(1)

Bij Verordening (EU) 2016/679 zijn de voorschriften vastgesteld voor de doorgifte van persoonsgegevens door verwerkingsverantwoordelijken of verwerkers in de Unie aan derde landen en internationale organisaties, voor zover die doorgiften onder het toepassingsgebied ervan vallen. De voorschriften inzake de internationale doorgifte van gegevens zijn vastgelegd in hoofdstuk V (artikelen 44 tot en met 50) van die verordening. Hoewel het verkeer van persoonsgegevens van en naar landen en internationale organisaties buiten de Europese Unie noodzakelijk is voor de ontwikkeling van het grensoverschrijdende handelsverkeer en de internationale samenwerking, mogen doorgiften aan derde landen en internationale organisaties niet ten koste gaan van het beschermingsniveau van de persoonsgegevens in de Unie (2).

(2)

Op grond van artikel 45, lid 3, van Verordening (EU) 2016/679 kan de Commissie door middel van een uitvoeringshandeling besluiten dat een derde land, een gebied of één of meerdere nader bepaalde sectoren in een derde land, of een internationale organisatie een passend beschermingsniveau waarborgt. Onder die voorwaarde kan de doorgifte van persoonsgegevens aan een internationale organisatie plaatsvinden zonder dat verdere toestemming noodzakelijk is, zoals bepaald in artikel 45, lid 1, en overweging 103 van Verordening (EU) 2016/679.

(3)

Zoals bepaald in artikel 45, lid 2, van Verordening (EU) 2016/679 moet de vaststelling van een adequaatheidsbesluit berusten op een grondige analyse van het voor de internationale organisatie geldende rechtskader, die zowel de voorschriften betreft die gelden voor de importeurs van gegevens als de beperkingen en waarborgen wat betreft de toegang van overheidsinstanties tot persoonsgegevens. Bij haar beoordeling moet de Commissie nagaan of de betrokken internationale organisatie een beschermingsniveau waarborgt dat “in feite overeenkomend” is met het niveau dat in de Unie wordt verzekerd (3). De norm aan de hand waarvan wordt beoordeeld of het niveau “in feite overeenkomend” is, is de norm die in de Uniewetgeving, en met name in Verordening (EU) 2016/679, en de rechtspraak van het Hof van Justitie van de Europese Unie is vastgesteld (4). De “adequaatheidsreferentie” van het Europees Comité voor gegevensbescherming (EDPB) is in dit verband ook van belang, aangezien deze de norm verder verduidelijkt en richtsnoeren verschaft (5).

(4)

Zoals het Hof van Justitie heeft verduidelijkt, kan niet worden verlangd dat een derde land, of een internationale organisatie, waarborgen voor hetzelfde beschermingsniveau als dat binnen de rechtsorde van de Unie biedt (6). Met name mogen de middelen die het derde land of de internationale organisatie in kwestie voor de bescherming van de persoonsgegevens tot zijn beschikking heeft, anders zijn dan de middelen die binnen de Unie worden ingezet, zolang zij in de praktijk doeltreffend genoeg blijken om een passend beschermingsniveau te bieden (7). De adequaatheidsnorm vereist daarom niet dat de voorschriften van de Unie integraal worden overgenomen. Het gaat er veeleer om of het betreffende buitenlandse systeem als geheel het vereiste beschermingsniveau biedt, door de invulling van het recht op privacy en de geboden waarborgen voor gegevensbescherming (met inbegrip van de doeltreffende toepassing en afdwingbaarheid daarvan en het toezicht dat wordt uitgeoefend), alsook door de omstandigheden waaronder de doorgifte van persoonsgegevens plaatsvindt (8).

(5)

De Commissie heeft het rechtskader en de praktijk van de Europese Octrooiorganisatie geanalyseerd. Op basis van de bevindingen in de overwegingen 7 tot en met 100 concludeert de Commissie dat de Europese Octrooiorganisatie (EOO) een passend beschermingsniveau waarborgt voor persoonsgegevens die binnen het toepassingsgebied van Verordening (EU) 2016/679 worden doorgegeven vanuit de Unie aan de EOO.

(6)

Op grond van dit besluit kunnen doorgiften van verwerkingsverantwoordelijken en verwerkers in de Unie aan de Europese Octrooiorganisatie plaatsvinden zonder dat verdere toestemming noodzakelijk is. Dit besluit doet geen afbreuk aan de directe toepassing van Verordening (EU) 2016/679 op dergelijke entiteiten, voor zover is voldaan aan de voorwaarden betreffende het territoriale toepassingsgebied zoals vastgelegd in artikel 3 van die verordening.

(7)

De Europese Octrooiorganisatie is een intergouvernementele organisatie die op 7 oktober 1977 is opgericht op basis van het Europees Octrooiverdrag (EOV). De Organisatie is gevestigd in München en telt 39 verdragsluitende staten, te weten alle lidstaten van de Unie, IJsland, Noorwegen en Liechtenstein, alsook Albanië, Noord-Macedonië, Monaco, San Marino, Servië, Zwitserland, Montenegro, het Verenigd Koninkrijk en Turkije (9).

(8)

De organisatie heeft rechtspersoonlijkheid (10) en bestaat uit twee organen (11): het Europees Octrooibureau (EOB of Bureau) en de Raad van Bestuur. De belangrijkste taak van de EOO is het verlenen van Europese octrooien (12) overeenkomstig het EOV, een taak die wordt verricht door het Bureau onder toezicht van de Raad van Bestuur. De Raad van Bestuur bestaat uit vertegenwoordigers van de verdragsluitende staten en oefent namens de EOO wetgevende bevoegdheden uit. De raad is ook verantwoordelijk voor beleidskwesties en houdt toezicht op de activiteiten van het EOB (13). Het EOB, dat optreedt als de uitvoerende dienst van de EOO, wordt geleid door een president (14) die het EOB beheert (president) en verantwoording verschuldigd is aan de Raad van Bestuur (15). De president zorgt onder meer voor de opstelling en uitvoering van de begroting van het EOB, is bevoegd voor de benoeming van en het toezicht op het personeel van het EOB, oefent tuchtrechtelijke bevoegdheden uit ten aanzien van het personeel, waarborgt het functioneren van het EOB, met inbegrip van de vaststelling van interne administratieve instructies en informatie voor het publiek, en kan de Raad van Bestuur voorstellen voorleggen tot wijziging van het Verdrag en voor algemene regelingen of besluiten die onder de bevoegdheid van de Raad van Bestuur vallen (16). Het EOB bestaat uit verschillende afdelingen, waaronder een aanvraagafdeling, een juridische afdeling, onderzoeks- en oppositieafdelingen en de kamers van beroep (een intern onafhankelijk orgaan waarbij beroep kan worden ingesteld tegen beslissingen van het EOB in het kader van de octrooiverleningsprocedure) (17).

(9)

In het kader van haar werkzaamheden ontvangt de EOO persoonsgegevens van diverse actoren in de Unie. Europese octrooiaanvragen (18) worden doorlopend bij het EOB ingediend door octrooiaanvragers of aan het EOB doorgezonden door nationale octrooibureaus in de lidstaten (19). De EOO ontvangt en verwerkt ook persoonsgegevens in het kader van de taken die haar krachtens Verordening (EU) nr. 1257/2012 van het Europees Parlement en de Raad zijn toevertrouwd (20). Deze taken omvatten het ontvangen en onderzoeken van verzoeken om eenheidswerking voor Europese octrooien, het innen van jaartaksen en het registreren van eenheidswerking (21). In dit verband ontvangt de EOO van het eengemaakt octrooigerecht (UPC) ook verzoeken over lopende beroepen bij de kamers van beroep van het EOB (22), die persoonsgegevens kunnen bevatten die nodig zijn om de betreffende zaak te identificeren (23).

(10)

De EOO ontvangt ook persoonsgegevens vervat in internationale octrooiaanvragen wanneer zij handelt in het kader van het Verdrag tot samenwerking inzake octrooien (PCT), een internationaal verdrag dat aanvragers in staat stelt octrooien te verkrijgen met rechtsgevolgen voor alle staten die partij zijn bij het PCT (24). Het EOB treedt op als instantie voor internationaal nieuwheidsonderzoek in het kader van het PCT en beoordeelt in deze hoedanigheid de octrooieerbaarheid van in internationale aanvragen openbaar gemaakte uitvindingen, wat aanvragers helpt om te bepalen of zij al dan niet een aanvraag voor inhoudelijk onderzoek op nationaal/Unieniveau moeten indienen (25).

(11)

Bovendien werkt de EOO nauw samen met de nationale octrooibureaus in alle lidstaten in het kader van een “Europees octrooinetwerk” en wisselt zij in dat verband persoonsgegevens uit, bijvoorbeeld bij het aanbieden van opleidingen en IT-diensten ter ondersteuning en versterking van de samenwerking in het kader van het EOV. Daarnaast heeft zij met sommige lidstaten bilaterale samenwerkingsovereenkomsten gesloten op grond waarvan persoonsgegevens worden uitgewisseld, bijvoorbeeld in het kader van de oprichting van werkgroepen, de detachering en inzet van technische deskundigen enz. Ook werkt zij nauw samen met het Bureau voor intellectuele eigendom van de Europese Unie (EUIPO), bijvoorbeeld door gezamenlijke opleidingen en voorlichtingsbijeenkomsten te organiseren en deskundigen te detacheren.

(12)

Tot slot heeft de EOO overeenkomsten met verschillende dienstverleners in de Unie die optreden als verwerker in de zin van artikel 4, punt 8, van Verordening (EU) 2016/679 en die persoonsgegevens doorgeven aan de EOO.

(13)

De primaire wetgeving die de activiteiten van de EOO regelt, is vastgesteld bij een internationaal verdrag, namelijk het Europees Octrooiverdrag en, wanneer de EOO handelt krachtens het Verdrag tot samenwerking inzake octrooien, bij dit laatstgenoemde verdrag. Het tweede niveau in de hiërarchie van normen die van toepassing zijn op de EOO, wordt gevormd door rechtshandelingen die zijn vastgesteld door de Raad van Bestuur of, in het geval van het PCT, door de Algemene Vergadering (PCT). De secundaire wetgeving betreffende de EOO omvat het Uitvoeringsreglement van het EOV en het zogenaamde “Ambtenarenreglement” (waarin aspecten met betrekking tot het personeel van het EOB worden geregeld, met inbegrip van de rechten en plichten van het personeel) (26). Het recht op bescherming van persoonsgegevens is vastgelegd in artikel 1 ter van het Ambtenarenreglement (27), dat ook enkele kernbepalingen van het gegevensbeschermingskader van de EOO bevat, namelijk het toepassingsgebied van het gegevensbeschermingskader, de bescherming van bijzondere categorieën van gegevens en de uitoefening van rechten door personen. Artikel 2, lid 1, en artikel 32 bis van het Ambtenarenreglement voorzien in onafhankelijke toezichtsmechanismen (de functionaris voor gegevensbescherming (DPO) en het comité voor gegevensbescherming) om toezicht te houden op de naleving van de gegevensbeschermingsregels (28).

(14)

Dezelfde materiële vereisten inzake de bescherming van persoonsgegevens gelden voor de Raad van Bestuur en het Bureau, alsook voor al hun afdelingen. De verwerking van persoonsgegevens door het Bureau is met name geregeld bij de uitvoeringsbepalingen voor de artikelen 1 ter en 32 bis van het Ambtenarenreglement voor de vaste en overige werknemers van het Europees Octrooibureau inzake de bescherming van persoonsgegevens (gegevensbeschermingsregels), die door de Raad van Bestuur zijn vastgesteld (29). De verwerking van persoonsgegevens door de Raad van Bestuur is onderworpen aan de gegevensbeschermingsregels voor de Raad van Bestuur, waarin de gegevensbeschermingsregels op overeenkomstige wijze worden toegepast (30). Wanneer in dit besluit naar de gegevensbeschermingsregels wordt verwezen, wordt hiermee tevens verwezen naar de voorschriften die van overeenkomstige toepassing zijn op de Raad van Bestuur, het secretariaat en de commissies. De structuur en de inhoud van de gegevensbeschermingsregels zijn nauw afgestemd op het gegevensbeschermingskader van de Unie (31). Zij hebben met name veel elementen gemeen met Verordening (EU) 2018/1725 van het Europees Parlement en de Raad (32), waarin gegevensbeschermingsvereisten voor de instellingen en organen van de Unie zijn vastgesteld en die dus heel geschikt is voor de specifieke structuur en kenmerken van internationale organisaties, maar zij sluiten ook nauw aan bij Verordening (EU) 2016/679.

(15)

Wat de gegevensverwerking door het Bureau betreft, heeft de president aanvullende juridisch bindende instrumenten vastgesteld, zoals circulaires, besluiten en interne administratieve instructies (33). De gegevensbeschermingsregels zijn met name aangevuld door het besluit van de president van 13 december 2021 betreffende de verwerking van persoonsgegevens in het kader van octrooiverlenings- en aanverwante procedures (34); het besluit van 7 december 2022 betreffende de verwerking van persoonsgegevens in procedures met betrekking tot Europese octrooien met eenheidswerking (35); het besluit van 17 november 2022 betreffende landen en entiteiten die worden geacht een passende bescherming van persoonsgegevens te waarborgen (36), het besluit van 2 mei 2024 tot aanwijzing van de operationele eenheden van het Bureau die optreden als gedelegeerd verwerkingsverantwoordelijken (37); en circulaire nr. 420 tot uitvoering van artikel 25 van de gegevensbeschermingsregels betreffende beperkingen van de rechten van betrokkenen (circulaire 420) (38). Specifiek voor de verwerking van gegevens in het kader van octrooiverleningsprocedures is het van belang op te merken dat de vereisten voor de verwerking van persoonsgegevens die rechtstreeks in het EOV en het PCT zijn vastgesteld, voorrang hebben op de gegevensbeschermingsregels. De wisselwerking tussen enerzijds het EOV en het PCT en anderzijds de gegevensbeschermingsregels wordt verduidelijkt in het besluit betreffende octrooiverleningsprocedures (39) en het besluit betreffende procedures voor octrooien met eenheidswerking. De specifieke vereisten inzake gegevensbescherming die rechtstreeks voortvloeien uit het EOV en het PCT worden beoordeeld in de overwegingen 55 tot en met 59. De gegevensbeschermingsregels en de bijbehorende aanvullende instrumenten zijn juridisch bindend en afdwingbaar, en kunnen door betrokkenen worden ingeroepen wanneer zij gebruikmaken van de onafhankelijke verhaalmechanismen beschreven in de overwegingen 89 tot en met 96.

(16)

De regels in de in overweging 15 genoemde rechtsinstrumenten worden nader vormgegeven in de instrumenten die door de functionaris voor gegevensbescherming worden vastgesteld (zie de overwegingen 83 tot en met 88) (40), welke van toepassing zijn op de Raad van Bestuur en het Bureau, alsook op al hun afdelingen (41).

(17)

Op grond van de gegevensbeschermingsregels en het Ambtenarenreglement (42) moeten alle werknemers van het EOB zich bij de verwerking van persoonsgegevens aan de gegevensbeschermingsregels houden. De materiële en personele werkingssfeer van de gegevensbeschermingsregels wordt bepaald door de daarin gedefinieerde termen “persoonsgegevens”, “verwerking”, “verwerkingsverantwoordelijke”, “gedelegeerd verwerkingsverantwoordelijke” en “verwerker”.

(18)

De definitie van “persoonsgegevens” en “verwerking” in de gegevensbeschermingsregels is identiek aan die in Verordening (EU) 2016/679 (43). De gegevensbeschermingsregels zijn van toepassing op elke verwerking van persoonsgegevens door de EOO, ongeacht of die verwerking persoonsgegevens van haar eigen werknemers of gegevens van andere personen betreft (44). Gegevens die pseudonimisering hebben ondergaan (45), worden ook als persoonsgegevens beschouwd, maar gegevens van overleden personen of rechtspersonen of anonieme informatie (46) worden op grond van de gegevensbeschermingsregels niet als persoonsgegevens aangemerkt (47).

(19)

De gegevensbeschermingsregels zijn van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens door de EOO, alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen (48).

(20)

In de gegevensbeschermingsregels wordt een “verwerkingsverantwoordelijke” gedefinieerd als “een entiteit, namelijk het Europees Octrooibureau, die, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt” (49). In beginsel treedt de president op als verwerkingsverantwoordelijke voor de gegevensverwerking door het Bureau (50). Hetzelfde geldt voor de Raad van Bestuur (waarbij de voorzitter optreedt als verwerkingsverantwoordelijke), de kamers van beroep in hun rechtsprekende hoedanigheid (waarbij de voorzitter optreedt als verwerkingsverantwoordelijke (51)) en de Beperkte Commissie (waarbij de voorzitter optreedt als verwerkingsverantwoordelijke (52)). De verwerkingsverantwoordelijke kan deze bevoegdheid delegeren aan operationele eenheden, vertegenwoordigd door een hoger leidinggevende (53). In dat geval treden operationele eenheden op als “gedelegeerd verwerkingsverantwoordelijken” (54), die het doel (bijvoorbeeld de reden, motivering en bedrijfsmatige noodzaak) en de middelen voor de verwerking vaststellen en ervoor zorgen dat alle activiteiten waarbij persoonsgegevens worden verwerkt in overeenstemming zijn met de gegevensbeschermingsregels (55). In dat geval blijft de verwerkingsverantwoordelijke verantwoordelijk voor de verwerking van persoonsgegevens. De gegevensbeschermingsregels voorzien ook in een mogelijke “gezamenlijke verwerkingsverantwoordelijkheid”, waarbij een verwerkingsverantwoordelijke samen met een of meer verwerkingsverantwoordelijken buiten het EOB het doel en de middelen van de verwerking bepaalt (56).

(21)

De definitie van “verwerker” in de gegevensbeschermingsregels is identiek aan die in artikel 4, punt 8), van Verordening (EU) 2016/679, d.w.z. een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt (57). De verwerkingsverantwoordelijke mag alleen een beroep doen op verwerkers die voldoende waarborgen bieden dat passende technische en organisatorische maatregelen zullen worden genomen om ervoor te zorgen dat de verwerking voldoet aan de vereisten in de gegevensbeschermingsregels (58). De relatie tussen de verwerkingsverantwoordelijke en een verwerker moet worden geregeld in een overeenkomst of rechtshandeling die bindend is voor de verwerker en waarin onder meer het onderwerp, de duur, de aard en het doel van de verwerking zijn vastgelegd (59). De verwerker mag de gegevens alleen verwerken op basis van schriftelijke instructies van de verwerkingsverantwoordelijke. De verwerker is verplicht de verwerkingsverantwoordelijke bij te staan bij het nakomen van zijn verplichtingen uit hoofde van de gegevensbeschermingsregels. Het is de verwerker verboden subverwerkers in te schakelen zonder voorafgaande toestemming van de verwerkingsverantwoordelijke (60). Voor gedelegeerd verwerkingsverantwoordelijken is een standaardovereenkomst inzake gegevensverwerking beschikbaar (61). Bovendien moet, indien een verwerker in een derde land is gevestigd, het delen van persoonsgegevens met die verwerker ook voldoen aan de in de gegevensbeschermingsregels vastgelegde vereisten voor internationale doorgiften, zoals beschreven in de overwegingen 68 tot en met 73 van dit besluit (62).

(22)

Persoonsgegevens moeten op rechtmatige en behoorlijke wijze worden verwerkt.

(23)

Deze algemene beginselen zijn in artikel 4, lid 2, punt a), van de gegevensbeschermingsregels zodanig vastgelegd dat zij als identiek mogen worden beschouwd aan de beginselen van artikel 5, lid 1, punt a), van Verordening (EU) 2016/679.

(24)

Het rechtmatigheidsbeginsel wordt verder uitgewerkt in artikel 5 van de gegevensbeschermingsregels, waarin de rechtsgronden worden opgesomd op basis waarvan persoonsgegevens mogen worden verwerkt. Deze rechtsgronden zijn: a) de verwerking is noodzakelijk om een taak uit te voeren in het kader van het verrichten van de officiële werkzaamheden van de EOO (63) of in het kader van de rechtmatige uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend, met inbegrip van de verwerking die nodig is voor het beheer en de werking van het Bureau (64); b) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust (bijvoorbeeld het publiceren van in een octrooiaanvraag vermelde informatie in het Europees Octrooiregister) (65); c) de verwerking is noodzakelijk om een overeenkomst uit te voeren waarbij de betrokkene partij is of om op verzoek van de betrokkene voorafgaand aan het aangaan van een overeenkomst maatregelen te nemen; d) de betrokkene heeft hiervoor toestemming gegeven, of e) de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen.

(25)

Toestemming wordt in de gegevensbeschermingsregels op dezelfde wijze gedefinieerd als in Verordening (EU) 2016/679, d.w.z. als “elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling hem betreffende verwerking van persoonsgegevens aanvaardt” (66). Het is aan de verwerkingsverantwoordelijke om aan te tonen dat de betrokkene toestemming heeft gegeven voor verwerking (67). Bij de beoordeling of toestemming vrijelijk wordt gegeven, moet rekening worden gehouden met de vraag of de uitvoering van een overeenkomst afhankelijk wordt gesteld van toestemming voor de verwerking van gegevens die niet noodzakelijk is voor de uitvoering van die overeenkomst (68). Toestemming kan niet worden geacht vrijelijk te zijn gegeven indien de betrokkene geen echte of vrije keuze heeft of zijn toestemming niet kan weigeren of intrekken zonder nadelige gevolgen (69). Opdat toestemming met kennis van zaken wordt gegeven, moet de betrokkene volgens de gegevensbeschermingsregels bovendien ten minste bekend zijn met de identiteit van de verwerkingsverantwoordelijke en de doeleinden van de verwerking van de persoonsgegevens (70). Tot slot heeft een betrokkene het recht om zijn toestemming te allen tijde in te trekken (71).

(26)

Wanneer “bijzondere categorieën” gegevens worden verwerkt, moet worden voorzien in bijzondere waarborgen.

(27)

De gegevensbeschermingsregels bevatten specifieke regels met betrekking tot de verwerking van bijzondere categorieën persoonsgegevens (72), die op dezelfde wijze worden gedefinieerd als in Verordening (EU) 2016/679, namelijk als persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuiging of het lidmaatschap van een vakbond blijken, genetische gegevens (73) of biometrische gegevens (74) met het oog op de unieke identificatie van een natuurlijke persoon en gegevens over gezondheid (75) of gegevens over seksueel gedrag of seksuele gerichtheid van een natuurlijke persoon (76). Volgens de gegevensbeschermingsregels is de verwerking van bijzondere categorieën gegevens in beginsel verboden, tenzij er een specifieke uitzondering van toepassing is (77).

(28)

De in artikel 11, lid 2, van de gegevensbeschermingsregels opgenomen specifieke uitzonderingen zijn vergelijkbaar met die in artikel 9, leden 2 en 3, van Verordening (EU) 2016/679, afgezien van enkele aanpassingen aan het rechtskader waarbinnen de EOO opereert. De verwerking van bijzondere categorieën persoonsgegevens is alleen toegestaan in specifieke en beperkte omstandigheden (78), namelijk wanneer 1) de betrokkene hiervoor uitdrukkelijk toestemming heeft gegeven; 2) de verwerking noodzakelijk is ter bescherming van de vitale belangen van een persoon (indien de betrokkene fysiek of juridisch niet in staat is zijn toestemming te geven); 3) persoonsgegevens kennelijk openbaar zijn gemaakt door de betrokkene; 4) de verwerking noodzakelijk is voor een specifiek doel dat verband houdt met het verrichten van de officiële werkzaamheden van de EOO of in het kader van de uitoefening van het rechtmatig gezag dat aan de verwerkingsverantwoordelijke is verleend (79), of 5) de verwerking noodzakelijk is voor de instelling, uitoefening of onderbouwing van een rechtsvordering.

(29)

Behalve voor de in overweging 27 bedoelde bijzondere categorieën persoonsgegevens zijn volgens de gegevensbeschermingsregels ook specifieke beschermingsmaatregelen vereist voor de verwerking van persoonsgegevens in verband met strafrechtelijke veroordelingen en strafbare feiten, namelijk door verwerking alleen toe te staan na voorafgaande raadpleging van het comité voor gegevensbescherming of wanneer de verwerking vereist is op grond van een juridisch bindend instrument dat voorziet in passende waarborgen voor de rechten en vrijheden van natuurlijke personen (80).

(30)

Persoonsgegevens moeten worden verwerkt voor een specifiek doel en mogen vervolgens uitsluitend worden gebruikt voor doeleinden die niet onverenigbaar zijn met het doel van de verwerking.

(31)

Dit beginsel wordt gewaarborgd door artikel 4, lid 2, punt b), van de gegevensbeschermingsregels, op grond waarvan persoonsgegevens “voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden [moeten] worden verkregen en vervolgens niet [mogen] worden verwerkt op een wijze die onverenigbaar is met die doeleinden”.

(32)

Net als Verordening (EU) 2016/679 staan de gegevensbeschermingsregels verdere verwerking toe (ongeacht de verenigbaarheid van het doel van de verdere verwerking met het oorspronkelijke doel) op basis van de uitdrukkelijke toestemming van de betrokkene of op basis van op de EOO toepasselijke wettelijke bepalingen (81). In het laatste geval vereisen de gegevensbeschermingsregels dat de verwerking een noodzakelijke en evenredige maatregel is waarmee een doelstelling van algemeen belang wordt gewaarborgd (82).

(33)

Wanneer de verdere verwerking niet op deze twee gronden berust, voorzien de gegevensbeschermingsregels in de factoren die in aanmerking moeten worden genomen bij de beoordeling van de verenigbaarheid van het doel van de verdere verwerking met het doel waarvoor de persoonsgegevens oorspronkelijk zijn verzameld (83). Deze aanpak en de in de gegevensbeschermingsregels vermelde factoren zijn identiek aan die in artikel 6, lid 4, van Verordening (EU) 2016/679 en artikel 6 van Verordening (EU) 2018/1725 (84).

(34)

De persoonsgegevens moeten juist zijn en zo nodig worden geactualiseerd. Zij moeten ook toereikend en ter zake dienend zijn en beperkt blijven tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt en mogen in principe niet langer worden bewaard dan noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt.

(35)

Deze beginselen zijn in artikel 4, lid 2, punten c), d) en e), van de gegevensbeschermingsregels op dezelfde wijze vastgelegd als in Verordening (EU) 2016/679.

(36)

Persoonsgegevens moeten ook op een dusdanige manier worden verwerkt dat de beveiliging ervan gewaarborgd is, en dat zij onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging. Daartoe moeten bedrijfsexploitanten passende technische of organisatorische maatregelen treffen ter bescherming van de persoonsgegevens tegen mogelijke bedreigingen. Bij de beoordeling van die maatregelen moet rekening worden gehouden met de stand van de techniek en de ermee gemoeide kosten.

(37)

Gegevensbeveiliging is in het rechtskader van de EOO verankerd door middel van het beginsel van integriteit en vertrouwelijkheid van artikel 4, lid 2, punt f), en artikel 33 van de gegevensbeschermingsregels, op een wijze die vrijwel identiek is aan die van Verordening (EU) 2016/679. De gegevensbeschermingsregels vereisen met name dat een op het risico afgestemd beveiligingsniveau wordt gewaarborgd door middel van passende technische en organisatorische maatregelen, rekening houdend met de stand van de techniek, de uitvoeringskosten en de aard, de omvang, de context en de doeleinden van de verwerking, alsook met de qua waarschijnlijkheid en ernst uiteenlopende risico’s voor de rechten en vrijheden van personen.

(38)

Daarnaast bevatten de gegevensbeschermingsregels specifieke vereisten voor de behandeling en melding van inbreuken in verband met persoonsgegevens (85). Ten eerste moet de verwerkingsverantwoordelijke de functionaris voor gegevensbescherming onverwijld (indien mogelijk, uiterlijk 72 uur nadat hij er kennis van heeft genomen) in kennis stellen van een inbreuk in verband met persoonsgegevens, tenzij het onwaarschijnlijk is dat de inbreuk een risico voor de rechten en vrijheden van personen inhoudt (86). Een verwerker is eveneens verplicht de verwerkingsverantwoordelijke onverwijld in kennis te stellen van een inbreuk (87). De kennisgeving moet met name een beschrijving bevatten van de aard van de inbreuk, de waarschijnlijke gevolgen ervan en de maatregelen die zijn genomen of voorgesteld om de inbreuk aan te pakken (88). Wanneer een inbreuk in verband met persoonsgegevens waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van personen, moet de verwerkingsverantwoordelijke de betrokkene de inbreuk onverwijld meedelen (89). De mededeling aan de betrokkene moet de aard van de inbreuk in verband met persoonsgegevens in duidelijke en eenvoudige taal beschrijven (90) en is niet vereist indien de verwerkingsverantwoordelijke achteraf maatregelen heeft genomen om ervoor te zorgen dat het hoge risico voor de rechten en vrijheden van betrokkenen zich niet meer zal voordoen (91).

(39)

Betrokkenen moeten worden ingelicht over de belangrijkste kenmerken van de verwerking van hun persoonsgegevens.

(40)

Overeenkomstig de gegevensbeschermingsregels is de verwerkingsverantwoordelijke verplicht om betrokkenen bij het verzamelen van persoonsgegevens informatie te verstrekken, met name zijn identiteits- en contactgegevens (alsook de contactgegevens van de functionaris voor gegevensbescherming), het doel van de verwerking en de rechtsgrond daarvoor, de ontvangers of categorieën ontvangers, het feit dat hij voornemens is de gegevens buiten de EOO door te geven, alsook de toepasselijke rechten en de mogelijkheid om verhaal te halen (92). Hetzelfde geldt wanneer persoonsgegevens worden verwerkt voor een ander doel dan dat waarvoor de gegevens zijn verzameld (93). Beide verplichtingen gelden alleen voor zover de betrokkene nog niet over die informatie beschikt (94).

(41)

Dezelfde informatie moet aan de betrokkenen worden verstrekt wanneer persoonsgegevens niet rechtstreeks bij hen worden verzameld, samen met aanvullende informatie over de bron van de persoonsgegevens en de betrokken gegevenscategorieën (95). Deze informatie moet worden verstrekt binnen een redelijke termijn na het verkrijgen van de gegevens (maar uiterlijk binnen een maand), rekening houdend met de specifieke omstandigheden waarin de gegevens worden verwerkt (96). Indien persoonsgegevens moeten worden gebruikt voor communicatie met de betrokkene, moet dezelfde informatie uiterlijk op het moment van het eerste contact met de betrokkene worden verstrekt (97). De in overweging 40 bedoelde informatie moet ook vóór elke verdere verwerking worden verstrekt of, indien openbaarmaking aan een andere ontvanger wordt overwogen, uiterlijk wanneer de persoonsgegevens aan een derde worden verstrekt (98). Deze verplichting geldt niet in een aantal gevallen, namelijk wanneer een betrokkene reeds over de betrokken informatie beschikt; wanneer die informatie vertrouwelijk moet blijven op grond van een geheimhoudingsplicht die is vastgesteld op basis van het EOV en/of andere wettelijke bepalingen die op de EOO van toepassing zijn (99); wanneer het verstrekken van die informatie onmogelijk blijkt of onevenredig veel inspanning zou vergen, in het bijzonder bij verwerking met het oog op archivering, wetenschappelijk of historisch onderzoek of statistische doeleinden, voor zover deze verplichting de verwezenlijking van de doeleinden van die verwerking onmogelijk dreigt te maken of ernstig in het gedrang dreigt te brengen, of wanneer het verkrijgen of verstrekken van de gegevens uitdrukkelijk is voorgeschreven bij het EOV of andere toepasselijke wettelijke bepalingen die voorzien in passende maatregelen om de gerechtvaardigde belangen van de betrokkene te beschermen (100).

(42)

Betrokkenen moeten bepaalde rechten hebben die kunnen worden afgedwongen ten opzichte van de verwerkingsverantwoordelijke of de verwerker, met name het recht op inzage van de gegevens, het recht op rectificatie, het recht om bezwaar te maken tegen de verwerking en het recht op wissing van de gegevens. Tegelijkertijd kunnen deze rechten aan beperkingen worden onderworpen, voor zover deze beperkingen noodzakelijk en evenredig zijn om belangrijke doelstellingen van algemeen openbaar belang te waarborgen.

(43)

De verplichting om de uitoefening van individuele rechten te vergemakkelijken, is vastgelegd in artikel 1 ter, lid 4, van het Ambtenarenreglement. Om aan dit vereiste te voldoen, worden bij de gegevensbeschermingsregels aan betrokkenen dezelfde rechten toegekend als die welke zijn vastgelegd in Verordening (EU) 2016/679, namelijk een recht op toegang (artikel 18 van de gegevensbeschermingsregels), een recht op rectificatie (artikel 19), een recht op wissing van gegevens (artikel 20), een recht op beperking van de verwerking (artikel 21), een recht op overdraagbaarheid van gegevens (artikel 22), een recht van bezwaar (artikel 23) en een recht om niet te worden onderworpen aan geautomatiseerde besluitvorming (artikel 24).

(44)

De gegevensbeschermingsregels bevatten ook algemene bepalingen voor de behandeling van verzoeken van betrokkenen tot uitoefening van rechten, op grond waarvan de verwerkingsverantwoordelijke met de betrokkenen moet communiceren in duidelijke en eenvoudige taal, in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm (schriftelijk of op andere wijze) (101). De verwerkingsverantwoordelijke moet betrokkenen onverwijld en in elk geval binnen één maand na ontvangst van het verzoek informatie verstrekken over de maatregelen die naar aanleiding van een verzoek zijn genomen (een termijn die, indien nodig gezien de complexiteit en het aantal verzoeken, met twee maanden kan worden verlengd) (102). Wanneer verzoeken van een betrokkene kennelijk ongegrond of buitensporig zijn, met name vanwege hun repetitieve karakter, mag de verwerkingsverantwoordelijke weigeren gevolg te geven aan het verzoek (103). Wanneer de verwerkingsverantwoordelijke geen gevolg geeft aan een verzoek, moet hij de betrokkene daarvan in kennis stellen en informatie verstrekken over de mogelijkheid om verhaal te halen (104).

(45)

In de eerste plaats, wat het recht van inzage betreft, hebben betrokkenen overeenkomstig de gegevensbeschermingsregels het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over de vraag of er van hen al dan niet persoonsgegevens worden verwerkt en, zo ja, om eenvoudig (105) en met redelijke tussenpozen (106) toegang te krijgen tot die persoonsgegevens. Bovendien hebben betrokkenen het recht om informatie te verkrijgen, met name over het doel van de verwerking, de betrokken gegevenscategorieën, de ontvangers met wie gegevens worden gedeeld en de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen (107).

(46)

In de tweede plaats bepalen de gegevensbeschermingsregels dat het recht op rectificatie waarin de gegevensbeschermingsregels voorzien, betrokkenen de mogelijkheid biedt om onjuiste gegevens te laten rectificeren of onvolledige gegevens te laten vervolledigen (bijvoorbeeld via een aanvullende verklaring) (108). Zodra de rectificatie heeft plaatsgevonden, moet de verwerkingsverantwoordelijke alle ontvangers aan wie de persoonsgegevens zijn verstrekt hiervan op de hoogte stellen (109). Volgens de gegevensbeschermingsregels geldt het recht op rectificatie voor objectieve en feitelijke gegevens en niet voor subjectieve verklaringen (110), hoewel de betrokkenen in dit geval de bestaande gegevens mogen aanvullen met een “second opinion” of een contra-expertise, of opmerkingen mogen indienen (111).

(47)

In de derde plaats voorzien de gegevensbeschermingsregels ook in een recht op wissing van gegevens (112) voor betrokkenen, met name wanneer a) persoonsgegevens niet langer noodzakelijk zijn voor het doel waarvoor zij zijn verwerkt; b) de betrokkene de toestemming intrekt en er geen andere rechtsgrond voor de verwerking is; c) de betrokkene bezwaar maakt tegen de verwerking en er geen prevalerende dwingende gerechtvaardigde gronden voor de verwerking zijn; d) de gegevens onrechtmatig zijn verwerkt; e) of de gegevens moeten worden gewist om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust (113). De verwerkingsverantwoordelijke moet iedere ontvanger met wie de gegevens zijn gedeeld, in kennis stellen van elke wissing, tenzij dit onmogelijk blijkt of onevenredig veel inspanning vergt (114). Daarnaast moet de verwerkingsverantwoordelijke, indien hij de persoonsgegevens openbaar heeft gemaakt, redelijke maatregelen nemen om andere verwerkingsverantwoordelijken die de persoonsgegevens verwerken, ervan in kennis te stellen dat de betrokkene om wissing heeft verzocht (115). Het recht op gegevenswissing is niet van toepassing in de volgende gevallen, wanneer de verwerking van de gegevens noodzakelijk is: a) voor de uitoefening van het recht op vrijheid van meningsuiting en van informatie; b) voor de naleving van een wettelijke verplichting van de EOO of een verplichting die voortvloeit uit de plicht van de EOO om met de verdragsluitende staten samen te werken (116), of voor de uitoefening van het openbaar gezag dat aan de EOO is verleend (117); c) met het oog op de samenwerking met de verdragsluitende staten op het gebied van de volksgezondheid (118); d) voor archivering, wetenschappelijk of historisch onderzoek en statistische doeleinden (voor zover het wissen van de gegevens de verwezenlijking van de doeleinden van de verwerking onmogelijk dreigt te maken of ernstig in het gedrang dreigt te brengen), of e) voor de instelling, uitoefening of onderbouwing van een rechtsvordering (119).

(48)

In de vierde plaats voorziet artikel 21 van de gegevensbeschermingsregels in een recht op beperking van de verwerking, d.w.z. dat persoonsgegevens worden gemarkeerd met als doel de verwerking ervan in de toekomst te beperken (met inbegrip van programmeringsmaatregelen om de toegang tot dergelijke gegevens permanent te verhinderen) (120). Dit recht kan met name worden ingeroepen wanneer de juistheid van de persoonsgegevens door de betrokkene wordt betwist (gedurende een periode die de verwerkingsverantwoordelijke nodig heeft om de juistheid ervan te verifiëren) of wanneer de verwerking onrechtmatig is, maar de betrokkene zich ertegen verzet dat de gegevens worden gewist (121). Wanneer de verwerking wordt beperkt, mogen persoonsgegevens, met uitzondering van de opslag ervan, alleen worden verwerkt met uitdrukkelijke toestemming van de betrokkene, voor het instellen, uitoefenen of onderbouwen van een rechtsvordering, ter bescherming van de rechten van anderen of voor het uitvoeren van een taak in het kader van het verrichten van de officiële werkzaamheden van de EOO (d.w.z. een taak die noodzakelijk is voor de administratieve en technische werkzaamheden die de EOO overeenkomstig het EOV moet verrichten) (122).

(49)

In de vijfde plaats voorzien artikel 1 ter, lid 4, van het Ambtenarenreglement en artikel 23 van de gegevensbeschermingsregels in een recht van bezwaar. Meer bepaald hebben betrokkenen het recht te allen tijde bezwaar te maken tegen de verwerking van persoonsgegevens ten behoeve van de uitvoering van een taak in het kader van het verrichten van de officiële werkzaamheden van de EOO of in het kader van de rechtmatige uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend (123). Betrokkenen moeten op duidelijke wijze en uiterlijk op het moment van het eerste contact met hen op het bestaan van dit recht worden gewezen (124). Wanneer een betrokkene bezwaar maakt tegen de verwerking van persoonsgegevens, is de verwerkingsverantwoordelijke op grond van de gegevensbeschermingsregels gehouden de verwerking te staken, tenzij hij dwingende gerechtvaardigde gronden voor de verwerking weet aan te voeren die zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkene of die verband houden met de instelling, uitoefening of onderbouwing van een rechtsvordering (125).

(50)

In de zesde plaats voorzien de gegevensbeschermingsregels in een recht op overdraagbaarheid van gegevens, dat betrokkenen de mogelijkheid biedt hun persoonsgegevens in een gestructureerde, gangbare en machineleesbare vorm te ontvangen en aan een andere verwerkingsverantwoordelijke over te dragen (126). Dit recht is van toepassing wanneer de verwerking via geautomatiseerde procedés wordt verricht en plaatsvindt op basis van de toestemming van de betrokkene, of ten behoeve van de uitvoering van een overeenkomst met of in het belang van de betrokkene (127).

(51)

Tot slot hebben betrokkenen op grond van de gegevensbeschermingsregels het recht om niet te worden onderworpen aan geautomatiseerde besluitvorming, d.w.z. een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit waaraan voor hen rechtsgevolgen zijn verbonden of dat hen anderszins in aanmerkelijke mate treft (128). In de gegevensbeschermingsregels is bepaald dat geautomatiseerde besluitvorming kan plaatsvinden wanneer deze gebaseerd is op de uitdrukkelijke toestemming van de betrokkene of indien dit noodzakelijk is voor de totstandkoming of de uitvoering van een overeenkomst met de betrokkene, in welk geval de verwerkingsverantwoordelijke passende maatregelen ter bescherming van de rechten van de betrokkene moet nemen, waaronder het recht op menselijke tussenkomst, het recht om zijn standpunt kenbaar te maken en het recht om het besluit aan te vechten (129). Geautomatiseerde besluitvorming kan ook worden toegestaan bij een rechtshandeling, indien die handeling voorziet in passende maatregelen ter bescherming van de rechten van betrokkenen (130). Indien de verwerkingsverantwoordelijke gebruikmaakt van geautomatiseerde besluitvorming, waaronder profilering, moet hij de betrokkene daarover in het kader van zijn transparantieverplichtingen proactief informeren en nuttige informatie verstrekken over de onderliggende logica, alsmede over het belang en de verwachte gevolgen van die verwerking voor de betrokkene (131). Diezelfde informatie moet op verzoek worden verstrekt (132).

(52)

Net als artikel 23 van Verordening (EU) 2016/679 en artikel 25 van Verordening (EU) 2018/1725 bepaalt artikel 25 van de gegevensbeschermingsregels dat de toepassing van de in de overwegingen 43 tot en met 51 bedoelde rechten kan worden beperkt op grond van specifieke wettelijke bepalingen vastgesteld in het rechtskader van de EOO (133) (d.w.z. de toepassing ervan kan tijdelijk worden beperkt) (134), zolang die beperking de wezenlijke inhoud van de grondrechten (135) en fundamentele vrijheden onverlet laat en in een democratische samenleving een noodzakelijke en evenredige maatregel is ter waarborging van specifieke doelstellingen (136). Bovendien moeten de beperkingen worden vastgesteld bij “duidelijke en nauwkeurige” bepalingen die beogen rechtsgevolgen voor de betrokkenen teweeg te brengen en ten minste op het niveau van de president moeten worden vastgesteld (137). Bij deze bepalingen moeten met name het doel van de verwerking, de reikwijdte van de beperking, de waarborgen ter voorkoming van misbruik, de opslagtermijnen en de toepasselijke waarborgen worden vastgelegd (138).

(53)

Momenteel is circulaire 420 het enige rechtsinstrument dat voorziet in beperkingen van individuele rechten (een juridisch bindend instrument dat door de president is aangenomen). Hierin wordt verduidelijkt hoe en onder welke voorwaarden beperkingen door de verwerkingsverantwoordelijke kunnen worden toegepast; ook worden hierin op uitputtende wijze de specifieke scenario’s beschreven waarin rechten kunnen worden beperkt en voor welke doeleinden (139). De circulaire bepaalt met name dat de EOO individuele rechten kan beperken ten behoeve van bepaalde specifieke doelstellingen: a) en b) bij onderzoeks- of tuchtprocedures met betrekking tot personeelsleden (140); c) in het kader van interne geschillenbeslechting of de instelling, uitoefening of onderbouwing van rechtsvorderingen, met inbegrip van arbitrage, om de vertrouwelijkheid van informatie en documenten die van de partijen en interveniënten of uit andere wettige bronnen zijn verkregen, te waarborgen; d) bij de verwerking van gezondheidsgegevens uit medische procedures en dossiers, maar alleen om de rechten van betrokkenen te beschermen (141); e) en f) bij het verrichten van interne audits en inspecties (die laatste worden uitgevoerd door de functionaris voor gegevensbescherming); g) voor het beheer van IT-incidenten en meldingen van incidenten betreffende de fysieke beveiliging, en h) bij het verlenen of ontvangen van bijstand aan of van bevoegde overheidsinstanties, met inbegrip van de verdragsluitende staten van de EOO en internationale organisaties, of bij de samenwerking met hen bij activiteiten omschreven in relevante overeenkomsten inzake dienstverleningsniveau, memoranda van overeenstemming en samenwerkingsovereenkomsten, hetzij op hun verzoek, hetzij op eigen initiatief van het Bureau (142).

(54)

Of een beperking al dan niet in een specifiek geval kan worden toegepast, moet in individuele gevallen door de verwerkingsverantwoordelijke worden bepaald in het licht van de relevante omstandigheden (143). Bij de beslissing om al of niet een beperking toe te passen, moet de verwerkingsverantwoordelijke eerst, samen met de functionaris voor gegevensbescherming, de noodzaak en evenredigheid ervan in het specifieke geval beoordelen (144). Deze beoordeling houdt in dat de potentiële risico’s voor de rechten en vrijheden van de betrokkene worden afgewogen tegen de rechten en vrijheden van andere betrokkenen en het risico dat afbreuk wordt gedaan aan het doel en de resultaten van de verwerking (145). Beperkingen moeten worden gedocumenteerd, onder meer door een verslag op te stellen van de beoordeling van de rechten die worden beperkt, hoe lang zij worden beperkt, om welke redenen en op welke rechtsgronden (146). Bovendien moeten er, zolang een beperking van toepassing is, passende technische en organisatorische maatregelen worden genomen (147). Beperkingen mogen alleen worden toegepast zolang de redenen voor de beperking blijven bestaan (148). Indien een recht wordt beperkt, moet de verwerkingsverantwoordelijke de betrokkene in kennis stellen van de voornaamste redenen daarvoor en hem erop wijzen dat hij het recht heeft om hierover een klacht in te dienen (149).

(55)

De bepalingen van het oprichtingsverdrag van de EOO (d.w.z. het EOV) en van het PCT, en de op grond daarvan toepasselijke bepalingen (die samen de primaire wetgeving inzake de EOO vormen), bevatten bepaalde specifieke vereisten in het kader van de octrooiverleningsprocedure die van invloed kunnen zijn op de uitoefening van bepaalde rechten uit hoofde van de gegevensbeschermingsregels (150). In het besluit betreffende octrooiverleningsprocedures wordt een overzicht gegeven van die in de primaire wetgeving vastgestelde vereisten, wordt uitgelegd hoe de rechten van betrokkenen in dat verband kunnen worden uitgeoefend en worden de mogelijke uitzonderingen duidelijk uiteengezet (151). In circulaire 420 is bepaald dat in de bepalingen die de toepassing van rechten inzake gegevensbescherming kunnen beperken, duidelijk moet worden aangegeven wat de reikwijdte van een eventuele uitzondering is en dat er dus een afweging moet worden gemaakt tussen de verschillende betrokken belangen (152).

(56)

In de eerste plaats is het Bureau krachtens artikel 127 EOV verplicht het Europees Octrooiregister bij te houden, waarin bepaalde wettelijk omschreven persoonsgegevens worden gepubliceerd. Volgens de primaire wetgeving moeten octrooiaanvragen tijdens de octrooiverleningsprocedure in het algemeen zo spoedig mogelijk na het verstrijken van een termijn van achttien maanden na de datum van indiening worden gepubliceerd. Het EOV bepaalt dat persoonsgegevens die in octrooiaanvragen zijn opgenomen, kunnen worden geraadpleegd door middel van inzage in het dossier of het register (153). Vóór publicatie zijn octrooiaanvragen zonder uitdrukkelijke toestemming van de aanvrager niet beschikbaar voor inzage. Soortgelijke regels zijn vastgelegd in het PCT (154).

(57)

In de tweede plaats is in het EOV specifiek de mogelijkheid geregeld om wijzigingen door te voeren in de informatie die in het kader van een octrooiverleningsprocedure wordt gebruikt (155). Meer bepaald voorziet het EOV alleen in de mogelijkheid om fouten in bij het EOB ingediende documenten te laten verbeteren (156), fouten in beslissingen te laten verbeteren (157), vertalingen te laten verbeteren (158) en de vermelding van de uitvinder te laten rectificeren (159). Alleen in die gevallen kan dus worden verzocht om rectificatie van persoonsgegevens in documenten die in het kader van de octrooiverleningsprocedure worden gebruikt. Hetzelfde geldt voor de mogelijkheid om te verzoeken om een beperking van de gegevensverwerking (160).

(58)

In de derde plaats legt het EOV specifieke vereisten op voor het bewaren en publiceren van bepaalde documenten die in de octrooiverleningsprocedure worden gebruikt, die van invloed zijn op de mogelijkheid om de daarin opgenomen informatie, waaronder persoonsgegevens, te laten verwijderen (161). Met name moeten in het Europees Octrooiblad gepubliceerde octrooiaanvragen en octrooi-informatie worden bewaard en openbaar beschikbaar zijn (162). Bijgevolg zou het wissen van persoonsgegevens in die documenten in strijd zijn met fundamentele wettelijke verplichtingen van het EOB (artikel 129, punt a), EOV) en niet kunnen worden toegestaan. Andere dossiers moeten door het EOB worden bewaard gedurende een in het EOV vastgestelde periode, die in beginsel vijf jaar bedraagt (163). Zolang die termijn van toepassing is, kan de in die dossiers opgenomen informatie (met inbegrip van persoonsgegevens) niet worden gewist.

(59)

Bijgevolg kunnen de beperkingen op de uitoefening van rechten die voortvloeien uit de in de overwegingen 55 tot en met 58 bedoelde bepalingen, met name gezien hun beperkte reikwijdte en toepassingsvoorwaarden, worden geacht beperkt te zijn tot wat noodzakelijk en evenredig is om de correcte werking van de octrooiverleningsprocedure te waarborgen, zoals vereist in het algemeen belang voor de uitvoering van de officiële taken van de EOO. Voor zover het EPC en het PCT de uitoefening van gegevensbeschermingsrechten niet specifiek regelen, d.w.z. in alle andere dan de in de overwegingen 55 tot en met 58 beschreven gevallen, zijn de in de gegevensbeschermingsregels vastgestelde vereisten volledig van toepassing.

(60)

Het beschermingsniveau dat wordt geboden voor persoonsgegevens die worden doorgegeven vanuit de Unie aan de EOO mag niet worden ondermijnd door de verdere doorgifte van deze gegevens aan ontvangers in een derde land of een andere internationale organisatie.

(61)

De gegevensbeschermingsregels maken onderscheid tussen “doorzending van persoonsgegevens” (d.w.z. het delen van gegevens door de EOO met verdragsluitende staten) en “doorgifte van persoonsgegevens” (het delen van gegevens door de EOO met andere personen of entiteiten buiten de EOO) (164).

(62)

In de eerste plaats bepalen de gegevensbeschermingsregels dat gegevens naar een nationaal bureau voor intellectuele eigendom van een verdragsluitende staat mogen worden doorgezonden indien a) de gegevens noodzakelijk zijn voor de uitoefening van de bevoegdheden van de ontvanger of de uitoefening van het aan hem verleende openbaar gezag, en b) doorzending noodzakelijk is voor de uitvoering van de officiële taken/uitoefening van het openbaar gezag van de EOO (165). De doorzending van deze gegevens vindt plaats in het kader van de octrooiverleningsprocedure die is vastgesteld in het EOV en het PCT (166).

(63)

In de tweede plaats staan de gegevensbeschermingsregels de doorzending van gegevens naar een overheidsinstantie van een verdragsluitende staat toe (167), wanneer de gegevens noodzakelijk zijn voor de uitvoering van de taken van die overheidsinstantie en doorzending verenigbaar is met de taken en de werking van het EOB (168). De doorzending van dergelijke gegevens is niet specifiek vereist op grond van het EOV of andere rechtsinstrumenten die de octrooiverleningsprocedure regelen, maar kunnen toch noodzakelijk zijn voor de uitvoering van de taken van de EOO, bijvoorbeeld voor de samenwerking van de EOO met de verdragsluitende staten door middel van overlegprocedures; de detachering en inzet van deskundigen, of het verstrekken van informatie over personeelsleden van het EOB met het oog op de vaststelling van sociale uitkeringen, fiscale verplichtingen enz.

(64)

De functionaris voor gegevensbescherming heeft modelclausules opgesteld die moeten worden opgenomen in memoranda van overeenstemming die de in de overwegingen 62 en 63 beschreven doorzending van dergelijke gegevens regelen, welke onder meer beginselen inzake gegevensbescherming bevatten, verdere verwerking beperken tot verenigbare doeleinden en voorzien in rechten van betrokkenen en verplichtingen met betrekking tot gegevensbeveiliging en inbreuken daarop, alsook in onafhankelijk toezicht (169).

(65)

In beide in de overwegingen 62 en 63 beschreven scenario’s moet de ontvanger overeenkomstig de gegevensbeschermingsregels aantonen dat het noodzakelijk is om de gegevens door te zenden voor een specifiek doel dat voortvloeit uit de samenwerkingsverplichtingen van de EOO met de verdragsluitende staat of staten (170). De verwerkingsverantwoordelijke moet voor elke doorzending kunnen aantonen dat die doorzending noodzakelijk is en in verhouding staat tot het specifieke doel waarvoor de gegevens worden gedeeld (171). Elke doorzending van gegevens moet zodanig worden uitgevoerd dat het door de gegevensbeschermingsregels geboden beschermingsniveau wordt gehandhaafd (172). Volgens de richtsnoeren van de functionaris voor gegevensbescherming betekent dit dat er passende waarborgen moeten worden geboden, onder meer door ervoor te zorgen dat de te delen gegevens tot een minimum moeten worden beperkt en beperkt moeten blijven tot wat passend, relevant en strikt noodzakelijk is om dat doel te bereiken (173). Indien er redenen zijn om aan te nemen dat de gerechtvaardigde belangen van de betrokkene hierdoor zouden kunnen worden geschaad, moet de verwerkingsverantwoordelijke, na afweging van de verschillende betrokken belangen, aantonen dat het evenredig is om de persoonsgegevens voor dat specifieke doel door te zenden (174).

(66)

Met betrekking tot deze twee scenario’s moet ook worden opgemerkt dat alle staten die partij zijn bij het EOV ook partij zijn bij het Europees Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden en onderworpen zijn aan de jurisdictie van het Europees Hof voor de Rechten van de Mens, alsook partij zijn bij het Verdrag van de Raad van Europa tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens (ETS nr. 108).

(67)

Tot slot staan de gegevensbeschermingsregels toe dat gegevens worden doorgezonden naar een verwerker die in de Europese Economische Ruimte (EER) is gevestigd, mits de naleving van de in de gegevensbeschermingsregels vastgestelde vereisten inzake de inschakeling van verwerkers wordt gewaarborgd (175).

(68)

Het delen van persoonsgegevens met een entiteit buiten de EOO die geen overheidsinstantie of nationaal bureau voor intellectuele eigendom van de verdragsluitende staten van de EOO of een verwerker in de EER is, wordt beschouwd als een “doorgifte” van persoonsgegevens, waarvoor overeenkomstig de gegevensbeschermingsregels specifieke vereisten gelden (176). Die vereisten zijn bijvoorbeeld van toepassing op het delen van gegevens met verwerkers buiten de EER, verwerkingsverantwoordelijken in of buiten de verdragsluitende staten, overheidsinstanties in niet-verdragsluitende staten en andere internationale organisaties. In het algemeen vereisen de gegevensbeschermingsregels dat het door de EOO aan betrokkenen geboden beschermingsniveau niet wordt aangetast wanneer gegevens aan derden worden doorgegeven (177). Volgens de richtsnoeren van de functionaris voor gegevensbescherming moet “de bescherming van aan een derde land of internationale organisatie doorgegeven persoonsgegevens in feite overeenkomend zijn met de bescherming die door de gegevensbeschermingsregels wordt gewaarborgd” (178).

(69)

Volgens de gegevensbeschermingsregels kan de doorgifte van persoonsgegevens buiten het EOB in de eerste plaats plaatsvinden indien het land waar de ontvanger is gevestigd, of de internationale organisatie, een passend beschermingsniveau waarborgt en indien de doorgifte uitsluitend plaatsvindt om het EOB in staat te stellen taken uit te voeren die onder zijn bevoegdheid vallen (179). Een adequaatheidsbesluit wordt vastgesteld door de president (180), die in geval van twijfel besluit na raadpleging van de functionaris en het comité voor gegevensbescherming (181). De functionaris voor gegevensbescherming heeft een “adequaatheidsreferentie” opgesteld, waarin de criteria voor adequaatheidsbesluiten worden uiteengezet (182). Het rechtskader van het derde land of de internationale organisatie moet met name voorzien in de belangrijkste beginselen inzake gegevensbescherming, de rechten van betrokkenen, regels inzake verdere doorgifte, procedurele en handhavingsmechanismen, alsook in verhaalmechanismen voor betrokkenen. Indien de president een adequaatheidsbesluit heeft vastgesteld, kan de doorgifte plaatsvinden zonder aanvullende waarborgen (183). De lidstaten, alsmede Noorwegen, IJsland en Liechtenstein, alle landen waarvoor de Commissie een adequaatheidsbesluit heeft vastgesteld (184) en de instellingen en organen van de Unie, worden momenteel door het EOB geacht een passend beschermingsniveau te bieden (185).

(70)

Wanneer er geen adequaatheidsbesluit is genomen, mag de doorgifte van persoonsgegevens naar ontvangers buiten het EOB door een verwerkingsverantwoordelijke of een verwerker overeenkomstig de gegevensbeschermingsregels alleen plaatsvinden mits de verwerkingsverantwoordelijke of de verwerker passende waarborgen biedt en de betrokkenen over afdwingbare rechten en doeltreffende rechtsmiddelen beschikken (186). Dergelijke passende waarborgen kunnen worden opgenomen in administratieve regelingen met overheidsinstanties of internationale organisaties, in contractuele bepalingen (na raadpleging van het comité voor gegevensbescherming) (187) of in certificeringsmechanismen (188). De functionaris voor gegevensbescherming heeft een overzicht opgesteld van de bepalingen die in administratieve regelingen moeten worden opgenomen (189). Er is ook een modelovereenkomst inzake gegevensbescherming bij doorgifte aan verwerkers beschikbaar (190). Volgens de richtsnoeren van de functionaris voor gegevensbescherming moet het EOB beoordelen of het rechtskader waaraan de gegevensimporteur onderworpen is, hem eventueel belet om zijn verplichtingen uit hoofde van een instrument inzake de doorgifte van persoonsgegevens na te komen, en indien nodig aanvullende maatregelen nemen (191). De functionaris voor gegevensbescherming beveelt in de toelichting inzake de doorzending en doorgifte van persoonsgegevens van het EOB aan om bij die beoordeling rekening te houden met de desbetreffende richtsnoeren van het EDPB en de Europese Toezichthouder voor gegevensbescherming (192).

(71)

Overeenkomstig de gegevensbeschermingsregels moet het EOB in het geval van de doorgifte van gegevens aan landen of organisaties waarvoor een adequaatheidsbesluit geldt, alsook in het geval van doorgifte op basis van passende waarborgen, bij elke doorgifte aantonen dat deze noodzakelijk en evenredig is gelet op het doel van de verwerking (193). Bovendien moet het EOB, na afweging van de verschillende betrokken belangen, aantonen dat de doorgifte evenredig is indien er redenen zijn om aan te nemen dat de gerechtvaardigde belangen van de betrokkenen kunnen worden geschaad (194). Bovendien moet (door middel van contractuele waarborgen) worden gewaarborgd dat de ontvanger de gegevens alleen verwerkt of gebruikt voor de doeleinden waarvoor zij zijn doorgegeven en de gegevens wist zodra het doel is bereikt (195).

(72)

Volgens de gegevensbeschermingsregels is de doorgifte van persoonsgegevens buiten het EOB bij ontstentenis van een adequaatheidsbesluit of van passende waarborgen “slechts bij wijze van uitzondering” toegestaan indien een zogenaamde “afwijking” van toepassing is op grond van vergelijkbare voorwaarden als die welke zijn vastgesteld in de overeenkomstige bepalingen van het Unierecht inzake gegevensbescherming (196). Hiervan is sprake wanneer a) de betrokkene uitdrukkelijk met de doorgifte heeft ingestemd (197); b) en c) de doorgifte incidenteel is en noodzakelijk voor de uitvoering van een overeenkomst met of in het belang van de betrokkene (of voor de uitvoering van op verzoek van de betrokkene genomen precontractuele maatregelen) (198); d) de doorgifte noodzakelijk is voor de uitvoering van een taak in het kader van het verrichten van de officiële werkzaamheden van de EOO of in het kader van de rechtmatige uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend (199); e) de doorgifte incidenteel is en noodzakelijk voor de instelling, uitoefening of onderbouwing van een rechtsvordering (200); f) de doorgifte noodzakelijk is ter bescherming van de vitale belangen van een betrokkene, indien deze fysiek of juridisch niet in staat is zijn toestemming te geven (201), of g) de doorgifte geschiedt vanuit een register dat is bedoeld om het publiek voor te lichten en dat door het publiek in het algemeen of door iedere persoon die een gerechtvaardigd belang kan aantonen, kan worden geraadpleegd, voor zover in het betrokken geval aan de gestelde voorwaarden voor raadpleging is voldaan (202). Naar hun aard en volgens de richtsnoeren van de functionaris voor gegevensbescherming kunnen deze afwijkingen niet worden gebruikt voor systematische, regelmatige doorgiften (203).

(73)

Tot slot, wat betreft de doorgifte van specifieke categorieën gegevens aan landen of organisaties waarvoor geen adequaatheidsbesluit geldt, kan de president deze doorgiften verder beperken om gewichtige redenen die verband houden met de rechtmatige uitoefening van het openbaar gezag dat aan het Bureau is verleend (204). Tot dusver heeft de president geen gebruik gemaakt van deze bevoegdheid.

(74)

Volgens het verantwoordingsbeginsel moeten entiteiten die gegevens verwerken passende technische en organisatorische maatregelen nemen om doeltreffend hun verplichtingen inzake gegevensbescherming te kunnen naleven, en moeten zij de naleving daarvan kunnen aantonen, in het bijzonder ten overstaan van de bevoegde toezichthoudende autoriteit.

(75)

Bij artikel 4, lid 1, van de gegevensbeschermingsregels wordt een algemeen verantwoordingsbeginsel vastgesteld, waaruit duidelijk blijkt dat de verwerkingsverantwoordelijke verantwoordelijk is voor de naleving van de gegevensbeschermingsregels, alsook moet kunnen aantonen dat hij deze naleeft. De verwerkingsverantwoordelijke moet met name passende technische en organisatorische maatregelen nemen om de naleving te waarborgen en aan te tonen, rekening houdend met de aard, de omvang, de context en de doeleinden van de verwerking, en met de qua waarschijnlijkheid en ernst uiteenlopende risico’s voor de rechten van betrokkenen (205). In dit verband geven de gegevensbeschermingsregels ook uitvoering aan de beginselen van privacy door ontwerp en door standaardinstellingen, aangezien zij de verwerkingsverantwoordelijke verplichten maatregelen te nemen om de beginselen van gegevensbescherming toe te passen en de naleving van de gegevensbeschermingsregels te waarborgen, en ervoor te zorgen dat standaard alleen persoonsgegevens worden verwerkt die noodzakelijk zijn voor elk specifiek doel van de verwerking (206).

(76)

De verwerkingsverantwoordelijke en de verwerkers moeten een register bijhouden van de verwerkingsactiviteiten, met onder meer informatie over het doel van de verwerking, de categorieën verwerkte gegevens, de categorieën ontvangers aan wie de gegevens worden verstrekt, en de eventuele doorgiften van persoonsgegevens (207). Deze gegevens zijn in beginsel openbaar toegankelijk (tenzij zij vertrouwelijke informatie bevatten) en worden opgenomen in een openbaar register voor gegevensbescherming. Zij moeten op verzoek ter beschikking worden gesteld van het comité voor gegevensbescherming (208). Elke operationele eenheid moet ook ten minste één contactpersoon voor gegevensbescherming aanwijzen (voor een verlengbare termijn van één tot drie jaar), die een verplichte opleiding op het gebied van gegevensbescherming moet volgen en de verwerkingsverantwoordelijke moet bijstaan bij het nakomen van zijn verplichtingen (209).

(77)

Tot slot voorzien de gegevensbeschermingsregels in verschillende instrumenten die de verwerkingsverantwoordelijke en de verwerkers kunnen helpen bij de naleving. Zo kan het gebruik van goedgekeurde certificeringsmechanismen volgens de gegevensbeschermingsregels dienen als bewijs van naleving van de verplichtingen uit hoofde van de gegevensbeschermingsregels (210). Bovendien vereisen de gegevensbeschermingsregels onder bepaalde voorwaarden een gegevensbeschermingseffectbeoordeling of voorafgaande raadpleging van de functionaris en het comité voor gegevensbescherming. Een gegevensbeschermingseffectbeoordeling is vereist wanneer een bepaalde vorm van verwerking waarschijnlijk een hoog risico voor de rechten en vrijheden van een persoon met zich meebrengt (211). Dat is bijvoorbeeld vereist wanneer er sprake is van een systematische en uitgebreide beoordeling van persoonlijke aspecten waarop geautomatiseerde besluiten worden gebaseerd, of wanneer er sprake is van grootschalige verwerking van bijzondere categorieën gegevens (212). Indien uit een effectbeoordeling blijkt dat de verwerking een hoog risico voor de rechten en vrijheden van personen tot gevolg zal hebben en het risico niet kan worden beperkt met redelijke veiligheidsmaatregelen, moet de verwerkingsverantwoordelijke het comité voor gegevensbescherming raadplegen (213). Het comité voor gegevensbescherming moet schriftelijk advies verstrekken indien het van mening is dat de voorgenomen verwerking in strijd zou zijn met de gegevensbeschermingsregels (214). Meer in het algemeen moet de verwerkingsverantwoordelijke de functionaris voor gegevensbescherming raadplegen bij het opstellen van regels of operationele documenten betreffende de beperking van individuele rechten (215).

(78)

Om ervoor te zorgen dat in de praktijk een passend niveau van bescherming van persoonsgegevens wordt gewaarborgd, moet er worden voorzien in een onafhankelijke toezichthoudende autoriteit met bevoegdheden tot monitoring en handhaving van de naleving van de gegevensbeschermingsvoorschriften. Die autoriteit moet bij de uitvoering van haar taken en de uitoefening van haar bevoegdheden volledig onafhankelijk en onpartijdig handelen.

(79)

Overeenkomstig het rechtskader van de EOO zijn twee organen belast met het toezicht op de naleving van de gegevensbeschermingsregels door de EOO: de functionaris voor gegevensbescherming en het comité voor gegevensbescherming. Beide organen zijn opgericht bij artikel 32 bis van het Ambtenarenreglement, terwijl hun status en bevoegdheden nader worden gespecificeerd in de gegevensbeschermingsregels (216). Hun rollen zijn complementair en omvatten samenwerking, terwijl elk orgaan onafhankelijk blijft in zijn respectieve functies.

(80)

Overeenkomstig het Ambtenarenreglement handelen de functionaris voor gegevensbescherming en het comité voor gegevensbescherming bij de uitvoering van hun taken en de uitoefening van hun bevoegdheden volledig onafhankelijk, zonder enige interne of externe inmenging (217). Dit beginsel wordt aangevuld met verschillende bijkomende waarborgen voor hun onafhankelijkheid.

(81)

De functionaris voor gegevensbescherming (en diens plaatsvervangers) worden door de president benoemd op basis van hun beroepskwalificaties en met name hun deskundigheid op het gebied van de wetgeving en de praktijk inzake gegevensbescherming (218). De functionaris voor gegevensbescherming wordt benoemd voor een verlengbare termijn van drie tot vijf jaar. Wanneer er een voorstel wordt gedaan om de functionaris voor gegevensbescherming uit zijn functie te ontheffen of te ontslaan, moet eerst het comité voor gegevensbescherming worden geraadpleegd (219). Deze raadpleging voorafgaand aan de ontheffing of het ontslag van de functionaris voor gegevensbescherming is bedoeld om te voorzien in aanvullende toetsing en mogelijke herziening in geval van een voorstel tot ontheffing of ontslag. Een voorstel tot ontheffing of ontslag kan om een van de volgende redenen worden gedaan (220): wanneer de functionaris voor gegevensbescherming niet langer voldoet aan de voorwaarden voor de uitoefening van zijn taken (221); omdat hij onvoldoende geschikt geacht wordt voor de functie (222), of vanwege disciplinaire maatregelen (223). In de gegevensbeschermingsregels is ook bepaald dat de functionaris voor gegevensbescherming niet kan worden ontslagen of bestraft wegens de uitvoering van zijn taken en mag geen instructies ontvangen (224). De functionaris voor gegevensbescherming moet worden betrokken bij alle kwesties die verband houden met de bescherming van persoonsgegevens en moet jaarlijks verslag uitbrengen over zijn activiteiten aan de president en de Raad van Bestuur (225). Het Bureau moet de functionaris voor gegevensbescherming de middelen ter beschikking stellen die hij nodig heeft om zijn taken uit te voeren (226).

(82)

Het comité voor gegevensbescherming bestaat uit drie externe deskundigen op het gebied van gegevensbescherming (227), namelijk een voorzitter en twee andere leden, alsmede twee plaatsvervangende leden, die door de president van het EOB worden benoemd voor een verlengbare termijn van drie jaar (228). De leden van het comité voor gegevensbescherming moeten beschikken over de vereiste kwalificaties om een rechterlijk ambt te bekleden of over aantoonbare deskundigheid en ervaring op het gebied van gegevensbescherming op nationaal of internationaal niveau. Zij mogen geen werknemers van het EOB zijn of mogen de afgelopen tien jaar niet voor het EOB hebben gewerkt (229). Overeenkomstig artikel 48, lid 6, van de gegevensbeschermingsregels zijn de leden van het comité voor gegevensbescherming bij de vervulling van hun taken volledig onafhankelijk. De leden van het comité voor gegevensbescherming mogen met name geen instructies vragen aan het Bureau of de Raad van Bestuur en kunnen niet aan dergelijke instructies gebonden zijn. Ook het reglement van orde van het comité voor gegevensbescherming bepaalt dat het bij de uitvoering van zijn taken onpartijdig en volledig onafhankelijk moet handelen (230). Bovendien kunnen leden van het comité voor gegevensbescherming alleen om ernstige redenen door het EOB uit hun functie worden ontheven (231). De leden van het comité hebben een geheimhoudingsplicht (232) en moeten zich afzijdig houden in gevallen waarin sprake is van een belangenconflict, met name door een persoonlijk belang (233). Het EOB moet het comité voor gegevensbescherming ondersteunen bij de uitvoering van zijn taken door het van de nodige middelen te voorzien en door juridische en administratieve ondersteuning te bieden (via een secretariaat en door het comité voor gegevensbescherming toegang te verschaffen tot persoonsgegevens en verwerkingsactiviteiten) (234).

(83)

De functionaris voor gegevensbescherming heeft onder meer de volgende taken: de verwerkingsverantwoordelijke of de verwerkers informeren over hun verplichtingen en hen daarover adviseren; personeelsleden die betrokken zijn bij verwerkingsactiviteiten voorlichten en opleiden; ervoor zorgen dat betrokkenen gewezen worden op hun rechten op grond van de gegevensbeschermingsregels, en onafhankelijk toezicht houden op de interne toepassing en naleving van de gegevensbeschermingsregels en andere wettelijke bepalingen van de EOO die gevolgen hebben voor de gegevensbescherming (235). Betrokkenen kunnen contact opnemen met de functionaris voor gegevensbescherming over alle kwesties die verband houden met de verwerking van hun gegevens of de uitoefening van hun rechten (236), en de verwerkingsverantwoordelijke en verwerkers kunnen de functionaris voor gegevensbescherming raadplegen over alle kwesties die verband houden met de interpretatie en toepassing van de gegevensbeschermingsregels (237).

(84)

Als onderdeel van zijn toezichthoudende rol heeft de functionaris voor gegevensbescherming de bevoegdheid om audits en onderzoeken op het gebied van gegevensbescherming uit te voeren (238). Audits worden door de functionaris voor gegevensbescherming geïnitieerd op grond van een jaarlijks auditplan dat in overleg met het comité voor gegevensbescherming wordt opgesteld (239). Audits zijn bedoeld om de registers, verklaringen en relevante documentatie in verband met gegevensbescherming te beoordelen, bijvoorbeeld om de nauwkeurigheid en volledigheid van voor gegevensbescherming relevante documenten, de correcte toepassing van methoden voor risicobeheer, de nauwkeurigheid en tijdigheid van reacties aan betrokkenen of het aantal gegevensbeschermingseffectbeoordelingen en het goede verloop daarvan te controleren (240). Volgens informatie die de Commissie van de functionaris voor gegevensbescherming heeft ontvangen, zijn er in 2023 drie audits uitgevoerd en in 2024 vier. Een onderzoek kan door de functionaris voor gegevensbescherming op eigen initiatief worden gestart, op basis van een verzoek van het comité voor gegevensbescherming of een ander orgaan binnen het EOB (bijvoorbeeld de president of een gedelegeerd verwerkingsverantwoordelijke), of op basis van anderszins ontvangen informatie (bijvoorbeeld van derden en betrokkenen) (241). Onderzoeken op verzoek van het comité voor gegevensbescherming worden door de functionaris voor gegevensbescherming op onafhankelijke wijze uitgevoerd. Het comité voor gegevensbescherming kan opmerkingen maken en/of een aanvullend onderzoek aanvragen naar aanleiding van eventuele problemen die zich voordoen (242). Bij inspecties wordt gekeken naar verwerkingen, bepaalde aspecten daarvan of daarmee verband houdende voorvallen om ervoor te zorgen dat de verwerking in kwestie voldoet aan de vereisten in de gegevensbeschermingsregels en om te waarborgen dat de rechten en vrijheden van de betrokkenen worden beschermd (243).

(85)

De functionaris voor gegevensbescherming heeft toegang tot alle relevante informatie, met inbegrip van de persoonsgegevens die worden verwerkt, en tot alle kantoren, gegevensverwerkingsapparatuur en gegevensdragers (244). Alle werknemers en operationele eenheden van het EOB moeten de functionaris voor gegevensbescherming bijstaan bij de uitvoering van zijn taken, onder meer door hem toegang te verlenen tot gebouwen en relevante informatie (245).

(86)

Na afronding van een audit of onderzoek stelt de functionaris voor gegevensbescherming een verslag op met zijn bevindingen, conclusies en aanbevolen corrigerende maatregelen (246). Dergelijke maatregelen kunnen bijvoorbeeld bestaan uit preventieve of risicobeperkende maatregelen om de naleving te verbeteren, alsook uit maatregelen om gevallen van niet-naleving te corrigeren (bijvoorbeeld om de verwerking in overeenstemming te brengen met de gegevensbeschermingsregels, om verzoeken van betrokkenen tot uitoefening van hun rechten in behandeling te nemen, een verwerking op te schorten of te beëindigen enz.) (247). De functionaris voor gegevensbescherming kan ook niet-naleving van de gegevensbeschermingsregels door werknemers onder de aandacht van het tot aanstelling bevoegde gezag brengen en aanbevelen een administratief onderzoek in te stellen om vast te stellen of er tuchtrechtelijke of andere maatregelen nodig zijn (248). Aan elke werknemer die opzettelijk of uit nalatigheid de gegevensbeschermingsregels niet naleeft, kunnen op grond van het Ambtenarenreglement tuchtrechtelijke sancties of andere maatregelen worden opgelegd (249).

(87)

De uitkomsten van audits en onderzoeken moeten aan het comité voor gegevensbescherming worden meegedeeld (250). Het audit- of onderzoeksverslag moet op verzoek met het comité voor gegevensbescherming worden gedeeld. Het comité voor gegevensbescherming mag opmerkingen maken over het verslag van de functionaris voor gegevensbescherming, onder meer over diens bevindingen betreffende de vraag of de gegevensbeschermingsregels al dan niet zijn geschonden, en over de voorgestelde corrigerende maatregelen. Het kan ook om aanvullende onderzoeksmaatregelen verzoeken (251). Indien de functionaris voor gegevensbescherming bij een audit of inspectie tot de conclusie komt dat er sprake is van niet-naleving (d.w.z. een schending van de gegevensbeschermingsregels), moet het verslag van de functionaris voor gegevensbescherming aan het comité voor gegevensbescherming worden voorgelegd ter validering van de conclusies en de aanbevolen corrigerende maatregelen. Indien het comité voor gegevensbescherming het niet eens is met de conclusies of aanbevolen corrigerende maatregelen van de functionaris voor gegevensbescherming, deelt het comité zijn opmerkingen met de functionaris, onder meer met het oog op wijziging van de voorgestelde conclusies en aanbevolen corrigerende maatregelen, die vervolgens als zodanig moeten worden uitgevoerd. Corrigerende maatregelen die door het comité voor gegevensbescherming worden gevalideerd, zijn bindend voor de verwerkingsverantwoordelijke en de gedelegeerd verwerkingsverantwoordelijken en kunnen door betrokkenen worden ingeroepen in het kader van de in overweging 95 beschreven verhaalmechanismen (252). De functionaris voor gegevensbescherming moet de uitvoering van de corrigerende maatregelen controleren (in beginsel zes maanden na mededeling ervan) en jaarlijks verslag uitbrengen aan de president over de stand van uitvoering (253).

(88)

Naast het handhaven van de gegevensbeschermingsregels heeft het comité voor gegevensbescherming als taak de president te adviseren over de vaststelling van adequaatheidsbesluiten, de verwerkingsverantwoordelijke te adviseren over de noodzaak om een gegevensbeschermingseffectbeoordeling uit te voeren en klachten van betrokkenen te beoordelen (zie de overwegingen 92 tot en met 96) (254).

(89)

Om een passende bescherming en vooral de handhaving van individuele rechten te waarborgen, moeten aan de betrokkene doeltreffende verhaalsmogelijkheden worden geboden, met inbegrip van een recht op schadeloosstelling.

(90)

Het rechtskader van de EOO biedt betrokkenen verschillende mogelijkheden om verhaal te halen.

(91)

Ten eerste kunnen betrokkenen die van mening zijn dat de verwerking van hun persoonsgegevens door het EOB een inbreuk op hun rechten vormt (d.w.z. in strijd is met de gegevensbeschermingsregels), een verzoek tot beoordeling door de gedelegeerd verwerkingsverantwoordelijke indienen overeenkomstig artikel 49 van de gegevensbeschermingsregels. De gedelegeerd verwerkingsverantwoordelijke beoordeelt de klacht en neemt vervolgens een besluit (255). Alvorens een besluit te nemen, raadpleegt de gedelegeerd verwerkingsverantwoordelijke de functionaris voor gegevensbescherming, die uiterlijk vijftien kalenderdagen na ontvangst van het verzoek tot beoordeling een schriftelijk advies uitbrengt (256). De gedelegeerd verwerkingsverantwoordelijke moet de betrokkene binnen een maand na de datum van ontvangst van het verzoek antwoorden (257). Het besluit moet aan de betrokkene worden meegedeeld, samen met informatie over de verdere verhaalsmogelijkheden (258). Indien de gedelegeerd verwerkingsverantwoordelijke na drie maanden geen actie heeft ondernomen, wordt dit beschouwd als een stilzwijgende afwijzing van het verzoek.

(92)

Ten tweede kunnen betrokkenen een besluit of een stilzwijgende afwijzing van een verzoek tot beoordeling door een gedelegeerd verwerkingsverantwoordelijke aanvechten door een klacht in te dienen bij het comité voor gegevensbescherming (259).

(93)

Wanneer het comité voor gegevensbescherming een klacht onderzoekt, moet het de betrokkene, de verwerkingsverantwoordelijke en, in voorkomend geval, de verwerker verzoeken hun standpunt over de betrokken beweringen en feiten schriftelijk uiteen te zetten en bewijsmateriaal te leveren of opmerkingen en argumenten betreffende het beschikbare bewijsmateriaal in te dienen (260). In dat verband kan het comité voor gegevensbescherming de partijen om alle informatie verzoeken die het nodig heeft om de klacht te behandelen; ook kan het nadere informatie opvragen via de functionaris voor gegevensbescherming (261). Bij het nemen van een besluit over de noodzakelijke follow-up van een klacht moet het comité voor gegevensbescherming onder meer rekening houden met de aard en de ernst van de vermeende inbreuk, het aantal betrokkenen, de betrokken categorieën gegevens en de duur van de inbreuk (262). Het comité voor gegevensbescherming kan de partijen verzoeken een minnelijke schikking te treffen; het moedigt een dergelijke schikking aan en faciliteert deze actief (263). De klager kan het comité vanwege de ernst van de vermeende inbreuk of de ernst van het risico voor de rechten van betrokkenen ook verzoeken een spoedprocedure te starten (264).

(94)

Na een klacht te hebben onderzocht, brengt het comité voor gegevensbescherming een met redenen omkleed advies uit aan de verwerkingsverantwoordelijke, met daarin een uiteenzetting van de feiten, de belangrijkste argumenten van de partijen, de overwegingen van het comité en zijn aanbevelingen (265). In geval van een spoedprocedure moet het comité voor gegevensbescherming binnen twee maanden na de indiening van de klacht formeel een met redenen omkleed advies uitbrengen (266). In zijn met redenen omkleed advies kan het comité alle aanbevelingen doen die het nodig acht, met inbegrip van dwangmaatregelen (bijvoorbeeld beëindiging van onrechtmatige gegevensverwerking, verwijdering van onrechtmatig verwerkte gegevens), vergoeding van materiële of immateriële schade (267). Het met redenen omkleed advies moet worden meegedeeld aan de betrokkene en de verwerkingsverantwoordelijke (d.w.z. de president van het Bureau, de voorzitter van de kamers van beroep, de voorzitter van de Raad van Bestuur of de voorzitter van de Beperkte Commissie, naargelang de klacht betrekking heeft op het Bureau, de kamers van beroep, de Raad van Bestuur of de Beperkte Commissie). De verwerkingsverantwoordelijke neemt vervolgens een bindend eindbesluit, na het met redenen omklede advies van het comité voor gegevensbescherming (268). Het eindbesluit wordt meegedeeld aan de betrokkene, het comité voor gegevensbescherming en de functionaris voor gegevensbescherming (269). Indien de verwerkingsverantwoordelijke besluit één of meer aspecten van het met redenen omklede advies niet te volgen, motiveert hij dit schriftelijk in het besluit (270).

(95)

Een betrokkene die het besluit van de verwerkingsverantwoordelijke niet bevredigend acht, kan daartegen beroep aantekenen en daarbij verwijzen naar het met redenen omklede advies van het comité voor gegevensbescherming. Werknemers van het EOB kunnen het besluit aanvechten bij het Administratief Tribunaal van de Internationale Arbeidsorganisatie (271). Elke andere betrokkene die het niet eens is met het besluit van de verwerkingsverantwoordelijke, kan binnen drie maanden na ontvangst van het besluit bij de president een verzoek om ad-hocarbitrage indienen (272). De gegevensbeschermingsregels voorzien in een specifieke procedure voor ad-hocarbitrage (273). Met name moet binnen drie maanden na ontvangst van het verzoek van de betrokkene één arbiter worden benoemd door de secretaris-generaal van het Permanent Hof van Arbitrage op basis van de in de gegevensbeschermingsregels vastgestelde criteria (274). De arbiter moet juridisch gekwalificeerd zijn, als advocaat toegelaten zijn in een van de verdragsluitende staten van de EOO, beschikken over aantoonbare relevante deskundigheid op het gebied van gegevensbescherming en vertrouwd zijn met het recht inzake internationale organisaties (275). Afgezien van deze criteria mogen alleen personen als arbiter worden aangewezen die niet voor of in opdracht van het EOB of de betrokkene hebben gewerkt. De gegevensbeschermingsregels bepalen dat de arbiter onafhankelijk en onpartijdig moet optreden (276), elke partij gelijk moet behandelen en partijen in de gelegenheid moet stellen hun zaak in elk stadium van de procedure uiteen te zetten (277). De arbitrageprocedure is niet openbaar (278) en wordt geregeld bij het EOV, de gegevensbeschermingsregels, met inbegrip van eventuele uitvoeringsbepalingen, het recht van internationale organisaties en de beginselen van het internationaal publiekrecht (279). Hoewel elke partij haar eigen kosten moet dragen, waaronder de kosten voor vertegenwoordiging in rechte (tenzij de arbiter anders beslist), worden de honoraria en onkosten van de arbiter, de kosten van eventueel advies van deskundigen en van eventuele getuigen door de EOO gedragen (280). Schikkingen moeten worden getroffen in de vorm van een schriftelijk arbitraal vonnis met een overeengekomen tekst, die definitief en bindend is (281).

(96)

Eenieder die schade heeft geleden als gevolg van een schending van de gegevensbeschermingsregels kan het EOB om schadevergoeding verzoeken volgens de in de overwegingen 91 tot en met 95 beschreven procedures (282). Het EOB kan niet aansprakelijk worden gesteld indien het aantoont dat het niet verantwoordelijk was voor de gebeurtenis die tot de schade heeft geleid.

(97)

Het rechtskader op grond waarvan de EOO verzoeken van overheidsinstanties — in de verdragsluitende staten en in derde landen — betreffende door het EOB verwerkte persoonsgegevens beoordeelt en afhandelt, wordt gevormd door het Protocol betreffende de voorrechten en immuniteiten van de EOO (283), de vereisten van de gegevensbeschermingsregels inzake de doorzending en doorgifte van persoonsgegevens en het internationaal publiekrecht.

(98)

In de eerste plaats valt de verwerking van persoonsgegevens door de EOO ten behoeve van haar officiële werkzaamheden onder de immuniteiten van de organisatie. De immuniteiten van de EOO worden aangevuld met een verplichting tot samenwerking als bedoeld in artikel 20 van het Protocol betreffende de voorrechten en immuniteiten van de EOO. Bijgevolg moet elk verzoek van een overheidsinstantie van een verdragsluitende staat tot verstrekking van door de EOO verwerkte gegevens door de president worden beoordeeld overeenkomstig (artikel 20, lid 1,) van het Protocol betreffende de voorrechten en immuniteiten van de EOO, dat bepaalt dat de organisatie “voortdurend [samenwerkt] met de bevoegde autoriteiten van de verdragsluitende staten ter bevordering van een goede rechtsbedeling, ter verzekering van de naleving van politievoorschriften en van voorschriften met betrekking tot de volksgezondheid, de arbeidsinspectie, of andere soortgelijke nationale wetgeving, alsmede ter voorkoming van misbruik van de in dit Protocol bedoelde voorrechten, immuniteiten en faciliteiten”. Bij wijze van uitzondering kan de EOO afstand doen van de immuniteit van rechtsmacht en executie (284). Het besluit over een verzoek om samenwerking staat ter beoordeling aan de president, die nagaat of het verzoek in overeenstemming is met het rechtskader van de organisatie (285). De conclusie kan zijn dat het Bureau kan ingaan op een verzoek in het kader van het Protocol betreffende de voorrechten en immuniteiten van de EOO, maar alleen persoonsgegevens mag verstrekken mits wordt voldaan aan de in de gegevensbeschermingsregels vastgestelde vereisten voor de doorzending van gegevens (zie de overwegingen 62 tot en met 67). Overeenkomstig de gegevensbeschermingsregels moet de ontvanger aantonen dat het noodzakelijk is om de gegevens door te zenden voor een specifiek doel dat voortvloeit uit de verplichting van de EOO tot samenwerking met de verdragsluitende staat/staten (286). De verwerkingsverantwoordelijke moet voor elke doorzending kunnen aantonen dat deze noodzakelijk is en in verhouding staat tot het specifieke doel waarvoor zij wordt verricht (287). Elke doorzending van gegevens moet zodanig worden uitgevoerd dat het door de gegevensbeschermingsregels geboden beschermingsniveau wordt gehandhaafd (288). Volgens de richtsnoeren van de functionaris voor gegevensbescherming betekent dit dat er passende waarborgen moeten worden geboden, onder meer door ervoor te zorgen dat de te delen gegevens tot een minimum moeten worden beperkt en beperkt moeten blijven tot wat passend, relevant en strikt noodzakelijk is om dat doel te bereiken (289). Indien er redenen zijn om aan te nemen dat de rechten en vrijheden van de betrokkene hierdoor zouden kunnen worden geschaad, moet de verwerkingsverantwoordelijke, na afweging van de verschillende betrokken belangen, aantonen dat het evenredig is om de persoonsgegevens voor dat specifieke doel door te zenden (290).

(99)

In de tweede plaats bestaat er geen op de EOO toepasselijk rechtsinstrument dat specifiek de behandeling regelt van verzoeken van overheidsinstanties uit derde landen (d.w.z. die geen verdragsluitende partij bij de EOO zijn) tot verstrekking van door de EOO verwerkte gegevens. Bijgevolg kan verstrekking van persoonsgegevens naar aanleiding van een dergelijk verzoek alleen plaatsvinden indien wordt voldaan aan de vereisten voor de internationale doorgifte van gegevens in de gegevensbeschermingsregels (zoals beschreven in de overwegingen 68 tot en met 73). Dat is alleen het geval indien voor het betrokken land een adequaatheidsbesluit is vastgesteld dat ook voor de betreffende doorgifte geldt, indien er in passende waarborgen is voorzien of indien er een afwijking van toepassing is.

(100)

Op de naleving van het Protocol betreffende de voorrechten en immuniteiten van de EOO door de president, met inbegrip van de wijze waarop verzoeken om samenwerking van overheidsinstanties zijn behandeld, wordt toezicht gehouden door de Raad van Bestuur; op de naleving van de voorschriften inzake doorzending en doorgifte van persoonsgegevens als vastgesteld in de gegevensbeschermingsregels wordt toezicht gehouden door de functionaris en het comité voor gegevensbescherming, zoals beschreven in de overwegingen 84 tot en met 88. Betrokkenen kunnen gebruikmaken van de in de overwegingen 90 tot en met 96 beschreven verhaalsmogelijkheden in geval van doorzending of doorgifte van hun persoonsgegevens die strijdig is met de gegevensbeschermingsregels.

(101)

De Commissie is van mening dat het beschermingsniveau dat de EOO waarborgt voor vanuit de Unie doorgegeven persoonsgegevens in feite overeenkomend is met het niveau dat door Verordening (EU) 2016/679 wordt verzekerd.

(102)

Op basis van de bevindingen van dit besluit moet derhalve worden besloten dat de EOO een passend beschermingsniveau waarborgt in de zin van artikel 45 van Verordening (EU) 2016/679, uitgelegd in het licht van het Handvest van de grondrechten van de Europese Unie, voor persoonsgegevens die vanuit de Europese Unie worden doorgegeven aan de EOO.

(103)

De lidstaten en hun organen moeten de maatregelen nemen die noodzakelijk zijn om te voldoen aan de handelingen van de instellingen van de Europese Unie, aangezien deze laatste vermoed worden rechtsgeldig te zijn en bijgevolg rechtsgevolgen in het leven roepen zolang zij niet zijn ingetrokken, nietig verklaard in een beroep tot nietigverklaring of ongeldig verklaard na een prejudiciële verwijzing of op een exceptie van onwettigheid.

(104)

Daarom is een krachtens artikel 45, lid 3, van Verordening (EU) 2016/679 vastgesteld adequaatheidsbesluit van de Commissie bindend voor alle organen van de lidstaten waartoe het is gericht, met inbegrip van hun onafhankelijke toezichthoudende autoriteiten. Met name kunnen doorgiften van een verwerkingsverantwoordelijke of verwerker in de Europese Unie aan de EOO plaatsvinden zonder dat verdere toestemming noodzakelijk is.

(105)

Er zij aan herinnerd dat, overeenkomstig artikel 58, lid 5, van Verordening (EU) 2016/679 en zoals door het Hof van Justitie uitgelegd in zaak C-362/14 (291), wanneer een nationale gegevensbeschermingsautoriteit, ook na ontvangst van een klacht, de verenigbaarheid van een adequaatheidsbesluit van de Commissie met de grondrechten van de persoon op privacy en gegevensbescherming in twijfel trekt, het nationale recht moet voorzien in een rechtsmiddel voor die persoon om die grieven aan een nationale rechter voor te leggen die eventueel bij prejudiciële verwijzing het Hof van Justitie om beoordeling moet verzoeken.

(106)

Volgens de rechtspraak van het Hof van Justitie, en overeenkomstig artikel 45, lid 4, van Verordening (EU) 2016/679, moet de Commissie na de vaststelling van een adequaatheidsbesluit voortdurend toezicht houden op relevante ontwikkelingen in het derde land of bij de internationale organisatie, teneinde te beoordelen of het land of de organisatie een in feite overeenkomend beschermingsniveau blijft waarborgen. Een dergelijke controle is hoe dan ook vereist wanneer de Commissie informatie ontvangt die aanleiding geeft tot gerechtvaardigde twijfel dienaangaande.

(107)

Derhalve moet de Commissie voortdurend volgen wat de situatie bij de EOO is met betrekking tot het rechtskader en de feitelijke praktijk aangaande de verwerking van persoonsgegevens, zoals beoordeeld in dit besluit. Om dit proces te vergemakkelijken, wordt de EOO verzocht de Commissie op de hoogte te houden van materiële ontwikkelingen met betrekking tot de verwerking van persoonsgegevens en de beperkingen en waarborgen die gelden voor de toegang tot persoonsgegevens door overheidsinstanties, voor zover die relevant zijn voor dit besluit.

(108)

Teneinde de Commissie in staat te stellen haar toezichthoudende taak doeltreffend uit te voeren, moeten de lidstaten de Commissie bovendien in kennis stellen van relevante maatregelen van de nationale gegevensbeschermingsautoriteiten, met name inzake vragen of klachten van betrokkenen uit de Unie betreffende de doorgifte van persoonsgegevens vanuit de Unie aan de EOO.

(109)

Ingevolge artikel 45, lid 3, van Verordening (EU) 2016/679, en in het licht van het feit dat het door het rechtskader van de EOO geboden beschermingsniveau kan veranderen, moet de Commissie na de vaststelling van dit besluit periodiek toetsen of de vaststellingen met betrekking tot de adequaatheid van het door de EOO geboden beschermingsniveau nog steeds feitelijk en rechtens gerechtvaardigd zijn. Die toetsingen moeten ten minste om de vier jaar plaatsvinden en moeten betrekking hebben op alle aspecten van de werking van dit besluit, met inbegrip van de werking van de relevante toezichts- en handhavingsmechanismen.

(110)

Ter uitvoering van die toetsing moet de Commissie een bijeenkomst organiseren met de EOO, in aanwezigheid van de functionaris voor gegevensbescherming en het comité voor gegevensbescherming van de EOO. Aan die bijeenkomst moet kunnen worden deelgenomen door vertegenwoordigers van de leden van het Europees Comité voor gegevensbescherming. In het kader van de toetsing moet de Commissie de EOO verzoeken uitvoerige informatie te verstrekken over alle aspecten die relevant zijn voor de vaststelling van adequaatheid. De Commissie moet ook uitleg vragen over alle door haar ontvangen informatie die relevant is voor dit besluit, waaronder informatie van het Europees Comité voor gegevensbescherming, afzonderlijke gegevensbeschermingsautoriteiten of maatschappelijke groeperingen, openbare documenten, berichten in de media en alle andere beschikbare informatiebronnen.

(111)

Op basis van de toetsing moet de Commissie een openbaar verslag opstellen dat bij het Europees Parlement en de Raad moet worden ingediend.

(112)

Wanneer uit de beschikbare informatie, met name informatie die voortvloeit uit het toezicht dat de Commissie overeenkomstig artikel 45, lid 4, van Verordening (EU) 2016/679 houdt op ontwikkelingen welke de werking van dit besluit zouden kunnen beïnvloeden of die verstrekt wordt door de EOO of de autoriteiten in de lidstaten, blijkt dat het door de EOO geboden beschermingsniveau niet langer passend is, moet de Commissie de EOO daarvan in kennis stellen en haar verzoeken om binnen een opgegeven, redelijke termijn geschikte maatregelen te nemen.

(113)

Indien de EOO die maatregelen bij het verstrijken van die opgegeven termijn niet heeft genomen of anderszins niet aannemelijk heeft kunnen maken dat dit besluit op een passend beschermingsniveau gebaseerd blijft, leidt de Commissie de in artikel 93, lid 2, van Verordening (EU) 2016/679 bedoelde procedure in teneinde dit besluit geheel of gedeeltelijk te schorsen of in te trekken.

(114)

Als alternatief zal de Commissie die procedure inleiden met het oog op wijziging van dit besluit, met name door voor gegevensdoorgiften aanvullende voorwaarden te stellen of door de reikwijdte van de vaststelling van adequaatheid te beperken tot gegevensdoorgiften waarvoor een passend beschermingsniveau gewaarborgd blijft.

(115)

De Commissie moet tevens de inleiding van de procedure tot wijziging, schorsing of intrekking van dit besluit overwegen indien, in de context van de toetsing of anderszins, de EOO niet de informatie of verduidelijking verstrekt die nodig is voor de beoordeling van het niveau van de bescherming van persoonsgegevens die vanuit de Unie worden doorgegeven aan de EOO, of van de naleving van dit besluit. In dat verband moet de Commissie rekening houden met de mate waarin relevante informatie uit andere bronnen kan worden verkregen.

(116)

De Commissie zal om naar behoren gerechtvaardigde dwingende urgente redenen gebruikmaken van de mogelijkheid om overeenkomstig de in artikel 93, lid 3, van Verordening (EU) 2016/679 bedoelde procedure onmiddellijk toepasselijke uitvoeringshandelingen tot schorsing, intrekking of wijziging van het besluit vast te stellen.

(117)

Het Europees Comité voor gegevensbescherming heeft zijn advies bekendgemaakt (292), waarmee bij het opstellen van dit besluit rekening is gehouden.

(118)

De in dit besluit vervatte maatregelen zijn in overeenstemming met het advies van het bij artikel 93, lid 1, van Verordening (EU) 2016/679 ingestelde comité,