Section 1 General obligations

Artikel 19

Verplichtingen van de verwerkingsverantwoordelijke

1.  De lidstaten schrijven voor dat de verwerkingsverantwoordelijke, rekening houdend met de aard, de reikwijdte, de context en de doeleinden van de verwerking, alsmede met de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van natuurlijke personen, passende technische en organisatorische maatregelen treft om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met deze richtlijn wordt verricht. Die maatregelen worden geëvalueerd en indien nodig geactualiseerd.

2.  Wanneer zulks in verhouding staat tot de verwerkingsactiviteiten, omvatten de in lid 1 bedoelde maatregelen de uitvoering van een passend gegevensbeschermingsbeleid door de verwerkingsverantwoordelijke.

Artikel 20

Gegevensbescherming door ontwerp en door standaardinstellingen

1.  De lidstaten schrijven voor dat de verwerkingsverantwoordelijke, rekening houdend met de stand van de techniek, de uitvoeringskosten en de aard, de reikwijdte, de context en de doeleinden van de verwerking, alsmede met de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van natuurlijke personen, welke aan de verwerking zijn verbonden, zowel bij de bepaling van de verwerkingsmiddelen als bij de verwerking zelf overgaat tot het nemen van passende technische en organisatorische maatregelen, zoals pseudonimisering, die zijn opgesteld met als doel de gegevensbeschermingsbeginselen, zoals gegevensminimalisatie, op een doeltreffende manier uit te voeren en de nodige waarborgen in de verwerking in te bouwen ter naleving van de voorschriften van deze richtlijn en ter bescherming van de rechten van de betrokkenen.

2.  De lidstaten voorzien erin dat de verwerkingsverantwoordelijke passende technische en organisatorische maatregelen treft om ervoor te zorgen dat standaard alleen persoonsgegevens worden verwerkt die noodzakelijk zijn voor elk specifiek doel van de verwerking. Die verplichting geldt voor de hoeveelheid verzamelde persoonsgegevens, de mate waarin zij worden verwerkt, de periode waarin zij worden opgeslagen en de toegankelijkheid daarvan. Deze maatregelen zorgen met name ervoor dat persoonsgegevens standaard niet zonder de tussenkomst van de natuurlijke persoon voor een onbeperkt aantal natuurlijke personen toegankelijk worden gemaakt.

Artikel 21

Gezamenlijke verwerkingsverantwoordelijken

1.  De lidstaten schrijven voor dat wanneer twee of meer verwerkingsverantwoordelijken gezamenlijk de doeleinden en middelen van de verwerking bepalen, zij gezamenlijke verwerkingsverantwoordelijken zijn. Zij stellen op transparante wijze hun respectieve verantwoordelijkheden voor de nakoming van deze richtlijn vast, met name met betrekking tot de uitoefening van de rechten van de betrokkene en hun respectieve verplichtingen om de in artikel 13 bedoelde informatie te verstrekken, door middel van een onderlinge regeling, tenzij, en voor zover, de respectieve verantwoordelijkheden van de verwerkingsverantwoordelijken zijn vastgesteld bij het Unierecht of het lidstatelijke recht die dat op de verwerkingsverantwoordelijken van toepassing is. In de regeling wordt een contactpunt voor betrokkenen aangewezen. De lidstaten kunnen bepalen welke van de gezamenlijke verwerkingsverantwoordelijken kan optreden als enig contactpunt voor betrokkenen die hun rechten willen uitoefenen.

2.  Ongeacht de voorwaarden van de in lid 1 bedoelde regeling, kunnen de lidstaten bepalen dat de betrokkene zijn rechten uit hoofde van de krachtens deze richtlijn vastgestelde bepalingen met betrekking tot en jegens iedere verwerkingsverantwoordelijke kan uitoefenen.

Artikel 22

Verwerker

1.  De lidstaten schrijven voor dat, wanneer verwerking namens een verwerkingsverantwoordelijke wordt verricht, de verwerkingsverantwoordelijke uitsluitend een beroep doet op verwerkers die afdoende garanderen dat de passende technische en organisatorische maatregelen en procedures zodanig worden geïmplementeerd dat bij de verwerking aan de vereisten van deze richtlijn wordt voldaan en de bescherming van de rechten van de betrokkene wordt gewaarborgd.

2.  De lidstaten schrijven voor dat de verwerker geen andere verwerker in dienst neemt zonder de voorafgaande specifieke of algemene schriftelijke toestemming van de verwerkingsverantwoordelijke. In het geval van een algemene schriftelijke toestemming licht de verwerker de verwerkingsverantwoordelijke in over beoogde veranderingen inzake de toevoeging of vervanging van andere verwerkers, waarbij de verwerkingsverantwoordelijke de mogelijkheid wordt geboden tegen deze veranderingen bezwaar te maken.

3.  De lidstaten schrijven voor dat de verwerking door een verwerker in een overeenkomst of andere rechtshandeling krachtens het Unierecht of het lidstatelijke recht wordt geregeld die de verwerker ten aanzien van de verwerkingsverantwoordelijke bindt en waarin het onderwerp en de duur van de verwerking, de aard en het doel van de verwerking, het soort persoonsgegevens en de categorieën van betrokkenen en de verplichtingen en de rechten van de verwerkingsverantwoordelijke worden omschreven. In die overeenkomst of andere rechtshandeling wordt met name bepaald dat de verwerker:

4.  De in lid 3 bedoelde overeenkomst of andere rechtshandeling is gesteld in schriftelijke vorm, onder meer in elektronische vorm.

5.  Indien een verwerker in strijd met deze richtlijn de doeleinden en middelen van de verwerking bepaalt, wordt die verwerker met betrekking tot die verwerking als de verwerkingsverantwoordelijke beschouwd.

Artikel 23

Verwerking onder gezag van de verwerkingsverantwoordelijke of de verwerker

De lidstaten schrijven voor dat de verwerker en eenieder die handelt onder het gezag van de verwerkingsverantwoordelijke of van de verwerker en toegang heeft tot persoonsgegevens, deze uitsluitend volgens de instructies van de verwerkingsverantwoordelijke verwerkt, tenzij hij op grond van het Unierecht of het lidstatelijke recht tot de verwerking gehouden is.

Artikel 24

Register van de verwerkingsactiviteiten

1.  De lidstaten schrijven voor dat verwerkingsverantwoordelijken een register bijhouden van alle categorieën van onder hun verantwoordelijkheid vallende verwerkingsactiviteiten. Dat register bevat alle volgende gegevens:

2.  De lidstaten schrijven voor dat elke verwerker een register bijhoudt van alle categorieën van verwerkingsactiviteiten die hij namens een verwerkingsverantwoordelijke heeft verricht; dat register bevat de volgende gegevens:

3.  Het in de leden 1 en 2 bedoelde register is opgesteld in schriftelijke vorm, onder meer in elektronische vorm.

De verwerkingsverantwoordelijke en de verwerker stellen die registers desgevraagd ter beschikking van de toezichthoudende autoriteit.

Artikel 25

Bijhouden van logbestanden

1.  De lidstaten voorzien erin dat logbestanden worden bijgehouden van ten minste de volgende verwerkingen in systemen voor geautomatiseerde verwerking: verzameling, wijziging, raadpleging, bekendmaking onder meer in de vorm van doorgiften, combinatie en wissing. De logbestanden van raadpleging en bekendmakingen maken het mogelijk de redenen, de datum en het tijdstip van die handelingen te achterhalen en indien mogelijk de identiteit van de persoon die persoonsgegevens heeft geraadpleegd of bekendgemaakt, en de identiteit van de ontvangers van die persoonsgegevens.

2.  De logbestanden worden uitsluitend gebruikt om te controleren of de verwerking rechtmatig is, voor interne controles, ter waarborging van de integriteit en de beveiliging van de persoonsgegevens en voor strafrechtelijke procedures.

3.  De verwerkingsverantwoordelijke en de verwerker stellen de logbestanden desgevraagd ter beschikking van de toezichthoudende autoriteit.

Artikel 26

Medewerking met de toezichthoudende autoriteit

De lidstaten schrijven voor dat de verwerkingsverantwoordelijke en de verwerker desgevraagd met de toezichthoudende autoriteit samenwerken bij het vervullen van haar taken.

Artikel 27

Gegevensbeschermingseffectbeoordeling

1.  Wanneer een soort verwerking, in het bijzonder een verwerking waarbij nieuwe technologieën worden gebruikt, gelet op de aard, de reikwijdte, de context of de doeleinden daarvan, waarschijnlijk een hoog risico voor de rechten en vrijheden van natuurlijke personen oplevert, voorzien de lidstaten erin dat de verwerkingsverantwoordelijke vóór de verwerking een beoordeling verricht van het effect van de beoogde verwerkingsactiviteiten op de bescherming van persoonsgegevens.

2.  De in lid 1 bedoelde beoordeling bevat ten minste een algemene beschrijving van de beoogde verwerkingen, een beoordeling van de risico's voor de rechten en vrijheden van de betrokkenen, de beoogde maatregelen ter beperking van de risico's, de voorzorgsmaatregelen, de beveiligingsmaatregelen en de mechanismen die zijn ingesteld om de persoonsgegevens te beschermen en aan te tonen dat aan deze richtlijn is voldaan, met inachtneming van de rechten en legitieme belangen van de betrokkenen en andere betrokken personen.

Artikel 28

Voorafgaande raadpleging van de toezichthoudende autoriteit

1.  De lidstaten voorzien erin dat de verwerkingsverantwoordelijke of de verwerker de toezichthoudende autoriteit raadpleegt voordat de verwerking van persoonsgegevens in een nieuw bestand zal worden opgenomen, wanneer:

2.  De lidstaten voorzien erin dat de toezichthoudende autoriteit wordt geraadpleegd bij het opstellen van een voorstel voor een door een nationaal parlement vast te stellen wetgevingsmaatregel of een daarop gebaseerde regelgevingsmaatregel in verband met verwerking.

3.  De lidstaten schrijven voor dat de toezichthoudende autoriteit een lijst kan opstellen van de verwerkingen waarvoor overeenkomstig lid 1 voorafgaande raadpleging moet plaatsvinden.

4.  De lidstaten schrijven voor dat de verwerkingsverantwoordelijke de toezichthoudende autoriteit de gegevensbeschermingseffectbeoordeling uit hoofde van artikel 27 verstrekt en, desgevraagd, alle andere informatie op grond waarvan de toezichthoudende autoriteit de conformiteit van de verwerking en met name de risico's voor de bescherming van de persoonsgegevens van de betrokkene en de betrokken waarborgen kan beoordelen.

5.  De lidstaten schrijven voor dat, wanneer de toezichthoudende autoriteit van oordeel is dat de in lid 1 van dit artikel bedoelde voorgenomen verwerking indruist tegen deze richtlijn, met name wanneer de verwerkingsverantwoordelijke het risico onvoldoende heeft onderkend of beperkt, zij binnen zes weken na ontvangst van het verzoek om raadpleging schriftelijk advies geeft aan de verwerkingsverantwoordelijke en in voorkomend geval aan de verwerker, en zij al haar in artikel 47 bedoelde bevoegdheden kan uitoefenen. Die termijn kan, naargelang de complexiteit van de voorgenomen verwerking, met een maand worden verlengd. De toezichthoudende autoriteit stelt de verwerkingsverantwoordelijke en, in voorkomend geval, de verwerker binnen een maand na ontvangst van het verzoek om raadpleging in kennis van een eventuele verlenging, samen met de redenen voor de vertraging.