verantwoordelijke de persoon niet kan identificeren, kunnen bepaalde rechten zoals inzage, rectificatie en wissing niet van toepassing zijn, tenzij de persoon aanvullende informatie verstrekt die identificatie mogelijk maakt. +Bevordert artikel 11 minimale gegevensverwerking? Ja. Artikel 11 ondersteunt minimalisatie door te bevestigen dat organisaties geen extra identificerende gegevens moeten verzamelen louter om aan verplichtingen te voldoen wanneer de verwerking dat niet vereist. Gerelateerde kernkwesties GDPR Recht van toegang GDPR Recht om vergeten te worden

1.   De verwerkingsverantwoordelijke neemt passende maatregelen opdat de betrokkene de in de artikelen 13 en 14 bedoelde informatie en de in de artikelen 15 tot en met 22 en artikel 34 bedoelde communicatie in verband met de verwerking in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt, in het bijzonder wanneer de informatie specifiek voor een kind bestemd is. De informatie wordt schriftelijk of met andere middelen, met inbegrip van, indien dit passend is, elektronische middelen, verstrekt. Indien de betrokkene daarom verzoekt, kan de informatie mondeling worden meegedeeld, op voorwaarde dat de identiteit van de betrokkene met andere middelen bewezen is. 2.   De verwerkingsverantwoordelijke faciliteert de uitoefening van de rechten van de betrokkene uit hoofde van de artikelen 15 tot en met 22. In de in artikel 11, lid 2, bedoelde gevallen mag de verwerkingsverantwoordelijke niet weigeren gevolg te geven aan het verzoek van de betrokkene om diens rechten uit hoofde van de artikelen 15 tot en met 22 uit te oefenen, tenzij de verwerkingsverantwoordelijke aantoont dat hij niet in staat is de betrokkene te identificeren. 3.   De verwerkingsverantwoordelijke verstrekt de betrokkene onverwijld en in ieder geval binnen een maand na ontvangst van het verzoek krachtens de artikelen 15 tot en met 22 informatie over het gevolg dat aan het verzoek is gegeven. Afhankelijk van de complexiteit van de verzoeken en van het aantal verzoeken kan die termijn indien nodig met nog eens twee maanden worden verlengd. De verwerkingsverantwoordelijke stelt de betrokkene binnen één maand na ontvangst van het verzoek in kennis van een dergelijke verlenging. Wanneer de betrokkene zijn verzoek elektronisch indient, wordt de informatie indien mogelijk elektronisch verstrekt, tenzij de betrokkene anderszins verzoekt. 4.   Wanneer de verwerkingsverantwoordelijke geen gevolg geeft aan het verzoek van de betrokkene, deelt hij deze laatste onverwijld en uiterlijk binnen één maand na ontvangst van het verzoek mee waarom het verzoek zonder gevolg is gebleven, en informeert hij hem over de mogelijkheid om klacht in te dienen bij een toezichthoudende autoriteit en beroep bij de rechter in te stellen. 5.   Het verstrekken van de in de artikelen 13 en 14 bedoelde informatie, en het verstrekken van de communicatie en het treffen van de maatregelen bedoeld in de artikelen 15 tot en met 22 en artikel 34 geschieden kosteloos. Wanneer verzoeken van een betrokkene kennelijk ongegrond of buitensporig zijn, met name vanwege hun repetitieve karakter, mag de verwerkingsverantwoordelijke ofwel: a) een redelijke vergoeding aanrekenen in het licht van de administratieve kosten waarmee het verstrekken van de gevraagde informatie of communicatie en het treffen van de gevraagde maatregelen gepaard gaan; ofwel b) weigeren gevolg te geven aan het verzoek. Het is aan de verwerkingsverantwoordelijke om de kennelijk ongegronde of buitensporige aard van het verzoek aan te tonen. 6.   Onverminderd artikel 11 kan de verwerkingsverantwoordelijke, wanneer hij redenen heeft om te twijfelen aan de identiteit van de natuurlijke persoon die het verzoek indient als bedoeld in de artikelen 15 tot en met 21, om aanvullende informatie vragen die nodig is ter bevestiging van de identiteit van de betrokkene. 7.   De krachtens de artikelen 13 en 14 aan betrokkenen te verstrekken informatie mag worden verstrekt met gebruikmaking van gestandaardiseerde iconen, om de betrokkene een nuttig overzicht, in een goed zichtbare, begrijpelijke en duidelijk leesbare vorm, van de voorgenomen verwerking te bieden. Wanneer de iconen elektronisch worden weergegeven, zijn ze machineleesbaar. 8.   De Commissie is bevoegd overeenkomstig artikel 92 gedelegeerde handelingen vast te stellen om te bepalen welke informatie de iconen dienen weer te geven en via welke procedures de gestandaardiseerde iconen tot stand dienen te komen. Passende overwegingen Overweging 38 - Bijzondere Bescherming Van Persoonsgegevens Van KinderenOverweging 58 - Het TransparantiebeginselOverweging 59 - Procedures Voor De Uitoefening Van De Rechten Van De BetrokkenenOverweging 60 - InformatieplichtOverweging 73 - Beperkingen Van Rechten En Principes Veelgestelde vragen over artikel 12 +Hoe snel moet een bedrijf reageren op een verzoek van een betrokkene? Volgens artikel 12 moeten verantwoordelijken zonder onredelijke vertraging en binnen één maand reageren. Deze termijn kan met twee maanden worden verlengd bij complexe of talrijke verzoeken. +Mag een bedrijf kosten in rekening brengen voor het behandelen van een verzoek van een betrokkene? Verzoeken zijn in beginsel kosteloos. Een redelijke vergoeding mag alleen worden gevraagd, of het verzoek geweigerd, wanneer het kennelijk ongegrond of buitensporig is, met name bij herhaling. +Hoe moet privacyinformatie worden gepresenteerd volgens de AVG? De informatie moet beknopt, transparant, begrijpelijk en gemakkelijk toegankelijk zijn, in duidelijke en eenvoudige taal. Dit is vooral belangrijk wanneer de informatie aan kinderen is gericht. Gerelateerde kernkwesties GDPR Recht om geïnformeerd te worden GDPR Recht van toegang GDPR Recht om vergeten te worden

1.   Wanneer persoonsgegevens betreffende een betrokkene bij die persoon worden verzameld, verstrekt de verwerkingsverantwoordelijke de betrokkene bij de verkrijging van de persoonsgegevens al de volgende informatie: a) de identiteit en de contactgegevens van de verwerkingsverantwoordelijke en, in voorkomend geval, van de vertegenwoordiger van de verwerkingsverantwoordelijke; b) in voorkomend geval, de contactgegevens van de functionaris voor gegevensbescherming; c) de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd, alsook de rechtsgrond voor de verwerking; d) de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, indien de verwerking op artikel 6, lid 1, punt f), is gebaseerd; d) in voorkomend geval, de ontvangers of categorieën van ontvangers van de persoonsgegevens; e) in voorkomend geval, dat de verwerkingsverantwoordelijke het voornemen heeft de persoonsgegevens door te geven aan een derde land of een internationale organisatie; of er al dan niet een adequaatheidsbesluit van de Commissie bestaat; of, in het geval van in artikel 46, artikel 47 of artikel 49, lid 1, tweede alinea, bedoelde doorgiften, welke de passende of geschikte waarborgen zijn, hoe er een kopie van kan worden verkregen of waar ze kunnen worden geraadpleegd. 2.   Naast de in lid 1 bedoelde informatie verstrekt de verwerkingsverantwoordelijke de betrokkene bij de verkrijging van de persoonsgegevens de volgende aanvullende informatie om een behoorlijke en transparante verwerking te waarborgen: a) de periode gedurende welke de persoonsgegevens zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria ter bepaling van die termijn; b) dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken om inzage van en rectificatie of wissing van de persoonsgegevens of beperking van de hem betreffende verwerking, alsmede het recht tegen de verwerking bezwaar te maken en het recht op gegevensoverdraagbaarheid; c) wanneer de verwerking op artikel 6, lid 1, punt a), of artikel 9, lid 2, punt a), is gebaseerd, dat de betrokkene het recht heeft de toestemming te allen tijde in te trekken, zonder dat dit afbreuk doet aan de rechtmatigheid van de verwerking op basis van de toestemming vóór de intrekking daarvan; d) dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit; e) of de verstrekking van persoonsgegevens een wettelijke of contractuele verplichting is dan wel een noodzakelijke voorwaarde om een overeenkomst te sluiten, en of de betrokkene verplicht is de persoonsgegevens te verstrekken en wat de mogelijke gevolgen zijn wanneer deze gegevens niet worden verstrekt; f) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene. 3.   Wanneer de verwerkingsverantwoordelijke voornemens is de persoonsgegevens verder te verwerken voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld, verstrekt de verwerkingsverantwoordelijke de betrokkene vóór die verdere verwerking informatie over dat andere doel en alle relevante verdere informatie als bedoeld in lid 2. 4.   De leden 1, 2 en 3 zijn niet van toepassing wanneer en voor zover de betrokkene reeds over de informatie beschikt. Passende overwegingen Overweging 60 - InformatieplichtOverweging 61 - Tijdstip Van InformatieOverweging 62 - Uitzonderingen Op De Informatieplicht Veelgestelde vragen over artikel 13 +Wat moet een privacyverklaring bevatten volgens artikel 13 AVG? Bij directe verzameling moet de verantwoordelijke zijn identiteit en contactgegevens vermelden, de doeleinden en de rechtsgrond van de verwerking, de ontvangers, de bewaartermijnen en de rechten van de betrokkene. +Wanneer moet privacyinformatie worden verstrekt? Volgens artikel 13 moet de informatie worden verstrekt op het moment dat de gegevens rechtstreeks bij de persoon worden verkregen, niet daarna. +Vereist artikel 13 vermelding van bewaartermijnen? Ja. De privacyverklaring moet de termijn vermelden waarvoor de gegevens worden bewaard of, als dat niet mogelijk is, de criteria om die termijn te bepalen. Gerelateerde kernkwesties GDPR Recht van toegang GDPR Derde Landen

1.   Wanneer persoonsgegevens niet van de betrokkene zijn verkregen, verstrekt de verwerkingsverantwoordelijke de betrokkene de volgende informatie: a) de identiteit en de contactgegevens van de verwerkingsverantwoordelijke en, in voorkomend geval, van de vertegenwoordiger van de verwerkingsverantwoordelijke; b) in voorkomend geval, de contactgegevens van de functionaris voor gegevensbescherming; c) de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd, en de rechtsgrond voor de verwerking; d) de betrokken categorieën van persoonsgegevens; e) in voorkomend geval, de ontvangers of categorieën van ontvangers van de persoonsgegevens; f) in voorkomend geval, dat de verwerkingsverantwoordelijke het voornemen heeft de persoonsgegevens door te geven aan een ontvanger in een derde land of aan een internationale organisatie; of er al dan niet een adequaatheidsbesluit van de Commissie bestaat; of, in het geval van de in artikel 46, artikel 47 of artikel 49, lid 1, tweede alinea, bedoelde doorgiften, welke de passende of geschikte waarborgen zijn, hoe er een kopie van kan worden verkregen of waar ze kunnen worden geraadpleegd. 2.   Naast de in lid 1 bedoelde informatie verstrekt de verwerkingsverantwoordelijke de betrokkene de volgende informatie om ten overstaan van de betrokkene een behoorlijke en transparante verwerking te waarborgen: a) de periode gedurende welke de persoonsgegevens zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen; b) de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, indien de verwerking op artikel 6, lid 1, punt f), is gebaseerd; c) dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken om inzage van en rectificatie of wissing van persoonsgegevens of om beperking van de hem betreffende verwerking, alsmede het recht tegen verwerking van bezwaar te maken en het recht op gegevensoverdraagbaarheid; d) wanneer verwerking op artikel 6, lid 1, punt a) of artikel 9, lid 2, punt a), is gebaseerd, dat de betrokkene het recht heeft de toestemming te allen tijde in te trekken, zonder dat dit afbreuk doet aan de rechtmatigheid van de verwerking op basis van de toestemming vóór de intrekking daarvan; e) dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit; f) de bron waar de persoonsgegevens vandaan komen, en in voorkomend geval, of zij afkomstig zijn van openbare bronnen; g) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene. 3.   De verwerkingsverantwoordelijke verstrekt de in de leden 1 en 2 bedoelde informatie: a) binnen een redelijke termijn, maar uiterlijk binnen één maand na de verkrijging van de persoonsgegevens, afhankelijk van de concrete omstandigheden waarin de persoonsgegevens worden verwerkt; b) indien de persoonsgegevens zullen worden gebruikt voor communicatie met de betrokkene, uiterlijk op het moment van het eerste contact met de betrokkene; of c) indien verstrekking van de gegevens aan een andere ontvanger wordt overwogen, uiterlijk op het tijdstip waarop de persoonsgegevens voor het eerst worden verstrekt. 4.   Wanneer de verwerkingsverantwoordelijke voornemens is de persoonsgegevens verder te verwerken voor een ander doel dan dat waarvoor de persoonsgegevens zijn verkregen, verstrekt de verwerkingsverantwoordelijke de betrokkene vóór die verdere verwerking informatie over dat andere doel en alle relevante verdere informatie als bedoeld in lid 2. 5.   De leden 1 tot en met 4 zijn niet van toepassing wanneer en voor zover: a) de betrokkene reeds over de informatie beschikt; b) het verstrekken van die informatie onmogelijk blijkt of onevenredig veel inspanning zou vergen, in het bijzonder bij verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden, behoudens de in artikel 89, lid 1, bedoelde voorwaarden en waarborgen, of voor zover de in lid 1 van dit artikel bedoelde verplichting de verwezenlijking van de doeleinden van die verwerking onmogelijk dreigt te maken of ernstig in het gedrang dreigt te brengen. In dergelijke gevallen neemt de verwerkingsverantwoordelijke passende maatregelen om de rechten, de vrijheden en de gerechtvaardigde belangen van de betrokkene te beschermen, waaronder het openbaar maken van de informatie; c) het verkrijgen of verstrekken van de gegevens uitdrukkelijk is voorgeschreven bij Unie- of lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is en dat recht voorziet in passende maatregelen om de gerechtvaardigde belangen van de betrokkene te beschermen; of d) de persoonsgegevens vertrouwelijk moeten blijven uit hoofde van een beroepsgeheim in het kader van Unierecht of lidstatelijke recht, waaronder een statutaire geheimhoudingsplicht. Passende overwegingen Overweging 60 - InformatieplichtOverweging 61 - Tijdstip Van InformatieOverweging 62 - Uitzonderingen Op De Informatieplicht Veelgestelde vragen over artikel 14 +Welke informatie moet worden gegeven wanneer gegevens indirect zijn verkregen? Artikel 14 vereist informatie vergelijkbaar met artikel 13, plus de categorieën van gegevens en hun bron, wanneer gegevens bij een derde en niet bij de persoon zelf zijn verzameld. +Wanneer moeten personen worden geïnformeerd als hun gegevens uit een andere bron komen? De informatie moet binnen een redelijke termijn en uiterlijk binnen één maand worden verstrekt, of bij het eerste contact met de persoon als dat eerder is. +Zijn er uitzonderingen op de informatieplicht van artikel 14? Ja. Geen informatie is vereist als de persoon er al over beschikt, als het onmogelijk is of een onevenredige inspanning vergt, of als de verkrijging wettelijk is geregeld met waarborgen. Gerelateerde kernkwesties GDPR Toestemming GDPR Derde Landen

1.   De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de volgende informatie: a) de verwerkingsdoeleinden; b) de betrokken categorieën van persoonsgegevens; c) de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties; d) indien mogelijk, de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen; e) dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken dat persoonsgegevens worden gerectificeerd of gewist, of dat de verwerking van hem betreffende persoonsgegevens wordt beperkt, alsmede het recht tegen die verwerking bezwaar te maken; f) dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit; g) wanneer de persoonsgegevens niet bij de betrokkene worden verzameld, alle beschikbare informatie over de bron van die gegevens; h) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene. 2.   Wanneer persoonsgegevens worden doorgegeven aan een derde land of een internationale organisatie, heeft de betrokkene het recht in kennis te worden gesteld van de passende waarborgen overeenkomstig artikel 46 inzake de doorgifte. 3.   De verwerkingsverantwoordelijke verstrekt de betrokkene een kopie van de persoonsgegevens die worden verwerkt. Indien de betrokkene om bijkomende kopieën verzoekt, kan de verwerkingsverantwoordelijke op basis van de administratieve kosten een redelijke vergoeding aanrekenen. Wanneer de betrokkene zijn verzoek elektronisch indient, en niet om een andere regeling verzoekt, wordt de informatie in een gangbare elektronische vorm verstrekt. 4.   Het in lid 3 bedoelde recht om een kopie te verkrijgen, doet geen afbreuk aan de rechten en vrijheden van anderen. Passende overwegingen Overweging 63 - Recht Van ToegangOverweging 64 - Identiteitsverificatie Veelgestelde vragen over artikel 15 +Wat is het recht van inzage volgens de AVG? Artikel 15 geeft personen het recht te bevestigen of hun gegevens worden verwerkt en een kopie ervan te verkrijgen, samen met informatie over de doeleinden, de ontvangers en de bewaartermijn. +Is een inzageverzoek kosteloos volgens de AVG? Ja. De eerste kopie van de persoonsgegevens moet kosteloos worden verstrekt. Voor extra kopieën of buitensporige verzoeken mag een redelijke vergoeding op basis van administratieve kosten worden gevraagd. +Wat is een inzageverzoek? Een inzageverzoek is wanneer een persoon zijn recht uit artikel 15 uitoefent om toegang te krijgen tot de gegevens die een organisatie over hem heeft. De organisatie moet doorgaans binnen één maand reageren. Gerelateerde kernkwesties GDPR Recht van toegang GDPR Registers van Verwerkingsactiviteiten

De betrokkene heeft het recht om van de verwerkingsverantwoordelijke onverwijld rectificatie van hem betreffende onjuiste persoonsgegevens te verkrijgen. Met inachtneming van de doeleinden van de verwerking heeft de betrokkene het recht vervollediging van onvolledige persoonsgegevens te verkrijgen, onder meer door een aanvullende verklaring te verstrekken. Passende overwegingen Overweging 65 - Recht Op Rectificatie En Wissing Veelgestelde vragen over artikel 16 +Wat is het recht op rectificatie volgens de AVG? Artikel 16 geeft personen het recht om onjuiste persoonsgegevens te laten corrigeren en onvolledige gegevens te laten aanvullen, ook door middel van een aanvullende verklaring. +Hoeveel tijd heeft een bedrijf om onjuiste gegevens te corrigeren? Rectificatieverzoeken volgen de termijn van artikel 12, dus de verantwoordelijke moet zonder onredelijke vertraging en binnen één maand na ontvangst van het verzoek handelen. +Moeten derden worden geïnformeerd wanneer gegevens worden gecorrigeerd? Ja. Volgens artikel 19 moet de verantwoordelijke elke rectificatie meedelen aan de ontvangers aan wie de gegevens zijn verstrekt, tenzij dit onmogelijk blijkt of een onevenredige inspanning vergt. Gerelateerde kernkwesties GDPR Registers van Verwerkingsactiviteiten GDPR Privacy by Design

1.   De betrokkene heeft het recht van de verwerkingsverantwoordelijke zonder onredelijke vertraging wissing van hem betreffende persoonsgegevens te verkrijgen en de verwerkingsverantwoordelijke is verplicht persoonsgegevens zonder onredelijke vertraging te wissen wanneer een van de volgende gevallen van toepassing is: a) de persoonsgegevens zijn niet langer nodig voor de doeleinden waarvoor zij zijn verzameld of anderszins verwerkt; b) de betrokkene trekt de toestemming waarop de verwerking overeenkomstig artikel 6, lid 1, punt a), of artikel 9, lid 2, punt a), berust, in, en er is geen andere rechtsgrond voor de verwerking; c) de betrokkene maakt overeenkomstig artikel 21, lid 1, bezwaar tegen de verwerking, en er zijn geen prevalerende dwingende gerechtvaardigde gronden voor de verwerking, of de betrokkene maakt bezwaar tegen de verwerking overeenkomstig artikel 21, lid 2; d) de persoonsgegevens zijn onrechtmatig verwerkt; e) de persoonsgegevens moeten worden gewist om te voldoen aan een in het Unierecht of het lidstatelijke recht neergelegde wettelijke verplichting die op de verwerkingsverantwoordelijke rust; f) de persoonsgegevens zijn verzameld in verband met een aanbod van diensten van de informatiemaatschappij als bedoeld in artikel 8, lid 1. 2.   Wanneer de verwerkingsverantwoordelijke de persoonsgegevens openbaar heeft gemaakt en overeenkomstig lid 1 verplicht is de persoonsgegevens te wissen, neemt hij, rekening houdend met de beschikbare technologie en de uitvoeringskosten, redelijke maatregelen, waaronder technische maatregelen, om verwerkingsverantwoordelijken die de persoonsgegevens verwerken, ervan op de hoogte te stellen dat de betrokkene de verwerkingsverantwoordelijken heeft verzocht om iedere koppeling naar, of kopie of reproductie van die persoonsgegevens te wissen. 3.   De leden 1 en 2 zijn niet van toepassing voor zover verwerking nodig is: a) voor het uitoefenen van het recht op vrijheid van meningsuiting en informatie; b) voor het nakomen van een in een het Unierecht of het lidstatelijke recht neergelegde wettelijke verwerkingsverplichting die op de verwerkingsverantwoordelijke rust, of voor het vervullen van een taak van algemeen belang of het uitoefenen van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend; c) om redenen van algemeen belang op het gebied van volksgezondheid overeenkomstig artikel 9, lid 2, punten h) en i), en artikel 9, lid 3; d) met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden overeenkomstig artikel 89, lid 1, voor zover het in lid 1 bedoelde recht de verwezenlijking van de doeleinden van die verwerking onmogelijk dreigt te maken of ernstig in het gedrang dreigt te brengen; e) voor de instelling, uitoefening of onderbouwing van een rechtsvordering. Passende overwegingen Overweging 65 - Recht Op Rectificatie En WissingOverweging 66 - Recht Om Vergeten Te Worden Veelgestelde vragen over artikel 17 +Wat is het recht op vergetelheid volgens de AVG? Artikel 17 geeft personen het recht om hun gegevens te laten wissen in bepaalde omstandigheden, bijvoorbeeld wanneer de gegevens niet langer nodig zijn, de toestemming wordt ingetrokken of de verwerking onrechtmatig was. +Is het recht op wissing absoluut volgens de AVG? Nee. Wissing kan worden geweigerd wanneer de verwerking noodzakelijk is voor de vrijheid van meningsuiting, wettelijke verplichtingen, volksgezondheid, archivering in het algemeen belang of de instelling van rechtsvorderingen. +Wanneer mag een bedrijf een verwijderingsverzoek weigeren? Een verantwoordelijke mag wissing weigeren wanneer hij nog een geldige rechtsgrond of verplichting heeft om de gegevens te bewaren, bijvoorbeeld om de wet na te leven of rechtsvorderingen te verdedigen. Gerelateerde kernkwesties GDPR Recht om vergeten te worden GDPR Toestemming GDPR E-mailmarketing

1.   De betrokkene heeft het recht van de verwerkingsverantwoordelijke de beperking van de verwerking te verkrijgen indien een van de volgende elementen van toepassing is: a) de juistheid van de persoonsgegevens wordt betwist door de betrokkene, gedurende een periode die de verwerkingsverantwoordelijke in staat stelt de juistheid van de persoonsgegevens te controleren; b) de verwerking is onrechtmatig en de betrokkene verzet zich tegen het wissen van de persoonsgegevens en verzoekt in de plaats daarvan om beperking van het gebruik ervan; c) de verwerkingsverantwoordelijke heeft de persoonsgegevens niet meer nodig voor de verwerkingsdoeleinden, maar de betrokkene heeft deze nodig voor de instelling, uitoefening of onderbouwing van een rechtsvordering; d) de betrokkene heeft overeenkomstig artikel 21, lid 1, bezwaar gemaakt tegen de verwerking, in afwachting van het antwoord op de vraag of de gerechtvaardigde gronden van de verwerkingsverantwoordelijke zwaarder wegen dan die van de betrokkene. 2.   Wanneer de verwerking op grond van lid 1 is beperkt, worden persoonsgegevens, met uitzondering van de opslag ervan, slechts verwerkt met toestemming van de betrokkene of voor de instelling, uitoefening of onderbouwing van een rechtsvordering of ter bescherming van de rechten van een andere natuurlijke persoon of rechtspersoon of om gewichtige redenen van algemeen belang voor de Unie of voor een lidstaat. 3.   Een betrokkene die overeenkomstig lid 1 een beperking van de verwerking heeft verkregen, wordt door de verwerkingsverantwoordelijke op de hoogte gebracht voordat de beperking van de verwerking wordt opgeheven. Passende overwegingen Overweging 67 - Beperking Van Verwerking Veelgestelde vragen over artikel 18 +Wat is het recht op beperking van de verwerking volgens de AVG? Artikel 18 staat personen toe het gebruik van hun gegevens in bepaalde situaties te beperken, bijvoorbeeld terwijl de juistheid wordt betwist of wanneer de verwerking onrechtmatig is maar de persoon beperking verkiest boven wissing. +Wat betekent het beperken van de verwerking concreet? Bij beperkte verwerking mogen de gegevens worden opgeslagen maar niet anderszins worden gebruikt, behalve met toestemming, voor rechtsvorderingen, ter bescherming van een ander of om gewichtige redenen van algemeen belang. +Wanneer kan een betrokkene beperking vragen in plaats van wissing? Beperking kan worden gevraagd wanneer de juistheid wordt betwist, de verwerking onrechtmatig is, de gegevens niet langer nodig zijn maar wel voor rechtsvorderingen, of een bezwaar in afwachting van verificatie is. Gerelateerde kernkwesties GDPR Registers van Verwerkingsactiviteiten GDPR Recht van toegang

De verwerkingsverantwoordelijke stelt iedere ontvanger aan wie persoonsgegevens zijn verstrekt, in kennis van elke rectificatie of wissing van persoonsgegevens of beperking van de verwerking overeenkomstig artikel 16, artikel 17, lid 1, en artikel 18, tenzij dit onmogelijk blijkt of onevenredig veel inspanning vergt. De verwerkingsverantwoordelijke verstrekt de betrokkene informatie over deze ontvangers indien de betrokkene hierom verzoekt. Passende overwegingen Overweging 66 - Recht Om Vergeten Te Worden Veelgestelde vragen over artikel 19 +Wat vereist artikel 19 AVG? Artikel 19 verplicht verantwoordelijken om elke ontvanger van de gegevens in kennis te stellen van elke rectificatie, wissing of beperking van de verwerking, tenzij dit onmogelijk blijkt of een onevenredige inspanning vergt. +Moeten personen weten met wie hun gegevens zijn gedeeld? Ja. Als de persoon daarom verzoekt, moet de verantwoordelijke hem informeren over de ontvangers aan wie zijn persoonsgegevens zijn verstrekt. +Waarom is artikel 19 belangrijk voor de juistheid van gegevens? Het zorgt ervoor dat correcties en wissingen worden doorgegeven aan alle partijen die de gegevens hebben ontvangen, zodat onjuiste of verouderde informatie niet elders bewaard blijft. Gerelateerde kernkwesties GDPR Registers van Verwerkingsactiviteiten GDPR Recht om geïnformeerd te worden

1.   De betrokkene heeft het recht de hem betreffende persoonsgegevens, die hij aan een verwerkingsverantwoordelijke heeft verstrekt, in een gestructureerde, gangbare en machineleesbare vorm te verkrijgen, en hij heeft het recht die gegevens aan een andere verwerkingsverantwoordelijke over te dragen, zonder daarbij te worden gehinderd door de verwerkingsverantwoordelijke aan wie de persoonsgegevens waren verstrekt, indien: a) de verwerking berust op toestemming uit hoofde van artikel 6, lid 1, punt a), of artikel 9, lid 2, punt a), of op een overeenkomst uit hoofde van artikel 6, lid 1, punt b); en b) de verwerking via geautomatiseerde procedés wordt verricht. 2.   Bij de uitoefening van zijn recht op gegevensoverdraagbaarheid uit hoofde van lid 1 heeft de betrokkene het recht dat de persoonsgegevens, indien dit technisch mogelijk is, rechtstreeks van de ene verwerkingsverantwoordelijke naar de andere worden doorgezonden. 3.   De uitoefening van het in lid 1 van dit artikel bedoelde recht laat artikel 17 onverlet. Dat recht geldt niet voor de verwerking die noodzakelijk is voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend. 4.   Het in lid 1 bedoelde recht doet geen afbreuk aan de rechten en vrijheden van anderen. Passende overwegingen Overweging 68 - Recht Op Gegevensoverdraagbaarheid Veelgestelde vragen over artikel 20 +Wat is het recht op gegevensoverdraagbaarheid volgens de AVG? Artikel 20 staat personen toe de gegevens die zij hebben verstrekt te ontvangen in een gestructureerd, gangbaar en machineleesbaar formaat en deze zonder belemmering aan een andere verantwoordelijke over te dragen. +Wanneer geldt het recht op gegevensoverdraagbaarheid? Het geldt alleen wanneer de verwerking berust op toestemming of een overeenkomst en geautomatiseerd plaatsvindt. Het omvat geen gegevens die op andere rechtsgronden worden verwerkt. +Kunnen personen hun gegevens rechtstreeks tussen aanbieders overdragen? Ja, voor zover technisch haalbaar. Artikel 20 geeft personen het recht hun gegevens rechtstreeks van de ene verantwoordelijke naar de andere te laten overdragen. Gerelateerde kernkwesties GDPR Privacy by Design GDPR Recht om geïnformeerd te worden

1.   De betrokkene heeft te allen tijde het recht om vanwege met zijn specifieke situatie verband houdende redenen bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens op basis van artikel 6, lid 1, onder e) of f), van artikel 6, lid 1, met inbegrip van profilering op basis van die bepalingen. De verwerkingsverantwoordelijke staakt de verwerking van de persoonsgegevens tenzij hij dwingende gerechtvaardigde gronden voor de verwerking aanvoert die zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkene of die verband houden met de instelling, uitoefening of onderbouwing van een rechtsvordering. 2.   Wanneer persoonsgegevens ten behoeve van direct marketing worden verwerkt, heeft de betrokkene te allen tijde het recht bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens voor dergelijke marketing, met inbegrip van profilering die betrekking heeft op direct marketing. 3.   Wanneer de betrokkene bezwaar maakt tegen verwerking ten behoeve van direct marketing, worden de persoonsgegevens niet meer voor deze doeleinden verwerkt. 4.   Het in de leden 1 en 2 bedoelde recht wordt uiterlijk op het moment van het eerste contact met de betrokkene uitdrukkelijk onder de aandacht van de betrokkene gebracht en duidelijk en gescheiden van enige andere informatie weergegeven. 5.   In het kader van het gebruik van diensten van de informatiemaatschappij, en niettegenstaande Richtlijn 2002/58/EG, mag de betrokkene zijn recht van bezwaar uitoefenen via geautomatiseerde procedés waarbij wordt gebruikgemaakt van technische specificaties. 6.   Wanneer persoonsgegevens overeenkomstig artikel 89, lid 1, met het oog op wetenschappelijk of historisch onderzoek of statistische doeleinden worden verwerkt, heeft de betrokkene het recht om met zijn specifieke situatie verband houdende redenen bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens, tenzij de verwerking noodzakelijk is voor de uitvoering van een taak van algemeen belang. Passende overwegingen Overweging 69 - Recht Van BezwaarOverweging 70 - Recht Op Bezwaar Tegen Direct Marketing Veelgestelde vragen over artikel 21 +Wat is het recht van bezwaar volgens de AVG? Artikel 21 geeft personen het recht bezwaar te maken tegen verwerking op grond van gerechtvaardigd belang of een taak van algemeen belang, en een absoluut recht om bezwaar te maken tegen verwerking voor direct marketing. +Kan ik een bedrijf verbieden mijn gegevens voor marketing te gebruiken? Ja. Volgens artikel 21 hebben personen een absoluut recht van bezwaar tegen direct marketing, en de verantwoordelijke moet de verwerking voor dat doel onmiddellijk staken. +Mag een bedrijf de verwerking voortzetten na een bezwaar? Bij verwerking op grond van gerechtvaardigd belang mag de verantwoordelijke alleen doorgaan als hij dwingende gerechtvaardigde gronden aantoont die zwaarder wegen dan de belangen van de persoon, of als de verwerking nodig is voor rechtsvorderingen. Gerelateerde kernkwesties GDPR Boetes / Sancties GDPR Privacy Impact Assessment

1.   De betrokkene heeft het recht niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit waaraan voor hem rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft. 2.   Lid 1 geldt niet indien het besluit: a) noodzakelijk is voor de totstandkoming of de uitvoering van een overeenkomst tussen de betrokkene en een verwerkingsverantwoordelijke; b) is toegestaan bij een Unierechtelijke of lidstaatrechtelijke bepaling die op de verwerkingsverantwoordelijke van toepassing is en die ook voorziet in passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene; of c) berust op de uitdrukkelijke toestemming van de betrokkene. 3.   In de in lid 2, punten a) en c), bedoelde gevallen treft de verwerkingsverantwoordelijke passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene, waaronder ten minste het recht op menselijke tussenkomst van de verwerkingsverantwoordelijke, het recht om zijn standpunt kenbaar te maken en het recht om het besluit aan te vechten. 4.   De in lid 2 bedoelde besluiten worden niet gebaseerd op de in artikel 9, lid 1, bedoelde bijzondere categorieën van persoonsgegevens, tenzij artikel 9, lid 2, punt a) of g), van toepassing is en er passende maatregelen ter bescherming van de gerechtvaardigde belangen van de betrokkene zijn getroffen. Passende overwegingen Overweging 71 - ProfileringOverweging 72 - Richtlijnen Van De Europese Toezichthouder Voor Gegevensbescherming Met Betrekking Tot ProfileringOverweging 91 - Noodzaak Van Een Gegevensbeschermingseffectbeoordeling Veelgestelde vragen over artikel 22 +Wat zegt de AVG over geautomatiseerde besluitvorming? Artikel 22 geeft personen het recht niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit dat rechtsgevolgen of vergelijkbaar aanzienlijke gevolgen heeft. +Wanneer is geautomatiseerde besluitvorming toegestaan volgens de AVG? Het is toegestaan wanneer het noodzakelijk is voor een overeenkomst, bij wet is toegestaan of op uitdrukkelijke toestemming berust, met waarborgen zoals het recht op menselijke tussenkomst en het recht het besluit aan te vechten. +Geldt artikel 22 voor AI en profilering? Ja. Wanneer AI of profilering uitsluitend geautomatiseerde besluiten neemt met aanzienlijke gevolgen voor een persoon, geldt artikel 22 en moeten effectieve waarborgen worden geboden. Gerelateerde kernkwesties GDPR Privacy by Design GDPR Privacy Impact Assessment

1.   De reikwijdte van de verplichtingen en rechten als bedoeld in de artikelen 12 tot en met 22 en artikel 34, alsmede in artikel 5 kan, voor zover de bepalingen van die artikelen overeenstemmen met de rechten en verplichtingen als bedoeld in de artikelen 12 tot en met 20, worden beperkt door middel van Unierechtelijke of lidstaatrechtelijke bepalingen die op de verwerkingsverantwoordelijke of de verwerker van toepassing zijn, op voorwaarde dat die beperking de wezenlijke inhoud van de grondrechten en fundamentele vrijheden onverlet laat en in een democratische samenleving een noodzakelijke en evenredige maatregel is ter waarborging van: a) de nationale veiligheid; b) landsverdediging; c) de openbare veiligheid; d) de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid; e) andere belangrijke doelstellingen van algemeen belang van de Unie of van een lidstaat, met name een belangrijk economisch of financieel belang van de Unie of van een lidstaat, met inbegrip van monetaire, budgettaire en fiscale aangelegenheden, volksgezondheid en sociale zekerheid; f) de bescherming van de onafhankelijkheid van de rechter en gerechtelijke procedures; g) de voorkoming, het onderzoek, de opsporing en de vervolging van schendingen van de beroepscodes voor gereglementeerde beroepen; h) een taak op het gebied van toezicht, inspectie of regelgeving die verband houdt, al is het incidenteel, met de uitoefening van het openbaar gezag in de in de punten a), tot en met e) en punt g) bedoelde gevallen; i) de bescherming van de betrokkene of van de rechten en vrijheden van anderen; j) de inning van civielrechtelijke vorderingen. 2.   De in lid 1 bedoelde wettelijke maatregelen bevatten met name specifieke bepalingen met betrekking tot, in voorkomend geval, ten minste: a) de doeleinden van de verwerking of van de categorieën van verwerking, b) de categorieën van persoonsgegevens, c) het toepassingsgebied van de ingevoerde beperkingen, d) de waarborgen ter voorkoming van misbruik of onrechtmatige toegang of doorgifte, e) de specificatie van de verwerkingsverantwoordelijke of de categorieën van verwerkingsverantwoordelijken, f) de opslagperiodes en de toepasselijke waarborgen, rekening houdend met de aard, de omvang en de doeleinden van de verwerking of van de categorieën van verwerking, g) de risico's voor de rechten en vrijheden van de betrokkenen, en h) het recht van betrokkenen om van de beperking op de hoogte te worden gesteld, tenzij dit afbreuk kan doen aan het doel van de beperking. Passende overwegingen Overweging 73 - Beperkingen Van Rechten En Principes Veelgestelde vragen over artikel 23 +Wat staat artikel 23 AVG toe? Artikel 23 staat toe dat het Unierecht of het lidstatelijke recht bepaalde AVG-rechten en -verplichtingen beperkt wanneer dit noodzakelijk en evenredig is om belangen te beschermen zoals nationale veiligheid, defensie of openbare veiligheid. +Kunnen rechten van betrokkenen worden beperkt volgens de AVG? Ja. Artikel 23 staat afgebakende beperkingen van rechten toe voor bepaalde doelstellingen van algemeen belang, maar elke beperking moet de wezenlijke inhoud van de grondrechten eerbiedigen en noodzakelijk en evenredig zijn. +Welke waarborgen gelden voor beperkingen onder artikel 23? Wetgevingsmaatregelen die beperkingen opleggen moeten specifieke bepalingen bevatten over doeleinden, reikwijdte, waarborgen, bewaring en risico's voor personen, zodat beperkingen niet willekeurig zijn. Gerelateerde kernkwesties GDPR Derde Landen GDPR Boetes / Sancties

1.   Rekening houdend met de aard, de omvang, de context en het doel van de verwerking, alsook met de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van natuurlijke personen, treft de verwerkingsverantwoordelijke passende technische en organisatorische maatregelen om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met deze verordening wordt uitgevoerd. Die maatregelen worden geëvalueerd en indien nodig geactualiseerd. 2.   Wanneer zulks in verhouding staat tot de verwerkingsactiviteiten, omvatten de in lid 1 bedoelde maatregelen een passend gegevensbeschermingsbeleid dat door de verwerkingsverantwoordelijke wordt uitgevoerd. 3.   Het aansluiten bij goedgekeurde gedragscodes als bedoeld in artikel 40 of goedgekeurde certificeringsmechanismen als bedoeld in artikel 42 kan worden gebruikt als element om aan te tonen dat de verplichtingen van de verwerkingsverantwoordelijke zijn nagekomen. Passende overwegingen Overweging 74 - Verantwoordelijkheid En Aansprakelijkheid Van De VerwerkingsverantwoordelijkeOverweging 75 - Risico'S Voor De Rechten En Vrijheden Van Natuurlijke PersonenOverweging 76 - RisicobeoordelingOverweging 77 - Richtlijnen Voor Risicobeoordeling Veelgestelde vragen over artikel 24 +Wat zijn de verantwoordelijkheden van een verwerkingsverantwoordelijke volgens de AVG? Artikel 24 verplicht verantwoordelijken passende technische en organisatorische maatregelen te treffen om te waarborgen en aan te tonen dat de verwerking aan de AVG voldoet, rekening houdend met de risico's voor personen. +Hoe toont een verantwoordelijke naleving van de AVG aan? Verantwoordelijken tonen naleving aan met gedocumenteerd beleid, beschermingsmaatregelen, registers en, waar evenredig, naleving van goedgekeurde gedragscodes of certificeringen. +Wat is de verantwoordingsplicht voor verantwoordelijken? De verantwoordingsplicht houdt in dat verantwoordelijken de AVG niet alleen moeten naleven, maar dit ook moeten kunnen bewijzen met passende maatregelen die naar behoefte worden herzien en bijgewerkt. Gerelateerde kernkwesties Functionaris voor gegevensbescherming – AVG GDPR Privacy by Design

1.   Rekening houdend met de stand van de techniek, de uitvoeringskosten, en de aard, de omvang, de context en het doel van de verwerking alsook met de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van natuurlijke personen welke aan de verwerking zijn verbonden, treft de verwerkingsverantwoordelijke, zowel bij de bepaling van de verwerkingsmiddelen als bij de verwerking zelf, passende technische en organisatorische maatregelen, zoals pseudonimisering, die zijn opgesteld met als doel de gegevensbeschermingsbeginselen, zoals minimale gegevensverwerking, op een doeltreffende manier uit te voeren en de nodige waarborgen in de verwerking in te bouwen ter naleving van de voorschriften van deze verordening en ter bescherming van de rechten van de betrokkenen. 2.   De verwerkingsverantwoordelijke treft passende technische en organisatorische maatregelen om ervoor te zorgen dat in beginsel alleen persoonsgegevens worden verwerkt die noodzakelijk zijn voor elk specifiek doel van de verwerking. Die verplichting geldt voor de hoeveelheid verzamelde persoonsgegevens, de mate waarin zij worden verwerkt, de termijn waarvoor zij worden opgeslagen en de toegankelijkheid daarvan. Deze maatregelen zorgen met name ervoor dat persoonsgegevens in beginsel niet zonder menselijke tussenkomst voor een onbeperkt aantal natuurlijke personen toegankelijk worden gemaakt. 3.   Een overeenkomstig artikel 42 goedgekeurd certificeringsmechanisme kan worden gebruikt als element om aan te tonen dat aan de voorschriften van de leden 1 en 2 van dit artikel is voldaan. Passende overwegingen Overweging 78 - Passende Technische En Organisatorische Maatregelen Veelgestelde vragen over artikel 25 +Wat is gegevensbescherming door ontwerp en door standaardinstellingen? Artikel 25 verplicht verantwoordelijken gegevensbescherming vanaf het begin in te bouwen en door standaardinstellingen te waarborgen dat alleen de voor elk doel noodzakelijke gegevens worden verwerkt. +Wat betekent gegevensbescherming door standaardinstellingen? Door standaardinstellingen moeten de hoeveelheid verzamelde gegevens, de omvang van de verwerking, de bewaartermijn en de toegankelijkheid worden beperkt, zodat gegevens niet toegankelijk worden voor een onbepaald aantal personen. +Hoe implementeer je privacy by design volgens de AVG? Privacy by design wordt geïmplementeerd met maatregelen zoals pseudonimisering, minimale gegevensverwerking, toegangscontrole en het inbouwen van waarborgen in systemen vanaf de ontwerpfase. Gerelateerde kernkwesties GDPR Versleuteling GDPR Privacy Impact Assessment

1.   Wanneer twee of meer verwerkingsverantwoordelijken gezamenlijk de doeleinden en middelen van de verwerking bepalen, zijn zij gezamenlijke verwerkingsverantwoordelijken. Zij stellen op transparante wijze hun respectieve verantwoordelijkheden voor de nakoming van de verplichtingen uit hoofde van deze verordening vast, met name met betrekking tot de uitoefening van de rechten van de betrokkene en hun respectieve verplichtingen om de in de artikelen 13 en 14 bedoelde informatie te verstrekken, door middel van een onderlinge regeling, tenzij en voor zover de respectieve verantwoordelijkheden van de verwerkingsverantwoordelijken zijn vastgesteld bij een Unierechtelijke of lidstaatrechtelijke bepaling die op de verwerkingsverantwoordelijken van toepassing is. In de regeling kan een contactpunt voor betrokkenen worden aangewezen. 2.   Uit de in lid 1 bedoelde regeling blijkt duidelijk welke rol de gezamenlijke verwerkingsverantwoordelijken respectievelijk vervullen, en wat hun respectieve verhouding met de betrokkenen is. De wezenlijke inhoud van de regeling wordt aan de betrokkene beschikbaar gesteld. 3.   Ongeacht de voorwaarden van de in lid 1 bedoelde regeling, kan de betrokkene zijn rechten uit hoofde van deze verordening met betrekking tot en jegens iedere verwerkingsverantwoordelijke uitoefenen. Passende overwegingen Overweging 58 - Het TransparantiebeginselOverweging 79 - Toewijzing Van De Verantwoordelijkheden Veelgestelde vragen over artikel 26 +Wat zijn gezamenlijke verwerkingsverantwoordelijken volgens de AVG? Gezamenlijke verantwoordelijken zijn twee of meer verantwoordelijken die samen de doeleinden en middelen van de verwerking bepalen. Artikel 26 verplicht hen hun respectieve verantwoordelijkheden in een regeling vast te leggen. +Hebben gezamenlijke verantwoordelijken een schriftelijke regeling nodig? Ja. Gezamenlijke verantwoordelijken moeten op transparante wijze hun respectieve verplichtingen vastleggen, met name over de rechten van betrokkenen en de informatieverstrekking, en de kern van de regeling beschikbaar stellen aan betrokkenen. +Kan een betrokkene rechten uitoefenen tegen elke gezamenlijke verantwoordelijke? Ja. Ongeacht de interne regeling kunnen personen hun rechten uitoefenen tegen elk van de gezamenlijke verantwoordelijken. Gerelateerde kernkwesties Functionaris voor gegevensbescherming – AVG GDPR Privacy Impact Assessment GDPR Registers van Verwerkingsactiviteiten

1.   Wanneer artikel 3, lid 2, van toepassing is, wijst de verwerkingsverantwoordelijke of de verwerker schriftelijk een vertegenwoordiger in de Unie aan. 2.   De verplichting vervat in lid 1 van dit artikel geldt niet voor: a) incidentele verwerking die geen grootschalige verwerking van bijzondere categorieën van persoonsgegevens als bedoeld in artikel 9, lid 1, betreft noch verwerking van persoonsgegevens die verband houden met strafrechtelijke veroordelingen en strafbare feiten als bedoeld in artikel 10, en waarbij de kans gering is dat zij een risico inhoudt voor de rechten en vrijheden van natuurlijke personen, rekening houdend met de aard, de context, de omvang en de verwerkingsdoeleinden; of b) een overheidsinstantie of overheidsorgaan. 3.   De vertegenwoordiger is gevestigd in een van de lidstaten waar zich de betrokkenen bevinden wier persoonsgegevens in verband met het hun aanbieden van goederen of diensten worden verwerkt, of wier gedrag wordt geobserveerd. 4.   Teneinde de naleving van deze verordening te waarborgen, wordt de vertegenwoordiger door de verwerkingsverantwoordelijke of de verwerker gemachtigd om naast hem of in zijn plaats te worden benaderd, meer bepaald door de toezichthoudende autoriteiten en betrokkenen, over alle met de verwerking verband houdende aangelegenheden. 5.   Het feit dat de verwerkingsverantwoordelijke of de verwerker een vertegenwoordiger aanwijzen, doet niet af aan de mogelijkheid om tegen de verwerkingsverantwoordelijke of de verwerker zelf vorderingen in te stellen. Passende overwegingen Overweging 80 - Benoeming Van Een Vertegenwoordiger Veelgestelde vragen over artikel 27 +Hebben bedrijven buiten de EU een vertegenwoordiger in de EU nodig volgens de AVG? Artikel 27 verplicht verantwoordelijken en verwerkers buiten de EU die onder de AVG vallen een in de EU gevestigde vertegenwoordiger aan te wijzen, met beperkte uitzonderingen voor incidentele verwerking met laag risico. +Wat doet een vertegenwoordiger in de EU volgens de AVG? De vertegenwoordiger fungeert als aanspreekpunt voor toezichthoudende autoriteiten en betrokkenen voor alles wat met de verwerking te maken heeft, en helpt de naleving namens de organisatie buiten de EU te waarborgen. +Wanneer is een vertegenwoordiger in de EU niet vereist? Een vertegenwoordiger is niet nodig wanneer de verwerking incidenteel is, geen grootschalige bijzondere of strafrechtelijke gegevens omvat en waarschijnlijk geen risico inhoudt, of wanneer het een overheidsinstantie betreft. Gerelateerde kernkwesties GDPR Registers van Verwerkingsactiviteiten GDPR Derde Landen

1.   Wanneer een verwerking namens een verwerkingsverantwoordelijke wordt verricht, doet de verwerkingsverantwoordelijke uitsluitend een beroep op verwerkers die afdoende garanties met betrekking tot het toepassen van passende technische en organisatorische maatregelen bieden opdat de verwerking aan de vereisten van deze verordening voldoet en de bescherming van de rechten van de betrokkene is gewaarborgd. 2.   De verwerker neemt geen andere verwerker in dienst zonder voorafgaande specifieke of algemene schriftelijke toestemming van de verwerkingsverantwoordelijke. In het geval van algemene schriftelijke toestemming licht de verwerker de verwerkingsverantwoordelijke in over beoogde veranderingen inzake de toevoeging of vervanging van andere verwerkers, waarbij de verwerkingsverantwoordelijke de mogelijkheid wordt geboden tegen deze veranderingen bezwaar te maken. 3.   De verwerking door een verwerker wordt geregeld in een overeenkomst of andere rechtshandeling krachtens het Unierecht of het lidstatelijke recht die de verwerker ten aanzien van de verwerkingsverantwoordelijke bindt, en waarin het onderwerp en de duur van de verwerking, de aard en het doel van de verwerking, het soort persoonsgegevens en de categorieën van betrokkenen, en de rechten en verplichtingen van de verwerkingsverantwoordelijke worden omschreven. Die overeenkomst of andere rechtshandeling bepaalt met name dat de verwerker: a) de persoonsgegevens uitsluitend verwerkt op basis van schriftelijke instructies van de verwerkingsverantwoordelijke, onder meer met betrekking tot doorgiften van persoonsgegevens aan een derde land of een internationale organisatie, tenzij een op de verwerker van toepassing zijnde Unierechtelijke of lidstaatrechtelijke bepaling hem tot verwerking verplicht; in dat geval stelt de verwerker de verwerkingsverantwoordelijke, voorafgaand aan de verwerking, in kennis van dat wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt; b) waarborgt dat de tot het verwerken van de persoonsgegevens gemachtigde personen zich ertoe hebben verbonden vertrouwelijkheid in acht te nemen of door een passende wettelijke verplichting van vertrouwelijkheid zijn gebonden; c) alle overeenkomstig artikel 32 vereiste maatregelen neemt; d) aan de in de leden 2 en 4 bedoelde voorwaarden voor het in dienst nemen van een andere verwerker voldoet; e) rekening houdend met de aard van de verwerking, de verwerkingsverantwoordelijke door middel van passende technische en organisatorische maatregelen, voor zover mogelijk, bijstand verleent bij het vervullen van diens plicht om verzoeken om uitoefening van de in hoofdstuk III vastgestelde rechten van de betrokkene te beantwoorden; f) rekening houdend met de aard van de verwerking en de hem ter beschikking staande informatie de verwerkingsverantwoordelijke bijstand verleent bij het doen nakomen van de verplichtingen uit hoofde van de artikelen 32 tot en met 36; g) na afloop van de verwerkingsdiensten, naargelang de keuze van de verwerkingsverantwoordelijke, alle persoonsgegevens wist of deze aan hem terugbezorgt, en bestaande kopieën verwijdert, tenzij opslag van de persoonsgegevens Unierechtelijk of lidstaatrechtelijk is verplicht; h) de verwerkingsverantwoordelijke alle informatie ter beschikking stelt die nodig is om de nakoming van de in dit artikel neergelegde verplichtingen aan te tonen en audits, waaronder inspecties, door de verwerkingsverantwoordelijke of een door de verwerkingsverantwoordelijke gemachtigde controleur mogelijk maakt en eraan bijdraagt. Waar het gaat om de eerste alinea, punt h), stelt de verwerker de verwerkingsverantwoordelijke onmiddellijk in kennis indien naar zijn mening een instructie inbreuk oplevert op deze verordening of op andere Unierechtelijke of lidstaatrechtelijke bepalingen inzake gegevensbescherming. 4.   Wanneer een verwerker een andere verwerker in dienst neemt om voor rekening van de verwerkingsverantwoordelijke specifieke verwerkingsactiviteiten te verrichten, worden aan deze andere verwerker bij een overeenkomst of een andere rechtshandeling krachtens Unierecht of lidstatelijk recht dezelfde verplichtingen inzake gegevensbescherming opgelegd als die welke in de in lid 3 bedoelde overeenkomst of andere rechtshandeling tussen de verwerkingsverantwoordelijke en de verwerker zijn opgenomen, met name de verplichting afdoende garanties met betrekking tot het toepassen van passende technische en organisatorische maatregelen te bieden opdat de verwerking aan het bepaalde in deze verordening voldoet. Wanneer de andere verwerker zijn verplichtingen inzake gegevensbescherming niet nakomt, blijft de eerste verwerker ten aanzien van de verwerkingsverantwoordelijke volledig aansprakelijk voor het nakomen van de verplichtingen van die andere verwerker. 5.   Het aansluiten bij een goedgekeurde gedragscode als bedoeld in artikel 40 of een goedgekeurd certificeringsmechanisme als bedoeld in artikel 42 kan worden gebruikt als element om aan te tonen dat voldoende garanties als bedoeld in de leden 1 en 4 van dit artikel worden geboden. 6.   Onverminderd een individuele overeenkomst tussen de verwerkingsverantwoordelijke en de verwerker kan de in de leden 3 en 4 van dit artikel bedoelde overeenkomst of andere rechtshandeling geheel of ten dele gebaseerd zijn op de in de leden 7 en 8 van dit artikel bedoelde standaardcontractbepalingen, ook indien zij deel uitmaken van de certificering die door een verwerkingsverantwoordelijke of verwerker uit hoofde van de artikelen 42 en 43 is verleend. 7.   De Commissie kan voor de in de leden 3 en 4 van dit artikel genoemde aangelegenheden en volgens de in artikel 93, lid 2, bedoelde onderzoeksprocedure standaardcontractbepalingen vaststellen. 8.   Een toezichthoudende autoriteit kan voor de in de leden 3 en 4 van dit artikel genoemde aangelegenheden en volgens het in artikel 63 bedoelde coherentiemechanisme standaardcontractbepalingen opstellen. 9.   De in de leden 3 en 4 bedoelde overeenkomst of andere rechtshandeling wordt in schriftelijke vorm, waaronder elektronische vorm, opgesteld. 10.   Indien een verwerker in strijd met deze verordening de doeleinden en middelen van een verwerking bepaalt, wordt die verwerker onverminderd de artikelen 82, 83 en 84 met betrekking tot die verwerking als de verwerkingsverantwoordelijke beschouwd. Passende overwegingen Overweging 81 - Het Gebruik Van Verwerkers Veelgestelde vragen over artikel 28 +Wat moet een verwerkersovereenkomst bevatten volgens artikel 28? De overeenkomst moet het onderwerp, de duur, de aard en het doel van de verwerking, de soorten gegevens, de verplichtingen van de partijen, de beveiligingsmaatregelen, de regels voor subverwerkers en de bijstand bij naleving regelen. +Mag een verwerker subverwerkers inschakelen volgens de AVG? Een verwerker mag alleen subverwerkers inschakelen met voorafgaande toestemming van de verantwoordelijke en moet hun bij overeenkomst dezelfde gegevensbeschermingsverplichtingen opleggen. +Wat zijn de verplichtingen van een verwerker volgens de AVG? Verwerkers verwerken gegevens alleen op gedocumenteerde instructies, waarborgen vertrouwelijkheid, treffen beveiligingsmaatregelen, staan de verantwoordelijke bij en wissen of retourneren de gegevens aan het einde van de opdracht. Gerelateerde kernkwesties GDPR Versleuteling GDPR Registers van Verwerkingsactiviteiten

De verwerker en eenieder die onder het gezag van de verwerkingsverantwoordelijke of van de verwerker handelt en toegang heeft tot persoonsgegevens, verwerkt deze uitsluitend in opdracht van de verwerkingsverantwoordelijke, tenzij hij Unierechtelijk of lidstaatrechtelijk tot de verwerking gehouden is. Passende overwegingen Overweging 39 – Beginselen Van Gegevensverwerking Overweging 40 – Rechtmatigheid Van Gegevensverwerking Overweging 74 – Verantwoordelijkheid En Aansprakelijkheid Van De Verwerkingsverantwoordelijke Veelgestelde vragen over artikel 29 +Wat vereist artikel 29 AVG? Artikel 29 vereist dat eenieder die onder het gezag van de verantwoordelijke of de verwerker handelt, persoonsgegevens alleen op instructie van de verantwoordelijke verwerkt, tenzij een wettelijke verplichting anders bepaalt. +Mogen werknemers gegevens verwerken zonder instructies volgens de AVG? Nee. Personeel en andere personen met toegang tot persoonsgegevens mogen deze alleen verwerken op gedocumenteerde instructies van de verantwoordelijke, wat de verantwoordingsplicht ondersteunt en ongeoorloofd gebruik beperkt. +Hoe verhoudt artikel 29 zich tot gegevensbeveiliging? Door verwerking te beperken tot toegestane instructies verkleint artikel 29 het risico van misbruik en ondersteunt het de elders in de AVG opgenomen verplichtingen inzake vertrouwelijkheid en integriteit. Gerelateerde kernkwesties GDPR Versleuteling Functionaris voor gegevensbescherming – AVG GDPR Privacy by Design

1.   Elke verwerkingsverantwoordelijke en, in voorkomend geval, de vertegenwoordiger van de verwerkingsverantwoordelijke houdt een register van de verwerkingsactiviteiten die onder hun verantwoordelijkheid plaatsvinden. Dat register bevat alle volgende gegevens: a) de naam en de contactgegevens van de verwerkingsverantwoordelijke en eventuele gezamenlijke verwerkingsverantwoordelijken, en, in voorkomend geval, van de vertegenwoordiger van de verwerkingsverantwoordelijke en van de functionaris voor gegevensbescherming; b) de verwerkingsdoeleinden; c) een beschrijving van de categorieën van betrokkenen en van de categorieën van persoonsgegevens; d) de categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, onder meer ontvangers in derde landen of internationale organisaties; e) indien van toepassing, doorgiften van persoonsgegevens aan een derde land of een internationale organisatie, met inbegrip van de vermelding van dat derde land of die internationale organisatie en, in geval van de in artikel 49, lid 1, tweede alinea, bedoelde doorgiften, de documenten inzake de passende waarborgen; f) indien mogelijk, de beoogde termijnen waarbinnen de verschillende categorieën van gegevens moeten worden gewist; g) indien mogelijk, een algemene beschrijving van de technische en organisatorische beveiligingsmaatregelen als bedoeld in artikel 32, lid 1. 2.   De verwerker, en, in voorkomend geval, de vertegenwoordiger van de verwerker houdt een register van alle categorieën van verwerkingsactiviteiten die zij ten behoeve van een verwerkingsverantwoordelijke hebben verricht. Dit register bevat de volgende gegevens: a) de naam en de contactgegevens van de verwerkers en van iedere verwerkingsverantwoordelijke voor rekening waarvan de verwerker handelt, en, in voorkomend geval, van de vertegenwoordiger van de verwerkingsverantwoordelijke of de verwerker en van de functionaris voor gegevensbescherming; b) de categorieën van verwerkingen die voor rekening van iedere verwerkingsverantwoordelijke zijn uitgevoerd; c) indien van toepassing, doorgiften van persoonsgegevens aan een derde land of een internationale organisatie, onder vermelding van dat derde land of die internationale organisatie en, in geval van de in artikel 49, lid 1, tweede alinea, bedoelde doorgiften, de documenten inzake de passende waarborgen; d) indien mogelijk, een algemene beschrijving van de technische en organisatorische beveiligingsmaatregelen als bedoeld in artikel 32, lid 1. 3.   Het in de leden 1 en 2 bedoelde register is in schriftelijke vorm, waaronder in elektronische vorm, opgesteld. 4.   Desgevraagd stellen de verwerkingsverantwoordelijke of de verwerker en, in voorkomend geval, de vertegenwoordiger van de verwerkingsverantwoordelijke of de verwerker het register ter beschikking van de toezichthoudende autoriteit. 5.   De in de leden 1 en 2 bedoelde verplichtingen zijn niet van toepassing op ondernemingen of organisaties die minder dan 250 personen in dienst hebben, tenzij het waarschijnlijk is dat de verwerking die zij verrichten een risico inhoudt voor de rechten en vrijheden van de betrokkenen, de verwerking niet incidenteel is, of de verwerking bijzondere categorieën van gegevens, als bedoeld in artikel 9, lid 1, of persoonsgegevens in verband met strafrechtelijke veroordelingen en strafbare feiten als bedoeld in artikel 10 betreft. Passende overwegingen Overweging 13 - Rekening Houden Met Micro-, Kleine En Middelgrote OndernemingenOverweging 82 - Register Van Verwerkingsactiviteiten Veelgestelde vragen over artikel 30 +Wat is het register van verwerkingsactiviteiten? Artikel 30 verplicht verantwoordelijken en verwerkers een register van hun verwerkingsactiviteiten bij te houden, met doeleinden, categorieën van gegevens en ontvangers, doorgiften, bewaartermijnen en beveiligingsmaatregelen. +Zijn kleine bedrijven vrijgesteld van het bijhouden van een verwerkingsregister? Organisaties met minder dan 250 werknemers zijn gedeeltelijk vrijgesteld, maar moeten toch een register bijhouden wanneer de verwerking niet incidenteel is, bijzondere gegevens betreft of een risico kan inhouden. +Welke informatie staat in een AVG-verwerkingsregister? Het bevat doorgaans de gegevens van de verantwoordelijke, de verwerkingsdoeleinden, de categorieën van personen en gegevens, de ontvangers, internationale doorgiften, de bewaartermijnen en een beschrijving van de beveiligingsmaatregelen. Gerelateerde kernkwesties GDPR Privacy Impact Assessment GDPR Derde Landen

De verwerkingsverantwoordelijke en de verwerker en, in voorkomend geval, hun vertegenwoordigers, werken desgevraagd samen met de toezichthoudende autoriteit bij het vervullen van haar taken. Passende overwegingen Overweging 82 - Register Van Verwerkingsactiviteiten Veelgestelde vragen over artikel 31 +Wat vereist artikel 31 AVG? Artikel 31 verplicht verantwoordelijken en verwerkers desgevraagd samen te werken met de toezichthoudende autoriteit bij de uitvoering van haar taken. +Moeten bedrijven samenwerken met gegevensbeschermingsautoriteiten? Ja. Samenwerking is een wettelijke verplichting, en organisaties moeten reageren op verzoeken van de toezichthoudende autoriteit en haar onderzoeks- en corrigerende functies ondersteunen. +Hoe ondersteunt artikel 31 de handhaving van de AVG? Door samenwerking verplicht te stellen stelt artikel 31 autoriteiten in staat klachten te onderzoeken, verwerkingen te controleren en doeltreffend corrigerende maatregelen te nemen. Gerelateerde kernkwesties GDPR Boetes / Sancties GDPR Privacy Impact Assessment

1.   Rekening houdend met de stand van de techniek, de uitvoeringskosten, alsook met de aard, de omvang, de context en de verwerkingsdoeleinden en de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van personen, treffen de verwerkingsverantwoordelijke en de verwerker passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, die, waar passend, onder meer het volgende omvatten: a) de pseudonimisering en versleuteling van persoonsgegevens; b) het vermogen om op permanente basis de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de verwerkingssystemen en diensten te garanderen; c) het vermogen om bij een fysiek of technisch incident de beschikbaarheid van en de toegang tot de persoonsgegevens tijdig te herstellen; d) een procedure voor het op gezette tijdstippen testen, beoordelen en evalueren van de doeltreffendheid van de technische en organisatorische maatregelen ter beveiliging van de verwerking. 2.   Bij de beoordeling van het passende beveiligingsniveau wordt met name rekening gehouden met de verwerkingsrisico's, vooral als gevolg van de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens, hetzij per ongeluk hetzij onrechtmatig. 3.   Het aansluiten bij een goedgekeurde gedragscode als bedoeld in artikel 40 of een goedgekeurd certificeringsmechanisme als bedoeld in artikel 42 kan worden gebruikt als element om aan te tonen dat dat de in lid 1 van dit artikel bedoelde vereisten worden nageleefd. 4.   De verwerkingsverantwoordelijke en de verwerker treffen maatregelen om ervoor te zorgen dat iedere natuurlijke persoon die handelt onder het gezag van de verwerkingsverantwoordelijke of van de verwerker en toegang heeft tot persoonsgegevens, deze slechts in opdracht van de verwerkingsverantwoordelijke verwerkt, tenzij hij daartoe Unierechtelijk of lidstaatrechtelijk is gehouden. Passende overwegingen Overweging 75 - Risico'S Voor De Rechten En Vrijheden Van Natuurlijke PersonenOverweging 76 - RisicobeoordelingOverweging 77 - Richtlijnen Voor RisicobeoordelingOverweging 78 - Passende Technische En Organisatorische MaatregelenOverweging 79 - Toewijzing Van De VerantwoordelijkhedenOverweging 83 - Beveiliging Van Verwerking Veelgestelde vragen over artikel 32 +Welke beveiligingsmaatregelen vereist de AVG? Artikel 32 vereist passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, waaronder pseudonimisering, versleuteling, vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht. +Is versleuteling verplicht volgens de AVG? Versleuteling is niet strikt verplicht, maar artikel 32 noemt het als voorbeeld van een passende maatregel. Organisaties moeten maatregelen kiezen die evenredig zijn aan het risico van hun verwerking. +Hoe beoordeel je het passende beveiligingsniveau? Organisaties moeten de stand van de techniek, de kosten en de aard en risico's van de verwerking afwegen en maatregelen treffen die het risico voor personen tot een aanvaardbaar niveau terugbrengen. Gerelateerde kernkwesties Functionaris voor gegevensbescherming – AVG GDPR Privacy by Design

1.   Indien een inbreuk in verband met persoonsgegevens heeft plaatsgevonden, meldt de verwerkingsverantwoordelijke deze zonder onredelijke vertraging en, indien mogelijk, uiterlijk 72 uur nadat hij er kennis van heeft genomen, aan de overeenkomstig artikel 55 bevoegde toezichthoudende autoriteit, tenzij het niet waarschijnlijk is dat de inbreuk in verband met persoonsgegevens een risico inhoudt voor de rechten en vrijheden van natuurlijke personen. Indien de melding aan de toezichthoudende autoriteit niet binnen 72 uur plaatsvindt, gaat zij vergezeld van een motivering voor de vertraging. 2.   De verwerker informeert de verwerkingsverantwoordelijke zonder onredelijke vertraging zodra hij kennis heeft genomen van een inbreuk in verband met persoonsgegevens. 3.   In de in lid 1 bedoelde melding wordt ten minste het volgende omschreven of meegedeeld: a) de aard van de inbreuk in verband met persoonsgegevens, waar mogelijk onder vermelding van de categorieën van betrokkenen en persoonsgegevensregisters in kwestie en, bij benadering, het aantal betrokkenen en persoonsgegevensregisters in kwestie; b) de naam en de contactgegevens van de functionaris voor gegevensbescherming of een ander contactpunt waar meer informatie kan worden verkregen; c) de waarschijnlijke gevolgen van de inbreuk in verband met persoonsgegevens; d) de maatregelen die de verwerkingsverantwoordelijke heeft voorgesteld of genomen om de inbreuk in verband met persoonsgegevens aan te pakken, waaronder, in voorkomend geval, de maatregelen ter beperking van de eventuele nadelige gevolgen daarvan. 4.   Indien en voor zover het niet mogelijk is om alle informatie gelijktijdig te verstrekken, kan de informatie zonder onredelijke vertraging in stappen worden verstrekt. 5.   De verwerkingsverantwoordelijke documenteert alle inbreuken in verband met persoonsgegevens, met inbegrip van de feiten omtrent de inbreuk in verband met persoonsgegevens, de gevolgen daarvan en de genomen corrigerende maatregelen. Die documentatie stelt de toezichthoudende autoriteit in staat de naleving van dit artikel te controleren. Passende overwegingen Overweging 85 - Meldingsplicht Van Inbreuken Aan De Toezichthoudende AutoriteitOverweging 87 - Tijdigheid Van Rapportage / KennisgevingOverweging 88 - Format En Procedures Van De Kennisgeving Veelgestelde vragen over artikel 33 +Hoe snel moet een datalek worden gemeld volgens de AVG? Artikel 33 verplicht verantwoordelijken een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging en indien mogelijk binnen 72 uur na kennisname te melden aan de toezichthoudende autoriteit. +Moeten alle datalekken aan de autoriteit worden gemeld? Nee. Een inbreuk moet worden gemeld tenzij het onwaarschijnlijk is dat zij een risico inhoudt voor de rechten en vrijheden van personen. Ook niet gemelde inbreuken moeten intern worden gedocumenteerd. +Wat moet een AVG-melding van een datalek bevatten? De melding moet de aard van de inbreuk beschrijven, de categorieën en het aantal betrokken personen, de waarschijnlijke gevolgen en de getroffen maatregelen om de inbreuk aan te pakken. Gerelateerde kernkwesties Functionaris voor gegevensbescherming – AVG GDPR Boetes / Sancties

1.   Wanneer de inbreuk in verband met persoonsgegevens waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen, deelt de verwerkingsverantwoordelijke de betrokkene de inbreuk in verband met persoonsgegevens onverwijld mee. 2.   De in lid 1 van dit artikel bedoelde mededeling aan de betrokkene bevat een omschrijving, in duidelijke en eenvoudige taal, van de aard van de inbreuk in verband met persoonsgegevens en ten minste de in artikel 33, lid 3, onder b), c) en d), bedoelde gegevens en maatregelen. 3.   De in lid 1 bedoelde mededeling aan de betrokkene is niet vereist wanneer een van de volgende voorwaarden is vervuld: a) de verwerkingsverantwoordelijke heeft passende technische en organisatorische beschermingsmaatregelen genomen en deze maatregelen zijn toegepast op de persoonsgegevens waarop de inbreuk in verband met persoonsgegevens betrekking heeft, met name die welke de persoonsgegevens onbegrijpelijk maken voor onbevoegden, zoals versleuteling; b) de verwerkingsverantwoordelijke heeft achteraf maatregelen genomen om ervoor te zorgen dat het in lid 1 bedoelde hoge risico voor de rechten en vrijheden van betrokkenen zich waarschijnlijk niet meer zal voordoen; c) de mededeling zou onevenredige inspanningen vergen. In dat geval komt er in de plaats daarvan een openbare mededeling of een soortgelijke maatregel waarbij betrokkenen even doeltreffend worden geïnformeerd. 4.   Indien de verwerkingsverantwoordelijke de inbreuk in verband met persoonsgegevens nog niet aan de betrokkene heeft gemeld, kan de toezichthoudende autoriteit, na beraad over de kans dat de inbreuk in verband met persoonsgegevens een hoog risico met zich meebrengt, de verwerkingsverantwoordelijke daartoe verplichten of besluiten dat aan een van de in lid 3 bedoelde voorwaarden is voldaan. Passende overwegingen Overweging 86 - Kennisgeving Aan Betrokkenen Bij GegevensinbreukenOverweging 87 - Tijdigheid Van Rapportage / KennisgevingOverweging 88 - Format En Procedures Van De Kennisgeving Veelgestelde vragen over artikel 34 +Wanneer moeten personen worden geïnformeerd over een datalek? Artikel 34 verplicht verantwoordelijken betrokken personen zonder onredelijke vertraging te informeren wanneer een inbreuk waarschijnlijk een hoog risico inhoudt voor hun rechten en vrijheden. +Wanneer is het informeren van personen over een inbreuk niet vereist? Het is niet vereist als de gegevens waren versleuteld of onbegrijpelijk waren, als latere maatregelen het hoge risico hebben weggenomen, of als het een onevenredige inspanning zou vergen, waarbij een openbare mededeling kan volstaan. +Wat moet een inbreukmelding aan personen bevatten? Zij moet de inbreuk in duidelijke taal beschrijven en het contactpunt voor meer informatie, de waarschijnlijke gevolgen en de getroffen of voorgestelde maatregelen vermelden. Gerelateerde kernkwesties Functionaris voor gegevensbescherming – AVG GDPR Recht om geïnformeerd te worden

1.   Wanneer een soort verwerking, in het bijzonder een verwerking waarbij nieuwe technologieën worden gebruikt, gelet op de aard, de omvang, de context en de doeleinden daarvan waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen voert de verwerkingsverantwoordelijke vóór de verwerking een beoordeling uit van het effect van de beoogde verwerkingsactiviteiten op de bescherming van persoonsgegevens. Eén beoordeling kan een reeks vergelijkbare verwerkingen bestrijken die vergelijkbare hoge risico's inhouden. 2.   Wanneer een functionaris voor gegevensbescherming is aangewezen, wint de verwerkingsverantwoordelijke bij het uitvoeren van een gegevensbeschermingseffectbeoordeling diens advies in. 3.   Een gegevensbeschermingseffectbeoordeling als bedoeld in lid 1 is met name vereist in de volgende gevallen: a) een systematische en uitgebreide beoordeling van persoonlijke aspecten van natuurlijke personen, die is gebaseerd op geautomatiseerde verwerking, waaronder profilering, en waarop besluiten worden gebaseerd waaraan voor de natuurlijke persoon rechtsgevolgen zijn verbonden of die de natuurlijke persoon op vergelijkbare wijze wezenlijk treffen; b) grootschalige verwerking van bijzondere categorieën van persoonsgegevens als bedoeld in artikel 9, lid 1, of van gegevens met betrekking tot strafrechtelijke veroordelingen en strafbare feiten als bedoeld in artikel 10; of c) stelselmatige en grootschalige monitoring van openbaar toegankelijke ruimten. 4.   De toezichthoudende autoriteit stelt een lijst op van het soort verwerkingen waarvoor een gegevensbeschermingseffectbeoordeling overeenkomstig lid 1 verplicht is, en maakt deze openbaar. De toezichthoudende autoriteit deelt die lijsten mee aan het in artikel 68 bedoelde Comité. 5.   De toezichthoudende autoriteit kan ook een lijst opstellen en openbaar maken van het soort verwerking waarvoor geen gegevensbeschermingseffectbeoordeling is vereist. De toezichthoudende autoriteit deelt deze lijst mee aan het Comité. 6.   Wanneer de in de leden 4 en 5 bedoelde lijsten betrekking hebben op verwerkingen met betrekking tot het aanbieden van goederen of diensten aan betrokkenen of op het observeren van hun gedrag in verschillende lidstaten, of op verwerkingen die het vrije verkeer van persoonsgegevens in de Unie wezenlijk kunnen beïnvloeden, past de bevoegde toezichthoudende autoriteit voorafgaand aan de vaststelling van die lijsten het in artikel 63 bedoelde coherentiemechanisme toe. 7.   De beoordeling bevat ten minste: a) een systematische beschrijving van de beoogde verwerkingen en de verwerkingsdoeleinden, waaronder, in voorkomend geval, de gerechtvaardigde belangen die door de verwerkingsverantwoordelijke worden behartigd; b) een beoordeling van de noodzaak en de evenredigheid van de verwerkingen met betrekking tot de doeleinden; c) een beoordeling van de in lid 1 bedoelde risico's voor de rechten en vrijheden van betrokkenen; en d) de beoogde maatregelen om de risico's aan te pakken, waaronder waarborgen, veiligheidsmaatregelen en mechanismen om de bescherming van persoonsgegevens te garanderen en om aan te tonen dat aan deze verordening is voldaan, met inachtneming van de rechten en gerechtvaardigde belangen van de betrokkenen en andere personen in kwestie. 8.   Bij het beoordelen van het effect van de door een verwerkingsverantwoordelijke of verwerker verrichte verwerkingen, en met name ter wille van een gegevensbeschermingseffectbeoordeling, wordt de naleving van de in artikel 40 bedoelde goedgekeurde gedragscodes naar behoren in aanmerking genomen. 9.   De verwerkingsverantwoordelijke vraagt in voorkomend geval de betrokkenen of hun vertegenwoordigers naar hun mening over de voorgenomen verwerking, met inachtneming van de bescherming van commerciële of algemene belangen of de beveiliging van verwerkingen. 10.   Wanneer verwerking uit hoofde van artikel 6, lid 1, onder c) of e), haar rechtsgrond heeft in het Unierecht of in het recht van de lidstaat dat op de verwerkingsverantwoordelijke van toepassing is, de specifieke verwerking of geheel van verwerkingen in kwestie daarbij wordt geregeld, en er reeds als onderdeel van een algemene effectbeoordeling in het kader van de vaststelling van deze rechtsgrond een gegevensbeschermingseffectbeoordeling is uitgevoerd, zijn de leden 1 tot en met 7 niet van toepassing, tenzij de lidstaten het noodzakelijk achten om voorafgaand aan de verwerkingen een dergelijke beoordeling uit te voeren. 11.   Indien nodig verricht de verwerkingsverantwoordelijke een toetsing om te beoordelen of de verwerking overeenkomstig de gegevensbeschermingseffectbeoordeling wordt uitgevoerd, zulks ten minste wanneer sprake is van een verandering van het risico dat de verwerkingen inhouden. Passende overwegingen Overweging 75 - Risico'S Voor De Rechten En Vrijheden Van Natuurlijke PersonenOverweging 84 - Risico-Evaluatie En EffectbeoordelingOverweging 89 - Afschaffing Van De Algemene RapportageverplichtingOverweging 90 - De GegevensbeschermingseffectbeoordelingOverweging 91 - Noodzaak Van Een GegevensbeschermingseffectbeoordelingOverweging 92 - Ruimere Beoordeling Van GegevensbeschermingseffectenOverweging 93 - Gegevensbescherming Effectbeoordeling Bij Autoriteiten Veelgestelde vragen over artikel 35 +Wanneer is een gegevensbeschermingseffectbeoordeling (DPIA) vereist? Artikel 35 vereist een DPIA wanneer de verwerking waarschijnlijk een hoog risico inhoudt voor personen, bijvoorbeeld grootschalige verwerking van bijzondere gegevens, stelselmatige monitoring of uitgebreide profilering. +Wat is een DPIA volgens de AVG? Een DPIA is een gestructureerde beoordeling van hoe een verwerking de gegevensbescherming raakt, waarbij de risico's en de nodige maatregelen om ze te beperken worden vastgesteld voordat de verwerking begint. +Wat moet een DPIA bevatten? Een DPIA moet de verwerking en de doeleinden beschrijven, de noodzaak en evenredigheid beoordelen, de risico's voor personen inschatten en de geplande maatregelen om ze aan te pakken uiteenzetten. Gerelateerde kernkwesties Functionaris voor gegevensbescherming – AVG GDPR Privacy by Design

1.   Wanneer uit een gegevensbeschermingseffectbeoordeling krachtens artikel 35 blijkt dat de verwerking een hoog risico zou opleveren indien de verwerkingsverantwoordelijke geen maatregelen neemt om het risico te beperken, raadpleegt de verwerkingsverantwoordelijke voorafgaand aan de verwerking de toezichthoudende autoriteit. 2.   Wanneer de toezichthoudende autoriteit van oordeel is dat de in lid 1 bedoelde voorgenomen verwerking inbreuk zou maken op deze verordening, met name wanneer de verwerkingsverantwoordelijke het risico onvoldoende heeft onderkend of beperkt, geeft de toezichthoudende autoriteit binnen een maximumtermijn van acht weken na de ontvangst van het verzoek om raadpleging schriftelijk advies aan de verwerkingsverantwoordelijke en in voorkomend geval aan de verwerker, en mag zij al haar in artikel 58 bedoelde bevoegdheden uitoefenen. Die termijn kan, naargelang de complexiteit van de voorgenomen verwerking, met zes weken worden verlengd. Bij een dergelijke verlenging stelt de toezichthoudende autoriteit de verwerkingsverantwoordelijke en, in voorkomend geval, de verwerker binnen een maand na ontvangst van het verzoek om raadpleging in kennis van onder meer de redenen voor de vertraging. Die termijnen kunnen worden opgeschort totdat de toezichthoudende autoriteit informatie heeft verkregen waarom zij met het oog op de raadpleging heeft verzocht. 3.   Wanneer de verwerkingsverantwoordelijke de toezichthoudende autoriteit uit hoofde van lid 1 raadpleegt, verstrekt hij haar informatie over: a) indien van toepassing, de respectieve verantwoordelijkheden van de verwerkingsverantwoordelijke, bij de verwerking betrokken gezamenlijke verwerkingsverantwoordelijken en verwerkers, in het bijzonder voor verwerking binnen een concern; b) de doeleinden en de middelen van de voorgenomen verwerking; c) de maatregelen en waarborgen die worden geboden ter bescherming van de rechten en vrijheden van betrokkenen uit hoofde van deze verordening; d) indien van toepassing, de contactgegevens van de functionaris voor gegevensbescherming; e) de gegevensbeschermingseffectbeoordeling waarin bij artikel 35 is voorzien; en f) alle andere informatie waar de toezichthoudende autoriteit om verzoekt. 4.   De lidstaten raadplegen de toezichthoudende autoriteit bij het opstellen van een voorstel voor een door een nationaal parlement vast te stellen wetgevingsmaatregel, of een daarop gebaseerde regelgevingsmaatregel in verband met verwerking. 5.   Niettegenstaande lid 1 kunnen de verwerkingsverantwoordelijken lidstaatrechtelijk ertoe worden verplicht overleg met de toezichthoudende autoriteit te plegen en om haar voorafgaande toestemming te verzoeken wanneer zij met het oog op de vervulling van een taak van algemeen belang verwerken, onder meer wanneer verwerking verband houdt met sociale bescherming en volksgezondheid. Passende overwegingen Overweging 94 - Raadpleging Van De Toezichthoudende AutoriteitOverweging 95 - Ondersteuning Door De VerwerkerOverweging 96 - Raadpleging Van De Toezichthoudende Autoriteit Tijdens Een Wetgevingsproces Veelgestelde vragen over artikel 36 +Wat is voorafgaande raadpleging volgens artikel 36 AVG? Artikel 36 verplicht verantwoordelijken de toezichthoudende autoriteit te raadplegen vóór de verwerking wanneer een DPIA een hoog risico aantoont dat niet kan worden beperkt met de aan de verantwoordelijke beschikbare maatregelen. +Wanneer moet de gegevensbeschermingsautoriteit vóór de verwerking worden geraadpleegd? Raadpleging is vereist wanneer een DPIA aantoont dat de verwerking zonder maatregelen van de verantwoordelijke om het te beperken een hoog restrisico voor personen zou inhouden. +Wat kan de toezichthoudende autoriteit doen bij voorafgaande raadpleging? De autoriteit kan schriftelijk advies geven en haar bevoegdheden inzetten, waaronder waarschuwingen of beperkingen, als zij meent dat de voorgenomen verwerking de AVG zou schenden. Gerelateerde kernkwesties GDPR Privacy Impact Assessment GDPR Recht om geïnformeerd te worden

1.   De verwerkingsverantwoordelijke en de verwerker wijzen een functionaris voor gegevensbescherming aan in elk geval waarin: a) de verwerking wordt verricht door een overheidsinstantie of overheidsorgaan, behalve in het geval van gerechten bij de uitoefening van hun rechterlijke taken; b) een verwerkingsverantwoordelijke of de verwerker hoofdzakelijk is belast met verwerkingen die vanwege hun aard, hun omvang en/of hun doeleinden regelmatige en stelselmatige observatie op grote schaal van betrokkenen vereisen; of c) de verwerkingsverantwoordelijke of de verwerker hoofdzakelijk is belast met grootschalige verwerking van bijzondere categorieën van gegevens uit hoofde van artikel 9 en van persoonsgegevens met betrekking tot strafrechtelijke veroordelingen en strafbare feiten als bedoeld in artikel 10. 2.   Een concern kan één functionaris voor gegevensbescherming benoemen, mits de functionaris voor gegevensbescherming vanuit elke vestiging makkelijk te contacteren is. 3.   Wanneer de verwerkingsverantwoordelijke of de verwerker een overheidsinstantie of overheidsorgaan is, kan één functionaris voor gegevensbescherming worden aangewezen voor verschillende dergelijke instanties of organen, met inachtneming van hun organisatiestructuur en omvang. 4.   In andere dan de in lid 1 bedoelde gevallen kunnen of, indien dat Unierechtelijk of lidstaatrechtelijk is verplicht, moeten de verwerkingsverantwoordelijke of de verwerker of verenigingen en andere organen die categorieën van verwerkingsverantwoordelijken of verwerkers vertegenwoordigen, een functionaris voor gegevensbescherming aanwijzen. De functionaris voor gegevensbescherming kan optreden voor dergelijke verenigingen en andere organen die categorieën van verwerkingsverantwoordelijken of verwerkers vertegenwoordigen. 5.   De functionaris voor gegevensbescherming wordt aangewezen op grond van zijn professionele kwaliteiten en, in het bijzonder, zijn deskundigheid op het gebied van de wetgeving en de praktijk inzake gegevensbescherming en zijn vermogen de in artikel 39 bedoelde taken te vervullen. 6.   De functionaris voor gegevensbescherming kan een personeelslid van de verwerkingsverantwoordelijke of de verwerker zijn, of kan de taken op grond van een dienstverleningsovereenkomst verrichten. 7.   De verwerkingsverantwoordelijke of de verwerker maakt de contactgegevens van de functionaris voor gegevensbescherming bekend en deelt die mee aan de toezichthoudende autoriteit. Passende overwegingen Overweging 97 - Functionaris Voor Gegevensbescherming Veelgestelde vragen over artikel 37 +Wanneer is een functionaris voor gegevensbescherming (FG) vereist volgens de AVG? Artikel 37 vereist een FG wanneer de verwerking door een overheidsinstantie plaatsvindt, of wanneer de kernactiviteiten grootschalige stelselmatige monitoring of grootschalige verwerking van bijzondere gegevens omvatten. +Heeft elk bedrijf een FG nodig volgens de AVG? Nee. Een FG is alleen verplicht in de gevallen van artikel 37, maar elke organisatie mag er vrijwillig een aanwijzen als goede praktijk. +Kan een FG een externe consultant zijn? Ja. De FG kan een werknemer zijn of de rol vervullen op basis van een dienstverleningsovereenkomst, mits hij de vereiste deskundigheid heeft en onafhankelijk kan handelen. Gerelateerde kernkwesties Functionaris voor gegevensbescherming AVG GDPR Privacy Impact Assessment

1.   De verwerkingsverantwoordelijke en de verwerker zorgen ervoor dat de functionaris voor gegevensbescherming naar behoren en tijdig wordt betrokken bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens. 2.   De verwerkingsverantwoordelijke en de verwerker ondersteunen de functionaris voor gegevensbescherming bij de vervulling van de in artikel 39 bedoelde taken door hem toegang te verschaffen tot persoonsgegevens en verwerkingsactiviteiten en door hem de benodigde middelen ter beschikking te stellen voor het vervullen van deze taken en het in stand houden van zijn deskundigheid. 3.   De verwerkingsverantwoordelijke en de verwerker zorgen ervoor dat de functionaris voor gegevensbescherming geen instructies ontvangt met betrekking tot de uitvoering van die taken. Hij wordt door de verwerkingsverantwoordelijke of de verwerker niet ontslagen of gestraft voor de uitvoering van zijn taken. De functionaris voor gegevensbescherming brengt rechtstreeks verslag uit aan de hoogste leidinggevende van de verwerkingsverantwoordelijke of de verwerker. 4.   Betrokkenen kunnen met de functionaris voor gegevensbescherming contact opnemen over alle aangelegenheden die verband houden met de verwerking van hun gegevens en met de uitoefening van hun rechten uit hoofde van deze verordening. 5.   De functionaris voor gegevensbescherming is met betrekking tot de uitvoering van zijn taken overeenkomstig het Unierecht of het lidstatelijk recht tot geheimhouding of vertrouwelijkheid gehouden. 6.   De functionaris voor gegevensbescherming kan andere taken en plichten vervullen. De verwerkingsverantwoordelijke of de verwerker zorgt ervoor dat deze taken of plichten niet tot een belangenconflict leiden. Passende overwegingen Overweging 97 - Functionaris Voor Gegevensbescherming Veelgestelde vragen over artikel 38 +Wat is de rol van een FG binnen een organisatie? Artikel 38 vereist dat de FG naar behoren en tijdig wordt betrokken bij alle gegevensbeschermingsaangelegenheden, over voldoende middelen beschikt en rapporteert aan het hoogste leidinggevende niveau. +Moet een FG onafhankelijk zijn volgens de AVG? Ja. De FG moet zijn taken onafhankelijk uitvoeren, mag daarvoor niet worden ontslagen of gestraft en ontvangt geen instructies over de wijze waarop hij ze uitvoert. +Mag een FG andere taken hebben in het bedrijf? Een FG mag andere taken vervullen, maar de organisatie moet ervoor zorgen dat die geen belangenconflict opleveren met zijn verantwoordelijkheden inzake gegevensbescherming. Gerelateerde kernkwesties GDPR Privacy Impact Assessment GDPR Registers van Verwerkingsactiviteiten

1.   De functionaris voor gegevensbescherming vervult ten minste de volgende taken: a) de verwerkingsverantwoordelijke of de verwerker en de werknemers die verwerken, informeren en adviseren over hun verplichtingen uit hoofde van deze verordening en andere Unierechtelijke of lidstaatrechtelijke gegevensbeschermingsbepalingen; b) toezien op naleving van deze verordening, van andere Unierechtelijke of lidstaatrechtelijke gegevensbeschermingsbepalingen en van het beleid van de verwerkingsverantwoordelijke of de verwerker met betrekking tot de bescherming van persoonsgegevens, met inbegrip van de toewijzing van verantwoordelijkheden, bewustmaking en opleiding van het bij de verwerking betrokken personeel en de betreffende audits; c) desgevraagd advies verstrekken met betrekking tot de gegevensbeschermingseffect-beoordeling en toezien op de uitvoering daarvan in overeenstemming met artikel 35; d) met de toezichthoudende autoriteit samenwerken; e) optreden als contactpunt voor de toezichthoudende autoriteit inzake met verwerking verband houdende aangelegenheden, met inbegrip van de in artikel 36 bedoelde voorafgaande raadpleging, en, waar passend, overleg plegen over enige andere aangelegenheid. 2.   De functionaris voor gegevensbescherming houdt bij de uitvoering van zijn taken naar behoren rekening met het aan verwerkingen verbonden risico, en met de aard, de omvang, de context en de verwerkingsdoeleinden. Passende overwegingen Overweging 97 - Functionaris Voor Gegevensbescherming Veelgestelde vragen over artikel 39 +Wat zijn de taken van een functionaris voor gegevensbescherming? Artikel 39 belast de FG met het adviseren over verplichtingen, het toezien op naleving, het adviseren over DPIA's, het samenwerken met de toezichthoudende autoriteit en het optreden als haar aanspreekpunt. +Is de FG verantwoordelijk voor de naleving van de AVG? Nee. De FG ziet toe op en adviseert over naleving, maar de juridische verantwoordelijkheid voor naleving blijft bij de verantwoordelijke of de verwerker. +Voor wie fungeert de FG als aanspreekpunt? De FG is het aanspreekpunt van de toezichthoudende autoriteit en kan ook vragen van personen over de verwerking van hun gegevens en hun rechten behandelen. Gerelateerde kernkwesties GDPR Boetes / Sancties GDPR Registers van Verwerkingsactiviteiten

1.   De lidstaten, de toezichthoudende autoriteiten, het Comité en de Commissie bevorderen de opstelling van gedragscodes die, met inachtneming van de specifieke kenmerken van de diverse gegevensverwerkingssectoren en de specifieke behoeften van kleine, middelgrote en micro-ondernemingen, moeten bijdragen tot de juiste toepassing van deze verordening. 2.   Verenigingen en andere organen die categorieën van verwerkingsverantwoordelijken of verwerkers vertegenwoordigen, kunnen gedragscodes opstellen, of die codes wijzigen of uitbreiden, teneinde de toepassing van deze verordening nader toe te lichten, zoals met betrekking tot: a) behoorlijke en transparante verwerking; b) de gerechtvaardigde belangen die door verwerkingsverantwoordelijken in een specifieke context worden behartigd; c) de verzameling van gegevens; d) de pseudonimisering van persoonsgegevens; e) de aan het publiek en betrokkenen verstrekte informatie; f) de uitoefening van de rechten van betrokkenen; g) de informatie verstrekt aan en de bescherming van kinderen en de wijze waarop de toestemming wordt verkregen van de personen die de ouderlijke verantwoordelijkheid voor kinderen dragen; h) de maatregelen en procedures als bedoeld in de artikelen 24 en 25 en de maatregelen ter beveiliging van de verwerking als bedoeld in artikel 32; i) de kennisgeving van inbreuken in verband met persoonsgegevens aan toezichthoudende autoriteiten en de mededeling van die inbreuken in verband met persoonsgegevens aan betrokkenen; j) de doorgifte van persoonsgegevens aan derde landen of internationale organisaties; of k) buitengerechtelijke procedures en andere procedures voor de beslechting van geschillen tussen verwerkingsverantwoordelijken en betrokkenen met betrekking tot verwerking, onverminderd de rechten van betrokkenen op grond van de artikelen 77 en 79. 3.   Behalve door verwerkingsverantwoordelijken of verwerkers die onder deze verordening vallen, kan bij overeenkomstig lid 5 van dit artikel goedgekeurde gedragscodes die overeenkomstig lid 9 van dit artikel algemeen geldig zijn verklaard, eveneens worden aangesloten door verwerkingsverantwoordelijken of verwerkers die overeenkomstig artikel 3 niet onder deze verordening vallen, om te voorzien in passende waarborgen voor doorgifte van persoonsgegevens naar derde landen of internationale organisaties onder de voorwaarden als bedoeld in artikel 46, lid 2, punt e). Die verwerkingsverantwoordelijken of verwerkers doen, via contractuele of andere juridisch bindende instrumenten, bindende en afdwingbare toezeggingen om die passende waarborgen toe te passen, ook wat betreft de rechten van de betrokkenen. 4.   Een in lid 2 van dit artikel bedoelde gedragscode bevat mechanismen die het in artikel 41, lid 1, bedoelde orgaan in staat stellen het verplichte toezicht uit te oefenen op de naleving van de bepalingen van de code door de verwerkingsverantwoordelijken of verwerkers die zich tot toepassing ervan verbinden, onverminderd de taken en bevoegdheden van de overeenkomstig artikel 55 of 56 bevoegde toezichthoudende autoriteiten. 5.   De in lid 2 van dit artikel bedoelde verenigingen en andere organen die voornemens zijn een gedragscode op te stellen of een bestaande gedragscode te wijzigen of uit te breiden, leggen de ontwerpgedragscode, de wijziging of uitbreiding voor aan de overeenkomstig artikel 51 bevoegde toezichthoudende autoriteit. De toezichthoudende autoriteit brengt advies uit over de vraag of de ontwerpgedragscode, de wijziging of uitbreiding strookt met deze verordening, en keurt deze ontwerpgedragscode, die wijziging of uitbreiding goed indien zij van oordeel is dat de code voldoende passende waarborgen biedt. 6.   Wanneer de ontwerpgedragscode, de wijziging of uitbreiding wordt goedgekeurd overeenkomstig lid 5, en indien de gedragscode in kwestie geen betrekking heeft op verwerkingsactiviteiten in verschillende lidstaten, registreert de toezichthoudende autoriteit de gedragscode en maakt zij deze bekend. 7.   Wanneer een ontwerpgedragscode betrekking heeft op verwerkingsactiviteiten in verschillende lidstaten, legt de overeenkomstig artikel 55 bevoegde toezichthoudende autoriteit deze, vóór goedkeuring van de gedragscode, de wijziging of uitbreiding, via de in artikel 63 bedoelde procedure voor aan het Comité, dat advies geeft over de vraag of de ontwerpgedragscode, de wijziging of uitbreiding strookt met deze verordening, of, in de in lid 3 van dit artikel bedoelde situatie, voorziet in passende waarborgen. 8.   Wanneer in het in lid 7 bedoelde advies wordt bevestigd dat de gedragscode, de wijziging of uitbreiding strookt met deze verordening of, in de in lid 3 bedoelde situatie, passende waarborgen biedt, legt het Comité zijn advies voor aan de Commissie. 9.   De Commissie kan bij uitvoeringshandelingen vaststellen dat de goedgekeurde gedragscode, wijziging of uitbreiding die haar op grond van lid 8 van dit artikel zijn voorgelegd, binnen de Unie algemeen geldig zijn. Die uitvoeringshandelingen worden vastgesteld volgens de in artikel 93, lid 2, bedoelde onderzoeksprocedure. 10.   De Commissie zorgt ervoor dat aan de goedgekeurde codes die zij overeenkomstig lid 9 algemeen geldig heeft verklaard, passende bekendheid wordt verleend. 11.   Het Comité verzamelt alle goedgekeurde gedragscodes, wijzigingen en uitbreidingen in een register en maakt deze via geëigende kanalen openbaar. Passende overwegingen Overweging 98 - Opstelling Van Gedragscodes Door Organisaties En VerenigingenOverweging 99 - Consultatie Van Belanghebbenden En Betrokkenen Bij De Ontwikkeling Van Gedragscodes Veelgestelde vragen over artikel 40 +Wat zijn gedragscodes volgens de AVG? Artikel 40 moedigt verenigingen aan gedragscodes op te stellen die verduidelijken hoe de AVG in een sector wordt toegepast, waardoor organisaties naleving en goede praktijken kunnen aantonen. +Hoe helpen gedragscodes bij naleving van de AVG? Naleving van een goedgekeurde code kan dienen om te bewijzen dat verplichtingen zoals beveiliging en verantwoordingsplicht worden nagekomen en getuigt van een toewijding aan goede praktijken. +Wie keurt een AVG-gedragscode goed? Codes worden ter goedkeuring voorgelegd aan de bevoegde toezichthoudende autoriteit, en codes met grensoverschrijdende relevantie betrekken het Europees Comité voor gegevensbescherming. Gerelateerde kernkwesties GDPR Privacy by Design GDPR Derde Landen

1.   Onverminderd de taken en bevoegdheden van de bevoegde toezichthoudende autoriteit uit hoofde van de artikelen 57 en 58, kan het op grond van artikel 40 uitgevoerde toezicht op de naleving van een gedragscode worden uitgeoefend door een orgaan dat over de passende deskundigheid met betrekking tot het onderwerp van de gedragscode beschikt en daartoe door de bevoegde toezichthoudende autoriteit is geaccrediteerd. 2.   Een orgaan als bedoeld in lid 1 kan daartoe worden geaccrediteerd om toezicht te houden op de naleving van een gedragscode indien het: a) ten genoegen van de bevoegde toezichthoudende autoriteit zijn onafhankelijkheid en deskundigheid met betrekking tot het onderwerp van de gedragscode heeft aangetoond; b) procedures heeft vastgesteld op grond waarvan het kan beoordelen of de betrokken verwerkingsverantwoordelijken en verwerkers in aanmerking komen om de gedragscode toe te passen, toezicht kan houden op de naleving van de bepalingen van de gedragscode door deze laatsten en het de werking van de gedragscode op gezette tijden kan toetsen; c) procedures en structuren heeft vastgesteld om klachten te behandelen over inbreuken op de gedragscode of over de wijze waarop daaraan uitvoering is of wordt gegeven door een verwerkingsverantwoordelijke of verwerker, en om die procedures en structuren voor betrokkenen en het publiek transparant te maken; en d) ten genoegen van de bevoegde toezichthoudende autoriteit aantoont dat zijn taken en bevoegdheden niet tot een belangenconflict leiden. 3.   De bevoegde toezichthoudende autoriteit legt de ontwerpcriteria voor accreditatie van een in lid 1 van dit artikel bedoeld orgaan overeenkomstig het in artikel 63 bedoelde coherentiemechanisme voor aan het Comité. 4.   Onverminderd de taken en bevoegdheden van de bevoegde toezichthoudende autoriteit en de bepalingen van hoofdstuk VIII neemt een in lid 1 van dit artikel bedoeld orgaan, mits er passende waarborgen zijn, de nodige maatregelen ingeval een verwerkingsverantwoordelijke of verwerker een inbreuk pleegt op de gedragscode, waaronder schorsing of uitsluiting van de betrokken verwerkingsverantwoordelijke of verwerker van de gedragscode. Het orgaan stelt de bevoegde toezichthoudende autoriteit in kennis van die maatregelen en van de redenen daarvoor. 5.   De bevoegde toezichthoudende autoriteit trekt de accreditatie van een in lid 1 bedoeld orgaan in indien de voorwaarden voor accreditatie niet of niet meer worden vervuld of indien de door het orgaan genomen maatregelen inbreuk maken op deze verordening. 6.   Dit artikel geldt niet voor de verwerking door overheidsinstanties en -organen. Passende overwegingen Overweging 77 – Richtlijnen Voor Risicobeoordeling Overweging 81 – Het Gebruik Van Verwerkers Overweging 98 – Opstelling Van Gedragscodes Door Organisaties En Verenigingen Overweging 99 – Consultatie Van Belanghebbenden En Betrokkenen Bij De Ontwikkeling Van Gedragscodes Veelgestelde vragen over artikel 41 +Wie houdt toezicht op de naleving van AVG-gedragscodes? Artikel 41 staat een geaccrediteerd orgaan met passende deskundigheid toe toezicht te houden op de naleving van een goedgekeurde code, naast de bevoegdheden van de toezichthoudende autoriteit. +Wat gebeurt er als een organisatie een gedragscode schendt? Het toezichthoudende orgaan kan maatregelen nemen, waaronder schorsing of uitsluiting van de organisatie van de code, en moet de toezichthoudende autoriteit van die maatregelen op de hoogte stellen. +Vervangen toezichthoudende organen de toezichthoudende autoriteiten? Nee. Toezichthoudende organen vullen de toezichthoudende autoriteit aan maar vervangen haar niet; die behoudt al haar handhavingsbevoegdheden onder de AVG. Gerelateerde kernkwesties GDPR Privacy Impact Assessment GDPR Registers van Verwerkingsactiviteiten

1.   De lidstaten, de toezichthoudende autoriteiten, het Comité en de Commissie bevorderen, met name op Unieniveau, de invoering van certificeringsmechanismen voor gegevensbescherming en gegevensbeschermingszegels en -merktekens waarmee kan worden aangetoond dat verwerkingsverantwoordelijken en verwerkers bij verwerkingen in overeenstemming met deze verordening handelen. Er wordt ook rekening gehouden met de specifieke behoeften van kleine, middelgrote en micro-ondernemingen. 2.   Ter aanvulling op de naleving door verwerkingsverantwoordelijken of verwerkers die onder deze verordening vallen, kunnen tevens uit hoofde van lid 5 van dit artikel goedgekeurde certificeringsmechanismen voor gegevensbescherming, gegevensbeschermingszegels of -merktekens worden ingevoerd om aan te tonen dat de verwerkingsverantwoordelijken of verwerkers die overeenkomstig artikel 3 niet onder deze verordening vallen, in het kader van de doorgiften van persoonsgegevens aan derde landen of internationale organisaties onder de voorwaarden als bedoeld in artikel 46, lid 2, punt f), passende waarborgen bieden. Die verwerkingsverantwoordelijken of verwerkers doen, via contractuele of andere juridisch bindende instrumenten, bindende en afdwingbare toezeggingen om die passende waarborgen toe te passen, ook wat betreft de rechten van de betrokkenen. 3.   De certificering is vrijwillig en toegankelijk via een transparant proces. 4.   Een certificering op grond van dit artikel doet niets af aan de verantwoordelijkheid van de verwerkingsverantwoordelijke of de verwerker om deze verordening na te leven en laat de taken en bevoegdheden van de overeenkomstig artikel 55 of 56 bevoegde toezichthoudende autoriteiten onverlet. 5.   Een certificaat uit hoofde van dit artikel wordt afgegeven door de in artikel 43 bedoelde certificerende organen of door de bevoegde toezichthoudende autoriteit, op grond van de criteria die zijn goedgekeurd door die bevoegde toezichthoudende autoriteit op grond van artikel 58, lid 3, of door het Comité overeenkomstig artikel 63. Indien de criteria door het Comité zijn goedgekeurd, kan dit leiden tot een gemeenschappelijke certificaat, het Europees gegevensbeschermingszegel. 6.   De verwerkingsverantwoordelijke of de verwerker die zijn verwerking aan het certificeringsmechanisme onderwerpt, verstrekt aan het in artikel 43 bedoelde certificeringsorgaan, of, waar van toepassing, aan de bevoegde toezichthoudende autoriteit de voor de uitvoering van de certificeringsprocedure noodzakelijke informatie en verleent het orgaan of de autoriteit toegang tot zijn verwerkingsactiviteiten. 7.   Het certificaat wordt afgegeven aan een verwerkingsverantwoordelijke of een verwerker voor een maximumperiode van drie jaar en kan worden verlengd onder dezelfde voorwaarden, mits bij voortduring aan de relevante eisen kan worden voldaan. Indien van toepassing wordt het certificaat ingetrokken door de in artikel 43 bedoelde certificerende organen of door de bevoegde toezichthoudende autoriteit, wanneer aan de eisen voor de certificering niet of niet meer wordt voldaan. 8.   Het Comité verzamelt alle certificeringsmechanismen en gegevensbeschermingszegels en -merktekens in een register en maakt deze via de daartoe geëigende kanalen openbaar. Passende overwegingen Overweging 100 - Certificering Veelgestelde vragen over artikel 42 +Wat is AVG-certificering volgens artikel 42? Artikel 42 bevordert certificeringsmechanismen, zegels en merktekens waarmee organisaties kunnen aantonen dat hun verwerkingen aan de AVG voldoen. +Bewijst AVG-certificering volledige naleving? Nee. Certificering helpt naleving aan te tonen maar vermindert niet de verantwoordelijkheid van de verantwoordelijke of de verwerker, die volledig verantwoordelijk blijven onder de AVG. +Is AVG-certificering verplicht? Nee. Certificering is vrijwillig en verloopt via een transparant proces; zij dient als instrument om goede praktijken te tonen en vertrouwen op te bouwen. Gerelateerde kernkwesties GDPR Versleuteling GDPR Privacy Impact Assessment

1.   Onverminderd de taken en bevoegdheden van de bevoegde toezichthoudende autoriteit uit hoofde van de artikelen 57 en 58, gaan certificeringsorganen die over de passende deskundigheid met betrekking tot gegevensbescherming beschikt, wordt in voorkomend geval na kennisgeving aan de toezichthoudende autoriteit met het oog op de uitoefening van haar bevoegdheden overeenkomstig artikel 58, lid 2, punt h), over tot afgifte en verlenging van het certificaat. De lidstaten zorgen ervoor dat die certificeringsorganen worden geaccrediteerd door één van de volgende instanties: a) de toezichthoudende autoriteit die bevoegd is overeenkomstig artikel 55 of 56; b) de nationale accreditatie-instantie die is aangewezen in overeenstemming met Verordening (EG) nr. 765/2008 van het Europees Parlement en de Raad , in overeenstemming met EN-ISO/IEC 17065/2012 en met de aanvullende eisen die door de overeenkomstig artikel 55 of 56 bevoegde toezichthoudende autoriteit zijn vastgesteld. 2.   De in lid 1 bedoelde certificeringsorganen kunnen overeenkomstig dit lid uitsluitend worden geaccrediteerd indien zij: a) ten genoegen van de bevoegde toezichthoudende autoriteit, hun onafhankelijkheid en deskundigheid met betrekking tot het certificeringsonderwerp hebben aangetoond; b) er zich toe verbonden hebben aan de in artikel 42, lid 5, bedoelde criteria te voldoen, welke zijn goedgekeurd door de op grond van artikel 55 of 56 bevoegde toezichthoudende autoriteit of, overeenkomstig artikel 63, door het Comité; c) procedures hebben vastgesteld voor de uitgifte, periodieke toetsing en intrekking van certificeringsmechanismen voor gegevensbescherming, gegevensbeschermingszegels en -merktekens; d) procedures en structuren hebben vastgesteld om klachten te behandelen over inbreuken op de certificering of de wijze waarop daaraan uitvoering is of wordt gegeven door de verwerkingsverantwoordelijke of de verwerker, en om die procedures en structuren voor betrokkenen en het publiek transparant te maken; en e) ten genoegen van de bevoegde toezichthoudende autoriteit, aantoont dat hun taken en plichten niet tot een belangenconflict leiden. 3.   De accreditatie van de in de leden 1 en 2 van dit artikel bedoelde certificeringsorganen vindt plaats op basis van criteria die zijn goedgekeurd door de op grond van artikel 55 of 56 bevoegde toezichthoudende autoriteit of, overeenkomstig artikel 63, door het Comité. In het geval van een accreditatie in de zin van lid 1, punt b), van dit artikel zijn die eisen een aanvulling op de eisen van Verordening (EG) nr. 765/2008 en de technische regels die een beschrijving van de methoden en procedures van de certificeringsorganen geven. 4.   De in lid 1 bedoelde certificeringsorganen zijn verantwoordelijk voor de juiste beoordeling, die tot certificering of de intrekking van die certificering leidt, onverminderd de verantwoordelijkheid van de verwerkingsverantwoordelijke of de verwerker voor de naleving van deze verordening. De accreditatie wordt afgegeven voor een maximumperiode van vijf jaar en kan onder dezelfde voorwaarden worden verlengd, mits het certificeringsorgaan aan de in dit artikel gestelde eisen blijft voldoen. 5.   De in lid 1 bedoelde certificeringsorganen stellen de bevoegde toezichthoudende autoriteiten op de hoogte van de redenen voor het afgeven of het intrekken van het aangevraagde certificaat. 6.   De in lid 3 van dit artikel bedoelde voorschriften en de in artikel 42, lid 5, bedoelde criteria worden door de toezichthoudende autoriteit in een eenvoudig toegankelijke vorm openbaar gemaakt. De toezichthoudende autoriteiten delen die eisen en criteria ook mee aan het Comité. Het Comité verzamelt alle certificeringsmechanismen en gegevensbeschermingszegels in een register en maakt deze via geëigende kanalen openbaar. 7.   Indien de voorwaarden voor de accreditatie niet of niet meer worden vervuld of indien de door een certificeringsorgaan genomen maatregelen inbreuk maken op deze verordening trekt de bevoegde toezichthoudende autoriteit of de nationale accreditatie-instantie, onverminderd hoofdstuk VIII, de overeenkomstig lid 1 van dit artikel aan een certificeringsorgaan afgegeven accreditatie in. 8.   De Commissie is bevoegd overeenkomstig artikel 92 gedelegeerde handelingen vast te stellen met het oog op de nadere invulling van de in aanmerking te nemen eisen voor de in artikel 42, lid 1, bedoelde certificeringsmechanismen voor gegevensbescherming. 9.   De Commissie kan uitvoeringshandelingen vaststellen die voorzien in technische normen voor certificeringsmechanismen en gegevensbeschermingszegels en -merktekens en mechanismen ter bevordering en erkenning van die certificeringsmechanismen en gegevensbeschermingszegels en -merktekens. Die uitvoeringshandelingen worden vastgesteld volgens de in artikel 93, lid 2, bedoelde onderzoeksprocedure. Passende overwegingen Overweging 77 – Richtlijnen Voor Risicobeoordeling Overweging 81 – Het Gebruik Van Verwerkers Overweging 98 – Opstelling Van Gedragscodes Door Organisaties En Verenigingen Overweging 98 – Opstelling Van Gedragscodes Door Organisaties En Verenigingen Overweging 99 – Consultatie Van Belanghebbenden En Betrokkenen Bij De Ontwikkeling Van Gedragscodes Overweging 100 – Certificering Overweging 148 – Boetes Veelgestelde vragen over artikel 43 +Wat zijn certificeringsorganen volgens de AVG? Artikel 43 bepaalt dat geaccrediteerde certificeringsorganen AVG-certificeringen kunnen afgeven, verlengen en intrekken, mits zij over passende deskundigheid beschikken en aan de accreditatievereisten voldoen. +Wie accrediteert AVG-certificeringsorganen? Certificeringsorganen worden geaccrediteerd door de toezichthoudende autoriteit of het nationale accreditatieorgaan, op basis van door de bevoegde autoriteit goedgekeurde criteria. +Kan een certificering worden ingetrokken? Ja. Een certificeringsorgaan moet een certificering intrekken wanneer niet langer aan de vereisten wordt voldaan, en ook toezichthoudende autoriteiten kunnen intrekking gelasten. Gerelateerde kernkwesties Functionaris voor gegevensbescherming – AVG GDPR Registers van Verwerkingsactiviteiten

Persoonsgegevens die worden verwerkt of die zijn bestemd om na doorgifte aan een derde land of een internationale organisatie te worden verwerkt, mogen slechts worden doorgegeven indien, onverminderd de overige bepalingen van deze verordening, de verwerkingsverantwoordelijke en de verwerker aan de in dit hoofdstuk neergelegde voorwaarden hebben voldaan; dit geldt ook voor verdere doorgiften van persoonsgegevens vanuit het derde land of een internationale organisatie aan een ander derde land of een andere internationale organisatie. Alle bepalingen van dit hoofdstuk worden toegepast opdat het door deze verordening voor natuurlijke personen gewaarborgde beschermingsniveau niet wordt ondermijnd. Passende overwegingen Overweging 101 - Algemene Beginselen Voor Internationale GegevensoverdrachtenOverweging 102 - Internationale Overeenkomsten Voor Een Passend Niveau Van Gegevensbescherming Veelgestelde vragen over artikel 44 +Wat is het algemene beginsel voor internationale doorgiften volgens de AVG? Artikel 44 bepaalt dat gegevens alleen buiten de EU mogen worden doorgegeven als aan de voorwaarden van hoofdstuk 5 is voldaan, zodat het door de AVG gewaarborgde beschermingsniveau niet wordt ondermijnd. +Mogen persoonsgegevens de EU verlaten volgens de AVG? Ja, maar alleen bij een adequaatheidsbesluit, passende waarborgen of een toepasselijke uitzondering. Het beschermingsniveau moet in wezen gelijkwaardig blijven aan dat van de AVG. +Wat is een doorgifte onder voorwaarden volgens de AVG? Een doorgifte onder voorwaarden is een doorgifte van gegevens naar een land of organisatie buiten de EU of de EER, die alleen rechtmatig is als er een doorgiftemechanisme uit hoofdstuk 5 is. Gerelateerde kernkwesties GDPR Privacy Impact Assessment GDPR Registers van Verwerkingsactiviteiten GDPR Derde Landen

1.   Een doorgifte van persoonsgegevens aan een derde land of een internationale organisatie kan plaatsvinden wanneer de Commissie heeft besloten dat het derde land, een gebied of één of meerdere nader bepaalde sectoren in dat derde land, of de internationale organisatie in kwestie een passend beschermingsniveau waarborgt. Voor een dergelijke doorgifte is geen specifieke toestemming nodig. 2.   Bij de beoordeling van de vraag of het beschermingsniveau adequaat is, houdt de Commissie met name rekening met de volgende aspecten: a) de rechtsstatelijkheid, de eerbiediging van de mensenrechten en de fundamentele vrijheden, de toepasselijke algemene en sectorale wetgeving, onder meer inzake openbare veiligheid, defensie, nationale veiligheid en strafrecht en de toegang van overheidsinstanties tot persoonsgegevens, evenals de tenuitvoerlegging van die wetgeving, gegevensbeschermingsregels, beroepsregels en veiligheidsmaatregelen, met inbegrip van regels voor de verdere doorgifte van persoonsgegevens aan een ander derde land of een andere internationale organisatie die in dat land of die internationale organisatie worden nageleefd, precedenten in de rechtspraak, alsmede het bestaan van effectieve en afdwingbare rechten van betrokkenen en effectieve mogelijkheden om administratief beroep of beroep in rechte in te stellen voor betrokkenen wier persoonsgegevens worden doorgegeven; b) het bestaan en het effectief functioneren van een of meer onafhankelijke toezichthoudende autoriteiten in het derde land of waaraan een internationale organisatie is onderworpen, welke tot taak heeft of hebben de naleving van de gegevensbeschermingsregels te verzekeren en deze onder meer met passende handhavingsbevoegdheden te handhaven, betrokkenen bij de uitoefening van hun rechten bij te staan en te adviseren en met de toezichthoudende autoriteiten van de lidstaten samen te werken; en c) de internationale toezeggingen die het derde land of de internationale organisatie in kwestie heeft gedaan, of andere verplichtingen die voortvloeien uit juridisch bindende overeenkomsten of instrumenten, alsmede uit de deelname van dat derde land of die internationale organisatie aan multilaterale of regionale regelingen, in het bijzonder met betrekking tot de bescherming van persoonsgegevens. 3.   De Commissie kan, na de beoordeling van de vraag of het beschermingsniveau adequaat is, door middel van een uitvoeringshandeling besluiten dat een derde land, een gebied of één of meerdere nader bepaalde sectoren in een derde land, of een internationale organisatie een passend beschermingsniveau in de zin van lid 2 van dit artikel waarborgt. De uitvoeringshandeling voorziet in een mechanisme voor periodieke toetsing, minstens om de vier jaar, waarbij alle relevante ontwikkelingen in het derde land of de internationale organisatie in aanmerking worden genomen. In de uitvoeringshandeling worden het territoriale en het sectorale toepassingsgebied vermeld, alsmede, in voorkomend geval, de in lid 2, punt b), van dit artikel genoemde toezichthoudende autoriteit(en). De uitvoeringshandeling wordt vastgesteld volgens de in artikel 93, lid 2, bedoelde onderzoeksprocedure. 4.   De Commissie houdt doorlopend toezicht op ontwikkelingen in derde landen en internationale organisaties die mogelijk gevolgen hebben voor het functioneren van krachtens lid 3 van dit artikel vastgestelde besluiten en van op grond van artikel 25, lid 6, van Richtlijn 95/46/EG vastgestelde besluiten. 5.   De Commissie gaat, wanneer uit beschikbare informatie blijkt, in het bijzonder naar aanleiding van de in lid 3 van dit artikel bedoelde toetsing, dat een derde land, een gebied of één of meerdere nader bepaalde sectoren in een derde land, of een internationale organisatie niet langer een passend beschermingsniveau in de zin van lid 2 van dit artikel waarborgt, voor zover nodig, bij uitvoeringshandelingen zonder terugwerkende kracht over tot intrekking, wijziging of schorsing van het in lid 3 van dit artikel bedoelde besluit. Die uitvoeringshandelingen worden vastgesteld volgens de in artikel 93, lid 2, bedoelde onderzoeksprocedure. Om naar behoren gemotiveerde dwingende redenen van urgentie, stelt de Commissie onmiddellijk van toepassing zijnde uitvoeringshandelingen vast volgens de in artikel 93, lid 3, bedoelde procedure. 6.   De Commissie pleegt overleg met het derde land of de internationale organisatie om de situatie naar aanleiding waarvan het besluit overeenkomstig lid 5 is vastgesteld, te verhelpen. 7.   Een overeenkomstig lid 5 van dit artikel vastgesteld besluit laat de doorgiften van persoonsgegevens aan het derde land, of een gebied of één of meerdere nader bepaalde sectoren in dat derde land, of de internationale organisatie in kwestie overeenkomstig de artikelen 46 tot en met 49 onverlet. 8.   De Commissie maakt in het Publicatieblad van de Europese Unie en op haar website een lijst bekend van de derde landen, gebieden en nader bepaalde sectoren in derde landen en internationale organisaties waarvoor zij bij besluit heeft vastgesteld dat deze wel of niet langer een passend beschermingsniveau waarborgen. 9.   De besluiten die de Commissie op grond van artikel 25, lid 6, van Richtlijn 95/46/EG heeft vastgesteld, blijven van kracht, totdat zij worden gewijzigd, vervangen of ingetrokken bij een overeenkomstig lid 3 of lid 5 van dit artikel vastgesteld besluit van de Commissie. Passende overwegingen Overweging 103 - Passend Niveau Van Gegevensbescherming Op Basis Van Een AdequaatheidsbesluitOverweging 104 - Criteria Voor Een AdequaatheidsbesluitOverweging 105 - Overweging Van Internationale Overeenkomsten Voor Een AdequaatheidsbesluitOverweging 106 - Toezicht En Periodieke Herziening Van Het Niveau Van GegevensbeschermingOverweging 107 - Wijziging, Intrekking En Opschorting Van Adequaatheidsbesluiten Veelgestelde vragen over artikel 45 +Wat is een adequaatheidsbesluit volgens de AVG? Een adequaatheidsbesluit is een vaststelling van de Europese Commissie dat een derde land een passend niveau van gegevensbescherming biedt, waardoor gegevens daarheen zonder aanvullende waarborgen mogen stromen. +Welke landen hebben een EU-adequaatheidsbesluit? Verschillende landen beschikken over adequaatheidsbesluiten, waaronder het Verenigd Koninkrijk, Zwitserland, Japan en andere. De lijst wordt door de Europese Commissie bijgehouden en herzien en kan veranderen. +Zijn extra waarborgen nodig om door te geven naar een adequaat land? Nee. Wanneer een adequaatheidsbesluit de bestemming dekt, mogen doorgiften vrij plaatsvinden zonder aanvullende waarborgen zoals modelcontractbepalingen. Gerelateerde kernkwesties Functionaris voor gegevensbescherming – AVG GDPR Registers van Verwerkingsactiviteiten

1.   Bij ontstentenis van een besluit uit hoofde van artikel 45, lid 3, mag een doorgifte van persoonsgegevens aan een derde land of een internationale organisatie door een verwerkingsverantwoordelijke of een verwerker alleen plaatsvinden mits zij passende waarborgen bieden en betrokkenen over afdwingbare rechten en doeltreffende rechtsmiddelen beschikken. 2.   De in lid 1 bedoelde passende waarborgen kunnen worden geboden door de volgende instrumenten, zonder dat daarvoor specifieke toestemming van een toezichthoudende autoriteit is vereist: a) een juridisch bindend en afdwingbaar instrument tussen overheidsinstanties of -organen; b) bindende bedrijfsvoorschriften overeenkomstig artikel 47; c) standaardbepalingen inzake gegevensbescherming die door de Commissie volgens de in artikel 93, lid 2, bedoelde onderzoeksprocedure zijn vastgesteld; d) standaardbepalingen inzake gegevensbescherming die door een toezichthoudende autoriteit zijn vastgesteld en die door de Commissie volgens de in artikel 93, lid 2, bedoelde onderzoeksprocedure zijn goedgekeurd; e) een overeenkomstig artikel 40 goedgekeurde gedragscode, samen met bindende en afdwingbare toezeggingen van de verwerkingsverantwoordelijke of de verwerker in het derde land om de passende waarborgen, onder meer voor de rechten van de betrokkenen, toe te passen; of f) een overeenkomstig artikel 42 goedgekeurd certificeringsmechanisme, samen met bindende en afdwingbare toezeggingen van de verwerkingsverantwoordelijke of de verwerker in het derde land om de passende waarborgen, onder meer voor de rechten van de betrokkenen, toe te passen. 3.   Onder voorbehoud van de toestemming van de bevoegde toezichthoudende autoriteit kunnen de in lid 1 bedoelde passende waarborgen ook worden geboden door, met name: a) contractbepalingen tussen de verwerkingsverantwoordelijke of de verwerker en de verwerkingsverantwoordelijke, de verwerker of de ontvanger van de persoonsgegevens in het derde land of de internationale organisatie; of b) bepalingen die moeten worden opgenomen in administratieve regelingen tussen overheidsinstanties of -organen, waaronder afdwingbare en effectieve rechten van betrokkenen. 4.   De toezichthoudende autoriteit past het in artikel 63 bedoelde coherentiemechanisme toe in de in lid 3 van dit artikel vermelde gevallen. 5.   Toestemmingen die een lidstaat of een toezichthoudende autoriteit op grond van artikel 26, lid 2, van Richtlijn 95/46/EG heeft verleend, blijven geldig totdat zij door die toezichthoudende autoriteit, indien nodig, worden gewijzigd, vervangen of ingetrokken. De besluiten die de Commissie op grond van artikel 26, lid 4, van Richtlijn 95/46/EG heeft vastgesteld, blijven van kracht totdat zij bij een overeenkomstig lid 2 van dit artikel vastgesteld besluit van de Commissie, indien nodig, worden gewijzigd, vervangen of ingetrokken. Passende overwegingen Overweging 108 - Passende WaarborgenOverweging 109 - Standaardbepalingen Voor Gegevensbescherming Veelgestelde vragen over artikel 46 +Wat zijn passende waarborgen voor internationale doorgiften? Artikel 46 staat doorgiften toe met passende waarborgen, zoals modelcontractbepalingen, bindende bedrijfsvoorschriften, goedgekeurde gedragscodes of certificeringsmechanismen. +Wat zijn modelcontractbepalingen (SCC's)? SCC's zijn door de Europese Commissie goedgekeurde modelbepalingen voor gegevensbescherming die verantwoordelijken en verwerkers kunnen gebruiken om passende waarborgen te bieden voor doorgiften buiten de EU. +Is een doorgifte-effectbeoordeling nodig bij SCC's? In de praktijk moeten organisaties die SCC's gebruiken beoordelen of de wetgeving van de bestemming de waarborgen ondermijnt en waar nodig aanvullende maatregelen treffen. Gerelateerde kernkwesties GDPR Registers van Verwerkingsactiviteiten GDPR Derde Landen

1.   De bevoegde toezichthoudende autoriteit keurt in overeenstemming met het in artikel 63 bedoelde coherentiemechanism bindende bedrijfsvoorschriften goed, op voorwaarde dat deze: a) juridisch bindend zijn voor, van toepassing zijn op en worden gehandhaafd door alle betrokken leden van het concern, of de groepering van ondernemingen die gezamenlijk een economische activiteit uitoefenen, met inbegrip van hun werknemers; b) betrokkenen uitdrukkelijk afdwingbare rechten toekennen met betrekking tot de verwerking van hun persoonsgegevens; en c) voldoen aan de in lid 2 vastgestelde vereisten. 2.   In de in lid 1 bedoelde bindende bedrijfsvoorschriften worden minstens de volgende elementen vastgelegd: a) de structuur en de contactgegevens van het concern of de groepering van ondernemingen die gezamenlijk een economische activiteit uitoefenen en van elk van haar leden; b) de gegevensdoorgiften of reeks van doorgiften, met inbegrip van de categorieën van persoonsgegevens, het soort verwerking en de doeleinden daarvan, het soort betrokkenen in kwestie en de identificatie van het derde land of de derde landen in kwestie; c) het intern en extern juridisch bindende karakter; d) de toepassing van de algemene beginselen inzake gegevensbescherming, met name doelbinding, minimale gegevensverwerking, beperkte opslagtermijnen, kwaliteit van gegevens, gegevensbescherming door standaardinstellingen en door ontwerp, rechtsgrond voor verwerking, verwerking van bijzondere categorieën van persoonsgegevens, maatregelen om gegevensbeveiliging te waarborgen, en de vereisten inzake verdere doorgiften aan organen die niet door bindende bedrijfsvoorschriften zijn gebonden; e) de rechten van betrokkenen in verband met verwerking en de middelen om die rechten uit te oefenen, waaronder het recht om niet te worden onderworpen aan louter op geautomatiseerde verwerking gebaseerde besluiten, met inbegrip van profilering overeenkomstig artikel 22, het recht om een klacht in te dienen bij de bevoegde toezichthoudende autoriteit, om een vordering in te stellen bij de bevoegde gerechten van de lidstaten overeenkomstig artikel 79, en om schadeloosstelling en, in voorkomend geval, een vergoeding te verkrijgen voor een inbreuk op de bindende bedrijfsvoorschriften; f) de aanvaarding door de op het grondgebied van een lidstaat gevestigde verwerkingsverantwoordelijke of verwerker van aansprakelijkheid voor alle inbreuken op de bindende bedrijfsvoorschriften door een niet in de Unie gevestigd betrokken lid; de verwerkingsverantwoordelijke of de verwerker wordt alleen geheel of gedeeltelijk van deze aansprakelijkheid ontheven, indien hij bewijst dat dat lid niet verantwoordelijk is voor het schadebrengende feit; g) de wijze waarop, in aanvulling op de in de artikelen 13 en 14 bedoelde informatie, aan betrokkenen informatie wordt verschaft over de bindende bedrijfsvoorschriften, met name over de bepalingen in de punten d), e) en f); h) de taken van elke overeenkomstig artikel 37 aangewezen functionaris voor gegevensbescherming, of elke andere persoon of entiteit die is belast met het toezicht op de naleving van de bindende bedrijfsvoorschriften binnen het concern of de groepering van ondernemingen die gezamenlijk een economische activiteit uitoefenen, op opleiding en op de behandeling van klachten; i) de klachtenprocedures; j) de binnen het concern of de groepering van ondernemingen die gezamenlijk een economische activiteit uitoefenen bestaande procedures om te controleren of de bindende bedrijfsvoorschriften zijn nageleefd. Dergelijke procedures omvatten gegevensbeschermingsaudits en -methoden om te zorgen voor corrigerende maatregelen ter bescherming van de rechten van de betrokkene. De resultaten van dergelijke controles dienen te worden meegedeeld aan de in punt h) bedoelde persoon of entiteit en aan de raad van bestuur van de onderneming die zeggenschap uitoefent over een concern, of van de groepering van ondernemingen die gezamenlijk een economische activiteit uitoefenen, en dienen op verzoek ter beschikking van de bevoegde toezichthoudende autoriteit te worden gesteld; k) de procedures om die veranderingen in de regels te melden, te registreren en aan de toezichthoudende autoriteit te melden; l) de procedure voor samenwerking met de toezichthoudende autoriteit om ervoor te zorgen dat alle leden van het concern of de groepering van ondernemingen die gezamenlijk een economische activiteit uitoefenen de bindende bedrijfsvoorschriften naleven, in het bijzonder door de resultaten van de in punt j) bedoelde controles ter beschikking van de toezichthoudende autoriteit te stellen; m) de procedures om eventuele wettelijke voorschriften waaraan een lid van het concern of de groepering van ondernemingen die gezamenlijk een economische activiteit uitoefenen in een derde land is onderworpen en die waarschijnlijk een aanzienlijk negatief effect zullen hebben op de door de bindende bedrijfsvoorschriften geboden waarborgen, aan de bevoegde toezichthoudende autoriteit te melden; en n) de passende opleiding inzake gegevensbescherming voor personeel dat permanent of op regelmatige basis toegang tot persoonsgegevens heeft. 3.   De Commissie kan het model en de procedures voor de uitwisseling van informatie over bindende bedrijfsvoorschriften in de zin van dit artikel tussen verwerkingsverantwoordelijken, verwerkers en toezichthoudende autoriteiten nader bepalen. Deze uitvoeringshandelingen worden vastgesteld volgens de in artikel 93, lid 2, bedoelde onderzoeksprocedure. Passende overwegingen Overweging 110 - Bindende Bedrijfsvoorschriften Veelgestelde vragen over artikel 47 +Wat zijn bindende bedrijfsvoorschriften (BCR's) volgens de AVG? Artikel 47 staat multinationale groepen toe gegevens intern door te geven met bindende bedrijfsvoorschriften, ofwel interne gegevensbeschermingsregels die door een toezichthoudende autoriteit zijn goedgekeurd. +Wie kan bindende bedrijfsvoorschriften gebruiken? BCR's worden gebruikt door ondernemingsgroepen of groepen ondernemingen die een gezamenlijke economische activiteit uitoefenen, om doorgiften van gegevens binnen de groep over de grenzen heen mogelijk te maken. +Hoe worden bindende bedrijfsvoorschriften goedgekeurd? BCR's moeten worden goedgekeurd door de bevoegde toezichthoudende autoriteit via het coherentiemechanisme, met betrokkenheid van het Europees Comité voor gegevensbescherming. Gerelateerde kernkwesties Functionaris voor gegevensbescherming – AVG GDPR Recht om geïnformeerd te worden

Elke rechterlijke uitspraak en elk besluit van een administratieve autoriteit van een derde land op grond waarvan een verwerkingsverantwoordelijke of een verwerker persoonsgegevens moet doorgeven of verstrekken, mag alleen op enigerlei wijze worden erkend of afdwingbaar zijn indien zij gebaseerd zijn op een internationale overeenkomst, zoals een verdrag inzake wederzijdse rechtsbijstand, tussen het verzoekende derde landen en de Unie of een lidstaat, onverminderd andere gronden voor doorgifte uit hoofde van dit hoofdstuk. Passende overwegingen Overweging 115 - Regels In Derde Landen In Strijd Met De Verordening Veelgestelde vragen over artikel 48 +Wat zegt artikel 48 AVG over buitenlandse rechterlijke beslissingen? Artikel 48 bepaalt dat een vonnis of beslissing van een autoriteit van een derde land die een doorgifte vereist alleen wordt erkend als het berust op een internationale overeenkomst zoals een verdrag inzake wederzijdse rechtshulp. +Mag een bedrijf EU-gegevens aan buitenlandse autoriteiten verstrekken? Niet enkel op basis van een buitenlandse rechterlijke beslissing. De verstrekking moet berusten op een internationale overeenkomst; anders moet het verzoek worden beoordeeld volgens de doorgifteregels van de AVG. +Waarom is artikel 48 belangrijk voor wereldwijde bedrijven? Het beperkt hoe organisaties reageren op verzoeken van buitenlandse overheden en rechtbanken om EU-gegevens, en helpt conflicten tussen lokaal recht en AVG-verplichtingen te voorkomen. Gerelateerde kernkwesties GDPR Boetes / Sancties GDPR Derde Landen

1.   Bij ontstentenis van een adequaatheidsbesluit overeenkomstig artikel 45, lid 3, of van passende waarborgen overeenkomstig artikel 46, met inbegrip van bindende bedrijfsvoorschriften, kan een doorgifte of een reeks van doorgiften van persoonsgegevens aan een derde land of een internationale organisatie slechts plaatsvinden mits aan één van de volgende voorwaarden is voldaan: a) de betrokkene heeft uitdrukkelijk met de voorgestelde doorgifte ingestemd, na te zijn ingelicht over de risico's die dergelijke doorgiften voor hem kunnen inhouden bij ontstentenis van een adequaatheidsbesluit en van passende waarborgen; b) de doorgifte is noodzakelijk voor de uitvoering van een overeenkomst tussen de betrokkene en de verwerkingsverantwoordelijke of voor de uitvoering van op verzoek van de betrokkene genomen precontractuele maatregelen; c) de doorgifte is noodzakelijk voor de sluiting of de uitvoering van een in het belang van de betrokkene tussen de verwerkingsverantwoordelijke en een andere natuurlijke persoon of rechtspersoon gesloten overeenkomst; d) de doorgifte is noodzakelijk wegens gewichtige redenen van algemeen belang; e) de doorgifte is noodzakelijk voor de instelling, uitoefening of onderbouwing van een rechtsvordering; f) de doorgifte is noodzakelijk voor de bescherming van de vitale belangen van de betrokkene of van andere personen, indien de betrokkene lichamelijk of juridisch niet in staat is zijn toestemming te geven; g) de doorgifte is verricht vanuit een register dat volgens het Unierecht of lidstatelijk recht is bedoeld om het publiek voor te lichten en dat door eenieder dan wel door iedere persoon die zich op een gerechtvaardigd belang kan beroepen, kan worden geraadpleegd, maar alleen voor zover in het geval in kwestie wordt voldaan aan de in Unierecht of lidstatelijk recht vastgestelde voorwaarden voor raadpleging. Wanneer een doorgifte niet op een bepaling van de artikelen 45 of 46, met inbegrip van de bepalingen inzake bindende bedrijfsvoorschriften, kon worden gegrond en geen van de afwijkingen voor een specifieke situatie als bedoeld in de eerste alinea van dit lid van toepassing zijn, is de doorgifte niet repetitief is, een beperkt aantal betrokkenen betreft, noodzakelijk is voor dwingende gerechtvaardigde belangen van de verwerkingsverantwoordelijke die niet ondergeschikt zijn aan de belangen of rechten en vrijheden van de betrokkene, en de verwerkingsverantwoordelijke alle omstandigheden in verband met de gegevensdoorgifte heeft beoordeeld en op basis van die beoordeling passende waarborgen voor de bescherming van persoonsgegevens heeft geboden. De verwerkingsverantwoordelijke informeert de toezichthoudende autoriteit over de doorgifte. De verwerkingsverantwoordelijke informeert de betrokkene, behalve over de in de artikelen 13 en 14 bedoelde informatie, ook over de doorgifte en de door hem nagestreefde dwingende gerechtvaardigde belangen. 2.   Een doorgifte overeenkomstig lid 1, eerste alinea, onder g), mag geen betrekking hebben op alle persoonsgegevens of volledige categorieën van persoonsgegevens die in het register zijn opgeslagen. Wanneer een register bedoeld is om door personen met een gerechtvaardigd belang te worden geraadpleegd, kan de doorgifte slechts plaatsvinden op verzoek van die personen of wanneer de gegevens voor hen zijn bestemd. 3.   Lid 1, eerste alinea, onder a), b) en c) en tweede alinea, zijn niet van toepassing op activiteiten die door overheidsinstanties worden verricht bij de uitoefening van hun openbare bevoegdheden. 4.   Het in lid 1, eerste alinea, onder d), bedoelde openbaar belang moet zijn erkend bij een Unierechtelijke of nationaalrechtelijke bepaling die op de verwerkingsverantwoordelijke van toepassing is. 5.   Bij ontstentenis van een adequaatheidsbesluit kunnen in Unierechtelijke of lidstaatrechtelijke bepalingen of bepalingen om gewichtige redenen van openbaar belang uitdrukkelijk grenzen worden gesteld aan de doorgifte van specifieke categorieën van persoonsgegevens aan een derde land of een internationale organisatie. De lidstaten stellen de Commissie in kennis van dergelijke bepalingen. 6.   De verwerkingsverantwoordelijke of de verwerker staaft de beoordeling en de in lid 1, tweede alinea, van dit artikel bedoelde passende waarborgen in het artikel 30 bedoelde register. Passende overwegingen Overweging 111 - Uitzonderingen Voor Bepaalde Gevallen Van Internationale OverdrachtenOverweging 112 - Gegevensoverdrachten Om Dwingende Redenen Van Algemeen BelangOverweging 113 - Overdrachten Die Niet Als Repetitief Worden Beschouwd En Die Slechts Een Beperkt Aantal Betrokkenen BetreffenOverweging 114 - Waarborging Van De Afdwingbaarheid Van Rechten En Verplichtingen Bij Afwezigheid Van Een AdequaatheidsbeslissingOverweging 115 - Regels In Derde Landen In Strijd Met De Verordening Veelgestelde vragen over artikel 49 +Wat zijn de afwijkingen voor internationale gegevensdoorgiften? Artikel 49 staat doorgiften in specifieke situaties toe zonder adequaatheid of waarborgen, zoals uitdrukkelijke toestemming, uitvoering van een overeenkomst, een gewichtig algemeen belang of rechtsvorderingen. +Mag ik gegevens naar het buitenland doorgeven op basis van toestemming? Ja. Uitdrukkelijke toestemming is een afwijking uit artikel 49, mits de persoon is geïnformeerd over de mogelijke risico's van de doorgifte wegens het ontbreken van adequaatheid of waarborgen. +Zijn de afwijkingen van artikel 49 bedoeld voor reguliere doorgiften? Nee. De afwijkingen zijn bedoeld voor incidentele en niet-repetitieve doorgiften, niet als gebruikelijke basis voor doorlopende internationale gegevensstromen. Gerelateerde kernkwesties GDPR Toestemming GDPR Registers van Verwerkingsactiviteiten

Ten aanzien van derde landen en internationale organisaties nemen de Commissie en de toezichthoudende autoriteiten de nodige maatregelen om: a) procedures voor internationale samenwerking te ontwikkelen, zodat de effectieve handhaving van de wetgeving inzake de bescherming van persoonsgegevens wordt vergemakkelijkt; b) internationale wederzijdse bijstand te bieden bij de handhaving van de wetgeving inzake de bescherming van persoonsgegevens, onder meer door kennisgeving, doorverwijzing van klachten, bijstand bij onderzoeken en uitwisseling van informatie, voor zover er passende waarborgen voor de bescherming van persoonsgegevens en andere grondrechten en fundamentele vrijheden bestaan; c) belanghebbenden te betrekken bij besprekingen en activiteiten om de internationale samenwerking bij de handhaving van de wetgeving inzake de bescherming van persoonsgegevens te bevorderen; en d) de uitwisseling en het documenteren van wetgeving en praktijken inzake de bescherming van persoonsgegevens te bevorderen, onder meer betreffende jurisdictiegeschillen met derde landen. Passende overwegingen Overweging 116 - Samenwerking Tussen Toezichthoudende Autoriteiten Veelgestelde vragen over artikel 50 +Wat bevordert artikel 50 AVG? Artikel 50 moedigt de Commissie en de toezichthoudende autoriteiten aan mechanismen voor internationale samenwerking te ontwikkelen om de effectieve handhaving van gegevensbeschermingswetgeving te vergemakkelijken. +Hoe ondersteunt de AVG wereldwijde samenwerking inzake gegevensbescherming? Zij bevordert wederzijdse bijstand, internationale samenwerking bij handhaving en de uitwisseling van goede praktijken om gegevens over de grenzen heen te beschermen. +Schept artikel 50 bindende verplichtingen? Artikel 50 is grotendeels programmatisch: het stuurt autoriteiten aan op het bevorderen van samenwerking zonder specifieke bindende verplichtingen aan organisaties op te leggen. Gerelateerde kernkwesties GDPR Boetes / Sancties GDPR Registers van Verwerkingsactiviteiten

1.   Elke lidstaat bepaalt dat één of meer onafhankelijke overheidsinstanties verantwoordelijk zijn voor het toezicht op de toepassing van deze verordening, teneinde de grondrechten en fundamentele vrijheden van natuurlijke personen in verband met de verwerking van hun persoonsgegevens te beschermen en het vrije verkeer van persoonsgegevens binnen de Unie te vergemakkelijken („toezichthoudende autoriteit”). 2.   Elke toezichthoudende autoriteit draagt bij tot de consequente toepassing van deze verordening in de hele Unie. Daartoe werken de toezichthoudende autoriteiten onderling en met de Commissie samen overeenkomstig hoofdstuk VII. 3.   Wanneer er in een lidstaat meer dan één toezichthoudende autoriteit is gevestigd, wijst die lidstaat de toezichthoudende autoriteit aan die die autoriteiten in het Comité moet vertegenwoordigen en stelt hij de procedure vast om ervoor te zorgen dat de andere autoriteiten de regels in verband met het in artikel 63 bedoelde coherentiemechanisme naleven. 4.   Elke lidstaat stelt de Commissie uiterlijk op 25 mei 2018 in kennis van de wettelijke bepalingen die hij overeenkomstig dit hoofdstuk vaststelt, alsmede, onverwijld, van alle latere wijzigingen daarvan. Passende overwegingen Overweging 117 - Oprichting Van Toezichthoudende AutoriteitenOverweging 118 - Toezicht Op De Toezichthoudende AutoriteitenOverweging 119 - Organisatie Van Verschillende Toezichthoudende Autoriteiten Van Een LidstaatOverweging 120 - Kenmerken Van Toezichthoudende Autoriteiten Veelgestelde vragen over artikel 51 +Wat is een toezichthoudende autoriteit volgens de AVG? Artikel 51 verplicht elke lidstaat een of meer onafhankelijke overheidsinstanties op te richten die belast zijn met het toezicht op en de handhaving van de AVG op zijn grondgebied. +Wat doet een gegevensbeschermingsautoriteit? Een toezichthoudende autoriteit houdt toezicht op naleving, behandelt klachten, voert onderzoeken uit en kan corrigerende maatregelen en boetes opleggen bij inbreuken op de AVG. +Hoeveel toezichthoudende autoriteiten kan een land hebben? Een lidstaat kan meer dan één toezichthoudende autoriteit oprichten; in dat geval moet hij er een aanwijzen om het land te vertegenwoordigen in het Europees Comité voor gegevensbescherming. Gerelateerde kernkwesties GDPR Privacy Impact Assessment GDPR Registers van Verwerkingsactiviteiten

1.   Elke toezichthoudende autoriteit treedt volledig onafhankelijk op bij de uitvoering van de taken en de uitoefening van de bevoegdheden die haar overeenkomstig deze verordening zijn toegewezen. 2.   Bij de uitvoering van hun taken en de uitoefening van hun bevoegdheden overeenkomstig deze verordening blijven de leden van elke toezichthoudende autoriteit vrij van al dan niet rechtstreekse externe invloed en vragen noch aanvaarden zij instructies van wie dan ook. 3.   De leden van toezichthoudende autoriteiten verrichten geen handelingen die onverenigbaar zijn met hun taken en verrichten gedurende hun ambtstermijn geen al dan niet bezoldigde beroepswerkzaamheden die onverenigbaar zijn met hun taken. 4.   Elke lidstaat zorgt ervoor dat elke toezichthoudende autoriteit beschikt over de personele, technische en financiële middelen, en de bedrijfsruimten en infrastructuur die nodig zijn voor het effectief uitvoeren van haar taken en uitoefenen van haar bevoegdheden, waaronder die in het kader van wederzijdse bijstand, samenwerking en deelname aan het Comité. 5.   Elke lidstaat zorgt ervoor dat elke toezichthoudende autoriteit eigen en zelfgekozen personeelsleden heeft, die onder de exclusieve leiding van het lid of de leden van de betrokken toezichthoudende autoriteit staan. 6.   Elke lidstaat zorgt ervoor dat op elke toezichthoudende autoriteit financieel toezicht wordt uitgeoefend zonder dat daarbij de onafhankelijkheid van de toezichthoudende autoriteit in het gedrang komt en dat het een afzonderlijke, publieke jaarbegroting heeft, die een onderdeel kan zijn van de algehele staats- of nationale begroting. Passende overwegingen Overweging 117 - Oprichting Van Toezichthoudende AutoriteitenOverweging 118 - Toezicht Op De Toezichthoudende AutoriteitenOverweging 120 - Kenmerken Van Toezichthoudende AutoriteitenOverweging 121 - Onafhankelijkheid Van De Toezichthoudende Autoriteiten Veelgestelde vragen over artikel 52 +Waarom moeten toezichthoudende autoriteiten onafhankelijk zijn? Artikel 52 vereist dat toezichthoudende autoriteiten volledig onafhankelijk handelen, vrij van externe invloed, zodat gegevensbescherming onpartijdig en doeltreffend wordt gehandhaafd. +Wie financiert de toezichthoudende autoriteiten voor gegevensbescherming? De lidstaten moeten elke autoriteit voorzien van de personele, technische en financiële middelen die nodig zijn voor haar taken, met behoud van haar onafhankelijkheid. +Mogen regeringen een toezichthoudende autoriteit instructies geven? Nee. De leden van een toezichthoudende autoriteit moeten vrij blijven van externe instructies en hun taken onafhankelijk uitvoeren. Gerelateerde kernkwesties Functionaris voor gegevensbescherming AVG GDPR Recht om vergeten te worden

1.   De lidstaten schrijven voor dat elk lid van hun toezichthoudende autoriteiten volgens een transparante procedure wordt benoemd door: — hun parlement; — hun regering; — hun staatshoofd; of — een onafhankelijk orgaan dat krachtens het lidstatelijke recht met de benoeming is belast. 2.   Elk lid beschikt over de nodige kwalificaties, ervaring en vaardigheden, met name op het gebied van de bescherming van persoonsgegevens, voor het uitvoeren van zijn taken en het uitoefenen van zijn bevoegdheden. 3.   De taken van een lid eindigen bij het verstrijken van de ambtstermijn, bij ontslag of bij verplichte pensionering overeenkomstig de wetgeving van de lidstaat in kwestie. 4.   Een lid wordt slechts ontslagen indien het op ernstige wijze is tekortgeschoten of niet langer aan de vereisten voor de uitvoering van de taken voldoet. Passende overwegingen Overweging 121 - Onafhankelijkheid Van De Toezichthoudende Autoriteiten Veelgestelde vragen over artikel 53 +Hoe worden leden van toezichthoudende autoriteiten benoemd? Artikel 53 vereist dat leden via een transparante procedure worden benoemd door het parlement, de regering, het staatshoofd of een onafhankelijk orgaan volgens het recht van de lidstaat. +Welke kwalificaties moeten leden van een toezichthoudende autoriteit hebben? Leden moeten beschikken over de kwalificaties, ervaring en vaardigheden, met name op het gebied van gegevensbescherming, die nodig zijn om hun taken en bevoegdheden uit te oefenen. +Kan een lid van een toezichthoudende autoriteit worden ontheven? Een lid kan alleen worden ontheven bij ernstig wangedrag of wanneer het niet langer aan de voorwaarden voor de uitoefening van de functie voldoet, wat zijn onafhankelijkheid beschermt. Gerelateerde kernkwesties GDPR Boetes / Sancties GDPR Privacy by Design

1.   Elke lidstaat regelt al het volgende bij wet: a) de oprichting van elke toezichthoudende autoriteit; b) de vereiste kwalificaties en voorwaarden om als lid te worden benoemd voor elke toezichthoudende autoriteit; c) de regels en procedures voor de benoeming van het lid of de leden van elke toezichthoudende autoriteit; d) de ambtstermijn van het lid of de leden van elke toezichthoudende autoriteit, die ten minste vier jaar bedraagt, behoudens de eerste ambtstermijn na 24 mei 2016, die korter kan zijn wanneer dat nodig is om de onafhankelijkheid van de toezichthoudende autoriteit door middel van een in de tijd gespreide benoemingsprocedure te beschermen; e) of het lid of de leden van elke toezichthoudende autoriteit opnieuw kan of kunnen worden benoemd en zo ja, hoe vaak; f) de voorwaarden in verband met de plichten van het lid of de leden en de personeelsleden van elke toezichthoudende autoriteit, de verboden op met die plichten onverenigbare handelingen, werkzaamheden en voordelen tijdens en na de ambtstermijn en de regels betreffende de beëindiging van de ambtstermijn onderscheidenlijk de arbeidsverhouding. 2.   Ten aanzien van de vertrouwelijke informatie die hun bij de uitvoering van hun taken of de uitoefening van hun bevoegdheden ter kennis is gekomen, geldt voor het lid of de leden en de personeelsleden van elke toezichthoudende autoriteit zowel tijdens hun ambtstermijn als daarna het beroepsgeheim, zulks overeenkomstig Unierecht of lidstatelijk recht. Tijdens hun ambtstermijn geldt het beroepsgeheim met name voor meldingen van inbreuken op deze verordening door natuurlijke personen. Passende overwegingen Overweging 117 - Oprichting Van Toezichthoudende AutoriteitenOverweging 121 - Onafhankelijkheid Van De Toezichthoudende Autoriteiten Veelgestelde vragen over artikel 54 +Welke regels gelden voor de oprichting van een toezichthoudende autoriteit? Artikel 54 verplicht de lidstaten bij wet de oprichting, de kwalificaties van de leden, de benoemingsregels, de duur van het mandaat en de dienstvoorwaarden van elke autoriteit vast te leggen. +Zijn leden van de toezichthoudende autoriteit gebonden aan vertrouwelijkheid? Ja. De leden en het personeel zijn gebonden aan beroepsgeheim met betrekking tot vertrouwelijke informatie waartoe zij in de uitoefening van hun taken toegang hebben. +Hoe lang duurt het mandaat van de leden van de toezichthoudende autoriteit? De duur van het mandaat wordt bepaald door het nationale recht en moet ten minste vier jaar bedragen, met regels die stabiliteit en onafhankelijkheid waarborgen. Gerelateerde kernkwesties Functionaris voor gegevensbescherming AVG GDPR Derde Landen

1.   Elke toezichthoudende autoriteit heeft de competentie op het grondgebied van haar lidstaat de taken uit te voeren die haar overeenkomstig deze verordening zijn opgedragen en de bevoegdheden uit te oefenen die haar overeenkomstig deze verordening zijn toegekend. 2.   In het geval van verwerking door overheidsinstanties of door particuliere organen die handelen op grond van artikel 6, lid 1, onder c) of e), is de toezichthoudende autoriteit van de lidstaat in kwestie competent. In dergelijke gevallen is artikel 56 niet van toepassing. 3.   Toezichthoudende autoriteiten zijn niet competent toe te zien op verwerkingen door gerechten bij de uitoefening van hun rechterlijke taken. Passende overwegingen Overweging 122 - Verantwoordelijkheid Van De Toezichthoudende Autoriteiten Veelgestelde vragen over artikel 55 +Wat is de bevoegdheid van een toezichthoudende autoriteit? Artikel 55 verleent elke toezichthoudende autoriteit de bevoegdheid haar taken en bevoegdheden uit te oefenen op het grondgebied van haar eigen lidstaat. +Welke autoriteit behandelt grensoverschrijdende verwerking? Grensoverschrijdende zaken worden behandeld via het mechanisme van de leidende toezichthoudende autoriteit, hoewel elke autoriteit in veel gevallen bevoegd blijft voor verwerkingen op haar eigen grondgebied. +Worden rechtbanken door gegevensbeschermingsautoriteiten gecontroleerd? Toezichthoudende autoriteiten zijn niet bevoegd toezicht te houden op verwerkingen door gerechten in de uitoefening van hun rechterlijke taak. Gerelateerde kernkwesties GDPR Registers van Verwerkingsactiviteiten GDPR Derde Landen

1.   Onverminderd artikel 55 is de toezichthoudende autoriteit van de hoofdvestiging of de enige vestiging van de verwerkingsverantwoordelijke of verwerker competent op te treden als leidende toezichthoudende autoriteit voor de grensoverschrijdende verwerking door die verwerkingsverantwoordelijke of verwerker overeenkomstig de procedure van artikel 60. 2.   In afwijking van lid 1 is elke toezichthoudende autoriteit competent een bij haar ingediende klacht of een eventuele inbreuk op deze verordening te behandelen indien het onderwerp van die zaak alleen verband houdt met een vestiging in haar lidstaat of alleen voor betrokkenen in haar lidstaat wezenlijke gevolgen heeft. 3.   In de in lid 2 van dit artikel bedoelde gevallen stelt de toezichthoudende autoriteit de leidende toezichthoudende autoriteit onverwijld in kennis van de zaak. Binnen drie weken nadat zij in kennis is gesteld, besluit de leidende toezichthoudende autoriteit of zij de zaak al dan niet zal behandelen, overeenkomstig de in artikel 60 vastgelegde procedure; zij houdt daarbij rekening met het al dan niet bestaan van een vestiging van de verwerkingsverantwoordelijke of de verwerker in de lidstaat van de toezichthoudende autoriteit die haar in kennis heeft gesteld. 4.   Wanneer de leidende toezichthoudende autoriteit besluit de zaak te behandelen, is de procedure van artikel 60 van toepassing. De toezichthoudende autoriteit die de leidende toezichthoudende autoriteit in kennis heeft gesteld, kan bij deze laatste een ontwerpbesluit indienen. De leidende toezichthoudende autoriteit houdt zo veel mogelijk rekening met dat ontwerp wanneer zij het in artikel 60, lid 3, bedoelde ontwerpbesluit opstelt. 5.   Indien de leidende toezichthoudende autoriteit besluit de zaak niet te behandelen, wordt deze overeenkomstig de artikelen 61 en 62 behandeld door de toezichthoudende autoriteit die de leidende toezichthoudende autoriteit in kennis heeft gesteld. 6.   De leidende toezichthoudende autoriteit is voor de verwerkingsverantwoordelijke of de verwerker de enige gesprekspartner bij grensoverschrijdende verwerking door die verwerkingsverantwoordelijke of verwerker. Passende overwegingen Overweging 124 - Leidende Autoriteit Betreffende Verwerking In Verschillende LidstatenOverweging 127 - Informatie Van De Toezichthoudende Autoriteit Over Lokale VerwerkingOverweging 128 - Verantwoordelijkheid Met Betrekking Tot De Verwerking In Het Openbaar Belang Veelgestelde vragen over artikel 56 +Wat is de leidende toezichthoudende autoriteit volgens de AVG? Artikel 56 stelt de leidende autoriteit in als belangrijkste toezichthouder voor grensoverschrijdende verwerking, doorgaans de autoriteit van het land waar de organisatie haar hoofdvestiging heeft. +Hoe wordt de leidende toezichthoudende autoriteit bepaald? Het is doorgaans de autoriteit van de lidstaat waar de verantwoordelijke of de verwerker zijn hoofdvestiging of enige vestiging in de EU heeft. +Wat is het één-loketmechanisme? Het één-loket stelt organisaties met grensoverschrijdende verwerking in staat hoofdzakelijk met één leidende autoriteit te schakelen, die afstemt met de andere betrokken autoriteiten. Gerelateerde kernkwesties GDPR Versleuteling GDPR Boetes / Sancties

1.   Onverminderd andere uit hoofde van deze verordening vastgestelde taken, verricht elke toezichthoudende autoriteit op haar grondgebied de volgende taken: a) zij monitort en handhaaft de toepassing van deze verordening; b) zij bevordert bij het brede publiek de bekendheid met en het inzicht in de risico's, regels, waarborgen en rechten in verband met de verwerking. Bijzondere aandacht wordt besteed aan specifiek op kinderen gerichte activiteiten; c) zij verleent overeenkomstig het recht van de lidstaat, advies aan het nationale parlement, de regering, en andere instellingen en organen over wetgevingsinitiatieven en bestuursmaatregelen in verband met de bescherming van de rechten en vrijheden van natuurlijke personen op het gebied van verwerking; d) zij maakt de verwerkingsverantwoordelijken en de verwerkers beter bekend met hun verplichtingen uit hoofde van deze verordening; e) zij verstrekt desgevraagd informatie aan iedere betrokkene over de uitoefening van zijn rechten uit hoofde van deze verordening en werkt daartoe in voorkomend geval samen met de toezichthoudende autoriteiten in andere lidstaten; f) zij behandelt klachten van betrokkenen, of van organen, organisaties of verenigingen overeenkomstig artikel 80, onderzoekt de inhoud van de klacht in de mate waarin dat gepast is en stelt de klager binnen een redelijke termijn in kennis van de vooruitgang en het resultaat van het onderzoek, met name indien verder onderzoek of coördinatie met een andere toezichthoudende autoriteit noodzakelijk is; g) zij werkt samen met andere toezichthoudende autoriteiten, onder meer door informatie te delen en wederzijdse bijstand te bieden, teneinde de samenhang in de toepassing en de handhaving van deze verordening te waarborgen; h) zij verricht onderzoeken naar de toepassing van deze verordening, onder meer op basis van informatie die zij van een andere toezichthoudende autoriteit of een andere overheidsinstantie ontvangt; i) zij volgt de relevante ontwikkelingen voor zover deze een impact hebben op de bescherming van persoonsgegevens, met name de ontwikkelingen in informatie- en communicatietechnologieën en handelspraktijken; j) zij stelt de in artikel 28, lid 8, en artikel 46, lid 2, onder d), bedoelde standaardcontractbepalingen vast; k) zij stelt een lijst op met betrekking tot het vereiste inzake een gegevensbeschermingseffectbeoordeling overeenkomstig artikel 35, lid 4, en houdt deze lijst bij; l) zij verstrekt advies over de in artikel 36, lid 2, bedoelde verwerkingsactiviteiten; m) zij bevordert de opstelling van gedragscodes uit hoofde van artikel 40, lid 1, geeft advies en keurt, overeenkomstig artikel 40, lid 5, gedragscodes goed die voldoende waarborgen leveren; n) zij bevordert de invoering van certificeringsmechanismen voor gegevensbescherming en van gegevensbeschermingszegels en -merktekens overeenkomstig artikel 42, lid 1, en keurt de criteria voor certificering uit hoofde van artikel 42, lid 5, goed; o) waar van toepassing verricht zij een periodieke toetsing van de overeenkomstig artikel 42, lid 7, afgegeven certificeringen; p) zij zorgt voor het opstellen en het bekendmaken van de criteria voor de accreditatie van een orgaan voor het toezicht op gedragscodes op grond van artikel 41 en van een certificeringsorgaan op grond van artikel 43; q) zij zorgt voor de accreditatie van een orgaan voor het toezicht op gedragscodes op grond van artikel 41 en van een certificeringsorgaan op grond van artikel 43; r) zij geeft toestemming voor de in artikel 46, lid 3, bedoelde contractuele en andere bepalingen; s) zij keurt overeenkomstig artikel 47 bindende bedrijfsvoorschriften goed; t) zij levert een bijdrage aan de activiteiten van het Comité; u) zij houdt interne registers bij van inbreuken op deze verordening en van overeenkomstig artikel 58, lid 2, getroffen maatregelen; en v) zij verricht alle andere taken die verband houden met de bescherming van persoonsgegevens. 2.   Elke toezichthoudende autoriteit faciliteert de indiening van klachten als bedoeld in lid 1, onder f), door maatregelen te nemen, zoals het ter beschikking stellen van een klachtenformulier dat ook elektronisch kan worden ingevuld, zonder dat andere communicatiemiddelen worden uitgesloten. 3.   Elke toezichthoudende autoriteit verricht haar taken kosteloos voor de betrokkene en, in voorkomend geval, voor de functionaris voor gegevensbescherming. 4.   Wanneer verzoeken kennelijk ongegrond of buitensporig zijn, met name vanwege hun repetitieve karakter, kan de toezichthoudende autoriteit op basis van de administratieve kosten een redelijke vergoeding aanrekenen, of weigeren aan het verzoek gevolg te geven. Het is aan de toezichthoudende autoriteit om de kennelijk ongegronde of buitensporige aard van het verzoek aan te tonen. Passende overwegingen Overweging 122 - Verantwoordelijkheid Van De Toezichthoudende AutoriteitenOverweging 123 - Samenwerking Van De Toezichthoudende Autoriteiten Met Elkaar En Met De CommissieOverweging 132 - Bewustmakingsactiviteiten En Specifieke MaatregelenOverweging 133 - Wederzijdse Bijstand En Voorlopige MaatregelenOverweging 137 - Voorlopige Maatregelen Veelgestelde vragen over artikel 57 +Wat zijn de taken van een toezichthoudende autoriteit? Artikel 57 noemt taken zoals toezien op en handhaven van de AVG, bewustwording bevorderen, klachten behandelen, onderzoeken uitvoeren en adviseren over gegevensbeschermingsaangelegenheden. +Kun je gratis klagen bij een gegevensbeschermingsautoriteit? Ja. Toezichthoudende autoriteiten moeten klachten van personen gratis behandelen, behalve wanneer verzoeken kennelijk ongegrond of buitensporig zijn. +Bevorderen toezichthoudende autoriteiten het publieke bewustzijn? Ja. Tot hun taken behoort het bevorderen van het publieke bewustzijn over risico's, regels, waarborgen en rechten bij verwerking, met bijzondere aandacht voor kinderen. Gerelateerde kernkwesties Functionaris voor gegevensbescherming AVG GDPR Recht om geïnformeerd te worden

1.   Elk toezichthoudende autoriteit heeft alle volgende onderzoeksbevoegdheden om: a) de verwerkingsverantwoordelijke, de verwerker en, in voorkomend geval, de vertegenwoordiger van de verwerkingsverantwoordelijke of van verwerker te gelasten alle voor de uitvoering van haar taken vereiste informatie te verstrekken; b) onderzoeken te verrichten in de vorm van gegevensbeschermingscontroles; c) een toetsing te verrichten van de overeenkomstig artikel 42, lid 7, afgegeven certificeringen; d) de verwerkingsverantwoordelijke of de verwerker in kennis te stellen van een beweerde inbreuk op deze verordening; e) van de verwerkingsverantwoordelijke en de verwerker toegang te verkrijgen tot alle persoonsgegevens en alle informatie die noodzakelijk is voor de uitvoering van haar taken; en f) toegang te verkrijgen tot alle bedrijfsruimten van de verwerkingsverantwoordelijke en de verwerker, daaronder begrepen tot alle uitrustingen en middelen voor gegevensverwerking, in overeenstemming met het uniale of lidstatelijke procesrecht. 2.   Elk toezichthoudende autoriteit heeft alle volgende bevoegdheden tot het nemen van corrigerende maatregelen: a) de verwerkingsverantwoordelijke of de verwerker waarschuwen dat met de voorgenomen verwerkingen waarschijnlijk inbreuk op bepalingen van deze verordening wordt gemaakt; b) de verwerkingsverantwoordelijke of de verwerker berispen wanneer met verwerkingen inbreuk op bepalingen van deze verordening is gemaakt; c) de verwerkingsverantwoordelijke of de verwerker gelasten de verzoeken van de betrokkene tot uitoefening van zijn rechten uit hoofde van deze verordening in te willigen; d) de verwerkingsverantwoordelijke of de verwerker gelasten, waar passend, op een nader bepaalde manier en binnen een nader bepaalde termijn, verwerkingen in overeenstemming te brengen met de bepalingen van deze verordening; e) de verwerkingsverantwoordelijke gelasten een inbreuk in verband met persoonsgegevens aan de betrokkene mee te delen; f) een tijdelijke of definitieve verwerkingsbeperking, waaronder een verwerkingsverbod, opleggen; g) het rectificeren of wissen van persoonsgegevens of het beperken van verwerking uit hoofde van de artikelen 16, 17 en 18 gelasten, alsmede de kennisgeving van dergelijke handelingen aan ontvangers aan wie de persoonsgegevens zijn verstrekt, overeenkomstig artikel 17, lid 2, en artikel 19; h) een certificering intrekken of het certificeringsorgaan gelasten een uit hoofde van de artikelen 42 en 43 afgegeven certificering in te trekken, of het certificeringsorgaan te gelasten geen certificering af te geven indien niet langer aan de certificeringsvereisten wordt voldaan; i) naargelang de omstandigheden van elke zaak, naast of in plaats van de in dit lid bedoelde maatregelen, een administratieve geldboete opleggen op grond van artikel 83; en j) de opschorting van gegevensstromen naar een ontvanger in een derde land of naar een internationale organisatie gelasten. 3.   Elke toezichthoudende autoriteit heeft alle autorisatie- en adviesbevoegdheden om: a) de verwerkingsverantwoordelijke advies te verstrekken in overeenstemming met de procedure van voorafgaande raadpleging van artikel 36; b) op eigen initiatief dan wel op verzoek, aan het nationaal parlement, aan de regering van de lidstaat, of overeenkomstig het lidstatelijke recht aan andere instellingen en organen alsmede aan het publiek advies te verstrekken over aangelegenheden die verband houden met de bescherming van persoonsgegevens; c) toestemming te geven voor verwerking als bedoeld in artikel 36, lid 5, indien die voorafgaande toestemming door het lidstatelijke recht wordt voorgeschreven; d) overeenkomstig artikel 40, lid 5, advies uit te brengen over en goedkeuring te hechten aan de ontwerpgedragscodes; e) certificeringsorganen te accrediteren overeenkomstig artikel 43; f) certificeringen af te geven en certificeringscriteria goed te keuren overeenkomstig artikel 42, lid 5; g) de in artikel 28, lid 8, en artikel 46, lid 2, punt d), bedoelde standaardbepalingen inzake gegevensbescherming aan te nemen; h) toestemming te verlenen voor de in artikel 46, lid 3, punt a), bedoelde contractbepalingen; i) toestemming te verlenen voor de in artikel 46, lid 3, punt b), bedoelde administratieve regelingen; j) goedkeuring te hechten aan bindende bedrijfsvoorschriften overeenkomstig artikel 47. 4.   Op de uitoefening van de bevoegdheden die uit hoofde van dit artikel aan de toezichthoudende autoriteit worden verleend, zijn passende waarborgen van toepassing, daaronder begrepen doeltreffende voorziening in rechte en eerlijke rechtsbedeling, zoals overeenkomstig het Handvest vastgelegd in het Unierecht en het lidstatelijke recht. 5.   Elke lidstaat bepaalt bij wet dat zijn toezichthoudende autoriteit bevoegd is inbreuken op deze verordening ter kennis te brengen van de gerechtelijke autoriteiten en, waar passend, daartegen een rechtsvordering in te stellen of anderszins in rechte op te treden, teneinde de bepalingen van deze verordening te doen naleven. 6.   Elke lidstaat kan bij wet bepalen dat zijn toezichthoudende autoriteit, naast de in lid 1, 2 en 3 bedoelde bevoegdheden bijkomende bevoegdheden heeft. De uitoefening van die bevoegdheden doet geen afbreuk aan de doeltreffende werking van hoofdstuk VII. Passende overwegingen Overweging 122 - Verantwoordelijkheid Van De Toezichthoudende AutoriteitenOverweging 129 - Taken En Bevoegdheden Van De Toezichthoudende AutoriteitenOverweging 131 - Poging Tot Minnelijke Schikking Veelgestelde vragen over artikel 58 +Welke bevoegdheden hebben gegevensbeschermingsautoriteiten volgens de AVG? Artikel 58 verleent onderzoeks-, corrigerende, autorisatie- en adviesbevoegdheden, waaronder naleving gelasten, waarschuwingen geven, boetes opleggen en verwerking verbieden. +Kan een toezichthoudende autoriteit een bedrijf gelasten een verwerking te staken? Ja. Tot de corrigerende bevoegdheden behoort het opleggen van een tijdelijke of definitieve beperking, waaronder een verbod, op de verwerking. +Kunnen autoriteiten organisaties auditeren volgens de AVG? Ja. Onderzoeksbevoegdheden stellen autoriteiten in staat gegevensbeschermingsaudits uit te voeren en binnen de wettelijke grenzen toegang te krijgen tot gegevens en gebouwen. Gerelateerde kernkwesties GDPR Recht van toegang GDPR Derde Landen

Elke toezichthoudende autoriteit stelt jaarlijks een verslag over haar activiteiten op, met daarin mogelijk een lijst van de soorten gemelde inbreuken en de soorten maatregelen die overeenkomstig artikel 58, lid 2, worden genomen. Die verslagen worden toegezonden aan het nationale parlement, de regering en elke andere autoriteit die daartoe in het lidstatelijke recht is aangewezen. Zij worden ter beschikking gesteld van het publiek, de Commissie en het Comité. Passende overwegingen Overweging 117 – Oprichting Van Toezichthoudende Autoriteiten Overweging 118 – Toezicht Op De Toezichthoudende Autoriteiten Veelgestelde vragen over artikel 59 +Wat zijn activiteitenverslagen van toezichthoudende autoriteiten? Artikel 59 verplicht elke toezichthoudende autoriteit een jaarlijks verslag over haar activiteiten op te stellen, dat de soorten inbreuken en de getroffen corrigerende maatregelen kan bevatten. +Zijn AVG-handhavingsverslagen openbaar? Ja. Activiteitenverslagen worden toegezonden aan nationale organen en beschikbaar gesteld aan het publiek, de Commissie en het Europees Comité voor gegevensbescherming. +Waarom publiceren toezichthoudende autoriteiten verslagen? Verslagen vergroten de transparantie en verantwoording en helpen het publiek en organisaties handhavingstrends en de prioriteiten van de autoriteit te begrijpen. Gerelateerde kernkwesties Functionaris voor gegevensbescherming AVG GDPR Derde Landen

1.   De leidende toezichthoudende autoriteit werkt overeenkomstig dit artikel samen met de andere betrokken toezichthoudende autoriteiten teneinde tot een consensus proberen te komen. De leidende toezichthoudende autoriteit en de betrokken toezichthoudende autoriteiten wisselen alle relevante informatie met elkaar uit. 2.   De leidende toezichthoudende autoriteit kan te allen tijde andere betrokken toezichthoudende autoriteiten verzoeken wederzijdse bijstand overeenkomstig artikel 61 te verlenen, en kan gezamenlijke werkzaamheden ondernemen overeenkomstig artikel 62, in het bijzonder voor het uitvoeren van onderzoeken of voor het toezicht op de uitvoering van een maatregel betreffende een in een andere lidstaat gevestigde verwerkingsverantwoordelijke of verwerker. 3.   De leidende toezichthoudende autoriteit deelt onverwijld alle relevante informatie over de aangelegenheid mee aan de andere betrokken toezichthoudende autoriteiten. Zij legt de andere betrokken toezichthoudende autoriteiten onverwijld te hunner beoordeling een ontwerpbesluit voor en houdt naar behoren rekening met hun standpunten. 4.   Indien één van de andere betrokken toezichthoudende autoriteiten binnen een termijn van vier weken na te zijn geraadpleegd overeenkomstig lid 3 van dit artikel een relevant en gemotiveerd bezwaar tegen het ontwerpbesluit indient, onderwerpt de leidende toezichthoudende autoriteit, indien zij het relevante en gemotiveerde bezwaar afwijst of het niet relevant of niet gemotiveerd acht, de aangelegenheid aan het in artikel 63 bedoelde coherentiemechanisme. 5.   Indien de leidende toezichthoudende autoriteit voornemens is het ingediende relevante en gemotiveerde bezwaar te honoreren, legt zij de overige betrokken toezichthoudende autoriteiten te hunner beoordeling een herzien ontwerpbesluit voor. Dat herziene ontwerpbesluit wordt binnen een termijn van twee weken aan de in lid 4 bedoelde procedure onderworpen. 6.   Indien geen enkele andere betrokken toezichthoudende autoriteit binnen de in de leden 4 en 5 bedoelde termijn bezwaar heeft gemaakt tegen het door de leidende toezichthoudende autoriteit voorgelegde ontwerpbesluit, worden de leidende toezichthoudende autoriteit en de betrokken toezichthoudende autoriteiten geacht met dat ontwerpbesluit in te stemmen en zijn zij daaraan gebonden. 7.   De leidende toezichthoudende autoriteit stelt het besluit vast en deelt het mee aan de hoofdvestiging of de enige vestiging van de verwerkingsverantwoordelijke of de verwerker, naargelang het geval, en stelt de andere betrokken toezichthoudende autoriteiten, alsmede het Comité in kennis van het besluit in kwestie, voorzien van een samenvatting van de relevante feiten en gronden. De toezichthoudende autoriteit waarbij de klacht is ingediend, stelt de klager in kennis van het besluit. 8.   Ingeval een klacht is afgewezen of verworpen, stelt de toezichthoudende autoriteit waarbij de klacht is ingediend, in afwijking van lid 7, het besluit vast en deelt zij het mee aan de klager en stelt zij de verwerkingsverantwoordelijke ervan in kennis. 9.   Indien de leidende toezichthoudende autoriteit en de betrokken toezichthoudende autoriteiten het erover eens zijn delen van een klacht af te wijzen of te verwerpen en voor andere delen van die klacht op te treden, wordt voor elk van die laatstgenoemde delen een afzonderlijk besluit vastgesteld. De leidende toezichthoudende autoriteit stelt het besluit vast voor het deel betreffende de maatregelen inzake de verwerkingsverantwoordelijke, en deelt het mee aan de hoofdvestiging of de enige vestiging van de verwerkingsverantwoordelijke of de verwerker op het grondgebied van haar lidstaat, en stelt de klager daarvan in kennis. Voor het deel waarvoor de klacht in kwestie is afgewezen of verworpen, wordt het besluit vastgesteld door de toezichthoudende autoriteit van de klager, en door haar aan die klager medegedeeld, en wordt de verwerkingsverantwoordelijke of de verwerker daarvan in kennis gesteld. 10.   De verwerkingsverantwoordelijke of de verwerker treft, na in kennis te zijn gesteld van het besluit van de leidende toezichthoudende autoriteit overeenkomstig de leden 7 en 9, de nodige maatregelen teneinde het besluit wat betreft de verwerkingsactiviteiten binnen al zijn vestigingen binnen de Unie te doen naleven. De verwerkingsverantwoordelijke of de verwerker deelt de door hem met het oog op de naleving van het besluit getroffen maatregelen mee aan de leidende toezichthoudende autoriteit, die de andere betrokken toezichthoudende autoriteiten ervan in kennis stelt. 11.   Indien, in buitengewone omstandigheden, een betrokken toezichthoudende autoriteit het met reden dringend noodzakelijk acht dat in het belang van bescherming van de belangen van betrokkenen wordt opgetreden, is de in artikel 66 bedoelde spoedprocedure van toepassing. 12.   De leidende toezichthoudende autoriteit en de andere betrokken toezichthoudende autoriteiten verstrekken elkaar langs elektronische weg, door middel van een standaardformulier, de krachtens dit artikel vereiste informatie. Passende overwegingen Overweging 124 - Leidende Autoriteit Betreffende Verwerking In Verschillende LidstatenOverweging 125 - Bevoegdheden Van De Leidende AutoriteitOverweging 130 - Overweging Van De Autoriteit Waarbij De Klacht Is Ingediend Veelgestelde vragen over artikel 60 +Hoe werken toezichthoudende autoriteiten samen bij grensoverschrijdende zaken? Artikel 60 verplicht de leidende autoriteit samen te werken met de andere betrokken autoriteiten, informatie te delen en consensus te zoeken voordat in grensoverschrijdende zaken besluiten worden genomen. +Wat gebeurt er als autoriteiten het oneens zijn over een grensoverschrijdende zaak? Als een betrokken autoriteit een relevant en gemotiveerd bezwaar maakt dat de leidende autoriteit niet volgt, wordt de zaak voorgelegd aan het coherentiemechanisme. +Wat is een ontwerpbesluit in de AVG-samenwerking? De leidende autoriteit stelt een ontwerpbesluit op en legt het voor aan de andere betrokken autoriteiten voor hun standpunt voordat een definitief besluit wordt genomen.

1.   De toezichthoudende autoriteiten verstrekken elkaar relevante informatie en wederzijdse bijstand om deze verordening op een consequente manier ten uitvoer te leggen en toe te passen, en nemen maatregelen om doeltreffend met elkaar samen te werken. De wederzijdse bijstand bestrijkt met name informatieverzoeken en toezichtsmaatregelen, zoals verzoeken om voorafgaande toestemming en raadplegingen, inspecties en onderzoeken. 2.   Elke toezichthoudende autoriteit neemt alle passende maatregelen die nodig zijn om een verzoek van een andere toezichthoudende autoriteit onverwijld en uiterlijk binnen één maand na ontvangst daarvan te beantwoorden. Hierbij kan het in het bijzonder gaan om toezending van relevante informatie over de uitvoering van een onderzoek. 3.   Verzoeken om bijstand bevatten alle nodige informatie, waaronder het doel van en de redenen voor het verzoek. De uitgewisselde informatie wordt alleen gebruikt voor het doel waarvoor om die informatie is verzocht. 4.   De toezichthoudende autoriteit waaraan een verzoek om bijstand is gericht, wijst dit verzoek slechts af indien: a) zij niet bevoegd is voor het onderwerp van het verzoek of voor de maatregelen die zij verzocht wordt uit te voeren; of b) het verzoek inbreuk maakt op deze verordening of met Unierecht of lidstatelijk recht dat van toepassing is op de toezichthoudende autoriteit die het verzoek ontvangt. 5.   De toezichthoudende autoriteit tot wie het verzoek is gericht, informeert de verzoekende toezichthoudende autoriteit over de resultaten of, in voorkomend geval, de voortgang van de maatregelen die in antwoord op het verzoek zijn genomen. Indien de toezichthoudende autoriteit tot wie het verzoek is gericht het verzoek op grond van lid 4 afwijst, licht zij de redenen daarvoor toe. 6.   Toezichthoudende autoriteiten tot wie het verzoek is gericht delen in de regel de door andere toezichthoudende autoriteiten gevraagde informatie langs elektronische weg mee door middel van een standaardformulier. 7.   De maatregelen die toezichthoudende autoriteiten tot wie een verzoek is gericht nemen uit hoofde van een verzoek om wederzijdse bijstand, zijn kosteloos. De toezichthoudende autoriteiten kunnen regels overeenkomen om elkaar te vergoeden voor specifieke uitgaven die voortvloeien uit het verstrekken van wederzijdse bijstand in uitzonderlijke omstandigheden. 8.   Wanneer een toezichthoudende autoriteit de in lid 5 van dit artikel bedoelde informatie niet binnen één maand na ontvangst van het verzoek van een andere toezichthoudende autoriteit verstrekt, kan de verzoekende toezichthoudende autoriteit overeenkomstig artikel 55, lid 1, op het grondgebied van haar lidstaat een voorlopige maatregel nemen. In dat geval wordt geacht dat er overeenkomstig artikel 66, lid 1, dringend moet worden opgetreden en dat dit een dringend bindend besluit van het Comité vereist overeenkomstig artikel 66, lid 2. 9.   De Commissie kan door middel van uitvoeringshandelingen het model en de procedures voor de in dit artikel bedoelde wederzijdse bijstand vastleggen, alsmede de regelingen voor de elektronische uitwisseling van informatie tussen toezichthoudende autoriteiten onderling en tussen toezichthoudende autoriteiten en het Comité, waaronder het in lid 6 van dit artikel bedoelde standaardformulier. Die uitvoeringshandelingen worden vastgesteld volgens de in artikel 93, lid 2, bedoelde onderzoeksprocedure. Passende overwegingen Overweging 123 - Samenwerking Van De Toezichthoudende Autoriteiten Met Elkaar En Met De CommissieOverweging 132 - Bewustmakingsactiviteiten En Specifieke MaatregelenOverweging 133 - Wederzijdse Bijstand En Voorlopige Maatregelen Veelgestelde vragen over artikel 61 +Wat is wederzijdse bijstand volgens de AVG? Artikel 61 verplicht toezichthoudende autoriteiten elkaar relevante informatie en bijstand te verlenen om de AVG in de hele EU op coherente wijze toe te passen. +Moeten autoriteiten op elkaars verzoeken reageren? Ja. Autoriteiten moeten verzoeken om wederzijdse bijstand zonder onredelijke vertraging en binnen één maand beantwoorden, en weigering is slechts in beperkte gevallen toegestaan. +Hoe ondersteunt wederzijdse bijstand de handhaving van de AVG? Het stelt autoriteiten in staat onderzoeksresultaten te delen en acties te coördineren, wat bijdraagt aan een coherente handhaving tussen de lidstaten.

1.   In voorkomend geval voeren de toezichthoudende autoriteiten gezamenlijke werkzaamheden uit, waaronder gezamenlijke onderzoeken en gezamenlijke handhavingsmaatregelen, waarbij leden of personeelsleden van de toezichthoudende autoriteiten van andere lidstaten worden betrokken. 2.   Indien de verwerkingsverantwoordelijke of de verwerker vestigingen heeft in meerdere lidstaten, of indien een significant aantal betrokkenen in meer dan één lidstaat waarschijnlijk wezenlijke gevolgen ondervindt van de verwerkingsactiviteiten, heeft van elk van die lidstaten één toezichthoudende autoriteit het recht om aan de gezamenlijke werkzaamheden deel te nemen. De toezichthoudende autoriteit die bevoegd is overeenkomstig artikel 56, lid 1 of lid 4, verzoekt de toezichthoudende autoriteit van elk van die lidstaten om deelname aan de gezamenlijke werkzaamheden in kwestie en beantwoordt onverwijld het verzoek van een toezichthoudende autoriteit om te mogen deelnemen. 3.   Een toezichthoudende autoriteit kan overeenkomstig het lidstatelijke recht en met toestemming van de ondersteunende toezichthoudende autoriteit, aan de aan gezamenlijke werkzaamheden deelnemende leden of personeelsleden van de ondersteunende toezichthoudende autoriteit bevoegdheden toekennen, onder meer in verband met het voeren van onderzoek, of, voor zover het nationale recht de ontvangende toezichthoudende autoriteit dat toestaat, de leden of de personeelsleden van de ondersteunende toezichthoudende autoriteit toestaan om hun onderzoeksbevoegdheden overeenkomstig het nationale recht van de ondersteunende toezichthoudende autoriteit uit te oefenen. Deze onderzoeksbevoegdheden mogen hierbij uitsluitend worden uitgeoefend onder leiding en in aanwezigheid van leden of personeelsleden van de ontvangende toezichthoudende autoriteit. De leden of de personeelsleden van de ondersteunende toezichthoudende autoriteit zijn onderworpen aan het recht van de lidstaat van de ontvangende toezichthoudende autoriteit. 4.   Wanneer personeelsleden van een ondersteunende toezichthoudende autoriteit overeenkomstig lid 1 actief zijn in een andere lidstaat, neemt de lidstaat van de ontvangende toezichthoudende autoriteit de verantwoordelijkheid voor hun activiteiten, met inbegrip van de aansprakelijkheid voor alle door die personeelsleden bij de uitvoering van hun werkzaamheden veroorzaakte schade, overeenkomstig het recht van de lidstaat op het grondgebied waarvan die personeelsleden actief zijn. 5.   De lidstaat op het grondgebied waarvan de schade is veroorzaakt, vergoedt deze schade onder de voorwaarden die gelden voor door zijn eigen personeelsleden veroorzaakte schade. De lidstaat van de ondersteunende toezichthoudende autoriteit waarvan de personeelsleden op het grondgebied van een andere lidstaat aan iemand schade hebben berokkend, betaalt die andere lidstaat het volledige bedrag terug dat die andere lidstaat voor rekening van die personeelsleden aan de rechthebbenden heeft uitgekeerd. 6.   Onverminderd de uitoefening van zijn rechten tegenover derden en met uitzondering van het in lid 5 bepaalde, ziet elke lidstaat er in het in lid 1 bedoelde geval van af het bedrag van de in lid 4 bedoelde schade op een andere lidstaat te verhalen. 7.   Wanneer een gezamenlijke werkzaamheid is gepland en een toezichthoudende autoriteit niet binnen één maand aan de in lid 2, tweede zin, van dit artikel vastgestelde verplichting voldoet, kunnen de andere toezichthoudende autoriteiten een voorlopige maatregel nemen op het grondgebied van de lidstaat waarvoor zij bevoegd zijn overeenkomstig artikel 55. In dat geval wordt geacht dat er overeenkomstig artikel 66, lid 1, dringend moet worden opgetreden en dat dit een dringend advies of een dringend bindend besluit van het Comité vereist overeenkomstig artikel 66, lid 2. Passende overwegingen Overweging 126 - Gezamenlijke BeslissingenOverweging 134 - Deelname Aan Gezamenlijke Operaties Veelgestelde vragen over artikel 62 +Wat zijn gezamenlijke operaties volgens de AVG? Artikel 62 staat toezichthoudende autoriteiten toe gezamenlijke operaties uit te voeren, waaronder gezamenlijke onderzoeken en handhavingsmaatregelen, vooral wanneer een verwerking personen in meerdere lidstaten raakt. +Kunnen gegevensbeschermingsautoriteiten samen onderzoeken? Ja. Autoriteiten kunnen gezamenlijke onderzoeken uitvoeren en onder afgesproken voorwaarden leden of personeel detacheren bij elkaars operaties. +Waarom zijn gezamenlijke operaties nuttig? Zij stellen autoriteiten in staat middelen en deskundigheid te bundelen voor zaken die meerdere lidstaten raken, wat de doeltreffendheid van de handhaving verbetert.

Teneinde bij te dragen aan de consequente toepassing van deze verordening in de gehele Unie werken de toezichthoudende autoriteiten met elkaar en waar passend samen met de Commissie in het kader van het in deze afdeling uiteengezette coherentiemechanisme. Passende overwegingen Overweging 135 - Mechanisme Voor Samenhang Veelgestelde vragen over artikel 63 +Wat is het coherentiemechanisme volgens de AVG? Artikel 63 stelt het coherentiemechanisme in, waarbij toezichthoudende autoriteiten via het Europees Comité voor gegevensbescherming samenwerken om een coherente toepassing van de AVG in de EU te waarborgen. +Waarom heeft de AVG een coherentiemechanisme nodig? Het voorkomt uiteenlopende interpretaties en besluiten tussen nationale autoriteiten en zorgt ervoor dat personen en organisaties in de hele EU met coherente regels te maken hebben. +Wanneer wordt het coherentiemechanisme gebruikt? Het geldt met name voor grensoverschrijdende zaken en aangelegenheden van algemene strekking, wanneer gecoördineerde besluiten nodig zijn.

1.   Het Comité brengt een advies uit wanneer een bevoegde toezichthoudende autoriteit voornemens is een van onderstaande maatregelen vast te stellen. Hiertoe deelt de bevoegde toezichthoudende autoriteit het Comité het ontwerpbesluit mee indien het: a) de vaststelling beoogt van een lijst van verwerkingen waarvoor de eis inzake een gegevensbeschermingseffectbeoordeling overeenkomstig artikel 35, lid 4, geldt; b) betrekking heeft op de vraag, overeenkomstig artikel 40, lid 7, of een gedragscode of de wijziging of uitbreiding van een gedragscode met deze verordening in overeenstemming is; c) beoogt de criteria voor accreditatie van een orgaan overeenkomstig artikel 41, lid 3, of een certificeringsorgaan overeenkomstig artikel 43, lid 3, goed te keuren; d) de vaststelling beoogt van de in artikel 46, lid 2, onder d), en in artikel 28, lid 8, bedoelde standaardbepalingen inzake gegevensbescherming; e) de toestemming beoogt voor de in artikel 46, lid 3, onder a), bedoelde contractbepalingen; of f) de goedkeuring beoogt van bindende bedrijfsvoorschriften in de zin van artikel 47. 2.   Een toezichthoudende autoriteit, de voorzitter van het Comité of de Commissie kunnen elk verzoeken dat aangelegenheden van algemene strekking of met rechtsgevolgen in meer dan één lidstaat worden onderzocht door het Comité teneinde advies te verkrijgen, met name wanneer een bevoegde toezichthoudende autoriteit haar verplichtingen tot wederzijdse bijstand overeenkomstig artikel 61, of tot gezamenlijke werkzaamheden overeenkomstig artikel 62, niet nakomt. 3.   Het Comité brengt in de in de leden 1 en 2 bedoelde gevallen een advies uit over de aan het Comité voorgelegde aangelegenheid, mits het daarover niet eerder advies heeft uitgebracht. Dat advies wordt binnen acht weken vastgesteld met gewone meerderheid van de leden van het Comité. Die termijn kan met zes weken worden verlengd, rekening houdend met de complexiteit van de aangelegenheid. Met het in lid 1 bedoelde ontwerpbesluit, dat overeenkomstig lid 5 onder de leden van het Comité wordt verspreid, wordt een lid dat niet binnen een redelijke, door de voorzitter aangegeven termijn bezwaar heeft aangetekend, geacht in te stemmen. 4.   De toezichthoudende autoriteiten en de Commissie delen onverwijld langs elektronische weg door middel van een standaardformulier het Comité alle relevante informatie mee, waaronder naargelang het geval een samenvatting van de feiten, het ontwerpbesluit, de redenen waarom een dergelijke maatregel moet worden genomen en de standpunten van andere betrokken toezichthoudende autoriteiten. 5.   De voorzitter van het Comité stelt onverwijld langs elektronische weg: a) de leden van het Comité en de Commissie door middel van een standaardformulier in kennis van alle relevante informatie die het Comité heeft ontvangen. Het secretariaat van het Comité verstrekt indien nodig vertalingen van relevante informatie; en b) de, naargelang het geval, in de leden 1 en 2 bedoelde toezichthoudende autoriteit en de Commissie in kennis van het advies en maakt dat advies bekend. 6.   De bevoegde toezichthoudende autoriteit stelt haar in lid 1 bedoelde ontwerpbesluit niet vast binnen de in lid 3 bedoelde termijn. 7.   De in lid 1 bedoelde toezichthoudende autoriteit houdt maximaal rekening met het advies van het Comité en deelt de voorzitter van het Comité binnen twee weken na ontvangst van het advies langs elektronische weg door middel van een standaardformulier mee of zij haar ontwerpbesluit zal handhaven dan wel wijzigen alsmede, in voorkomend geval het gewijzigde ontwerpbesluit. 8.   Wanneer de betrokken toezichthoudende autoriteit de voorzitter van het Comité binnen de in lid 7 van dit artikel bedoelde termijn, onder opgave van de redenen, kennis geeft van haar voornemen het advies van het Comité geheel of gedeeltelijk niet op te volgen, is artikel 65, lid 1, van toepassing. Passende overwegingen Overweging 136 - Bindende Beslissingen En Adviezen Van De Raad Veelgestelde vragen over artikel 64 +Wanneer brengt het Europees Comité voor gegevensbescherming advies uit? Artikel 64 verplicht het Comité advies uit te brengen over bepaalde aangelegenheden, zoals gedragscodes, bindende bedrijfsvoorschriften en maatregelen met grensoverschrijdend effect. +Zijn adviezen van het Comité bindend voor toezichthoudende autoriteiten? Adviezen zijn raadgevend, maar autoriteiten moeten er zoveel mogelijk rekening mee houden; een advies niet volgen kan de bindende geschillenbeslechtingsprocedure in gang zetten. +Wat is de rol van het advies van het EDPB? Het advies bevordert coherentie door autoriteiten te begeleiden bij de toepassing van de AVG in specifieke zaken of algemene vragen.

1.   Om te zorgen voor de correcte en consequente toepassing van deze verordening in individuele gevallen, stelt het Comité een bindend besluit vast in de volgende gevallen: a) wanneer in een geval als bedoeld in artikel 60, lid 4, een betrokken toezichthoudende autoriteit een relevant en gemotiveerd bezwaar heeft ingediend tegen een ontwerpbesluit van de leidende toezichthoudende autoriteit of de leidende toezichthoudende autoriteit dit bezwaar heeft afgewezen als zijnde irrelevant of ongemotiveerd. Het bindend besluit heeft betrekking op alle aangelegenheden die onderwerp van het relevante en gemotiveerde bezwaar zijn, en met name op de vraag of inbreuk op de onderhavige verordening wordt gemaakt; b) wanneer er verschillend wordt geoordeeld over de vraag welke betrokken toezichthoudende autoriteit bevoegd is voor de hoofdvestiging; c) wanneer een bevoegde toezichthoudende autoriteit in de in artikel 64, lid 1, genoemde gevallen het Comité niet om advies vraagt, of het krachtens artikel 64 uitgebrachte advies van het Comité niet volgt. In dat geval kan elke betrokken toezichthoudende autoriteit of de Commissie de aangelegenheid meedelen aan het Comité. 2.   Het in lid 1 bedoelde besluit wordt binnen één maand na de verwijzing van de aangelegenheid vastgesteld met een tweederdemeerderheid van de leden van het Comité. Deze termijn kan wegens de complexiteit van de aangelegenheid met één maand worden verlengd. Het in lid 1 bedoelde besluit wordt met redenen omkleed en gericht tot de leidende toezichthoudende autoriteit en alle betrokken toezichthoudende autoriteiten, en is bindend. 3.   Indien het Comité niet binnen de in lid 2 genoemde termijn een besluit heeft kunnen vaststellen, stelt het zijn besluit binnen twee weken na het verstrijken van de in lid 2 bedoelde tweede maand vast, met een gewone meerderheid van zijn leden. Bij staking van stemmen onder de leden van het Comité is de stem van de voorzitter beslissend. 4.   De betrokken toezichthoudende autoriteiten stellen tijdens de in de leden 2 en 3 bedoelde termijn geen besluit over de overeenkomstig lid 1 aan het Comité voorgelegde aangelegenheid vast. 5.   De voorzitter van het Comité brengt het in lid 1 bedoelde besluit onverwijld ter kennis van de betrokken toezichthoudende autoriteiten. Hij brengt de Commissie daarvan op de hoogte. Het besluit wordt onverwijld bekendgemaakt op de website van het Comité nadat de toezichthoudende autoriteit het in lid 6 bedoelde definitieve besluit ter kennis heeft gebracht. 6.   De leidende toezichthoudende autoriteit of, in voorkomend geval, de toezichthoudende autoriteit waarbij de klacht is ingediend, stelt onverwijld en uiterlijk binnen één maand na de kennisgeving door het Comité een definitief besluit vast op basis van het in lid 1 van dit artikel bedoelde besluit. De leidende toezichthoudende autoriteit of, in voorkomend geval, de toezichthoudende autoriteit waarbij de klacht is ingediend, deelt het Comité de datum mee waarop haar definitieve besluit ter kennis wordt gebracht van respectievelijk de verwerkingsverantwoordelijke of de verwerker en van de betrokkene. Het definitieve besluit van de betrokken toezichthoudende autoriteiten wordt vastgesteld overeenkomstig artikel 60a, leden 7, 8 en 9. Het definitieve besluit verwijst naar het in lid 1 van dit artikel bedoelde besluit en geeft aan dat genoemd besluit overeenkomstig lid 5 van dit artikel zal worden bekendgemaakt op de website van het Comité. Het in lid 1 van dit artikel bedoelde besluit wordt aan het definitieve besluit gehecht. Passende overwegingen Overweging 136 - Bindende Beslissingen En Adviezen Van De Raad Veelgestelde vragen over artikel 65 +Hoe worden geschillen tussen toezichthoudende autoriteiten beslecht? Artikel 65 geeft het Europees Comité voor gegevensbescherming de bevoegdheid bindende besluiten te nemen om geschillen tussen autoriteiten te beslechten, bijvoorbeeld over bezwaren in grensoverschrijdende zaken. +Zijn geschillenbeslechtingsbesluiten van het EDPB bindend? Ja. Besluiten op grond van artikel 65 zijn bindend voor de betrokken toezichthoudende autoriteiten, die hun definitieve besluiten daarop moeten afstemmen. +Wanneer grijpt het Comité in om een geschil te beslechten? Het Comité grijpt in wanneer autoriteiten het niet eens worden, bijvoorbeeld wanneer een leidende autoriteit een relevant en gemotiveerd bezwaar van een andere autoriteit niet volgt.

1.   In buitengewone omstandigheden kan een betrokken toezichthoudende autoriteit, wanneer zij van mening is dat er dringend moet worden opgetreden om de rechten en vrijheden van betrokkenen te beschermen, in afwijking van het in de artikelen 63, 64 en 65 bedoelde coherentiemechanisme of van de in artikel 60 bedoelde procedure, onverwijld voorlopige maatregelen met een bepaalde geldigheidsduur van ten hoogste drie maanden nemen die beogen rechtsgevolgen in het leven te roepen op het eigen grondgebied. De toezichthoudende autoriteit deelt die maatregelen met opgave van de redenen onverwijld mee aan de andere betrokken toezichthoudende autoriteiten, het Comité en de Commissie. 2.   Wanneer een toezichthoudende autoriteit overeenkomstig lid 1 een maatregel heeft genomen en van mening is dat er dringend definitieve maatregelen moeten worden genomen, kan zij het Comité met opgave van redenen om een dringend advies of een dringend bindend besluit verzoeken. 3.   Een toezichthoudende autoriteit kan het Comité met opgave van redenen, waaronder de redenen waarom er dringend moet worden opgetreden, om een dringend advies of een dringend bindend besluit verzoeken wanneer de bevoegde toezichthoudende autoriteit geen passende maatregel heeft genomen in een situatie waarin er dringend moet worden opgetreden, teneinde de rechten en vrijheden van betrokkenen te beschermen. 4.   In afwijking van artikel 64, lid 3, en van artikel 65, lid 2, wordt een als in de leden 2 en 3 bedoeld dringend advies of dringend bindend besluit binnen twee weken met gewone meerderheid van de leden van het Comité vastgesteld. Passende overwegingen Overweging 137 - Voorlopige MaatregelenOverweging 138 - Spoedprocedure Veelgestelde vragen over artikel 66 +Wat is de spoedprocedure volgens de AVG? Artikel 66 staat een toezichthoudende autoriteit toe onmiddellijk voorlopige maatregelen te nemen wanneer dringend optreden nodig is om personen te beschermen, met omzeiling van het gebruikelijke coherentiemechanisme. +Hoe lang duren AVG-spoedmaatregelen? Voorlopige maatregelen die in de spoedprocedure worden genomen zijn beperkt geldig voor een periode van ten hoogste drie maanden. +Kan het EDPB met spoed handelen? Ja. Het Comité kan een dringend bindend besluit nemen wanneer een autoriteit daarom verzoekt wegens de noodzaak van dringend optreden.

De Commissie kan uitvoeringshandelingen van algemene aard vaststellen om d)de regelingen voor de elektronische uitwisseling van informatie tussen toezichthoudende autoriteiten onderling en tussen toezichthoudende autoriteiten en het Comité, met name het in artikel 64 bedoelde standaardformulier, vast te leggen. Die uitvoeringshandelingen worden vastgesteld volgens de in artikel 93, lid 2, bedoelde onderzoeksprocedure. Passende overwegingen Overweging 123 – Samenwerking Van De Toezichthoudende Autoriteiten Met Elkaar En Met De Commissie Overweging 124 – Leidende Autoriteit Betreffende Verwerking In Verschillende Lidstaten Overweging 125 – Bevoegdheden Van De Leidende Autoriteit Veelgestelde vragen over artikel 67 +Wat valt onder artikel 67 AVG? Artikel 67 staat de Commissie toe maatregelen vast te stellen die bepalen hoe toezichthoudende autoriteiten en het Comité informatie langs elektronische weg en in gestandaardiseerde vorm uitwisselen. +Hoe delen autoriteiten informatie volgens de AVG? Autoriteiten gebruiken gestandaardiseerde formats en beveiligde elektronische middelen om informatie uit te wisselen, ter ondersteuning van de samenwerking en het coherentiemechanisme. +Waarom de uitwisseling van informatie standaardiseren? Standaardisatie verbetert de efficiëntie en betrouwbaarheid wanneer autoriteiten samenwerken bij onderzoeken, adviezen en besluiten over de grenzen heen.

1.   Het Europees Comité voor gegevensbescherming (het „Comité”) wordt ingesteld als orgaan van de Unie en heeft rechtspersoonlijkheid. 2.   Het Comité wordt vertegenwoordigd door zijn voorzitter. 3.   Het Comité bestaat uit de voorzitter van één toezichthoudende autoriteit per lidstaat en de Europese Toezichthouder voor gegevensbescherming, of hun respectieve vertegenwoordigers. 4.   Wanneer in een lidstaat meer dan één toezichthoudende autoriteit belast is met het toezicht op de toepassing van de bepalingen krachtens deze verordening, wordt overeenkomstig het recht van die lidstaat een gezamenlijke vertegenwoordiger aangewezen. 5.   De Commissie heeft het recht deel te nemen aan de activiteiten en, zonder stemrecht, aan de bijeenkomsten van het Comité. De Commissie wijst een vertegenwoordiger aan. De voorzitter van het Comité stelt de Commissie in kennis van de activiteiten van het Comité. 6.   In de in artikel 65 bedoelde gevallen heeft de Europese Toezichthouder voor gegevensbescherming uitsluitend stemrecht bij besluiten over op de instellingen, organen en instanties van de Unie toepasselijke beginselen en regels die inhoudelijk met die van de onderhavige verordening overeenstemmen. Passende overwegingen Overweging 139 - Europese Toezichthouder Voor Gegevensbescherming Veelgestelde vragen over artikel 68 +Wat is het Europees Comité voor gegevensbescherming (EDPB)? Artikel 68 stelt het EDPB in als een onafhankelijk EU-orgaan dat bestaat uit de hoofden van de nationale toezichthoudende autoriteiten en de Europese Toezichthouder voor gegevensbescherming. +Wat doet het EDPB? Het EDPB waarborgt de coherente toepassing van de AVG, publiceert richtsnoeren en adviezen en beslecht geschillen tussen nationale toezichthoudende autoriteiten. +Wie heeft zitting in het Europees Comité voor gegevensbescherming? Het bestaat uit het hoofd van één toezichthoudende autoriteit per lidstaat en de Europese Toezichthouder voor gegevensbescherming, waarbij de Commissie zonder stemrecht deelneemt.

1.   Het Comité treedt bij de uitvoering van zijn taken of de uitoefening van zijn bevoegdheden overeenkomstig de artikelen 70 en 71 onafhankelijk op. 2.   Onverminderd verzoeken van de Commissie als bedoeld in artikel 70, lid 1, onder b), en artikel 70, lid 2, vraagt noch aanvaardt het Comité bij de uitvoering van zijn taken of de uitoefening van zijn bevoegdheden instructies van wie dan ook. Passende overwegingen Overweging 139 - Europese Toezichthouder Voor Gegevensbescherming Veelgestelde vragen over artikel 69 +Is het Europees Comité voor gegevensbescherming onafhankelijk? Ja. Artikel 69 vereist dat het EDPB onafhankelijk handelt bij de uitvoering van zijn taken en bevoegdheden, vrij van externe instructies. +Kan iemand het EDPB instructies geven? Nee. Het Comité mag bij de uitoefening van zijn taken van niemand instructies vragen of aanvaarden. +Waarom is de onafhankelijkheid van het EDPB belangrijk? Onafhankelijkheid waarborgt dat de richtsnoeren en besluiten van het Comité onpartijdig zijn, wat het vertrouwen in een coherente handhaving in de hele EU versterkt.

1.   Het Comité zorgt ervoor dat deze verordening consequent wordt toegepast. Daartoe doet het Comité op eigen initiatief of, waar passend, op verzoek van de Commissie met name het volgende: a) toezien op en zorgen voor de juiste toepassing van deze verordening in de in de artikelen 64 en 65 bedoelde gevallen, onverminderd de taken van de nationale toezichthoudende autoriteiten; b) adviseren van de Commissie over aangelegenheden in verband met de bescherming van persoonsgegevens in de Unie, waaronder alle voorgestelde wijzigingen van deze verordening; c) adviseren van de Commissie over het mechanisme en de procedures voor de uitwisseling van informatie wat betreft bindende bedrijfsvoorschriften tussen verwerkingsverantwoordelijken, verwerkers, en toezichthoudende autoriteiten; d) uitvaardigen van richtsnoeren, aanbevelingen en beste praktijken inzake procedures voor het wissen van links, kopieën of reproducties van persoonsgegevens uit algemeen beschikbare communicatiediensten als bedoeld in artikel 17, lid 2; e) onderzoeken, op eigen initiatief of op verzoek van een van zijn leden dan wel op verzoek van de Commissie, van kwesties die betrekking hebben op de toepassing van deze verordening, en uitvaardigen van richtsnoeren, aanbevelingen en beste praktijken om te bevorderen dat deze verordening consequent wordt toegepast; f) uitvaardigen van richtsnoeren, aanbevelingen en beste praktijken in overeenstemming met punt e) van dit lid ter verdere specificatie van de criteria en de voorwaarden voor besluiten op basis van profilering krachtens artikel 22, lid 2; g) uitvaardigen van richtsnoeren, aanbevelingen en beste praktijken in overeenstemming met punt e) van dit lid ter vaststelling van de in de leden 1 en 2 bedoelde inbreuken in verband met persoonsgegevens alsmede van de in artikel 33, leden 1 en 2, bedoelde onredelijke vertraging, en voor de bijzondere omstandigheden waarin een verwerkingsverantwoordelijke of een verwerker verplicht is de inbreuk in verband met persoonsgegevens te melden; h) uitvaardigen van richtsnoeren, aanbevelingen en beste praktijken in overeenstemming met punt e) van dit lid ten aanzien van de omstandigheden waarin een inbreuk in verband met persoonsgegevens waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van natuurlijke personen, als bedoeld in artikel 34, lid 1; i) uitvaardigen van richtsnoeren, aanbevelingen en beste praktijken in overeenstemming met punt e) van dit lid ter verdere specificatie van de criteria en de eisen voor doorgiften van persoonsgegevens op basis van bindende bedrijfsvoorschriften voor verwerkingsverantwoordelijken en bindende bedrijfsvoorschriften voor verwerkers, alsmede op basis van verdere noodzakelijke eisen om de bescherming van persoonsgegevens van de betrokkenen in kwestie te garanderen, als bedoeld in artikel 47; j) uitvaardigen van richtsnoeren, aanbevelingen en beste praktijken in overeenstemming met punt e) van dit lid ter verdere specificatie van de criteria en de eisen voor de doorgiften van persoonsgegevens op grond van artikel 49, lid 1; k) opstellen van richtsnoeren voor toezichthoudende autoriteiten betreffende de toepassing van de in artikel 58, leden 1, 2 en 3, bedoelde maatregelen en betreffende de vaststelling van administratieve geldboeten overeenkomstig artikel 83; l) evalueren van de praktische toepassing van de in de punten e) en f) bedoelde richtsnoeren, aanbevelingen en beste praktijken; m) uitvaardigen van richtsnoeren, aanbevelingen en beste praktijken in overeenstemming met punt e) van dit lid, ter vaststelling van gemeenschappelijke procedures waarmee natuurlijke personen inbreuken op deze verordening kunnen melden, als bedoeld in artikel 54, lid 2; n) bevorderen van het opstellen van gedragscodes en het invoeren van certificeringsmechanismen voor gegevensbescherming en gegevensbeschermingszegels en -merktekens overeenkomstig de artikelen 40 en 42; o) verrichten van de accreditatie van certificeringsorganen en van de periodieke evaluatie daarvan overeenkomstig artikel 43, en houden van een openbaar register van geaccrediteerde organen conform artikel 43, lid 6, en van de geaccrediteerde verwerkingsverantwoordelijken of verwerkers die in derde landen zijn gevestigd, overeenkomstig artikel 42, lid 7; p) specificeren van de in artikel 43, lid 3, bedoelde vereisten met het oog op de accreditatie van certificeringsorganen overeenkomstig artikel 42; q) uitbrengen van een advies ten behoeve van de Commissie over de in artikel 43, lid 8, bedoelde certificeringseisen; r) uitbrengen van een advies ten behoeve van de Commissie over de in artikel 12, lid 7, bedoelde icoontjes; s) uitbrengen aan de Commissie van een advies om haar in staat te stellen te beoordelen of het beschermingsniveau in een derde land of een internationale organisatie adequaat is, en om te beoordelen of een derde land, een gebied of één of meerdere nader bepaalde sectoren in dat derde land, of een internationale organisatie geen passend beschermingsniveau meer garandeert. Daartoe verstrekt de Commissie het Comité alle nodige documentatie, met inbegrip van correspondentie met de overheid van het derde land, ten aanzien van derde land, gebied of nader bepaalde sector of met de internationale organisatie. t) uitbrengen van adviezen over ontwerpbesluiten van de toezichthoudende autoriteiten in het kader van het in artikel 64, lid 1, bedoelde coherentiemechanisme over aangelegenheden die overeenkomstig artikel 64, lid 2, ter sprake worden gebracht en uitbrengen van bindende beslissingen overeenkomstig artikel 65, met inbegrip van de in artikel 66 bedoelde gevallen; u) bevorderen van samenwerking en effectieve bilaterale en multilaterale uitwisseling van informatie en beste praktijken tussen de toezichthoudende autoriteiten; v) bevorderen van gemeenschappelijke opleidingsprogramma's en vergemakkelijken van uitwisselingen van personeelsleden tussen de toezichthoudende autoriteiten, en waar passend, met de toezichthoudende autoriteiten van derde landen of met internationale organisaties; w) bevorderen van de uitwisseling van kennis en documentatie over de wetgeving en de praktijk op het gebied van gegevensbescherming met voor gegevensbescherming bevoegde toezichthoudende autoriteiten van de hele wereld; x) uitbrengen van adviezen over op Unieniveau opgestelde gedragscodes overeenkomstig artikel 40, lid 9; en y) houden van een openbaar elektronisch register van besluiten van toezichthoudende autoriteiten en gerechten over in het kader van het coherentiemechanisme behandelde aangelegenheden. 2.   Wanneer de Commissie het Comité om advies vraagt, kan zij een termijn aangeven, rekening houdend met de spoedeisendheid van de aangelegenheid. 3.   Het Comité zendt zijn adviezen, richtsnoeren, aanbevelingen en beste praktijken toe aan de Commissie en aan het in artikel 93 bedoelde comité en maakt deze bekend. 4.   Het Comité raadpleegt, waar passend, de belanghebbende partijen en biedt hun de gelegenheid om binnen een redelijk tijdsbestek commentaar te leveren. Onverminderd artikel 76, maakt het Comité de resultaten van de raadpleging openbaar. Passende overwegingen Overweging 136 - Bindende Beslissingen En Adviezen Van De RaadOverweging 139 - Europese Toezichthouder Voor Gegevensbescherming Veelgestelde vragen over artikel 70 +Wat zijn de taken van het Europees Comité voor gegevensbescherming? Artikel 70 belast het EDPB met het waarborgen van de coherente toepassing van de AVG, het publiceren van richtsnoeren en goede praktijken, het adviseren van de Commissie en het bevorderen van samenwerking tussen autoriteiten. +Publiceert het EDPB AVG-richtsnoeren? Ja. Het Comité publiceert richtsnoeren, aanbevelingen en goede praktijken om te verduidelijken hoe de AVG moet worden uitgelegd en toegepast. +Adviseert het EDPB de Europese Commissie? Ja. Tot zijn taken behoort het adviseren van de Commissie over gegevensbeschermingsvraagstukken en over voorgestelde EU-wetgeving die gegevens raakt.

1.   Het Comité stelt een jaarverslag op over de bescherming van natuurlijke personen met betrekking tot de verwerking in de Unie en, in voorkomend geval, in derde landen en internationale organisaties. Het verslag wordt openbaar gemaakt en toegezonden aan het Europees Parlement, de Raad en de Commissie. 2.   Het jaarverslag omvat een evaluatie van de praktische toepassing van de richtsnoeren, aanbevelingen en beste praktijken bedoeld in artikel 70, lid 1, punt l), en van de bindende besluiten bedoeld in artikel 65. Passende overwegingen Overweging 135 – Mechanisme Voor Samenhang Overweging 136 – Bindende Beslissingen En Adviezen Van De Raad Veelgestelde vragen over artikel 71 +Publiceert het Europees Comité voor gegevensbescherming verslagen? Ja. Artikel 71 verplicht het EDPB een jaarlijks verslag op te stellen over de bescherming van personen bij verwerking in de EU en, in voorkomend geval, in derde landen. +Zijn EDPB-verslagen openbaar? Ja. Het jaarverslag wordt openbaar gemaakt en toegezonden aan het Europees Parlement, de Raad en de Commissie. +Wat behandelen EDPB-verslagen? Verslagen kunnen richtsnoeren over goede praktijken bevatten en een overzicht van de stand van de gegevensbescherming in de EU.

1.   Het Comité neemt besluiten met een gewone meerderheid van zijn leden, tenzij anders bepaald in deze verordening. 2.   Het Comité stelt met een tweederdemeerderheid van zijn leden zijn eigen reglement van orde en zijn eigen werkregelingen vast. Passende overwegingen Overweging 10 – Geharmoniseerd Niveau Van Gegevensbescherming Ondanks Nationale Reikwijdte Overweging 11 – Harmonisatie Van De Bevoegdheden En Sancties Overweging 117 – Oprichting Van Toezichthoudende Autoriteiten Veelgestelde vragen over artikel 72 +Hoe neemt het Europees Comité voor gegevensbescherming besluiten? Artikel 72 bepaalt dat het EDPB besluiten neemt bij gewone meerderheid van zijn leden, tenzij het reglement van orde anders bepaalt. +Heeft het EDPB een reglement van orde? Ja. Het Comité stelt zijn eigen reglement van orde vast met een tweederdemeerderheid en organiseert zijn eigen werkwijze. +Hoe worden stemmen van het EDPB geteld? Besluiten worden in het algemeen genomen bij gewone meerderheid, waarbij voor bepaalde aangelegenheden zoals het reglement van orde specifieke meerderheden vereist zijn.

1.   Het Comité kiest met gewone meerderheid een voorzitter en twee vicevoorzitters uit zijn leden. 2.   De ambtstermijn van de voorzitter en de vicevoorzitters bedraagt vijf jaar en kan eenmaal worden verlengd. Passende overwegingen Overweging 117 – Oprichting Van Toezichthoudende Autoriteiten Overweging 123 – Samenwerking Van De Toezichthoudende Autoriteiten Met Elkaar En Met De Commissie Veelgestelde vragen over artikel 73 +Wie zit het Europees Comité voor gegevensbescherming voor? Artikel 73 bepaalt dat het EDPB uit zijn leden bij gewone meerderheid een voorzitter en twee vicevoorzitters kiest. +Hoe lang duurt de ambtstermijn van de EDPB-voorzitter? De voorzitter en de vicevoorzitters hebben een ambtstermijn van vijf jaar, die eenmaal kan worden verlengd. +Wat is de rol van de voorzitter van het EDPB? De voorzitter leidt de werkzaamheden van het Comité, roept vergaderingen bijeen en vertegenwoordigt het Comité, met steun van de vicevoorzitters.

1.   De voorzitter heeft de volgende taken: a) bijeenroepen van de bijeenkomsten van het Comité en het opstellen van zijn agenda; b) ter kennis brengen van de door het Comité overeenkomstig artikel 65 vastgestelde besluiten aan de leidende toezichthoudende autoriteit en de betrokken toezichthoudende autoriteiten; c) ervoor zorgen dat de taken van het Comité tijdig worden uitgevoerd, met name wat het in artikel 63 bedoelde coherentiemechanisme betreft. 2.   Het Comité stelt in zijn reglement van orde de taakverdeling tussen de voorzitter en de vicevoorzitters vast. Passende overwegingen Overweging 13 – Rekening Houden Met Micro-, Kleine En Middelgrote Ondernemingen Overweging 22 – Verwerking Door Een Vestiging Overweging 80 – Benoeming Van Een Vertegenwoordiger Veelgestelde vragen over artikel 74 +Wat zijn de taken van de voorzitter van het EDPB? Artikel 74 belast de voorzitter onder meer met het bijeenroepen van de vergaderingen van het Comité, het opstellen van de agenda en het meedelen van besluiten aan de toezichthoudende autoriteiten. +Stelt de voorzitter van het EDPB de agenda van vergaderingen vast? Ja. De voorzitter stelt de agenda op en deelt deze mee en zorgt voor de tijdige uitvoering van de taken van het Comité. +Wie verzorgt de communicatie van het EDPB met de autoriteiten? De voorzitter is verantwoordelijk voor het meedelen van de besluiten van het Comité aan de leidende en de betrokken toezichthoudende autoriteiten.

1.   Het Comité heeft een secretariaat, dat wordt verzorgd door de Europese Toezichthouder voor gegevensbescherming. 2.   Het secretariaat verricht zijn taken uitsluitend volgens de instructies van de voorzitter van het Comité. 3.   De personeelsleden van de Europese Toezichthouder voor gegevensbescherming die betrokken zijn bij de uitvoering van de krachtens deze verordening aan het Comité opgedragen taken vallen onder een andere rapportageregeling dan de personeelsleden die betrokken zijn bij de uitvoering van de aan de Europese Toezichthouder voor gegevensbescherming opgedragen taken. 4.   Waar passend wordt door het Comité en de Europese Toezichthouder voor gegevensbescherming een memorandum van overeenstemming ter uitvoering van dit artikel opgesteld en bekendgemaakt, waarin de voorwaarden van hun samenwerking worden vastgelegd en dat van toepassing is op de personeelsleden van de Europese Toezichthouder voor gegevensbescherming die betrokken zijn bij de uitvoering van de krachtens deze verordening aan het Comité opgedragen taken. 5.   Het secretariaat biedt het Comité analytische, administratieve en logistieke ondersteuning. 6.   Het secretariaat is met name belast met: a) de dagelijkse werking van het Comité; b) de communicatie tussen de leden van het Comité, zijn voorzitter en de Commissie; c) de communicatie met andere instellingen en het brede publiek; d) het gebruik van elektronische middelen voor interne en externe communicatie; e) de vertaling van relevante informatie; f) de voorbereiding en follow-up van de bijeenkomsten van het Comité; g) de voorbereiding, opstelling en bekendmaking van adviezen, besluiten inzake beslechting van geschillen tussen toezichthoudende autoriteiten, en andere teksten die het Comité vaststelt. Passende overwegingen Overweging 140 - Secretariaat En Personeel Van De Raad Veelgestelde vragen over artikel 75 +Wie verzorgt het secretariaat van het Europees Comité voor gegevensbescherming? Artikel 75 bepaalt dat de Europese Toezichthouder voor gegevensbescherming het secretariaat van het EDPB verzorgt en daarbij uitsluitend handelt op instructie van de voorzitter. +Wat doet het secretariaat van het EDPB? Het secretariaat verleent analytische, administratieve en logistieke ondersteuning, bereidt documenten voor en ondersteunt de communicatie- en samenwerkingstaken van het Comité. +Is het secretariaat van het EDPB onafhankelijk? Het secretariaat voert zijn taken uitsluitend uit op instructie van de voorzitter van het Comité, wat de onafhankelijke werking ervan ondersteunt.

1.   De besprekingen van het Comité zijn vertrouwelijk indien het comité dit noodzakelijk acht, in overeenstemming met zijn reglement van orde. 2.   Op de toegang tot documenten die aan de leden van het Comité, deskundigen en vertegenwoordigers van derden worden voorgelegd, is Verordening (EG) nr. 1049/2001 van het Europees Parlement en de Raad  van toepassing. Passende overwegingen Overweging 58 – Het Transparantiebeginsel Overweging 63 – Recht Van Toegang Overweging 74 – Verantwoordelijkheid En Aansprakelijkheid Van De Verwerkingsverantwoordelijke Overweging 83 – Beveiliging Van Verwerking Veelgestelde vragen over artikel 76 +Zijn de beraadslagingen van het Europees Comité voor gegevensbescherming vertrouwelijk? Artikel 76 bepaalt dat de beraadslagingen van het Comité vertrouwelijk zijn wanneer het Comité dit noodzakelijk acht, zoals vastgelegd in zijn reglement van orde. +Kan het publiek toegang krijgen tot EDPB-documenten? De toegang tot documenten wordt geregeld door de EU-transparantieregels, afgewogen tegen de vertrouwelijkheid die het Comité op bepaalde beraadslagingen kan toepassen. +Waarom past het EDPB vertrouwelijkheid toe? Vertrouwelijkheid beschermt gevoelige beraadslagingen en lopende zaken, terwijl de transparantieregels nog steeds een passende publieke toegang tot documenten toestaan.

1.   Onverminderd andere mogelijkheden van administratief beroep of een voorziening in rechte, heeft iedere betrokkene het recht een klacht in te dienen bij een toezichthoudende autoriteit, met name in de lidstaat waar hij gewoonlijk verblijft, hij zijn werkplek heeft of waar de beweerde inbreuk is begaan, indien hij van mening is dat de verwerking van hem betreffende persoonsgegevensinbreuk maakt op deze verordening. 2.   De toezichthoudende autoriteit waarbij de klacht is ingediend, stelt de klager in kennis van de voortgang en het resultaat van de klacht, alsmede van de mogelijke voorziening in rechte overeenkomstig artikel 78. Passende overwegingen Overweging 141 - Recht Om Een Klacht In Te Dienen Veelgestelde vragen over artikel 77 +Hoe dien ik een klacht in over een AVG-inbreuk? Artikel 77 geeft elke persoon het recht een klacht in te dienen bij een toezichthoudende autoriteit als hij meent dat de verwerking van zijn gegevens de AVG schendt. +Waar kan ik een AVG-klacht indienen? U kunt zich wenden tot de toezichthoudende autoriteit van uw lidstaat van verblijf, uw werkplek of de plaats van de vermeende inbreuk. +Word ik geïnformeerd over de uitkomst van mijn AVG-klacht? Ja. De toezichthoudende autoriteit moet de klager informeren over de voortgang en de uitkomst, waaronder de mogelijkheid van een beroep bij de rechter.

1.   Onverminderd andere mogelijkheden van administratief of buitengerechtelijk beroep, heeft iedere natuurlijke persoon of rechtspersoon het recht om tegen een hem betreffend juridisch bindend besluit van een toezichthoudende autoriteit een doeltreffende voorziening in rechte in te stellen. 2.   Onverminderd andere mogelijkheden van administratief of buitengerechtelijk beroep heeft iedere betrokkene het recht om een doeltreffende voorziening in rechte in te stellen indien de overeenkomstig de artikelen 55 en 56 bevoegde toezichthoudende autoriteit een klacht niet behandelt of de betrokkene niet binnen drie maanden in kennis stelt van de voortgang of het resultaat van de uit hoofde van artikel 77 ingediende klacht. 3.   Een procedure tegen een toezichthoudende autoriteit wordt ingesteld bij de gerechten van de lidstaat waar de toezichthoudende autoriteit is gevestigd. 4.   Wanneer een procedure wordt ingesteld tegen een besluit van een toezichthoudende autoriteit waaraan een advies of een besluit van het Comité in het kader van het coherentiemechanisme is voorafgegaan, doet de toezichthoudende autoriteit dat advies of besluit aan de gerechten toekomen. Passende overwegingen Overweging 141 - Recht Om Een Klacht In Te DienenOverweging 143 - Rechtsmiddelen Veelgestelde vragen over artikel 78 +Kan ik een toezichthoudende autoriteit aanklagen volgens de AVG? Ja. Artikel 78 geeft personen en organisaties het recht op een doeltreffende voorziening in rechte tegen een hen betreffend juridisch bindend besluit van een toezichthoudende autoriteit. +Wat als een toezichthoudende autoriteit mijn klacht niet behandelt? Als een autoriteit een klacht niet behandelt of u niet binnen drie maanden over de voortgang informeert, hebt u recht op een voorziening in rechte. +Welke rechter behandelt vorderingen tegen een toezichthoudende autoriteit? Procedures worden ingesteld bij de gerechten van de lidstaat waar de toezichthoudende autoriteit is gevestigd.

1.   Onverminderd andere mogelijkheden van administratief of buitengerechtelijk beroep, waaronder het recht uit hoofde van artikel 77 een klacht in te dienen bij een toezichthoudende autoriteit, heeft elke betrokkene het recht een doeltreffende voorziening in rechte in te stellen indien hij van mening is dat zijn rechten uit hoofde van deze verordening geschonden zijn ten gevolge van een verwerking van zijn persoonsgegevens die niet aan deze verordening voldoet. 2.   Een procedure tegen een verwerkingsverantwoordelijke of een verwerker wordt ingesteld bij de gerechten van de lidstaat waar de verwerkingsverantwoordelijke of de verwerker een vestiging heeft. Een dergelijke procedure kan ook worden ingesteld bij de gerechten van de lidstaat waar de betrokkene gewoonlijk verblijft, tenzij de verwerkingsverantwoordelijke of de verwerker een overheidsinstantie van een lidstaat is die optreedt in de uitoefening van het overheidsgezag. Passende overwegingen Overweging 141 - Recht Om Een Klacht In Te DienenOverweging 145 - Keuze Van Forum Veelgestelde vragen over artikel 79 +Kan ik een bedrijf aanklagen voor een AVG-inbreuk? Ja. Artikel 79 geeft personen het recht op een doeltreffende voorziening in rechte tegen een verantwoordelijke of verwerker wanneer zij menen dat hun rechten zijn geschonden. +Waar kan ik een AVG-vordering tegen een bedrijf instellen? Vorderingen kunnen worden ingesteld bij de gerechten van de plaats van vestiging van de verantwoordelijke of verwerker, of de woonplaats van de persoon, tenzij de verweerder een overheidsinstantie is die haar bevoegdheden uitoefent. +Is een voorziening in rechte los van de klacht bij de autoriteit? Ja. De voorziening in rechte komt bovenop het recht om een klacht in te dienen bij een toezichthoudende autoriteit en andere administratieve beroepsmogelijkheden.

1.   De betrokkene heeft het recht een orgaan, organisatie of vereniging zonder winstoogmerk dat of die op geldige wijze volgens het recht van een lidstaat is opgericht, waarvan de statutaire doelstellingen het openbare belang dienen en dat of die actief is op het gebied van de bescherming van de rechten en vrijheden van de betrokkene in verband met de bescherming van diens persoonsgegevens, opdracht te geven de klacht namens hem in te dienen, namens hem de in artikelen 77, 78 en 79 bedoelde rechten uit te oefenen en namens hem het in artikel 82 bedoelde recht op schadevergoeding uit te oefenen, indien het lidstatelijke recht daarin voorziet. 2.   De lidstaten kunnen bepalen dat een orgaan, organisatie of vereniging als bedoeld in lid 1 van dit artikel, over het recht beschikt om onafhankelijk van de opdracht van een betrokkene in die lidstaat klacht in te dienen bij de overeenkomstig artikel 77 bevoegde toezichthoudende autoriteit en de in de artikelen 78 en 79 bedoelde rechten uit te oefenen, indien het/zij van mening is dat de rechten van een betrokkene uit hoofde van deze verordening zijn geschonden ten gevolge van de verwerking. Passende overwegingen Overweging 142 - Het Recht Van Betrokkenen Om Een Non-Profitorganisatie, Instelling Of Vereniging Een Opdracht Te Geven Veelgestelde vragen over artikel 80 +Kan een instantie mij vertegenwoordigen bij een AVG-klacht? Ja. Artikel 80 staat personen toe een instantie zonder winstoogmerk die actief is in gegevensbescherming te machtigen om klachten in te dienen en bepaalde rechten namens hen uit te oefenen. +Zijn collectieve acties toegestaan volgens de AVG? Lidstaten kunnen gekwalificeerde instanties toestaan representatieve vorderingen in te stellen, in sommige gevallen zelfs zonder specifieke machtiging van de personen, afhankelijk van het nationale recht. +Welk soort organisatie kan betrokkenen vertegenwoordigen? Het moet gaan om een naar behoren opgerichte instantie zonder winstoogmerk met statutaire doelstellingen van algemeen belang die actief is in de bescherming van rechten met betrekking tot gegevens.

1.   Indien een bevoegd gerecht van een lidstaat over informatie beschikt dat bij een gerecht van een andere lidstaat een procedure inzake verwerking betreffende dezelfde aangelegenheid en dezelfde verwerkingsverantwoordelijke of verwerker hangende is, neemt het contact op met dat gerecht in de andere lidstaat om het bestaan van die procedure te verifiëren. 2.   Indien een procedure inzake verwerking met betrekking tot dezelfde aangelegenheid en dezelfde verwerkingsverantwoordelijke of verwerker hangende is bij een gerecht van een andere lidstaat, kan ieder ander bevoegd gerecht dan dat welk als eerste is aangezocht, zijn procedure schorsen. 3.   Indien die procedure in eerste aanleg aanhangig is, kan elk gerecht dat niet als eerste is aangezocht, op verzoek van een van de partijen ook tot verwijzing overgaan, mits het eerst aangezochte gerecht bevoegd is om van de beide procedures kennis te nemen en zijn wetgeving de voeging daarvan toestaat. Passende overwegingen Overweging 144 - Verwante Procedures Veelgestelde vragen over artikel 81 +Wat is opschorting van procedures volgens de AVG? Artikel 81 staat een gerecht toe zijn procedure op te schorten wanneer parallelle procedures over dezelfde verwerking aanhangig zijn bij een gerecht van een andere lidstaat. +Waarom staat de AVG opschorting van procedures toe? Het voorkomt tegenstrijdige uitspraken en dubbele procedures wanneer hetzelfde onderwerp, met dezelfde verantwoordelijke of verwerker, elders in de EU wordt behandeld. +Kunnen gerechten samenhangende AVG-zaken coördineren? Ja. Wanneer samenhangende vorderingen in eerste aanleg aanhangig zijn, kan een bevoegd gerecht zich ook onbevoegd verklaren om voeging mogelijk te maken, behoudens de toepasselijke regels.

1.   Eenieder die materiële of immateriële schade heeft geleden ten gevolge van een inbreuk op deze verordening, heeft het recht om van de verwerkingsverantwoordelijke of de verwerker schadevergoeding te ontvangen voor de geleden schade. 2.   Elke verwerkingsverantwoordelijke die bij verwerking is betrokken, is aansprakelijk voor de schade die wordt veroorzaakt door verwerking die inbreuk maakt op deze verordening. Een verwerker is slechts aansprakelijk voor de schade die door verwerking is veroorzaakt wanneer bij de verwerking niet is voldaan aan de specifiek tot verwerkers gerichte verplichtingen van deze verordening of buiten dan wel in strijd met de rechtmatige instructies van de verwerkingsverantwoordelijke is gehandeld. 3.   Een verwerkingsverantwoordelijke of verwerker wordt van aansprakelijkheid op grond van lid 2 vrijgesteld indien hij bewijst dat hij op geen enkele wijze verantwoordelijk is voor het schadeveroorzakende feit. 4.   Wanneer meerdere verwerkingsverantwoordelijken of verwerkers bij dezelfde verwerking betrokken zijn, en overeenkomstig de leden 2 en 3 verantwoordelijk zijn voor schade die door verwerking is veroorzaakt, wordt elke verwerkingsverantwoordelijke of verwerker voor de gehele schade aansprakelijk gehouden teneinde te garanderen dat de betrokkene daadwerkelijk wordt vergoed. 5.   Wanneer een verwerkingsverantwoordelijke of verwerker de schade overeenkomstig lid 4 geheel heeft vergoed, kan deze verwerkingsverantwoordelijke of verwerker op andere verwerkingsverantwoordelijken of verwerkers die bij de verwerking waren betrokken, het deel van de schadevergoeding verhalen dat overeenkomt met hun deel van de aansprakelijkheid voor de schade, overeenkomstig de in lid 2 gestelde voorwaarden. 6.   Gerechtelijke procedures voor het uitoefenen van het recht op schadevergoeding worden gevoerd voor de in artikel 79, lid 2, bedoelde lidstaatrechtelijk bevoegde gerechten. Passende overwegingen Overweging 146 - SchadeloosstellingOverweging 147 - Rechtsgebied Veelgestelde vragen over artikel 82 +Kan ik schadevergoeding eisen voor een AVG-inbreuk? Ja. Artikel 82 geeft eenieder die materiële of immateriële schade lijdt door een AVG-inbreuk het recht op schadevergoeding van de verantwoordelijke of de verwerker. +Dekt de AVG-schadevergoeding ook emotioneel leed? Ja. De schadevergoeding dekt immateriële schade, waaronder leed, naast materiële financiële verliezen die uit de inbreuk voortvloeien. +Wie is aansprakelijk voor AVG-schadevergoeding? De verantwoordelijke is aansprakelijk voor schade door niet-conforme verwerking, en de verwerker is aansprakelijk wanneer hij eigen verplichtingen schendt of buiten de instructies handelt.

1.   Elke toezichthoudende autoriteit zorgt ervoor dat de administratieve geldboeten die uit hoofde van dit artikel worden opgelegd voor de in de leden 4, 5 en 6 vermelde inbreuken op deze verordening in elke zaak doeltreffend, evenredig en afschrikkend zijn. 2.   Administratieve geldboeten worden, naargelang de omstandigheden van het concrete geval, opgelegd naast of in plaats van de in artikel 58, lid 2, onder a) tot en met h) en onder j), bedoelde maatregelen. Bij het besluit over de vraag of een administratieve geldboete wordt opgelegd en over de hoogte daarvan wordt voor elk concreet geval naar behoren rekening gehouden met het volgende: a) de aard, de ernst en de duur van de inbreuk, rekening houdend met de aard, de omvang of het doel van de verwerking in kwestie alsmede het aantal getroffen betrokkenen en de omvang van de door hen geleden schade; b) de opzettelijke of nalatige aard van de inbreuk; c) de door de verwerkingsverantwoordelijke of de verwerker genomen maatregelen om de door betrokkenen geleden schade te beperken; d) de mate waarin de verwerkingsverantwoordelijke of de verwerker verantwoordelijk is gezien de technische en organisatorische maatregelen die hij heeft uitgevoerd overeenkomstig de artikelen 25 en 32; e) eerdere relevante inbreuken door de verwerkingsverantwoordelijke of de verwerker; f) de mate waarin er met de toezichthoudende autoriteit is samengewerkt om de inbreuk te verhelpen en de mogelijke negatieve gevolgen daarvan te beperken; g) de categorieën van persoonsgegevens waarop de inbreuk betrekking heeft; h) de wijze waarop de toezichthoudende autoriteit kennis heeft gekregen van de inbreuk, met name of, en zo ja in hoeverre, de verwerkingsverantwoordelijke of de verwerker de inbreuk heeft gemeld; i) de naleving van de in artikel 58, lid 2, genoemde maatregelen, voor zover die eerder ten aanzien van de verwerkingsverantwoordelijke of de verwerker in kwestie met betrekking tot dezelfde aangelegenheid zijn genomen; j) het aansluiten bij goedgekeurde gedragscodes overeenkomstig artikel 40 of van goedgekeurde certificeringsmechanismen overeenkomstig artikel 42; en k) elke andere op de omstandigheden van de zaak toepasselijke verzwarende of verzachtende factor, zoals gemaakte financiële winsten, of vermeden verliezen, die al dan niet rechtstreeks uit de inbreuk voortvloeien. 3.   Indien een verwerkingsverantwoordelijke of een verwerker opzettelijk of uit nalatigheid met betrekking tot dezelfde of daarmee verband houdende verwerkingsactiviteiten een inbreuk pleegt op meerdere bepalingen van deze verordening, is de totale geldboete niet hoger dan die voor de zwaarste inbreuk. 4.   Inbreuken op onderstaande bepalingen zijn overeenkomstig lid 2 onderworpen aan administratieve geldboeten tot 10 000 000 EUR of, voor een onderneming, tot 2 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer hoger is: a) de verplichtingen van de verwerkingsverantwoordelijke en de verwerker overeenkomstig de artikelen 8, 11, 25 tot en met 39, en 42 en 43; b) de verplichtingen van het certificeringsorgaan overeenkomstig de artikelen 42 en 43; c) de verplichtingen van het toezichthoudend orgaan overeenkomstig artikel 41, lid 4. 5.   Inbreuken op onderstaande bepalingen zijn overeenkomstig lid 2 onderworpen aan administratieve geldboeten tot 20 000 000 EUR of, voor een onderneming, tot 4 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer hoger is: a) de basisbeginselen inzake verwerking, met inbegrip van de voorwaarden voor toestemming, overeenkomstig de artikelen 5, 6, 7 en 9; b) de rechten van de betrokkenen overeenkomstig de artikelen 12 tot en met 22; c) de doorgiften van persoonsgegevens aan een ontvanger in een derde land of een internationale organisatie overeenkomstig de artikelen 44 tot en met 49; d) alle verplichtingen uit hoofde van krachtens hoofdstuk IX door de lidstaten vastgesteldrecht; e) niet-naleving van een bevel of een tijdelijke of definitieve verwerkingsbeperking of een opschorting van gegevensstromen door de toezichthoudende autoriteit overeenkomstig artikel 58, lid 2, of niet-verlening van toegang in strijd met artikel 58, lid 1. 6.   Niet-naleving van een bevel van de toezichthoudende autoriteit als bedoeld in artikel 58, lid 2, is overeenkomstig lid 2 van dit artikel onderworpen aan administratieve geldboeten tot 20 000 000 EUR of, voor een onderneming, tot 4 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer hoger is. 7.   Onverminderd de bevoegdheden tot het nemen van corrigerende maatregelen van de toezichthoudende autoriteiten overeenkomstig artikel 58, lid 2, kan elke lidstaat regels vaststellen betreffende de vraag of en in hoeverre administratieve geldboeten kunnen worden opgelegd aan in die lidstaat gevestigde overheidsinstanties en overheidsorganen. 8.   De uitoefening door de toezichthoudende autoriteit van haar bevoegdheden uit hoofde van dit artikel is onderworpen aan passende procedurele waarborgen overeenkomstig het Unierecht en het lidstatelijke recht, waaronder een doeltreffende voorziening in rechte en eerlijke rechtsbedeling. 9.   Wanneer het rechtsstelsel van de lidstaat niet voorziet in administratieve geldboeten, kan dit artikel aldus worden toegepast dat geldboeten worden geïnitieerd door de bevoegde toezichthoudende autoriteit en opgelegd door bevoegde nationale gerechten, waarbij wordt gewaarborgd dat deze rechtsmiddelen doeltreffend zijn en eenzelfde effect hebben als de door toezichthoudende autoriteiten opgelegde administratieve geldboeten. De boeten zijn in elk geval doeltreffend, evenredig en afschrikkend. Die lidstaten delen de Commissie uiterlijk op 25 mei 2018 de wetgevingsbepalingen mee die zij op grond van dit lid vaststellen, alsmede onverwijld alle latere wijzigingen daarvan en alle daarop van invloed zijnde wijzigingswetgeving. Passende overwegingen Overweging 148 - BoetesOverweging 149 - Boetes Voor Inbreuken Op Nationale RegelsOverweging 150 - Administratieve BoetesOverweging 151 - Administratieve Boetes In Denemarken En EstlandOverweging 152 - Bevoegdheid Tot Sanctie Van De Lidstaten Veelgestelde vragen over artikel 83 +Wat zijn de maximale AVG-boetes? Artikel 83 voorziet in twee niveaus: tot 10 miljoen euro of 2 % van de wereldwijde jaaromzet voor bepaalde inbreuken, en tot 20 miljoen euro of 4 % voor ernstigere inbreuken, waarbij het hoogste bedrag geldt. +Hoe worden AVG-boetes berekend? Boetes moeten doeltreffend, evenredig en afschrikkend zijn. Autoriteiten houden rekening met de aard en ernst van de inbreuk, opzet, beperking en de samenwerking met de autoriteit. +Wat is het verschil tussen de twee AVG-boeteniveaus? Het lagere niveau geldt voor verplichtingen zoals registers en beveiliging, terwijl het hogere niveau geldt voor inbreuken op kernbeginselen, rechten van personen en regels voor internationale doorgifte.

1.   De lidstaten stellen de regels inzake andere sancties vast die van toepassing zijn op inbreuken op deze verordening, in het bijzonder op inbreuken die niet aan administratieve geldboeten onderworpen zijn overeenkomstig artikel 83, en treffen alle nodige maatregelen om ervoor te zorgen dat zij worden toegepast. Die sancties zijn doeltreffend, evenredig en afschrikkend. 2.   Elke lidstaat deelt de Commissie uiterlijk op 25 mei 2018 de overeenkomstig lid 1 vastgestelde wetgevingsbepalingen mee, alsook onverwijld alle latere wijzigingen daarvan. Passende overwegingen Overweging 149 - Boetes Voor Inbreuken Op Nationale RegelsOverweging 150 - Administratieve BoetesOverweging 151 - Administratieve Boetes In Denemarken En EstlandOverweging 152 - Bevoegdheid Tot Sanctie Van De Lidstaten Veelgestelde vragen over artikel 84 +Welke sancties bestaan er naast AVG-boetes? Artikel 84 verplicht de lidstaten andere sancties vast te stellen voor inbreuken die niet onder de administratieve geldboetes vallen, en te waarborgen dat zij doeltreffend, evenredig en afschrikkend zijn. +Kunnen AVG-inbreuken tot strafrechtelijke sancties leiden? Lidstaten kunnen voor bepaalde inbreuken strafrechtelijke of andere sancties in het nationale recht voorzien, naast de administratieve boetes van de AVG. +Verschillen sancties tussen EU-landen? Ja. Omdat artikel 84 aanvullende sancties aan het nationale recht overlaat, kunnen de concrete sancties van lidstaat tot lidstaat verschillen.

1.   De lidstaten brengen het recht op bescherming van persoonsgegevens overeenkomstig deze verordening wettelijk in overeenstemming met het recht op vrijheid van meningsuiting en van informatie, daaronder begrepen de verwerking voor journalistieke doeleinden en ten behoeve van academische, artistieke of literaire uitdrukkingsvormen. 2.   Voor verwerking voor journalistieke doeleinden of ten behoeve van academische, artistieke of literaire uitdrukkingsvormen stellen de lidstaten uitzonderingen of afwijkingen vast van hoofdstuk II (beginselen), hoofdstuk III (rechten van de betrokkene), hoofdstuk IV (de verwerkingsverantwoordelijke en de verwerker), hoofdstuk V (doorgifte van persoonsgegevens naar derde landen of internationale organisaties), hoofdstuk VI (onafhankelijke toezichthoudende autoriteiten), hoofdstuk VII (samenwerking en coherentie) en hoofdstuk IX (specifieke gegevensverwerkingssituaties) indien deze noodzakelijk zijn om het recht op bescherming van persoonsgegevens in overeenstemming te brengen met de vrijheid van meningsuiting en van informatie. 3.   Elke lidstaat deelt de Commissie de overeenkomstig lid 2 vastgestelde wetgevingsbepalingen mee, alsook onverwijld alle latere wijzigingen daarvan. Passende overwegingen Overweging 153 - Verwerking Van Persoonsgegevens Uitsluitend Voor Journalistieke Doeleinden Of Voor Doeleinden Van Academische, Artistieke Of Literaire Uitdrukking Veelgestelde vragen over artikel 85 +Hoe brengt de AVG privacy en vrijheid van meningsuiting in evenwicht? Artikel 85 verplicht de lidstaten het recht op gegevensbescherming te verzoenen met de vrijheid van meningsuiting en van informatie, waaronder verwerking voor journalistieke, academische, artistieke of literaire doeleinden. +Zijn journalisten vrijgesteld van de AVG? Niet volledig. De lidstaten moeten voor journalistieke doeleinden uitzonderingen of afwijkingen voorzien wanneer dat nodig is om gegevensbescherming en vrijheid van meningsuiting in evenwicht te brengen. +Geldt de AVG voor nieuwsverslaggeving? Ja, maar met afwijkingen. Nationale wetten passen de toepassing van de AVG op journalistiek aan om de persvrijheid te beschermen en tegelijk persoonsgegevens te waarborgen.

Persoonsgegevens in officiële documenten die voor de uitvoering van een taak van algemeen belang in het bezit zijn van een overheidsinstantie, een overheidsorgaan of een particulier orgaan, mogen door de instantie of het orgaan in kwestie worden bekendgemaakt in overeenstemming met het Unierecht of het lidstatelijke recht dat op de overheidsinstantie of het orgaan van toepassing is, teneinde het recht van toegang van het publiek tot officiële documenten in overeenstemming te brengen met het recht op bescherming van persoonsgegevens uit hoofde van deze verordening. Passende overwegingen Overweging 154 - Beginsel Van Publieke Toegang Tot Officiële Documenten Veelgestelde vragen over artikel 86 +Heeft de AVG gevolgen voor verzoeken om openbaarheid van bestuur? Artikel 86 staat toe dat persoonsgegevens in officiële documenten van overheidsinstanties worden verstrekt overeenkomstig de wetten inzake toegang van het publiek, waarbij transparantie en gegevensbescherming worden afgewogen. +Mogen overheidsinstanties documenten met persoonsgegevens vrijgeven? Ja, wanneer het Unierecht of het lidstatelijke recht inzake toegang tot officiële documenten dit toestaat, waarbij transparantie en het recht op gegevensbescherming worden verzoend. +Hoe beïnvloedt artikel 86 transparantiewetten? Het bevestigt dat de AVG niet automatisch voorrang heeft op nationale regels inzake openbaarheid van bestuur, die de toegang van het publiek naast gegevensbescherming blijven regelen.

De lidstaten kunnen de specifieke voorwaarden voor de verwerking van een nationaal identificatienummer of enige andere identificator van algemene aard nader vaststellen. In dat geval wordt het nationale identificatienummer of enige andere identificator van algemene aard alleen gebruikt met passende waarborgen voor de rechten en vrijheden van de betrokkene uit hoofde van deze verordening. Passende overwegingen Overweging 41 – Rechtsgrondslag Of Wettelijke Maatregelen Overweging 51 – Bescherming Van Gevoelige Persoonsgegevens Overweging 75 – Risico’S Voor De Rechten En Vrijheden Van Natuurlijke Personen Overweging 78 – Passende Technische En Organisatorische Maatregelen Veelgestelde vragen over artikel 87 +Regelt de AVG nationale identificatienummers? Artikel 87 staat de lidstaten toe specifieke voorwaarden vast te stellen voor de verwerking van nationale identificatienummers, die alleen met passende waarborgen voor de rechten van personen mogen worden gebruikt. +Mogen bedrijven nationale identificatienummers vrij gebruiken? Nee. Het gebruik van nationale identificatienummers is onderworpen aan nationale regels en waarborgen, zodat organisaties de specifieke voorwaarden per lidstaat moeten nagaan. +Waarom worden nationale identificatienummers bijzonder behandeld? Omdat zij personen uniek kunnen identificeren in veel systemen, brengen zij grotere risico's mee en rechtvaardigen zij aanvullende waarborgen in het nationale recht.

1.   Bij wet of bij collectieve overeenkomst kunnen de lidstaten nadere regels vaststellen ter bescherming van de rechten en vrijheden met betrekking tot de verwerking van de persoonsgegevens van werknemers in het kader van de arbeidsverhouding, in het bijzonder met het oog op aanwerving, de uitvoering van de arbeidsovereenkomst, met inbegrip van de naleving van wettelijke of uit collectieve overeenkomsten voortvloeiende verplichtingen, het beheer, de planning en de organisatie van de arbeid, gelijkheid en diversiteit op het werk, gezondheid en veiligheid op het werk, bescherming van de eigendom van de werkgever of de klant dan wel met het oog op de uitoefening en het genot van de met de arbeidsverhouding samenhangende individuele of collectieve rechten en voordelen, en met het oog op de beëindiging van de arbeidsverhouding. 2.   Die regels omvatten passende en specifieke maatregelen ter waarborging van de menselijke waardigheid, de gerechtvaardigde belangen en de grondrechten van de betrokkene, met name wat betreft de transparantie van de verwerking, de doorgifte van persoonsgegevens binnen een concern of een groepering van ondernemingen die gezamenlijk een economische activiteit uitoefenen en toezichtsystemen op het werk. 3.   Elke lidstaat deelt de Commissie uiterlijk op 25 mei 2018 de overeenkomstig lid 1 vastgestelde wetgevingsbepalingen mee, alsook onverwijld alle latere wijzigingen daarvan. Passende overwegingen Overweging 155 - Verwerking In De Werkcontext Veelgestelde vragen over artikel 88 +Geldt de AVG voor gegevens van werknemers? Ja. Artikel 88 staat de lidstaten toe specifiekere regels vast te stellen voor de verwerking van werknemersgegevens, met waarborgen voor de waardigheid en de belangen van werknemers. +Mogen werkgevers werknemers monitoren volgens de AVG? Monitoring is onderworpen aan de nationale arbeidsregels en de AVG-waarborgen, die transparantie, noodzaak en evenredigheid vereisen ter bescherming van de rechten van werknemers. +Welke waarborgen gelden voor gegevensverwerking op de werkplek? Nationale regels moeten maatregelen bevatten ter bescherming van de menselijke waardigheid, gerechtvaardigde belangen en grondrechten, met name voor transparantie, monitoring en doorgiften binnen groepen.

1.   De verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden is onderworpen aan passende waarborgen in overeenstemming met deze verordening voor de rechten en vrijheden van de betrokkene. Die waarborgen zorgen ervoor dat er technische en organisatorische maatregelen zijn getroffen om de inachtneming van het beginsel van minimale gegevensverwerking te garanderen. Deze maatregelen kunnen pseudonimisering omvatten, mits aldus die doeleinden in kwestie kunnen worden verwezenlijkt. Wanneer die doeleinden kunnen worden verwezenlijkt door verdere verwerking die de identificatie van betrokkenen niet of niet langer toelaat, moeten zij aldus worden verwezenlijkt. 2.   Wanneer persoonsgegevens met het oog op wetenschappelijk of historisch onderzoek of statistische doeleinden worden verwerkt, kan in het Unierecht of het lidstatelijke recht worden voorzien in afwijkingen van de in de artikelen 15, 16, 18 en 21 genoemde rechten, behoudens de in lid 1 van dit artikel bedoelde voorwaarden en waarborgen, voor zover die rechten de verwezenlijking van de specifieke doeleinden onmogelijk dreigen te maken of ernstig dreigen te belemmeren, en dergelijke afwijkingen noodzakelijk zijn om die doeleinden te bereiken. 3.   Wanneer persoonsgegevens met het oog op archivering in het algemeen belang worden verwerkt, kan in het Unierecht of het lidstatelijke recht worden voorzien in afwijkingen van de in de artikelen 15, 16, 18, 19, 20 en 21 genoemde rechten, behoudens de in lid 1 van dit artikel bedoelde voorwaarden en waarborgen, voor zover die rechten het verwezenlijken van de specifieke doeleinden onmogelijk dreigen te maken of ernstig dreigen te belemmeren, en dergelijke afwijkingen noodzakelijk zijn om die doeleinden te bereiken. 4.   Wanneer verwerking als bedoeld in de leden 2 en 3 tegelijkertijd ook een ander doel dient, zijn de afwijkingen uitsluitend van toepassing op verwerking voor de in die leden bedoelde doeleinden. Passende overwegingen Overweging 156 - Verwerking Voor Archivering, Wetenschappelijk Of Historisch Onderzoek Of Statistische DoeleindenOverweging 157 - Informatie Uit Registers En Wetenschappelijk OnderzoekOverweging 158 - Verwerking Voor ArchiveringsdoeleindenOverweging 159 - Verwerking Voor Wetenschappelijk OnderzoekOverweging 160 - Verwerking Voor Historisch OnderzoeksdoeleindenOverweging 161 - Toestemming Geven Voor Deelname Aan Klinische OnderzoekenOverweging 162 - Verwerking Voor Statistische DoeleindenOverweging 163 - Productie Van Europese En Nationale Statistieken Veelgestelde vragen over artikel 89 +Welke waarborgen gelden voor onderzoeksgegevens volgens de AVG? Artikel 89 vereist passende waarborgen, zoals minimale gegevensverwerking en pseudonimisering, voor verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek, of statistiek. +Zijn er AVG-afwijkingen voor wetenschappelijk onderzoek? Ja. De lidstaten kunnen afwijkingen van bepaalde rechten van personen voorzien wanneer dat nodig is voor onderzoek of statistiek, mits er waarborgen zijn. +Wat is pseudonimisering bij onderzoek? Pseudonimisering vervangt identificerende gegevens door pseudoniemen, zodat personen niet zonder aanvullende informatie kunnen worden geïdentificeerd, wat de voor onderzoek gebruikte gegevens beschermt.

1.   Wanneer dit noodzakelijk en evenredig is om het recht op bescherming van persoonsgegevens in overeenstemming te brengen met de geheimhoudingsplicht kunnen de lidstaten specifieke regels vaststellen voor de in artikel 58, lid 1, punten e) en f), bedoelde bevoegdheden van de toezichthoudende autoriteiten in verband met de verwerkingsverantwoordelijken of verwerkers die krachtens het Unierecht, het lidstatelijke recht of door nationale bevoegde instanties vastgestelde regelgeving, aan het beroepsgeheim of aan een andere gelijkwaardige geheimhoudingsplicht onderworpen zijn. Die regels gelden uitsluitend met betrekking tot persoonsgegevens die de verwerkingsverantwoordelijke of de verwerker in het kader van een onder die geheimhoudingsplicht vallende activiteit heeft ontvangen of verkregen. 2.   Elke lidstaat deelt de Commissie uiterlijk op 25 mei 2018 de regels mee die hij heeft vastgesteld overeenkomstig lid 1, alsmede onverwijld alle wijzigingen daarvan. Passende overwegingen Overweging 164 - Beroeps- Of Andere Gelijkwaardige Geheimhoudingsverplichtingen Veelgestelde vragen over artikel 90 +Wat zegt artikel 90 AVG over het beroepsgeheim? Artikel 90 staat de lidstaten toe regels vast te stellen die de bevoegdheden van toezichthoudende autoriteiten regelen ten aanzien van verantwoordelijken en verwerkers die onder een beroepsgeheim vallen. +Hoe behandelt de AVG vertrouwelijke beroepen? Zij staat specifieke nationale regels toe om het toezicht op gegevensbescherming te verzoenen met geheimhoudingsplichten in beroepen zoals het recht, de geneeskunde of andere gereguleerde gebieden. +Kunnen autoriteiten toegang krijgen tot gegevens onder het beroepsgeheim? De toegang kan worden beperkt door nationale regels die het beroepsgeheim beschermen, waarbij het toezicht wordt afgewogen tegen de geheimhoudingsverplichtingen.

1.   Wanneer kerken en religieuze verenigingen of gemeenschappen in een lidstaat op het tijdstip van de inwerkingtreding van deze verordening uitgebreide regels betreffende de bescherming van natuurlijke personen in verband met verwerking toepassen, kunnen die regels van toepassing blijven, mits zij in overeenstemming worden gebracht met deze verordening. 2.   Kerken en religieuze verenigingen die overeenkomstig lid 1 van dit artikel uitgebreide regels hanteren, zijn onderworpen aan toezicht door een onafhankelijke toezichthoudende autoriteit, die specifiek kan zijn, op voorwaarde dat de autoriteit voldoet aan de voorwaarden die zijn vastgesteld in hoofdstuk VI van deze verordening. Passende overwegingen Overweging 165 - Geen Afbreuk Aan De Status Van Kerken En Religieuze Verenigingen Veelgestelde vragen over artikel 91 +Hebben kerken eigen regels voor gegevensbescherming volgens de AVG? Artikel 91 staat kerken en religieuze verenigingen die vóór de AVG uitgebreide regels voor gegevensbescherming toepasten toe deze te handhaven, mits zij in overeenstemming met de AVG worden gebracht. +Zijn religieuze organisaties vrijgesteld van de AVG? Nee. Zij zijn niet vrijgesteld, maar die met bestaande uitgebreide regels mogen deze onder toezicht van een onafhankelijk orgaan behouden, indien afgestemd op de AVG. +Wie houdt toezicht op de gegevensbeschermingsregels van kerken? Dergelijke regels kunnen onder toezicht staan van een onafhankelijk toezichthoudend orgaan, dat specifiek kan zijn voor de religieuze organisatie, in overeenstemming met de AVG-normen.

1.   De bevoegdheid om gedelegeerde handelingen vast te stellen, wordt aan de Commissie toegekend onder de in dit artikel neergelegde voorwaarden. 2.   De in artikel 12, lid 8, en artikel 43, lid 8, bedoelde bevoegdheidsdelegatie wordt aan de Commissie toegekend voor onbepaalde tijd met ingang van 24 mei 2016. 3.   Het Europees Parlement of de Raad kan de in artikel 12, lid 8, en artikel 43, lid 8, bedoelde bevoegdheidsdelegatie te allen tijde intrekken. Het besluit tot intrekking beëindigt de delegatie van de in dat besluit genoemde bevoegdheid. Het wordt van kracht op de dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie of op een daarin genoemde latere datum. Het laat de geldigheid van de reeds van kracht zijnde gedelegeerde handelingen onverlet. 4.   Zodra de Commissie een gedelegeerde handeling heeft vastgesteld, doet zij daarvan gelijktijdig kennisgeving aan het Europees Parlement en de Raad. 5.   Een overeenkomstig artikel 12, lid 8, en artikel 43, lid 8, vastgestelde gedelegeerde handeling treedt alleen in werking indien het Europees Parlement noch de Raad daartegen binnen een termijn van drie maanden na de kennisgeving van de handeling aan het Europees Parlement en de Raad bezwaar heeft gemaakt, of indien zowel het Europees Parlement als de Raad voor het verstrijken van die termijn de Commissie hebben medegedeeld dat zij daartegen geen bezwaar zullen maken. Die termijn wordt op initiatief van het Europees Parlement of van de Raad met drie maanden verlengd. Passende overwegingen Overweging 166 - Gedelegeerde Handelingen Van De CommissieOverweging 167 - Uitvoeringsbevoegdheden Van De CommissieOverweging 168 - Uitvoeringshandelingen Inzake StandaardcontractbepalingenOverweging 169 - Onmiddellijk Toepasselijke UitvoeringshandelingenOverweging 170 - Subsidiariteitsbeginsel En Evenredigheidsbeginsel Veelgestelde vragen over artikel 92 +Wat valt onder artikel 92 AVG? Artikel 92 bepaalt hoe de Europese Commissie haar bevoegdheid kan uitoefenen om gedelegeerde handelingen op grond van de AVG vast te stellen, waaronder de duur en de voorwaarden van die bevoegdheid. +Kan de Europese Commissie de AVG-regels wijzigen? De Commissie kan alleen gedelegeerde handelingen vaststellen binnen de door de AVG gestelde grenzen, en het Parlement en de Raad kunnen de delegatie intrekken of bezwaar maken tegen specifieke handelingen. +Wat is een gedelegeerde handeling volgens de AVG? Een gedelegeerde handeling is een niet-wetgevende maatregel die de Commissie kan vaststellen om bepaalde niet-essentiële onderdelen van de AVG binnen vastgestelde grenzen aan te vullen of te wijzigen.

1.   De Commissie wordt bijgestaan door een comité. Dat comité is een comité in de zin van Verordening (EU) nr. 182/2011. 2.   Wanneer naar dit lid wordt verwezen, is artikel 5 van Verordening (EU) nr. 182/2011 van toepassing. 3.   Wanneer naar dit lid wordt verwezen, is artikel 8 van Verordening (EU) nr. 182/2011, in samenhang met artikel 5 van die verordening, van toepassing. Passende overwegingen Overweging 8 – Opname In Nationaal Recht Overweging 10 – Geharmoniseerd Niveau Van Gegevensbescherming Ondanks Nationale Reikwijdte Overweging 11 – Harmonisatie Van De Bevoegdheden En Sancties Veelgestelde vragen over artikel 93 +Wat is de comitéprocedure volgens artikel 93 AVG? Artikel 93 bepaalt dat de Commissie wordt bijgestaan door een comité wanneer zij uitvoeringshandelingen vaststelt, volgens de gebruikelijke comitologieprocedures van de EU. +Hoe worden AVG-uitvoeringshandelingen vastgesteld? Uitvoeringshandelingen worden vastgesteld met deelname van een comité van vertegenwoordigers van de lidstaten, volgens de onderzoeksprocedure uit de EU-regels. +Wat is het verschil tussen gedelegeerde handelingen en uitvoeringshandelingen? Gedelegeerde handelingen vullen niet-essentiële delen van de wet aan of wijzigen ze, terwijl uitvoeringshandelingen uniforme toepassingsvoorwaarden vaststellen, met deelname van de lidstaten in een comité.

1.   Richtlijn 95/46/EG wordt met ingang van 25 mei 2018 ingetrokken. 2.   Verwijzingen naar de ingetrokken richtlijn gelden als verwijzingen naar deze verordening. Verwijzingen naar de groep voor de bescherming van personen in verband met de verwerking van persoonsgegevens, die bij artikel 29 van Richtlijn 95/46/EG is opgericht, gelden als verwijzingen naar het bij deze verordening opgerichte Europees Comité voor gegevensbescherming. Passende overwegingen Overweging 171 - Intrekking Van Richtlijn 95/46/Eg En Overgangsbepalingen Veelgestelde vragen over artikel 94 +Heeft de AVG de gegevensbeschermingsrichtlijn vervangen? Ja. Artikel 94 trok Richtlijn 95/46/EG in met ingang van 25 mei 2018, toen de AVG in de hele EU van toepassing werd. +Wat was Richtlijn 95/46/EG? Richtlijn 95/46/EG was het eerdere EU-kader voor gegevensbescherming, dat de AVG verving om één rechtstreeks toepasselijke verordening in alle lidstaten te creëren. +Gelden verwijzingen naar de oude richtlijn nog? Verwijzingen naar de ingetrokken richtlijn gelden als verwijzingen naar de AVG, en verwijzingen naar de voormalige werkgroep als verwijzingen naar het Europees Comité voor gegevensbescherming.

Deze verordening legt natuurlijke personen of rechtspersonen geen aanvullende verplichtingen op met betrekking tot verwerking in verband met het verstrekken van openbare elektronische-communicatiediensten in openbare communicatienetwerken in de Unie, voor zover zij op grond van Richtlijn 2002/58/EG onderworpen zijn aan specifieke verplichtingen met dezelfde doelstelling. Passende overwegingen Overweging 173 - Relatie Tot Richtlijn 2002/58/Eg Veelgestelde vragen over artikel 95 +Hoe verhoudt de AVG zich tot de ePrivacy-richtlijn? Artikel 95 bepaalt dat de AVG geen aanvullende verplichtingen oplegt waar Richtlijn 2002/58/EG reeds specifieke verplichtingen stelt voor dezelfde verwerking in elektronische communicatie. +Geldt voor cookies de AVG of de ePrivacy-richtlijn? De ePrivacy-regels regelen veel aspecten van cookies en elektronische communicatie, terwijl de AVG geldt voor de betrokken persoonsgegevens, waarbij beide samen werken. +Wat is de ePrivacy-richtlijn? Richtlijn 2002/58/EG, bekend als de ePrivacy-richtlijn, stelt specifieke privacyregels vast voor elektronische communicatie, waaronder vertrouwelijkheid en het gebruik van cookies.

Internationale overeenkomsten betreffende de doorgifte van persoonsgegevens aan derde landen of internationale organisaties die door de lidstaten zijn gesloten vóór 24 mei 2016, en die in overeenstemming zijn met het vóór die datum toepasselijke Unierecht, blijven van kracht totdat zij worden gewijzigd, vervangen of ingetrokken. Passende overwegingen Overweging 108 – Passende Waarborgen Overweging 109 – Standaardbepalingen Voor Gegevensbescherming Veelgestelde vragen over artikel 96 +Blijven oudere internationale overeenkomsten onder de AVG bestaan? Artikel 96 bepaalt dat internationale overeenkomsten met doorgiften die vóór 24 mei 2016 zijn gesloten van kracht blijven tot zij worden gewijzigd, vervangen of ingetrokken, indien zij voldeden aan het toen toepasselijke recht. +Kunnen doorgifteovereenkomsten van vóór de AVG nog worden gebruikt? Ja, als zij vóór de uiterste datum zijn gesloten en voldeden aan het toen geldende recht, totdat zij worden bijgewerkt of ingetrokken. +Waarom is artikel 96 belangrijk voor internationale doorgiften? Het biedt juridische continuïteit, zodat bestaande overeenkomsten niet automatisch door de AVG ongeldig worden, terwijl het een latere afstemming aanmoedigt.

1.   Uiterlijk op 25 mei 2020 en om de vier jaar daarna, dient de Commissie een verslag in bij het Europees Parlement en de Raad over de evaluatie en de toetsing van deze verordening. De verslagen worden openbaar gemaakt. 2.   In het kader van de in lid 1 bedoelde evaluaties en toetsingen beoordeelt de Commissie met name de toepassing en de werking van: a) hoofdstuk V betreffende de doorgifte van persoonsgegevens aan derde landen of internationale organisaties, in het bijzonder met betrekking tot krachtens artikel 45, lid 3, van deze verordening vastgestelde besluiten en op grond van artikel 25, lid 6, van Richtlijn 95/46/EG vastgestelde besluiten; b) hoofdstuk VII betreffende samenwerking en coherentie. 3.   Voor het in lid 1 vermelde doel kan de Commissie zowel de lidstaten als toezichthoudende autoriteiten om informatie verzoeken. 4.   Bij de uitvoering van de in de leden 1 en 2 vermelde evaluaties en toetsingen neemt de Commissie de standpunten en bevindingen van het Europees Parlement, van de Raad, en van andere relevante instanties of bronnen in aanmerking. 5.   Indien nodig dient de Commissie passende voorstellen in teneinde deze verordening te wijzigen, met name in het licht van de ontwikkelingen in de informatietechnologie en de stand van zaken in de informatiemaatschappij. Passende overwegingen Overweging 6 – Zorgen Voor Een Hoog Niveau Van Gegevensbescherming Ondanks De Toename Van Gegevensuitwisseling Overweging 7 – Het Raamwerk Is Gebaseerd Op Controle En Zekerheid Overweging 9 – Verschillende Beschermingsniveaus Door Richtlijn 95/46/Eg Veelgestelde vragen over artikel 97 +Evalueert de Europese Commissie de AVG? Ja. Artikel 97 verplicht de Commissie periodiek verslag uit te brengen over de evaluatie en herziening van de AVG, waarbij het eerste verslag uiterlijk 25 mei 2020 verschuldigd was. +Hoe vaak wordt de AVG geëvalueerd? De Commissie moet ten minste om de vier jaar verslag uitbrengen, waarbij aspecten zoals internationale doorgiften en de samenwerking tussen toezichthoudende autoriteiten worden onderzocht. +Kan de AVG na een herziening worden gewijzigd? Ja. Op basis van haar evaluaties kan de Commissie in voorkomend geval voorstellen indienen om de AVG te wijzigen.

Indien passend dient de Commissie wetgevingsvoorstellen in teneinde andere Unierechtshandelingen betreffende de bescherming van persoonsgegevens te wijzigen en aldus een uniforme en consequente bescherming van natuurlijke personen te garanderen in verband met verwerking. Het gaat hierbij met name om de regels betreffende de bescherming van natuurlijke personen in verband met verwerking door instellingen, organen en instanties van de Unie, en betreffende het vrije verkeer van die gegevens. Passende overwegingen Overweging 7 – Het Raamwerk Is Gebaseerd Op Controle En Zekerheid Overweging 8 – Opname In Nationaal Recht Overweging 9 – Verschillende Beschermingsniveaus Door Richtlijn 95/46/Eg Overweging 13 – Rekening Houden Met Micro-, Kleine En Middelgrote Ondernemingen Veelgestelde vragen over artikel 98 +Wat vereist artikel 98 AVG? Artikel 98 draagt de Commissie op andere EU-rechtshandelingen inzake gegevensbescherming te herzien, zoals die voor de EU-instellingen, om ze waar passend op de AVG af te stemmen. +Geldt de AVG voor EU-instellingen? EU-instellingen vallen onder afzonderlijke maar afgestemde regels, en artikel 98 ondersteunt de actualisering van die handelingen om een coherente bescherming in de EU te waarborgen. +Waarom andere EU-wetgeving inzake gegevensbescherming herzien? De herziening van verwante handelingen waarborgt een coherente en uniforme benadering van gegevensbescherming in de gehele EU-wetgeving, niet alleen de AVG.

1.   Deze verordening treedt in werking op de twintigste dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie. 2.   Zij is van toepassing met ingang van 25 mei 2018. Passende overwegingen Overweging 4 – Gegevensbescherming In Balans Met Andere Fundamentele Rechten Overweging 6 – Zorgen Voor Een Hoog Niveau Van Gegevensbescherming Ondanks De Toename Van Gegevensuitwisseling Overweging 7 – Het Raamwerk Is Gebaseerd Op Controle En Zekerheid Veelgestelde vragen over artikel 99 +Wanneer is de AVG in werking getreden? Artikel 99 bepaalt dat de AVG op 24 mei 2016 in werking is getreden en vanaf 25 mei 2018 van toepassing werd, waardoor organisaties een overgangsperiode van twee jaar kregen. +Wat is het verschil tussen inwerkingtreding en toepassing? De AVG is in 2016 in werking getreden, maar de verplichtingen werden pas vanaf 25 mei 2018 afdwingbaar, dat wil zeggen van toepassing. +Is de AVG rechtstreeks toepasselijk in alle EU-landen? Ja. Als verordening is de AVG verbindend in al haar onderdelen en rechtstreeks toepasselijk in alle lidstaten, zonder nationale omzetting.