1.   Bij deze verordening worden voorschriften vastgesteld betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen en organen van de Unie en betreffende het vrije verkeer van persoonsgegevens tussen hen of naar andere in de Unie gevestigde ontvangers.

2.   Deze verordening beschermt de grondrechten en de fundamentele vrijheden van natuurlijke personen en met name hun recht op bescherming van persoonsgegevens.

3.   De Europese Toezichthouder voor gegevensbescherming houdt toezicht op de toepassing van deze verordening op alle door een instelling of orgaan van de Unie verrichte verwerkingen.

1.   Deze verordening is van toepassing op de verwerking van persoonsgegevens door alle instellingen en organen van de Unie.

2.   Uitsluitend artikel 3 en hoofdstuk IX van deze verordening zijn van toepassing op de verwerking van operationele persoonsgegevens door instellingen, organen en instanties van de Unie bij de uitoefening van activiteiten die binnen het toepassingsgebied van hoofdstuk 4 of hoofdstuk 5 van titel V van het derde deel van het VWEU vallen.

3.   Deze verordening is niet van toepassing op de verwerking van operationele persoonsgegevens door Europol en het Europees Openbaar Ministerie tot Verordening (EU) 2016/794 van het Europees Parlement en de Raad (15) en Verordening (EU) 2017/1939 (16) zijn aangepast in overeenstemming met artikel 98 van deze verordening.

4.   Deze verordening is niet van toepassing op de verwerking van persoonsgegevens door missies als bedoeld in artikel 42, lid 1, en de artikelen 43 en 44 VEU.

5.   De bepalingen van deze verordening zijn van toepassing op de geheel of gedeeltelijk geautomatiseerde, alsmede op de niet-geautomatiseerde verwerking, van persoonsgegevens die in een bestand zijn opgenomen of die zijn bestemd daarin te worden opgenomen.

1.   Persoonsgegevens:

2.   De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen („verantwoordingsplicht”).

1.   De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:

2.   De rechtsgrond voor de in lid 1, onder a) en b), bedoelde verwerking wordt in het Unierecht vastgesteld.

1.   Wanneer de verwerking berust op toestemming, moet de verwerkingsverantwoordelijke kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens.

2.   Indien de betrokkene toestemming geeft in het kader van een schriftelijke verklaring die ook op andere aangelegenheden betrekking heeft, wordt het verzoek om toestemming in een begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal zodanig gepresenteerd dat een duidelijk onderscheid kan worden gemaakt met de andere aangelegenheden. Wanneer een gedeelte van een dergelijke verklaring een inbreuk vormt op deze verordening, is dit gedeelte niet bindend.

3.   De betrokkene heeft het recht zijn toestemming te allen tijde in te trekken. Het intrekken van de toestemming laat de rechtmatigheid van de verwerking op basis van de toestemming vóór de intrekking daarvan, onverlet. Alvorens de betrokkene zijn toestemming geeft, wordt hij daarvan in kennis gesteld. Het intrekken van de toestemming is even eenvoudig als het geven ervan.

4.   Bij de beoordeling van de vraag of de toestemming vrijelijk kan worden gegeven, wordt onder meer ten sterkste rekening gehouden met de vraag of voor de uitvoering van een overeenkomst, met inbegrip van een dienstenovereenkomst, toestemming vereist is voor een verwerking van persoonsgegevens die niet noodzakelijk is voor de uitvoering van die overeenkomst.

1.   Wanneer artikel 5, lid 1, onder d), van toepassing is in verband met een rechtstreeks aanbod van diensten van de informatiemaatschappij aan een kind, is de verwerking van persoonsgegevens van een kind rechtmatig wanneer het kind ten minste 13 jaar is. Wanneer het kind jonger is dan 13 jaar is zulke verwerking slechts rechtmatig indien en voor zover de toestemming of machtiging tot toestemming in dit verband wordt verleend door de persoon die de ouderlijke verantwoordelijkheid voor het kind draagt.

2.   Met inachtneming van de beschikbare technologie doet de verwerkingsverantwoordelijke redelijke inspanningen om in dergelijke gevallen te controleren of de persoon die de ouderlijke verantwoordelijkheid voor het kind draagt, toestemming heeft gegeven of machtiging tot toestemming heeft verleend.

3.   Lid 1 laat het algemene overeenkomstenrecht van de lidstaten, zoals de regels inzake de geldigheid, de totstandkoming of de gevolgen van overeenkomsten ten opzichte van kinderen, onverlet.

1.   Onverminderd de artikelen 4 tot en met 6, en 10, worden persoonsgegevens uitsluitend doorgegeven aan ontvangers die in de Unie zijn gevestigd en die geen instellingen of organen van de Unie zijn, indien de ontvanger aantoont dat:

2.   Indien de verwerkingsverantwoordelijke het initiatief tot doorzending krachtens dit artikel neemt, toont hij aan dat de doorzending van persoonsgegevens noodzakelijk is voor en evenredig is aan de doeleinden van de doorzending, door toepassing van de criteria van lid 1, onder a) of b).

3.   De instellingen en organen van de Unie brengen het recht op bescherming van persoonsgegevens in overeenstemming met het recht van toegang tot documenten overeenkomstig het recht van de Unie.

1.   Verwerking van persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, gegevens over gezondheid of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid zijn verboden.

2.   Lid 1 is niet van toepassing wanneer aan een van de onderstaande voorwaarden is voldaan:

3.   De in lid 1 bedoelde persoonsgegevens mogen worden verwerkt voor de in lid 2, onder h), genoemde doeleinden wanneer die gegevens worden verwerkt door of onder de verantwoordelijkheid van een beroepsbeoefenaar die krachtens het Unierecht of lidstatelijke recht of krachtens door nationale bevoegde autoriteiten vastgestelde regels aan het beroepsgeheim is gebonden, of door een andere persoon die eveneens krachtens het Unierecht of lidstatelijke recht of krachtens door nationale bevoegde autoriteiten vastgestelde regels tot geheimhouding is gehouden.

1.   Indien de doeleinden waarvoor een verwerkingsverantwoordelijke persoonsgegevens verwerkt, niet of niet meer vereisen dat hij een betrokkene identificeert, is hij niet verplicht om, uitsluitend om aan deze verordening te voldoen, aanvullende gegevens ter identificatie van de betrokkene bij te houden, te verkrijgen of te verwerken.

2.   Wanneer de verwerkingsverantwoordelijke in de in lid 1 van dit artikel bedoelde gevallen kan aantonen dat hij de betrokkene niet kan identificeren, stelt hij de betrokkene daarvan indien mogelijk in kennis. In dergelijke gevallen zijn de artikelen 17 tot en met 22 niet van toepassing, behalve wanneer de betrokkene, met het oog op de uitoefening van zijn rechten uit hoofde van die artikelen, aanvullende gegevens verstrekt die het mogelijk maken hem te identificeren.

1.   De verwerkingsverantwoordelijke neemt passende maatregelen opdat de betrokkene de in de artikelen 15 en 16 bedoelde informatie en de in de artikelen 17 tot en met 24 en artikel 35 bedoelde communicatie in verband met de verwerking in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt, in het bijzonder wanneer de informatie specifiek voor een kind bestemd is. De informatie wordt schriftelijk of met andere middelen, met inbegrip van, indien dit passend is, elektronische middelen, verstrekt. Indien de betrokkene daarom verzoekt, kan de informatie mondeling worden meegedeeld, op voorwaarde dat de identiteit van de betrokkene met andere middelen bewezen is.

2.   De verwerkingsverantwoordelijke faciliteert de uitoefening van de rechten van de betrokkene uit hoofde van de artikelen 17 tot en met 24. In de in artikel 12, lid 2, bedoelde gevallen mag de verwerkingsverantwoordelijke niet weigeren gevolg te geven aan het verzoek van de betrokkene om diens rechten uit hoofde van de artikelen 17 tot en met 24 uit te oefenen, tenzij de verwerkingsverantwoordelijke aantoont dat hij niet in staat is de betrokkene te identificeren.

3.   De verwerkingsverantwoordelijke verstrekt de betrokkene onverwijld en in ieder geval binnen een maand na ontvangst van het verzoek krachtens de artikelen 17 tot en met 24 informatie over het gevolg dat aan het verzoek is gegeven. Afhankelijk van de complexiteit van de verzoeken en van het aantal verzoeken kan die termijn indien nodig met nog eens twee maanden worden verlengd. De verwerkingsverantwoordelijke stelt de betrokkene binnen één maand na ontvangst van het verzoek in kennis van een dergelijke verlenging. Wanneer de betrokkene zijn verzoek elektronisch indient, wordt de informatie indien mogelijk elektronisch verstrekt, tenzij de betrokkene om een andere regeling verzoekt.

4.   Wanneer de verwerkingsverantwoordelijke geen gevolg geeft aan het verzoek van de betrokkene, deelt hij deze laatste onverwijld en uiterlijk binnen één maand na ontvangst van het verzoek mee waarom het verzoek zonder gevolg is gebleven, en informeert hij hem over de mogelijkheid om klacht in te dienen bij de Europese Toezichthouder voor gegevensbescherming en beroep bij de rechter in te stellen.

5.   Het verstrekken van de in de artikelen 15 en 16 bedoelde informatie, het verstrekken van de communicatie en het treffen van de maatregelen bedoeld in de artikelen 17 tot en met 24 en artikel 35 geschieden kosteloos. Wanneer verzoeken van een betrokkene kennelijk ongegrond of buitensporig zijn, met name vanwege hun repetitieve karakter, mag de verwerkingsverantwoordelijke weigeren gevolg te geven aan het verzoek. Het is aan de verwerkingsverantwoordelijke om de kennelijk ongegronde of buitensporige aard van het verzoek aan te tonen.

6.   Onverminderd artikel 12 kan de verwerkingsverantwoordelijke, wanneer hij redenen heeft om te twijfelen aan de identiteit van de natuurlijke persoon die het verzoek indient als bedoeld in de artikelen 17 tot en met 23, om aanvullende gegevens vragen die nodig zijn ter bevestiging van de identiteit van de betrokkene.

7.   De op grond van de artikelen 15 en 16 aan betrokkenen te verstrekken informatie mag worden verstrekt met gebruikmaking van gestandaardiseerde iconen, om de betrokkene een nuttig overzicht, in een goed zichtbare, begrijpelijke en duidelijk leesbare vorm, van de voorgenomen verwerking te bieden. Wanneer de iconen elektronisch worden weergegeven, zijn ze machineleesbaar.

8.   Indien de Commissie op grond van artikel 12, lid 8, van Verordening (EU) 2016/679 gedelegeerde handelingen vaststelt om te bepalen welke informatie de iconen dienen weer te geven en via welke procedures de gestandaardiseerde iconen tot stand dienen te komen, verstrekken de instellingen en organen van de Unie, in voorkomend geval, de informatie op grond van de artikelen 15 en 16 van deze Verordening met gebruikmaking van dergelijke gestandaardiseerde iconen.

1.   Wanneer persoonsgegevens betreffende een betrokkene bij die persoon worden verzameld, verstrekt de verwerkingsverantwoordelijke de betrokkene bij de verkrijging van de persoonsgegevens al de volgende informatie:

2.   Naast de in lid 1 bedoelde informatie verstrekt de verwerkingsverantwoordelijke de betrokkene bij de verkrijging van de persoonsgegevens de volgende aanvullende informatie om een behoorlijke en transparante verwerking te waarborgen:

3.   Wanneer de verwerkingsverantwoordelijke voornemens is de persoonsgegevens verder te verwerken voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld, verstrekt de verwerkingsverantwoordelijke de betrokkene vóór die verdere verwerking informatie over dat andere doel en alle relevante verdere informatie als bedoeld in lid 2.

4.   De leden 1, 2 en 3 zijn niet van toepassing wanneer en voor zover de betrokkene reeds over de informatie beschikt.

1.   Wanneer persoonsgegevens niet van de betrokkene zijn verkregen, verstrekt de verwerkingsverantwoordelijke de betrokkene de volgende informatie:

2.   Naast de in lid 1 bedoelde informatie verstrekt de verwerkingsverantwoordelijke de betrokkene de volgende aanvullende informatie om ten overstaan van de betrokkene een behoorlijke en transparante verwerking te waarborgen:

3.   De verwerkingsverantwoordelijke verstrekt de in de leden 1 en 2 bedoelde informatie:

4.   Wanneer de verwerkingsverantwoordelijke voornemens is de persoonsgegevens verder te verwerken voor een ander doel dan dat waarvoor de persoonsgegevens zijn verkregen, verstrekt de verwerkingsverantwoordelijke de betrokkene vóór die verdere verwerking informatie over dat andere doel en alle relevante verdere informatie als bedoeld in lid 2.

5.   De leden 1 tot en met 4 zijn niet van toepassing wanneer en voor zover:

6.   In de in lid 5, onder b), bedoelde gevallen neemt de verwerkingsverantwoordelijke passende maatregelen om de rechten, de vrijheden en de legitieme belangen van de betrokkene te beschermen, ook door het openbaar maken van de informatie.

1.   De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en de volgende informatie te ontvangen:

2.   Wanneer persoonsgegevens worden doorgegeven naar een derde land of aan een internationale organisatie, heeft de betrokkene het recht in kennis te worden gesteld van de passende waarborgen op grond van artikel 48 inzake de doorgifte.

3.   De verwerkingsverantwoordelijke verstrekt de betrokkene een kopie van de persoonsgegevens die worden verwerkt. Wanneer de betrokkene zijn verzoek elektronisch indient, wordt de informatie in een gangbare elektronische vorm verstrekt, tenzij de betrokkene om een andere regeling verzoekt.

4.   Het in lid 3 bedoelde recht om een kopie te verkrijgen, doet geen afbreuk aan de rechten en vrijheden van anderen.

1.   De betrokkene heeft het recht om van de verwerkingsverantwoordelijke zonder onredelijke vertraging wissing van hem betreffende persoonsgegevens te verkrijgen en de verwerkingsverantwoordelijke is verplicht persoonsgegevens zonder onredelijke vertraging te wissen wanneer een van de volgende gevallen van toepassing is:

2.   Wanneer de verwerkingsverantwoordelijke de persoonsgegevens openbaar heeft gemaakt en op grond van lid 1 verplicht is de persoonsgegevens te wissen, neemt hij, rekening houdend met de beschikbare technologie en de uitvoeringskosten, redelijke maatregelen, waaronder technische maatregelen, om verwerkingsverantwoordelijken, of andere verwerkingsverantwoordelijken dan instellingen en organen van de Unie, die de persoonsgegevens verwerken, ervan op de hoogte te stellen dat de betrokkene de verwerkingsverantwoordelijken heeft verzocht om iedere koppeling naar, of kopie of reproductie van die persoonsgegevens te wissen.

3.   De leden 1 en 2 zijn niet van toepassing voor zover verwerking nodig is:

1.   De betrokkene heeft het recht van de verwerkingsverantwoordelijke de beperking van de verwerking te verkrijgen indien een van de volgende elementen van toepassing is:

2.   Wanneer de verwerking op grond van lid 1 is beperkt, worden persoonsgegevens, met uitzondering van de opslag ervan, slechts verwerkt met toestemming van de betrokkene of voor de instelling, uitoefening of onderbouwing van een rechtsvordering of ter bescherming van de rechten van een andere natuurlijke persoon of rechtspersoon of om gewichtige redenen van algemeen belang voor de Unie of voor een lidstaat.

3.   Een betrokkene die op grond van lid 1 een beperking van de verwerking heeft verkregen, wordt door de verwerkingsverantwoordelijke op de hoogte gebracht voordat de beperking van de verwerking wordt opgeheven.

4.   In geautomatiseerde bestanden wordt de beperking van de verwerking in beginsel met technische middelen tot stand gebracht. Het feit dat de verwerking van de persoonsgegevens wordt beperkt, wordt in het bestand op zodanige wijze aangegeven dat duidelijk blijkt dat van de persoonsgegevens geen gebruik mag worden gemaakt.

1.   De betrokkene heeft het recht de hem betreffende persoonsgegevens, die hij aan een verwerkingsverantwoordelijke heeft verstrekt, in een gestructureerde, gangbare en machineleesbare vorm te verkrijgen, en hij heeft het recht die gegevens aan een andere verwerkingsverantwoordelijke over te dragen, zonder daarbij te worden gehinderd door de verwerkingsverantwoordelijke aan wie de persoonsgegevens waren verstrekt, indien:

2.   Bij de uitoefening van zijn recht op gegevensoverdraagbaarheid op grond van lid 1 heeft de betrokkene het recht om de persoonsgegevens, indien dit technisch mogelijk is, rechtstreeks van de ene verwerkingsverantwoordelijke naar de andere, of naar andere verwerkingsverantwoordelijken dan instellingen of organen van de Unie, te laten doorzenden.

3.   De uitoefening van het in lid 1 van dit artikel bedoelde recht laat artikel 19 onverlet. Dat recht geldt niet voor de verwerking die noodzakelijk is voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend.

4.   Het in lid 1 bedoelde recht doet geen afbreuk aan de rechten en vrijheden van anderen.

1.   De betrokkene heeft te allen tijde het recht om vanwege met zijn specifieke situatie verband houdende redenen bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens op basis van artikel 5, lid 1, onder a), met inbegrip van profilering op basis van die bepaling. De verwerkingsverantwoordelijke staakt de verwerking van de persoonsgegevens tenzij hij dwingende gerechtvaardigde gronden voor de verwerking aanvoert die zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkene of die verband houden met de instelling, uitoefening of onderbouwing van een rechtsvordering.

2.   Het in lid 1 bedoelde recht wordt uiterlijk op het moment van het eerste contact met de betrokkene uitdrukkelijk onder de aandacht van de betrokkene gebracht en duidelijk en gescheiden van enige andere informatie weergegeven.

3.   Onverminderd de artikelen 36 en 37 mag de betrokkene in het kader van het gebruik van diensten van de informatiemaatschappij zijn recht van bezwaar uitoefenen via geautomatiseerde procedés waarbij wordt gebruikgemaakt van technische specificaties.

4.   Wanneer persoonsgegevens met het oog op wetenschappelijk of historisch onderzoek of statistische doeleinden worden verwerkt, heeft de betrokkene het recht om vanwege met zijn specifieke situatie verband houdende redenen bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens, tenzij de verwerking noodzakelijk is voor de uitvoering van een taak van algemeen belang.

1.   De betrokkene heeft het recht niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit waaraan voor hem rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft.

2.   Lid 1 geldt niet indien het besluit:

3.   In de in lid 2, onder a) en c), bedoelde gevallen treft de verwerkingsverantwoordelijke passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene, waaronder ten minste het recht op menselijke tussenkomst van de verwerkingsverantwoordelijke, het recht om zijn standpunt kenbaar te maken en het recht om het besluit aan te vechten.

4.   De in lid 2 van dit artikel bedoelde besluiten worden niet gebaseerd op de in artikel 10, lid 1, bedoelde bijzondere categorieën van persoonsgegevens, tenzij artikel 10, lid 2, onder a) of g), van toepassing is en er passende maatregelen ter bescherming van de gerechtvaardigde belangen van de betrokkene zijn getroffen.

1.   De toepassing van de artikelen 14 tot en met 22, 35 en 36, en artikel 4 voor zover de bepalingen daarvan overeenstemmen met de rechten en verplichtingen waarin de artikelen 14 tot en met 22 voorzien, kan worden beperkt door middel van rechtshandelingen die zijn vastgesteld op grond van de Verdragen of, voor aangelegenheden betreffende de werking van de instellingen of organen van de Unie betreft, door interne voorschriften van deze instellingen of organen van de Unie, op voorwaarde dat die beperking de wezenlijke inhoud van de grondrechten en fundamentele vrijheden onverlet laat en in een democratische samenleving een noodzakelijke en evenredige maatregel is ter waarborging van:

2.   De in lid 1 bedoelde rechtshandelingen of interne voorschriften bevatten met name specifieke bepalingen met betrekking tot, in voorkomend geval:

3.   Wanneer persoonsgegevens met het oog op wetenschappelijk of historisch onderzoek of statistische doeleinden worden verwerkt, kan in het Unierecht, inclusief eventuele interne voorschriften van instellingen en organen van de Unie in aangelegenheden die verband houden met hun werking, worden voorzien in afwijkingen van de in de artikelen 17, 18, 20 en 23 genoemde rechten, met inachtneming van de in artikel 13 bedoelde voorwaarden en waarborgen, voor zover die rechten de verwezenlijking van de specifieke doeleinden onmogelijk dreigen te maken of ernstig dreigen te belemmeren, en dergelijke afwijkingen noodzakelijk zijn om die doeleinden te bereiken.

4.   Wanneer persoonsgegevens met het oog op archivering in het algemeen belang worden verwerkt, kan in het Unierecht, inclusief eventuele interne voorschriften van instellingen en organen van de Unie in aangelegenheden die verband houden met hun werking, worden voorzien in afwijkingen van de in de artikelen 17, 18, 20, 21, 22 en 23 genoemde rechten, met inachtneming van de in artikel 13 bedoelde voorwaarden en waarborgen, voor zover die rechten de verwezenlijking van de specifieke doeleinden onmogelijk dreigen te maken of ernstig dreigen te belemmeren, en dergelijke afwijkingen noodzakelijk zijn om die doeleinden te bereiken.

5.   De in de leden 1, 3, en 4, bedoelde interne voorschriften zijn duidelijke en precieze handelingen van algemene strekking, waarmee rechtsgevolgen jegens betrokkenen worden beoogd, zijn vastgesteld op het hoogste beheerniveau van de instellingen en organen van de Unie en worden bekendgemaakt in het Publicatieblad van de Europese Unie.

6.   Wanneer op grond van lid 1 een beperking wordt opgelegd, wordt de betrokkene overeenkomstig het Unierecht in kennis gesteld van de voornaamste redenen waarop de toepassing van de beperking berust en van zijn recht om bij de Europese Toezichthouder voor gegevensbescherming een klacht in te dienen.

7.   Indien een beroep wordt gedaan op een op grond van lid 1 opgelegde beperking om de betrokkene toegang te weigeren, deelt de Europese Toezichthouder voor gegevensbescherming, wanneer hij de klacht bestudeert, de betrokkene uitsluitend mee of de gegevens op correcte wijze zijn verwerkt en, zo niet, of de noodzakelijke verbeteringen zijn aangebracht.

8.   Het verstrekken van de informatie als bedoeld in de leden 6 en 7 van dit artikel en in artikel 45, lid 2, kan worden uitgesteld, achterwege gelaten of geweigerd indien het verstrekken van die informatie de gevolgen van de op grond van lid 1 van dit artikel opgelegde beperking teniet zou doen.

1.   Rekening houdend met de aard, de omvang, de context en de doeleinden van de verwerking, alsook met de qua waarschijnlijkheid en ernst uiteenlopende risico’s voor de rechten en vrijheden van natuurlijke personen, treft de verwerkingsverantwoordelijke passende technische en organisatorische maatregelen om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met deze verordening wordt uitgevoerd. Die maatregelen worden geëvalueerd en indien nodig geactualiseerd.

2.   Wanneer zulks in verhouding staat tot de verwerkingsactiviteiten, omvatten de in lid 1 bedoelde maatregelen een passend gegevensbeschermingsbeleid dat door de verwerkingsverantwoordelijke wordt uitgevoerd.

3.   Het aansluiten bij goedgekeurde certificeringsmechanismen als bedoeld in artikel 42 van Verordening (EU) 2016/679 kan worden gebruikt als element om aan te tonen dat de verplichtingen van de verwerkingsverantwoordelijke zijn nagekomen.

1.   Rekening houdend met de stand van de techniek, de uitvoeringskosten, en de aard, de omvang, de context en het doel van de verwerking alsook met de qua waarschijnlijkheid en ernst uiteenlopende risico’s voor de rechten en vrijheden van natuurlijke personen welke aan de verwerking zijn verbonden, treft de verwerkingsverantwoordelijke, zowel bij de bepaling van de verwerkingsmiddelen als bij de verwerking zelf, passende technische en organisatorische maatregelen, zoals pseudonimisering, die zijn opgesteld met als doel de gegevensbeschermingsbeginselen, zoals minimale gegevensverwerking, op een doeltreffende manier uit te voeren en de nodige waarborgen in de verwerking in te bouwen ter naleving van de voorschriften van deze verordening en ter bescherming van de rechten van de betrokkenen.

2.   De verwerkingsverantwoordelijke treft passende technische en organisatorische maatregelen om ervoor te zorgen dat in beginsel alleen persoonsgegevens worden verwerkt die noodzakelijk zijn voor elk specifiek doeleinde waarvoor zij worden verwerkt. Die verplichting geldt voor de hoeveelheid verzamelde persoonsgegevens, de mate waarin zij worden verwerkt, de termijn waarvoor zij worden opgeslagen en de toegankelijkheid daarvan. Deze maatregelen zorgen met name ervoor dat persoonsgegevens in beginsel niet zonder menselijke tussenkomst voor een onbeperkt aantal natuurlijke personen toegankelijk worden gemaakt.

3.   Een op grond van artikel 42 van Verordening (EU) 2016/679 goedgekeurd certificeringsmechanisme kan worden gebruikt als element om aan te tonen dat aan de voorschriften van de leden 1 en 2 van dit artikel is voldaan.

1.   Indien twee of meerdere verwerkingsverantwoordelijken of één of meer verwerkingsverantwoordelijken samen met één of meer andere verwerkingsverantwoordelijken dan instellingen en organen van de Unie gezamenlijk de doeleinden en middelen van de verwerking bepalen, zijn zij gezamenlijke verwerkingsverantwoordelijken. Zij stellen op transparante wijze hun respectieve verantwoordelijkheden voor de nakoming van hun verplichtingen inzake gegevensbescherming vast, met name met betrekking tot de uitoefening van de rechten van de betrokkene en hun respectieve verplichtingen om de in de artikelen 15 en 16 bedoelde informatie te verstrekken, door middel van een onderlinge regeling, tenzij en voor zover de respectieve verantwoordelijkheden van de gezamenlijke verwerkingsverantwoordelijken zijn vastgesteld bij een Unierechtelijke of lidstaatrechtelijke bepaling die op de gezamenlijke verwerkingsverantwoordelijken van toepassing is. In de regeling kan een contactpunt voor betrokkenen worden aangewezen.

2.   Uit de in lid 1 bedoelde regeling blijkt duidelijk welke rol de gezamenlijke verwerkingsverantwoordelijken respectievelijk vervullen, en wat hun respectieve verhouding met de betrokkenen is. De wezenlijke inhoud van de regeling wordt aan de betrokkene beschikbaar gesteld.

3.   Ongeacht de voorwaarden van de in lid 1 bedoelde regeling, kan de betrokkene zijn rechten uit hoofde van deze verordening met betrekking tot en jegens iedere verwerkingsverantwoordelijke uitoefenen.

1.   Wanneer een verwerking namens een verwerkingsverantwoordelijke wordt verricht, doet de verwerkingsverantwoordelijke uitsluitend een beroep op verwerkers die afdoende garanties met betrekking tot het toepassen van passende technische en organisatorische maatregelen bieden opdat de verwerking aan de vereisten van deze verordening voldoet en de bescherming van de rechten van de betrokkene is gewaarborgd.

2.   De verwerker neemt geen andere verwerker in dienst zonder voorafgaande specifieke of algemene schriftelijke toestemming van de verwerkingsverantwoordelijke. In het geval van algemene schriftelijke toestemming licht de verwerker de verwerkingsverantwoordelijke in over beoogde veranderingen inzake de toevoeging of vervanging van andere verwerkers, waarbij de verwerkingsverantwoordelijke de mogelijkheid heeft tegen deze veranderingen bezwaar te maken.

3.   De verwerking door een verwerker wordt geregeld in een overeenkomst of andere rechtshandeling krachtens het Unierecht of het lidstatelijke recht die de verwerker ten aanzien van de verwerkingsverantwoordelijke bindt, en waarin het onderwerp en de duur van de verwerking, de aard en het doel van de verwerking, het soort persoonsgegevens en de categorieën van betrokkenen, en de rechten en verplichtingen van de verwerkingsverantwoordelijke worden omschreven. Die overeenkomst of andere rechtshandeling bepaalt met name dat de verwerker:

Waar het gaat om de eerste alinea, onder h), stelt de verwerker de verwerkingsverantwoordelijke onmiddellijk in kennis indien naar zijn mening een instructie inbreuk oplevert op deze verordening of op andere Unierechtelijke of lidstaatrechtelijke bepalingen inzake gegevensbescherming.

4.   Wanneer een verwerker een andere verwerker in dienst neemt om ten behoeve van de verwerkingsverantwoordelijke specifieke verwerkingsactiviteiten te verrichten, worden aan deze andere verwerker bij een overeenkomst of een andere rechtshandeling krachtens Unierecht of lidstatelijke recht dezelfde verplichtingen inzake gegevensbescherming opgelegd als die welke in de in lid 3 bedoelde overeenkomst of andere rechtshandeling tussen de verwerkingsverantwoordelijke en de verwerker zijn opgenomen, met name de verplichting afdoende garanties met betrekking tot het toepassen van passende technische en organisatorische maatregelen te bieden opdat de verwerking aan het bepaalde in deze verordening voldoet. Wanneer de andere verwerker zijn verplichtingen inzake gegevensbescherming niet nakomt, blijft de eerste verwerker ten aanzien van de verwerkingsverantwoordelijke volledig aansprakelijk voor het nakomen van de verplichtingen van die andere verwerker.

5.   Wanneer een verwerker geen instelling of orgaan van de Unie is, kan de aansluiting daarvan bij een goedgekeurde gedragscode als bedoeld in artikel 40, lid 5, van Verordening (EU) 2016/679 of een goedgekeurd certificeringsmechanisme als bedoeld in artikel 42 van Verordening (EU) 2016/679 worden gebruikt als element om aan te tonen dat voldoende garanties als bedoeld in de leden 1 en 4 van dit artikel worden geboden.

6.   Onverminderd enige individuele overeenkomst tussen de verwerkingsverantwoordelijke en de verwerker kan de in de leden 3 en 4 van dit artikel bedoelde overeenkomst of andere rechtshandeling geheel of ten dele gebaseerd zijn op de in de leden 7 en 8 van dit artikel bedoelde standaardcontractbepalingen, ook indien zij deel uitmaken van de certificering die een verwerker, niet zijnde een instelling of orgaan van de Unie, op grond van artikel 42 van Verordening (EU) 2016/679 is verleend.

7.   De Commissie kan voor de in de leden 3 en 4 van dit artikel genoemde aangelegenheden en volgens de in artikel 96, lid 2, bedoelde onderzoeksprocedure standaardcontractbepalingen vaststellen.

8.   De Europese Toezichthouder voor gegevensbescherming kan voor de in de leden 3 en 4 genoemde aangelegenheden standaardcontractbepalingen opstellen.

9.   De in de leden 3 en 4 bedoelde overeenkomst of andere rechtshandeling wordt in schriftelijke vorm, waaronder elektronische vorm, opgesteld.

10.   Indien een verwerker in strijd met deze verordening de doeleinden en middelen van een verwerking bepaalt, wordt die verwerker onverminderd de artikelen 65 en 66 met betrekking tot die verwerking als de verwerkingsverantwoordelijke beschouwd.

1.   Elke verwerkingsverantwoordelijke houdt een register van de verwerkingsactiviteiten die onder zijn verantwoordelijkheid plaatsvinden. Dat register bevat alle volgende gegevens:

2.   Iedere verwerker houdt een register van alle categorieën van verwerkingsactiviteiten die hij ten behoeve van een verwerkingsverantwoordelijke heeft verricht, met daarin de volgende gegevens:

3.   Het in de leden 1 en 2 bedoelde register is in schriftelijke vorm, daaronder begrepen in elektronische vorm, opgesteld.

4.   De instellingen en organen van de Unie verstrekken de Europese Toezichthouder voor gegevensbescherming desgevraagd hun register.

5.   Tenzij dat gezien de omvang van de instelling of het orgaan van de Unie niet noodzakelijk is, brengen de instellingen en organen van de Unie hun registers van verwerkingsactiviteiten in een centraal register onder. Zij maken het register openbaar toegankelijk.

1.   Rekening houdend met de stand van de techniek, de uitvoeringskosten, alsook met de aard, de omvang, de context en de verwerkingsdoeleinden en de qua waarschijnlijkheid en ernst uiteenlopende risico’s voor de rechten en vrijheden van personen, treffen de verwerkingsverantwoordelijke en de verwerker passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, die, waar passend, onder meer het volgende omvatten:

2.   Bij de beoordeling van het passende beveiligingsniveau wordt met name rekening gehouden met de verwerkingsrisico’s, vooral als gevolg van de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens, hetzij per ongeluk hetzij onrechtmatig.

3.   De verwerkingsverantwoordelijke en de verwerker treffen maatregelen om ervoor te zorgen dat iedere natuurlijke persoon die handelt onder het gezag van de verwerkingsverantwoordelijke of van de verwerker en toegang heeft tot persoonsgegevens, deze slechts in opdracht van de verwerkingsverantwoordelijke verwerkt, tenzij hij daartoe Unierechtelijk is gehouden.

4.   Het aansluiten bij goedgekeurde certificeringsmechanismen als bedoeld in artikel 42 van Verordening (EU) 2016/679 kan worden gebruikt als element om aan te tonen dat aan de vereisten van lid 1 van dit artikel is voldaan.

1.   Indien een inbreuk in verband met persoonsgegevens heeft plaatsgevonden, meldt de verwerkingsverantwoordelijke deze zonder onnodige vertraging en, indien mogelijk, uiterlijk 72 uur nadat hij er kennis van heeft genomen, aan de Europese Toezichthouder voor gegevensbescherming, tenzij het niet waarschijnlijk is dat de inbreuk in verband met persoonsgegevens een risico inhoudt voor de rechten en vrijheden van natuurlijke personen. Indien de melding aan de Europese Toezichthouder voor gegevensbescherming niet binnen 72 uur plaatsvindt, gaat zij vergezeld van een motivering voor de vertraging.

2.   De verwerker informeert de verwerkingsverantwoordelijke zonder onnodige vertraging zodra hij kennis heeft genomen van een inbreuk in verband met persoonsgegevens.

3.   In de in lid 1 bedoelde melding wordt ten minste het volgende omschreven of meegedeeld:

4.   Indien en voor zover het niet mogelijk is om alle informatie gelijktijdig te verstrekken, kan de informatie zonder onnodige vertraging in stappen worden verstrekt.

5.   De verwerkingsverantwoordelijke stelt de functionaris voor gegevensbescherming in kennis van de inbreuk in verband met persoonsgegevens.

6.   De verwerkingsverantwoordelijke documenteert alle inbreuken in verband met persoonsgegevens, met inbegrip van de feiten omtrent de inbreuk ter zake van persoonsgegevens, de gevolgen daarvan en de genomen corrigerende maatregelen. Die documentatie stelt de Europese Toezichthouder voor gegevensbescherming in staat de naleving van dit artikel te controleren.

1.   Wanneer de inbreuk in verband met persoonsgegevens waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen, deelt de verwerkingsverantwoordelijke de betrokkene de inbreuk in verband met persoonsgegevens zonder onnodige vertraging mee.

2.   De in lid 1 van dit artikel bedoelde mededeling aan de betrokkene bevat een omschrijving, in duidelijke en eenvoudige taal, van de aard van de inbreuk in verband met persoonsgegevens en ten minste de in artikel 34, lid 3, onder b), c) en d), bedoelde gegevens en maatregelen.

3.   De in lid 1 bedoelde mededeling aan de betrokkene is niet vereist wanneer aan een of meer van de volgende voorwaarden is voldaan:

4.   Indien de verwerkingsverantwoordelijke de inbreuk in verband met persoonsgegevens nog niet aan de betrokkene heeft gemeld, kan de Europese Toezichthouder voor gegevensbescherming, na beraad over de kans dat de inbreuk in verband met persoonsgegevens een hoog risico met zich meebrengt, de verwerkingsverantwoordelijke daartoe verplichten of besluiten dat aan een of meer van de in lid 3 bedoelde voorwaarden is voldaan.

1.   Persoonsgegevens die in gebruikerslijsten zijn opgenomen en de toegang tot dergelijke lijsten worden beperkt tot hetgeen voor de specifieke doeleinden van de lijst strikt noodzakelijk is.

2.   De instellingen en organen van de Unie nemen alle nodige maatregelen om te voorkomen dat in die gebruikerslijsten opgenomen persoonsgegevens voor direct marketing worden gebruikt, ongeacht of die lijsten al dan niet publiek toegankelijk zijn.

1.   Wanneer een soort verwerking, in het bijzonder een verwerking waarbij nieuwe technologieën worden gebruikt, gelet op de aard, de omvang, de context en de doeleinden daarvan waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen voert de verwerkingsverantwoordelijke vóór de verwerking een beoordeling uit van het effect van de beoogde verwerkingen op de bescherming van persoonsgegevens. Eén beoordeling kan een reeks vergelijkbare verwerkingen bestrijken die vergelijkbare hoge risico’s inhouden.

2.   De verwerkingsverantwoordelijke wint bij het uitvoeren van een gegevensbeschermingseffectbeoordeling het advies van de functionaris voor gegevensbescherming in.

3.   Een gegevensbeschermingseffectbeoordeling als bedoeld in lid 1 is met name vereist in de volgende gevallen:

4.   De Europese Toezichthouder voor gegevensbescherming stelt een lijst op van het soort verwerkingen waarvoor een gegevensbeschermingseffectbeoordeling op grond van lid 1 verplicht is, en maakt deze lijst openbaar.

5.   De Europese Toezichthouder voor gegevensbescherming kan ook een lijst opstellen en openbaar maken van het soort verwerkingen waarvoor geen gegevensbeschermingseffectbeoordeling is vereist.

6.   Alvorens hij de in de leden 4 en 5 van dit artikel bedoelde lijsten vaststelt, vraagt de Europese Toezichthouder voor gegevensbescherming aan het bij artikel 68 van Verordening (EU) 2016/679 ingestelde Europees Comité voor gegevensbescherming om die lijsten overeenkomstig artikel 70, lid 1, onder e), van die verordening te onderzoeken, met name wanneer zij betrekking hebben op verwerkingen door een verwerkingsverantwoordelijke die gezamenlijk optreedt met één of meer verwerkingsverantwoordelijken die geen instellingen of organen van de Unie zijn.

7.   De beoordeling bevat ten minste:

8.   Bij het beoordelen van het effect van de door andere verwerkers dan instellingen en organen van de Unie verrichte verwerkingen, en met name ter wille van een gegevensbeschermingseffectbeoordeling, wordt de naleving van de in artikel 40 van Verordening (EU) 2016/679 bedoelde goedgekeurde gedragscodes naar behoren in aanmerking genomen.

9.   De verwerkingsverantwoordelijke vraagt in voorkomend geval de betrokkenen of hun vertegenwoordigers naar hun mening over de voorgenomen verwerking, met inachtneming van de bescherming van algemene belangen of de beveiliging van verwerkingen.

10.   Wanneer verwerking op grond van artikel 5, lid 1, onder a) of b), haar rechtsgrond heeft in een op grond van de Verdragen vastgestelde rechtshandeling waarbij de specifieke verwerking of het geheel van verwerkingen in kwestie wordt geregeld, en er reeds als onderdeel van een aan de vaststelling van deze rechtshandeling voorafgaande algemene effectbeoordeling een gegevensbeschermingseffectbeoordeling is uitgevoerd, zijn de leden 1 tot en met 6 van dit artikel niet van toepassing, tenzij die rechtshandeling anders bepaalt.

11.   Indien nodig verricht de verwerkingsverantwoordelijke een toetsing om te beoordelen of de verwerking overeenkomstig de gegevensbeschermingseffectbeoordeling wordt uitgevoerd, zulks ten minste wanneer er zich een verandering van het met de verwerkingen gepaard gaande risico voordoet.

1.   De verwerkingsverantwoordelijke raadpleegt de Europese Toezichthouder voor gegevensbescherming voorafgaand aan de verwerking wanneer een gegevensbeschermingseffectbeoordeling uit hoofde van artikel 39 uitwijst dat de verwerking, bij afwezigheid van de waarborgen, beveiligingsmaatregelen en risicobeperkende mechanismen, met een hoog risico voor de rechten en vrijheden van natuurlijke personen gepaard zou gaan, en de verwerkingsverantwoordelijke van mening is dat het niet mogelijk is dat risico te beperken door middel van maatregelen die gelet op de beschikbare technologie en uitvoeringskosten redelijk zijn. De verwerkingsverantwoordelijke wint het advies van de functionaris voor gegevensbescherming in over de noodzaak van voorafgaande raadpleging.

2.   Wanneer de Europese Toezichthouder voor gegevensbescherming van oordeel is dat de in lid 1 bedoelde voorgenomen verwerking inbreuk zou maken op deze verordening, met name wanneer de verwerkingsverantwoordelijke het risico onvoldoende heeft onderkend of beperkt, verstrekt hij binnen een maximumtermijn van acht weken na de ontvangst van het verzoek om raadpleging schriftelijk advies aan de verwerkingsverantwoordelijke en in voorkomend geval aan de verwerker, en mag hij al zijn in artikel 58 bedoelde bevoegdheden uitoefenen. Die termijn kan, naargelang de complexiteit van de voorgenomen verwerking, met zes weken worden verlengd. Bij een dergelijke verlenging stelt de Europese Toezichthouder voor gegevensbescherming de verwerkingsverantwoordelijke en, in voorkomend geval, de verwerker binnen een maand na ontvangst van het verzoek om raadpleging, van die verlenging in kennis, alsmede van de redenen voor de vertraging. Die termijnen kunnen worden opgeschort totdat de Europese Toezichthouder voor gegevensbescherming informatie heeft verkregen waarom hij met het oog op de raadpleging heeft verzocht.

3.   Wanneer de verwerkingsverantwoordelijke de Europese Toezichthouder voor gegevensbescherming op grond van lid 1 raadpleegt, verstrekt hij hem informatie over:

4.   De Commissie kan door middel van een uitvoeringshandeling een lijst vaststellen van gevallen waarin de verwerkingsverantwoordelijke overleg dient te plegen met de Europese Toezichthouder voor gegevensbescherming en om diens voorafgaande toestemming dient te verzoeken wanneer hij met het oog op de vervulling van een taak van algemeen belang persoonsgegevens verwerkt, onder meer wanneer de verwerking van die gegevens verband houdt met sociale bescherming en volksgezondheid.

1.   Wanneer de instellingen en organen van de Unie bestuurlijke maatregelen en interne regels opstellen door een instelling of orgaan van de Unie, alleen of samen met anderen, informeren zij de Europese Toezichthouder voor gegevensbescherming.

2.   Wanneer de instellingen of organen van de Unie de in artikel 25 bedoelde interne voorschriften opstellen, raadplegen zij de Europese Toezichthouder voor gegevensbescherming.

1.   De Commissie raadpleegt, na het vaststellen van voorstellen voor rechtshandelingen van aanbevelingen of van voorstellen aan de Raad op grond van artikel 218 VWEU, alsmede bij het opstellen van gedelegeerde handelingen of uitvoeringshandelingen, de Europese Toezichthouder voor gegevensbescherming wanneer er gevolgen zijn voor de bescherming van de rechten en vrijheden van natuurlijke personen in verband met de verwerking van persoonsgegevens.

2.   Indien een in lid 1 bedoelde handeling van bijzonder belang is voor de bescherming van de rechten en vrijheden van natuurlijke personen in verband met de verwerking van persoonsgegevens, kan de Commissie ook het Europees Comité voor gegevensbescherming raadplegen. In zulke gevallen coördineren de Europese Toezichthouder voor gegevensbescherming en het Europees Comité voor gegevensbescherming hun werkzaamheden met het oog op het uitbrengen van een gezamenlijk advies.

3.   Het in de leden 1 en 2 bedoelde advies wordt schriftelijk verstrekt binnen een maximumtermijn van acht weken na de ontvangst van het verzoek om de in de leden 1 en 2 bedoelde raadpleging. De Commissie kan die termijn in spoedeisende gevallen en in andere omstandigheden waarin dat geboden is, bekorten.

4.   Dit artikel is niet van toepassing wanneer de Commissie op grond van Verordening (EU) 2016/679 gehouden is het Europees Comité voor gegevensbescherming te raadplegen.

1.   De instellingen en organen van de Unie wijzen elk een functionaris voor gegevensbescherming aan.

2.   Instellingen en organen van de Unie kunnen een enkele functionaris voor gegevensbescherming aanwijzen die voor verschillende instellingen en/of organen optreedt, rekening houdend met hun organisatiestructuur en omvang.

3.   De functionaris voor gegevensbescherming wordt aangewezen op grond van zijn professionele kwaliteiten en, in het bijzonder, zijn deskundigheid op het gebied van de wetgeving en de praktijk inzake gegevensbescherming en zijn vermogen om de in artikel 45 bedoelde taken te vervullen.

4.   De functionaris voor gegevensbescherming is een personeelslid van de instelling of het orgaan van de Unie. instellingen en organen van de Unie kunnen, rekening houdend met hun omvang en indien geen gebruik gemaakt is van de mogelijkheid krachtens lid 2, een functionaris voor gegevensbescherming aanwijzen die zijn taken op grond van een dienstverleningsovereenkomst verricht.

5.   De instellingen en organen van de Unie maken de contactgegevens van de functionaris voor gegevensbescherming bekend en delen die mee aan de Europese Toezichthouder voor gegevensbescherming.

1.   De instellingen en organen van de Unie zorgen ervoor dat de functionaris voor gegevensbescherming naar behoren en tijdig wordt betrokken bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens.

2.   De instellingen en organen van de Unie ondersteunen de functionaris voor gegevensbescherming bij de vervulling van de in artikel 45 bedoelde taken door hem toegang te verschaffen tot persoonsgegevens en verwerkingen en door hem de benodigde middelen ter beschikking te stellen voor het vervullen van deze taken en het in stand houden van zijn deskundigheid.

3.   De instellingen en organen van de Unie zorgen ervoor dat de functionaris voor gegevensbescherming geen instructies ontvangt met betrekking tot de uitvoering van die taken. Hij wordt door de verwerkingsverantwoordelijke of de verwerker niet ontslagen of gestraft voor de uitvoering van zijn taken. De functionaris voor gegevensbescherming brengt rechtstreeks verslag uit aan de hoogste leidinggevende van de verwerkingsverantwoordelijke of de verwerker.

4.   Betrokkenen kunnen met de functionaris voor gegevensbescherming contact opnemen over alle aangelegenheden die verband houden met de verwerking van hun gegevens en met de uitoefening van hun rechten uit hoofde van deze verordening.

5.   De functionaris voor gegevensbescherming en diens personeelsleden zijn met betrekking tot de uitvoering van hun taken overeenkomstig het Unierecht tot geheimhouding of vertrouwelijkheid gehouden.

6.   De functionaris voor gegevensbescherming kan andere taken en plichten vervullen. De verwerkingsverantwoordelijke of de verwerker zorgt ervoor dat deze taken of plichten niet tot een belangenconflict leiden.

7.   De functionaris voor gegevensbescherming kan door de verwerkingsverantwoordelijke en de verwerker, het betrokken personeelscomité en elke natuurlijke persoon worden geraadpleegd over elke aangelegenheid betreffende de uitlegging of de toepassing van deze verordening, zonder de officiële weg te volgen. Niemand mag nadeel ondervinden van het feit dat hij een zaak die naar hij beweert de bepalingen van deze verordening schendt, onder de aandacht van de bevoegde functionaris voor gegevensbescherming heeft gebracht.

8.   De functionaris voor gegevensbescherming wordt aangewezen voor een periode van drie tot vijf jaar en kan opnieuw worden benoemd. Indien de functionaris voor gegevensbescherming niet langer aan de voor de uitoefening van zijn functie vereiste voorwaarden voldoet en alleen met instemming van de Europese Toezichthouder voor gegevensbescherming, kan hij door de instelling of het orgaan van de Unie waardoor hij is aangewezen, worden ontslagen.

9.   Nadat hij is aangewezen, wordt de functionaris voor gegevensbescherming door de instelling of het orgaan van de Unie waardoor hij is aangewezen, bij de Europese Toezichthouder voor gegevensbescherming geregistreerd.

1.   De functionaris voor gegevensbescherming vervult de volgende taken:

2.   De functionaris voor gegevensbescherming kan met het oog op de praktische verbetering van de gegevensbescherming aanbevelingen doen aan de verwerkingsverantwoordelijke en de verwerker en hun advies verstrekken over kwesties die verband houden met de toepassing van de bepalingen inzake gegevensbescherming. Voorts kan hij, op eigen initiatief of op verzoek van de verwerkingsverantwoordelijke of de verwerker, van het betrokken personeelscomité of van elke natuurlijke persoon, onderzoek uitvoeren naar zaken en gebeurtenissen die rechtstreeks verband houden met zijn taken en waarvan hij kennis heeft gekregen, en verslag uitbrengen aan de persoon die om het onderzoek verzocht heeft, dan wel aan de verwerkingsverantwoordelijke of de verwerker.

3.   Nadere uitvoeringsvoorschriften betreffende de functionaris voor gegevensbescherming worden door elke instelling of elk orgaan van de Unie vastgesteld. De uitvoeringsvoorschriften hebben met name betrekking op de taken, verplichtingen en bevoegdheden van de functionaris voor gegevensbescherming.

1.   Doorgifte van persoonsgegevens naar een derde land of aan een internationale organisatie kan plaatsvinden als de Commissie op grond van artikel 45, lid 3, van Verordening (EU) 2016/679 of artikel 36, lid 3, van Richtlijn (EU) 2016/680 heeft besloten dat het derde land, een gebied of een of meer nader bepaalde sectoren in dat derde land, of de internationale organisatie in kwestie een adequaat beschermingsniveau waarborgt, en als de persoonsgegevens uitsluitend worden doorgegeven om de uitvoering van onder de bevoegdheid van de verwerkingsverantwoordelijke vallende taken mogelijk te maken.

2.   De instellingen of organen van de Unie stellen de Commissie en de Europese Toezichthouder voor gegevensbescherming in kennis van alle gevallen waarvoor zij van oordeel zijn dat een betrokken derde land, een betrokken gebied of één of meerdere betrokken nader bepaalde sectoren in een derde land, respectievelijk een betrokken internationale organisatie, geen adequaat beschermingsniveau in de zin van lid 1 waarborgt.

3.   De instellingen of organen van de Unie nemen de nodige maatregelen om te voldoen aan de besluiten waarbij de Commissie op grond van artikel 45, lid 3 of lid 5, van Verordening (EU) 2016/679 of op grond van artikel 36, lid 3 of lid 5, van Richtlijn (EU) 2016/680 vaststelt dat een derde land, een gebied of één of meerdere nader bepaalde sectoren in een derde land, of een internationale organisatie een adequaat beschermingsniveau waarborgt dan wel niet langer waarborgt.

1.   Bij ontstentenis van een besluit op grond van artikel 45, lid 3, van Verordening (EU) 2016/679 of artikel 36, lid 3, van Richtlijn (EU) 2016/680, mag een verwerkingsverantwoordelijke of een verwerker alleen persoonsgegevens aan een derde land of een internationale organisatie doorgeven als hij passende waarborgen biedt en betrokkenen over afdwingbare rechten en doeltreffende rechtsmiddelen beschikken.

2.   De in lid 1 bedoelde passende waarborgen kunnen worden geboden door de volgende instrumenten, zonder dat daarvoor specifieke toestemming van de Europese Toezichthouder voor gegevensbescherming is vereist:

3.   Onder voorbehoud van de toestemming van de Europese Toezichthouder voor gegevensbescherming kunnen de in lid 1 bedoelde passende waarborgen ook worden geboden door met name:

4.   Toestemmingen die de Europese Toezichthouder voor gegevensbescherming op grond van artikel 9, lid 7, van Verordening (EG) nr. 45/2001 heeft verleend, blijven geldig totdat zij door de Europese Toezichthouder voor gegevensbescherming, indien nodig, worden gewijzigd, vervangen of ingetrokken.

5.   De instellingen en organen van de Unie stellen de Europese Toezichthouder voor gegevensbescherming in kennis van categorieën van gevallen waarin dit artikel is toegepast.

1.   Bij ontstentenis van een adequaatheidsbesluit op grond van artikel 45, lid 3, van Verordening (EU) 2016/679 of artikel 36, lid 3, van Richtlijn (EU) 2016/680 of van passende waarborgen op grond van artikel 48 van de onderhavige verordening, kan een doorgifte of reeks doorgiften van persoonsgegevens aan een derde land of een internationale organisatie slechts plaatsvinden als aan een van de volgende voorwaarden is voldaan:

2.   Lid 1, onder a), b) en c), is niet van toepassing op activiteiten die door instellingen of organen van de Unie worden verricht in de uitoefening van hun overheidsgezag.

3.   Het in lid 1, onder d), bedoelde algemeen belang moet zijn erkend in het Unierecht.

4.   Een doorgifte op grond van lid 1, onder g), mag geen betrekking hebben op alle persoonsgegevens of volledige categorieën van persoonsgegevens die in het register zijn opgeslagen, tenzij dat volgens het Unierecht is toegestaan. Wanneer een register bedoeld is om door personen met een gerechtvaardigd belang te worden geraadpleegd, kan de doorgifte slechts plaatsvinden op verzoek van die personen of wanneer zij de beoogde ontvangers van de gegevens zijn.

5.   Bij ontstentenis van een adequaatheidsbesluit kan het Unierecht om gewichtige redenen van algemeen belang uitdrukkelijk grenzen stellen aan de doorgifte van specifieke categorieën persoonsgegevens aan een derde land of een internationale organisatie.

6.   De instellingen en organen van de Unie stellen de Europese Toezichthouder voor gegevensbescherming in kennis van categorieën van gevallen waarin dit artikel is toegepast.

1.   De Europese Toezichthouder voor gegevensbescherming wordt hierbij ingesteld.

2.   De Europese Toezichthouder voor gegevensbescherming zorgt ervoor dat de fundamentele rechten en vrijheden van natuurlijke personen, met name het recht op gegevensbescherming, bij de verwerking van persoonsgegevens, door instellingen en organen van de Unie in acht worden genomen.

3.   De Europese Toezichthouder voor gegevensbescherming is met name belast met het toezien op en het verzekeren van de toepassing van deze verordening en van elk ander besluit van de Unie betreffende de bescherming van de fundamentele rechten en vrijheden van natuurlijke personen in verband met de verwerking van persoonsgegevens door een instelling of orgaan van de Unie, alsmede voor het verstrekken van advies aan de instellingen en organen van de Unie en aan de betrokkenen over alle aangelegenheden in verband met de verwerking van persoonsgegevens. Daartoe vervult de Europese Toezichthouder voor gegevensbescherming de bij artikel 57 opgedragen taken en oefent hij de bij artikel 58 verleende bevoegdheden uit.

4.   Verordening (EG) nr. 1049/2001 is van toepassing op documenten in het bezit van de Europese Toezichthouder voor gegevensbescherming. De Europese Toezichthouder voor gegevensbescherming stelt gedetailleerde voorschriften vast voor de toepassing van Verordening (EG) nr. 1049/2001 met betrekking tot die documenten.

1.   Het Europees Parlement en de Raad benoemen in onderlinge overeenstemming de Europese Toezichthouder voor gegevensbescherming voor een termijn van vijf jaar, op basis van een lijst van kandidaten die de Commissie na een openbare sollicitatieoproep opstelt. Deze sollicitatieoproep staat open voor alle belangstellenden in de gehele Unie. De door de Commissie opgestelde lijst van kandidaten is openbaar en bestaat uit ten minste drie kandidaten. De bevoegde commissie van het Europees Parlement kan op basis van de door de Commissie opgestelde lijst besluiten een hoorzitting te houden zodat zij een voorkeur kan uitspreken.

2.   De in lid 1 bedoelde lijst van kandidaten wordt samengesteld uit personen die alle waarborgen voor onafhankelijkheid bieden en die duidelijk over deskundigheid op het gebied van gegevensbescherming en over de vereiste ervaring en bekwaamheid beschikken om het ambt van Europese Toezichthouder voor gegevensbescherming uit te oefenen.

3.   De ambtstermijn van de Europese Toezichthouder voor gegevensbescherming kan eenmaal worden verlengd.

4.   De ambtsvervulling van de Europese Toezichthouder voor gegevensbescherming eindigt wanneer:

5.   De Europese Toezichthouder voor gegevensbescherming kan op verzoek van het Europees Parlement, de Raad of de Commissie door het Hof van Justitie worden ontslagen, of kan zijn recht op pensioen of pensioenvervangende voordelen verliezen indien hij niet langer aan de voorwaarden voor de uitoefening van het ambt voldoet of op ernstige wijze is tekortgeschoten.

6.   In geval van normale opvolging en vrijwillig ontslag blijft de Europese Toezichthouder voor gegevensbescherming in functie totdat in zijn vervanging is voorzien.

7.   De artikelen 11 tot en met 14 en artikel 17 van het Protocol betreffende de voorrechten en immuniteiten van de Europese Unie gelden eveneens voor de Europese Toezichthouder voor gegevensbescherming.

1.   De Europese Toezichthouder voor gegevensbescherming wordt beschouwd als gelijkwaardig aan een rechter van het Hof van Justitie wat betreft de vaststelling van zijn salaris, toelagen, ouderdomspensioen en elk ander in de plaats van een bezoldiging komend voordeel.

2.   De Begrotingsautoriteit draagt er zorg voor dat de Europese Toezichthouder voor gegevensbescherming over de voor de uitvoering van zijn taken benodigde personele en financiële middelen beschikt.

3.   De begroting van de Europese Toezichthouder voor gegevensbescherming valt onder een specifieke begrotingslijn van de afdeling met betrekking tot administratieve uitgaven van de algemene begroting van de Unie.

4.   De Europese Toezichthouder voor gegevensbescherming wordt bijgestaan door een secretariaat. De Europese Toezichthouder voor gegevensbescherming benoemt de ambtenaren en andere personeelsleden van het secretariaat en is hun hiërarchische meerdere. Deze ambtenaren en personeelsleden staan uitsluitend onder zijn leiding. Hun aantal wordt ieder jaar in het kader van de begrotingsprocedure vastgesteld. Artikel 75, lid 2, van Verordening (EU) 2016/679 is van toepassing op de personeelsleden van de Europese Toezichthouder voor gegevensbescherming die betrokken zijn bij de uitvoering van de bij het Unierecht aan het Europees Comité voor gegevensbescherming opgedragen taken.

5.   De ambtenaren en de andere personeelsleden van het secretariaat van de Europese Toezichthouder voor gegevensbescherming zijn onderworpen aan de verordeningen en regelingen die van toepassing zijn op de ambtenaren en andere personeelsleden van de Unie.

6.   De zetel van de Europese Toezichthouder voor gegevensbescherming is in Brussel.

1.   De Europese Toezichthouder voor gegevensbescherming treedt volledig onafhankelijk op bij de uitvoering van de taken en de uitoefening van de bevoegdheden die hem overeenkomstig deze verordening zijn toegewezen.

2.   Bij de uitvoering van zijn taken en de uitoefening van zijn bevoegdheden overeenkomstig deze verordening blijft de Europese Toezichthouder voor gegevensbescherming vrij van al dan niet rechtstreekse externe invloed en vraagt noch aanvaardt hij instructies van wie dan ook.

3.   De Europese Toezichthouder voor gegevensbescherming onthoudt zich van alle handelingen die onverenigbaar zijn met zijn taken en verricht gedurende zijn ambtstermijn geen andere, al dan niet bezoldigde, beroepswerkzaamheden.

4.   Bij het aanvaarden van functies en voordelen na beëindiging van zijn ambt betracht de Europese Toezichthouder voor gegevensbescherming integriteit en kiesheid.

1.   Onverminderd andere uit hoofde van deze verordening vastgestelde taken, verricht de Europese Toezichthouder voor gegevensbescherming de volgende taken:

2.   De Europese Toezichthouder voor gegevensbescherming faciliteert de indiening van klachten als bedoeld in lid 1, onder e), door het ter beschikking stellen van een klachtenformulier dat ook elektronisch kan worden ingevuld, zonder dat andere communicatiemiddelen worden uitgesloten.

3.   De Europese Toezichthouder voor gegevensbescherming verricht zijn taken kosteloos voor de betrokkene.

4.   Wanneer verzoeken kennelijk ongegrond of buitensporig zijn, met name vanwege het repetitieve karakter ervan, kan de Europese Toezichthouder voor gegevensbescherming weigeren aan het verzoek gevolg te geven. Het is aan de Europese Toezichthouder voor gegevensbescherming om de kennelijk ongegronde of buitensporige aard van het verzoek aan te tonen.

1.   De Europese Toezichthouder voor gegevensbescherming beschikt over de onderzoeksbevoegdheid om:

2.   De Europese Toezichthouder beschikt over de corrigerende bevoegdheid om:

3.   De Europese Toezichthouder voor gegevensbescherming heeft de machtigings- en adviesbevoegdheid om:

4.   De Europese Toezichthouder voor gegevensbescherming heeft de bevoegdheid het Hof van Justitie van de Europese Unie te adiëren onder de in de Verdragen genoemde voorwaarden en te interveniëren in vorderingen die bij het Hof van Justitie van de Europese Unie aanhangig zijn gemaakt.

5.   Op de uitoefening van de bevoegdheden die op grond van dit artikel aan de Europese Toezichthouder voor gegevensbescherming worden verleend, zijn passende waarborgen van toepassing, daaronder begrepen doeltreffende voorziening in rechte en eerlijke rechtsbedeling, zoals vastgelegd in het Unierecht.

1.   De Europese Toezichthouder voor gegevensbescherming dient jaarlijks bij het Europees Parlement, de Raad en de Commissie een verslag over zijn werkzaamheden in, dat gelijktijdig openbaar wordt gemaakt.

2.   De Europese Toezichthouder voor gegevensbescherming legt het in lid 1 bedoelde verslag voor aan de overige instellingen en organen van de Unie, die opmerkingen kunnen indienen met het oog op de eventuele bespreking van het verslag in het Europees Parlement.

1.   Wanneer in een handeling van de Unie naar dit artikel wordt verwezen, werken de Europese Toezichthouder voor gegevensbescherming en de nationale toezichthoudende autoriteiten, elk binnen hun onderscheiden bevoegdheden en in het kader van hun verantwoordelijkheden, actief samen om te waarborgen dat er doeltreffend toezicht wordt gehouden op grootschalige IT-systemen en op instellingen, organen en instanties van de Unie.

2.   Zij houden zich, voor zover noodzakelijk, elk binnen hun onderscheiden bevoegdheden en in het kader van hun verantwoordelijkheden, bezig met het uitwisselen van relevante informatie, het verlenen van onderlinge bijstand bij audits en inspecties, het onderzoeken van moeilijkheden inzake de uitlegging of toepassing van de onderhavige verordening of andere toepasselijke handelingen van de Unie, het bestuderen van problemen bij de uitoefening van onafhankelijk toezicht of de uitoefening van de rechten van betrokkenen, het opstellen van geharmoniseerde voorstellen om problemen op te lossen en het onder de aandacht brengen van gegevensbeschermingsrechten.

3.   Voor de in lid 2 vervatte doeleinden komen de Europese Toezichthouder voor gegevensbescherming en de nationale toezichthoudende autoriteiten ten minste tweemaal per jaar bijeen in het kader van het Europees Comité voor gegevensbescherming. Daartoe kan het Europees Comité voor gegevensbescherming indien noodzakelijk verdere werkmethoden vaststellen.

4.   Om de twee jaar zendt het Europees Comité voor gegevensbescherming een gezamenlijk activiteitenverslag over het gecoördineerde toezicht toe aan het Europees Parlement, de Raad en de Commissie.

1.   Onverminderd een eventuele voorziening in rechte, een administratief beroep of een buitengerechtelijk beroep, heeft iedere betrokkene het recht een klacht in te dienen bij de Europese Toezichthouder voor gegevensbescherming, indien de betrokkene van mening is dat de verwerking van hem betreffende persoonsgegevens inbreuk maakt op deze verordening.

2.   De Europese Toezichthouder voor gegevensbescherming houdt de indiener van de klacht op de hoogte van de vooruitgang en het resultaat van de klacht, alsook van de mogelijkheid van een voorziening in rechte op grond van artikel 64.

3.   Indien de Europese Toezichthouder voor gegevensbescherming de klacht niet behandelt of de betrokkene niet binnen drie maanden informeert over de vooruitgang of het resultaat van de klacht, wordt de Europese Toezichthouder voor gegevensbescherming geacht een negatief besluit te hebben vastgesteld.

1.   Het Hof van Justitie is bevoegd kennis te nemen van alle geschillen over deze verordening, vorderingen tot schadevergoeding daaronder begrepen.

2.   Bij het Hof van Justitie kan tegen besluiten van de Europese Toezichthouder voor gegevensbescherming, met inbegrip van de besluiten op grond van artikel 63, lid 3, beroep worden ingesteld.

3.   Het Hof van Justitie heeft volledige rechtsmacht om de in artikel 66 bedoelde administratieve geldboeten te herbeoordelen. Het kan deze geldboeten binnen de grenzen van artikel 66 annuleren, verlagen of verhogen.

1.   De Europese Toezichthouder voor gegevensbescherming kan administratieve geldboeten opleggen aan instellingen en organen van de Unie, afhankelijk van de omstandigheden van elk afzonderlijk geval, wanneer een instelling of orgaan van de Unie geen gehoor geeft aan hetgeen de Europese Toezichthouder voor gegevensbescherming gelast op grond van artikel 58, lid 2, onder d) tot en met h) en j). Bij het besluit over de vraag of een administratieve geldboete wordt opgelegd en over de hoogte daarvan wordt voor elk concreet geval naar behoren rekening gehouden met het volgende:

2.   Inbreuken ten aanzien van de verplichtingen van de instelling of het orgaan van de Unie op grond van de artikelen 8, 12, 27 tot en met 33, 34, 35, 39, 40, 43, 44 en 45 zijn overeenkomstig lid 1 van dit lid onderworpen aan administratieve geldboeten tot 25 000 EUR per inbreuk en tot een totaal van 250 000 EUR per jaar.

3.   Inbreuken op de navolgende bepalingen door de instelling of het orgaan van de Unie zijn overeenkomstig lid 1 onderworpen aan administratieve geldboeten tot 50 000 EUR per inbreuk en tot een totaal van 500 000 EUR per jaar:

4.   Indien een instelling of orgaan van de Unie met betrekking tot dezelfde, daarmee verband houdende of voortgaande verwerkingen een inbreuk pleegt op meerdere bepalingen van deze verordening of meermaals inbreuk pleegt op dezelfde bepaling van deze verordening, is de totale administratieve geldboete niet hoger dan die voor de zwaarste inbreuk.

5.   Alvorens een besluit op grond van dit artikel te nemen, stelt de Europese Toezichthouder voor gegevensbescherming de instelling of het orgaan van de Unie ten aanzien waarvan hij een procedure volgt, in de gelegenheid om te worden gehoord over de punten van bezwaar van de Europese Toezichthouder voor gegevensbescherming. De Europese Toezichthouder voor gegevensbescherming baseert zijn besluiten uitsluitend op punten van bezwaar waarover de betrokken partijen opmerkingen hebben kunnen maken. De klagers worden nauw bij de procedure betrokken.

6.   Het recht van verdediging van de partijen wordt in de loop van de procedure ten volle geëerbiedigd. Zij hebben recht op toegang tot het bestand van de Europese Toezichthouder voor gegevensbescherming, onder voorbehoud van het gerechtvaardigde belang van andere personen of ondernemingen bij de bescherming van hun persoonsgegevens of bedrijfsgeheimen.

7.   De bedragen die worden geïnd door het opleggen van de geldboeten van dit artikel, worden beschouwd als ontvangsten voor de algemene begroting van de Unie.

1.   Operationele persoonsgegevens:

2.   Verwerking door dezelfde of een andere verwerkingsverantwoordelijke voor een van de doeleinden die zijn vermeld in de rechtshandeling tot oprichting van het orgaan of de instantie van de Unie, voor een ander doel dan dat waarvoor de operationele persoonsgegevens worden verzameld, is toegelaten voor zover:

3.   Verwerking door dezelfde of een andere verwerkingsverantwoordelijke kan onder meer omvatten archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of gebruik voor statistische doeleinden voor de in de rechtshandeling tot oprichting van het orgaan of de instantie van de Unie bedoelde doeleinden, mits is voorzien in passende waarborgen voor de rechten en vrijheden van betrokkenen.

4.   De verwerkingsverantwoordelijke is verantwoordelijk voor de leden 1, 2 en 3 en kan de naleving ervan aantonen.

1.   Verwerking van operationele persoonsgegevens is alleen rechtmatig indien en voor zover verwerking noodzakelijk is voor de uitvoering van een taak door organen en instanties van de Unie bij het verrichten van activiteiten die onder het toepassingsgebied van hoofdstuk 4 of hoofdstuk 5 van titel V van het derde deel van het VWEU vallen en voor zover die verwerking gebaseerd is op Unierecht.

2.   Bij specifieke rechtshandelingen van de Unie tot regeling van verwerking binnen het toepassingsgebied van dit hoofdstuk wordt ten minste voorzien in nadere bepaling van de doelstellingen van verwerking, de te verwerken operationele persoonsgegevens, de verwerkingsdoelen en de termijnen voor de opslag van de operationele persoonsgegevens of voor de periodieke toetsing van de noodzaak van verdere opslag van de operationele persoonsgegevens.

1.   De verwerkingsverantwoordelijke maakt, voor zover mogelijk, een onderscheid tussen operationele persoonsgegevens die op feiten zijn gebaseerd en operationele persoonsgegevens die op een persoonlijk oordeel zijn gebaseerd.

2.   De verwerkingsverantwoordelijke neemt alle redelijke maatregelen om ervoor te zorgen dat operationele persoonsgegevens die onjuist, onvolledig of niet meer actueel zijn, niet worden doorgezonden of beschikbaar gesteld. Daartoe controleert de verwerkingsverantwoordelijke, voor zover dat praktisch haalbaar is en indien dat relevant is, de kwaliteit van de persoonsgegevens voordat de gegevens worden doorgezonden of beschikbaar gesteld, bijvoorbeeld door middel van overleg met de bevoegde autoriteiten waarvan de gegevens afkomstig zijn. Voor zover mogelijk voegt de verwerkingsverantwoordelijke bij de doorgifte van operationele persoonsgegevens te allen tijde de noodzakelijke informatie toe aan de hand waarvan de ontvanger kan beoordelen of de operationele persoonsgegevens juist, volledig en betrouwbaar zijn, en in hoeverre zij actueel zijn.

3.   Indien blijkt dat onjuiste operationele persoonsgegevens zijn doorgezonden, of dat de operationele persoonsgegevens op onrechtmatige wijze zijn doorgezonden, wordt de ontvanger daarvan onverwijld in kennis gesteld. In dat geval worden de betreffende operationele persoonsgegevens verbeterd of gewist, of wordt de verwerking ervan beperkt overeenkomstig artikel 82.

1.   Wanneer het Unierecht dat op de doorzendende verwerkingsverantwoordelijke van toepassing is, voorziet in specifieke verwerkingsvoorwaarden, stelt de verwerkingsverantwoordelijke de ontvanger van de operationele persoonsgegevens van die voorwaarden en van de noodzaak tot eerbiediging daarvan in kennis.

2.   De verwerkingsverantwoordelijke eerbiedigt de specifieke verwerkingsvoorwaarden die door een doorzendende bevoegde autoriteit overeenkomstig artikel 9, leden 3 en 4, van Richtlijn (EU) 2016/680 worden voorgeschreven.

1.   Verwerking van operationele persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijkt, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een natuurlijke persoon, operationele persoonsgegevens over gezondheid of over seksueel gedrag of seksuele gerichtheid van een natuurlijke persoon zijn slechts toegelaten wanneer de verwerking strikt noodzakelijk is voor operationele doeleinden, binnen het mandaat van het orgaan of de instantie van de Unie en met inachtneming van passende waarborgen voor de rechten en vrijheden van de betrokkene. Discriminatie van natuurlijke personen op grond van dergelijke persoonsgegevens is verboden.

2.   De functionaris voor gegevensbescherming wordt zonder onnodige vertraging in kennis gesteld van de toepassing van dit artikel.

1.   Uitsluitend op geautomatiseerde verwerking gebaseerde besluiten, met inbegrip van profilering, die voor de betrokkene nadelige rechtsgevolgen hebben of hem in aanmerkelijke mate treffen, zijn verboden, tenzij het betrokken besluit is toegestaan krachtens het Unierecht dat op de verwerkingsverantwoordelijke van toepassing is, en dat besluit voorziet in passende waarborgen voor de rechten en vrijheden van de betrokkene, en ten minste het recht op menselijke tussenkomst van de verwerkingsverantwoordelijke.

2.   De in lid 1 van dit artikel bedoelde besluiten worden niet gebaseerd op de in artikel 76 bedoelde bijzondere categorieën van persoonsgegevens, tenzij er passende maatregelen ter bescherming van de rechten, vrijheden en de legitieme belangen van de betrokkene zijn getroffen.

3.   Profilering die leidt tot discriminatie van natuurlijke personen op grond van de in artikel 76 bedoelde bijzondere categorieën van persoonsgegevens is overeenkomstig het Unierecht verboden.

1.   De verwerkingsverantwoordelijke neemt redelijke maatregelen om de betrokkene de in artikel 79 bedoelde informatie te verstrekken, en doet iedere mededeling in verband met de artikelen 80 tot en met 84 en 92 betreffende verwerking aan de betrokkene in een beknopte, begrijpelijke en gemakkelijk toegankelijke vorm, en in duidelijke en eenvoudige taal. De informatie wordt met passende, waaronder elektronische, middelen verstrekt. In de regel verstrekt de verwerkingsverantwoordelijke de informatie in dezelfde vorm als de vorm van het verzoek.

2.   De verwerkingsverantwoordelijke faciliteert de uitoefening van de rechten van de betrokkene uit hoofde van de artikelen 79 tot en met 84.

3.   De verwerkingsverantwoordelijke stelt de betrokkene zonder onnodige vertraging, en in elk geval uiterlijk drie maanden na ontvangst van diens verzoek, schriftelijk in kennis van het gevolg dat aan zijn verzoek is gegeven.

4.   De verwerkingsverantwoordelijke verstrekt de informatie uit hoofde van artikel 79 en elke communicatie of maatregel op grond van de artikelen 80 tot en met 84 en artikel 92 kosteloos. Wanneer verzoeken van een betrokkene kennelijk ongegrond of buitensporig zijn, met name vanwege hun repetitieve karakter, mag de verwerkingsverantwoordelijke weigeren gevolg te geven aan het verzoek. Het is aan de verwerkingsverantwoordelijke om de kennelijk ongegronde of buitensporige aard van het verzoek aan te tonen.

5.   Wanneer de verwerkingsverantwoordelijke redenen heeft om te twijfelen aan de identiteit van de natuurlijke persoon die een in de artikelen 80 tot en met 82 bedoeld verzoek doet, kan hij verzoeken om aanvullende informatie die noodzakelijk is ter bevestiging van de identiteit van de betrokkene.

1.   De verwerkingsverantwoordelijke stelt de betrokkene ten minste de volgende informatie ter beschikking:

2.   In aanvulling op de in lid 1 bedoelde informatie verstrekt de verwerkingsverantwoordelijke de betrokkene in de specifieke in het Unierecht voorziene gevallen de volgende verdere informatie om hem in staat te stellen zijn rechten uit te oefenen:

3.   De verwerkingsverantwoordelijke kan de verstrekking van de informatie aan de betrokkene op grond van lid 2 uitstellen, beperken of achterwege laten, voor zover en zolang een dergelijke maatregel in een democratische samenleving, met inachtneming van de grondrechten en de legitieme belangen van de natuurlijke persoon in kwestie, een noodzakelijke en evenredige maatregel is om:

1.   De verwerkingsverantwoordelijke kan het inzagerecht van de betrokkene geheel of gedeeltelijk beperken, voor zover en zolang die volledige of gedeeltelijke beperking in een democratische samenleving, met inachtneming van de grondrechten en legitieme belangen van de natuurlijke persoon in kwestie, een noodzakelijke en evenredige maatregel is om:

2.   In de in lid 1 bedoelde gevallen stelt de verwerkingsverantwoordelijke de betrokkene zonder onnodige vertraging schriftelijk in kennis van een eventuele weigering of beperking van de inzage en van de redenen voor die weigering of beperking. Die informatie kan achterwege worden gelaten wanneer de verstrekking daarvan een van de doeleinden van lid 1 zou ondermijnen. De verwerkingsverantwoordelijke licht de betrokkene in over de mogelijkheid om een klacht in te dienen bij de Europese Toezichthouder voor gegevensbescherming of beroep in te stellen bij het Hof van Justitie. De verwerkingsverantwoordelijke documenteert de feitelijke of juridische redenen die aan het besluit ten grondslag liggen. Deze informatie wordt desgevraagd aan de Europese Toezichthouder voor gegevensbescherming verstrekt.

1.   Iedere betrokkene heeft het recht om van de verwerkingsverantwoordelijke zonder onnodige vertraging verbetering van hem betreffende onjuiste operationele persoonsgegevens te verkrijgen. Rekening houdend met het doel van de verwerking heeft de betrokkene het recht om onvolledige operationele persoonsgegevens te laten vervolledigen, onder meer via een aanvullende verklaring.

2.   De verwerkingsverantwoordelijke wist zonder onnodige vertraging operationele persoonsgegevens, en de betrokkene heeft het recht om van de verwerkingsverantwoordelijke te verkrijgen dat hem betreffende operationele persoonsgegevens zonder onnodige vertraging worden gewist, wanneer de verwerking een schending vormt van artikelen 71, artikel 72, lid 1, of artikel 76, of wanneer operationele persoonsgegevens moeten worden gewist om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust.

3.   In plaats van tot wissing over te gaan, beperkt de verwerkingsverantwoordelijke de verwerking wanneer:

Wanneer de verwerking op grond van de eerste alinea, onder a), wordt beperkt, informeert de verwerkingsverantwoordelijke de betrokkene alvorens de beperking van de verwerking op te heffen.

Aan beperkingen onderworpen gegevens worden alleen gebruikt voor het doel ten behoeve waarvan zij niet zijn gewist.

4.   De verwerkingsverantwoordelijke stelt de betrokkene schriftelijk in kennis van een eventuele weigering tot verbetering of wissing van operationele persoonsgegevens of een beperking van de verwerking, en van de redenen voor die weigering. De verwerkingsverantwoordelijke kan de verstrekking van die informatie geheel of gedeeltelijk beperken, voor zover een dergelijke beperking in een democratische samenleving, met inachtneming van de grondrechten en legitieme belangen van de natuurlijke persoon in kwestie, een noodzakelijke en evenredige maatregel is om:

De verwerkingsverantwoordelijke licht de betrokkene in over de mogelijkheid om een klacht in te dienen bij de Europese Toezichthouder voor gegevensbescherming of beroep in te stellen bij het Hof van Justitie.

5.   De verwerkingsverantwoordelijke deelt de verbetering van de onjuiste operationele persoonsgegevens mee aan de bevoegde autoriteit waarvan de onjuiste operationele persoonsgegevens afkomstig zijn.

6.   Wanneer operationele persoonsgegevens zijn verbeterd of gewist, of wanneer de verwerking ervan is beperkt, op grond van de leden 1, 2 of 3, stelt de verwerkingsverantwoordelijke de ontvangers daarvan in kennis, en deelt hij hun mee dat zij de operationele persoonsgegevens dienen te rectificeren of te wissen dan wel de verwerking van de operationele persoonsgegevens onder hun verantwoordelijkheid dienen te beperken.

1.   In de gevallen bedoeld in artikel 79, lid 3, artikel 81 en artikel 82, lid 4, kunnen de rechten van de betrokkene ook worden uitgeoefend via de Europese Toezichthouder voor gegevensbescherming.

2.   De verwerkingsverantwoordelijke stelt de betrokkene in kennis van de mogelijkheid om op grond van lid 1 zijn rechten uit te oefenen via de Europese Toezichthouder voor gegevensbescherming.

3.   Wanneer het in lid 1 bedoelde recht wordt uitgeoefend, stelt de Europese Toezichthouder voor gegevensbescherming de betrokkene er ten minste van in kennis dat hij alle noodzakelijke controles of een evaluatie heeft uitgevoerd. De Europese Toezichthouder voor gegevensbescherming stelt de betrokkene ook in kennis van zijn recht om beroep in te stellen bij het Hof van Justitie.

1.   Rekening houdend met de stand van de techniek, de uitvoeringskosten en de aard, de reikwijdte, de context en de doeleinden van de verwerking, alsmede met de qua waarschijnlijkheid en ernst uiteenlopende risico’s voor de rechten en vrijheden van natuurlijke personen, die aan de verwerking zijn verbonden, gaat de verwerkingsverantwoordelijke, zowel bij de bepaling van de verwerkingsmiddelen als bij de verwerking zelf, over tot het nemen van passende technische en organisatorische maatregelen, zoals pseudonimisering, die zijn opgesteld met als doel de gegevensbeschermingsbeginselen, zoals gegevensminimalisatie, op een doeltreffende manier uit te voeren en de nodige waarborgen in de verwerking in te bouwen ter naleving van de voorschriften van deze verordening en de rechtshandeling tot oprichting van de verwerkingsverantwoordelijke, en ter bescherming van de rechten van de betrokkenen.

2.   De verwerkingsverantwoordelijke treft passende technische en organisatorische maatregelen om ervoor te zorgen dat in beginsel alleen operationele persoonsgegevens worden verwerkt die toereikend, ter zake dienend en niet bovenmatig zijn in verhouding tot het doeleinde waarvoor zij worden verwerkt. Die verplichting geldt voor de hoeveelheid verzamelde operationele persoonsgegevens, de mate waarin zij worden verwerkt, de termijn waarvoor zij worden opgeslagen en de toegankelijkheid ervan. Deze maatregelen zorgen er met name voor dat operationele persoonsgegevens in beginsel niet zonder menselijke tussenkomst voor een onbeperkt aantal natuurlijke personen toegankelijk worden gemaakt.

1.   Indien twee of meerdere verwerkingsverantwoordelijken, of één of meer verwerkingsverantwoordelijken samen met één of meer andere verwerkingsverantwoordelijken dan instellingen en organen van de Unie, gezamenlijk de doeleinden en middelen van de verwerking bepalen, zijn zij gezamenlijke verwerkingsverantwoordelijken. Zij stellen op transparante wijze hun respectieve verantwoordelijkheden voor de nakoming van hun verplichtingen inzake gegevensbescherming vast, met name met betrekking tot de uitoefening van de rechten van de betrokkene en hun respectieve verplichtingen om de in de artikel 79 bedoelde informatie te verstrekken, door middel van een onderlinge regeling, tenzij en voor zover de respectieve verantwoordelijkheden van de gezamenlijke verwerkingsverantwoordelijken zijn vastgesteld bij een Unierechtelijke of lidstaatrechtelijke bepaling die op de gezamenlijke verwerkingsverantwoordelijken van toepassing is. In de regeling kan een contactpunt voor betrokkenen worden aangewezen.

2.   Uit de in lid 1 bedoelde regeling blijkt duidelijk welke rol de gezamenlijke verwerkingsverantwoordelijken respectievelijk vervullen, en wat hun respectieve verhouding met de betrokkene is. De wezenlijke inhoud van de regeling wordt aan de betrokkene beschikbaar gesteld.

3.   Ongeacht de voorwaarden van de in lid 1 bedoelde regeling, kan de betrokkene zijn rechten uit hoofde van deze verordening met betrekking tot en jegens iedere verwerkingsverantwoordelijke uitoefenen.

1.   Wanneer een verwerking namens een verwerkingsverantwoordelijke wordt verricht, doet de verwerkingsverantwoordelijke uitsluitend een beroep op verwerkers die afdoende garanties met betrekking tot het toepassen van passende technische en organisatorische maatregelen bieden opdat de verwerking aan de vereisten van deze verordening en van de rechtshandeling tot oprichting van de verwerkingsverantwoordelijke voldoet en de bescherming van de rechten van de betrokkene is gewaarborgd.

2.   De verwerker neemt geen andere verwerker in dienst zonder voorafgaande specifieke of algemene schriftelijke toestemming van de verwerkingsverantwoordelijke. In het geval van algemene schriftelijke toestemming licht de verwerker de verwerkingsverantwoordelijke in over beoogde veranderingen inzake de toevoeging of vervanging van andere verwerkers, waarbij de verwerkingsverantwoordelijke de mogelijkheid heeft tegen deze veranderingen bezwaar te maken.

3.   De verwerking door een verwerker wordt geregeld in een overeenkomst of een andere rechtshandeling krachtens het Unierecht of het lidstatelijke recht die de verwerker ten aanzien van de verwerkingsverantwoordelijke bindt, en waarin het onderwerp en de duur van de verwerking, de aard en het doel van de verwerking, het soort operationele persoonsgegevens en de categorieën betrokkenen, en de rechten en verplichtingen van de verwerkingsverantwoordelijke worden omschreven. Die overeenkomst of andere rechtshandeling bepaalt met name dat de verwerker:

4.   De in lid 3 bedoelde overeenkomst of andere rechtshandeling is in schriftelijke vorm, daaronder begrepen in elektronische vorm, opgesteld.

5.   Indien een verwerker in strijd met deze verordening of de rechtshandeling tot oprichting van de verwerkingsverantwoordelijke handelt door de doeleinden en middelen van de verwerking te bepalen, wordt die verwerker met betrekking tot die verwerking als de verwerkingsverantwoordelijke beschouwd.

1.   De verwerkingsverantwoordelijke houdt logbestanden bij voor de volgende verwerkingen in geautomatiseerde verwerkingssystemen: de verzameling, wijziging, inzage, raadpleging, bekendmaking onder meer in de vorm van doorgiften, combinatie en wissing van operationele persoonsgegevens. De logbestanden van raadpleging en bekendmaking maken het mogelijk de redenen voor en de datum en het tijdstip van die handelingen te achterhalen, alsook de identiteit van de persoon die operationele persoonsgegevens heeft geraadpleegd of bekendgemaakt, en voor zover mogelijk de identiteit van de ontvangers van die operationele persoonsgegevens.

2.   De logbestanden worden uitsluitend gebruikt om te controleren of de verwerking rechtmatig is, voor interne controles, ter waarborging van de integriteit en de beveiliging van de operationele persoonsgegevens en voor strafrechtelijke procedures. Tenzij die logbestanden nodig zijn voor een lopende controle, worden ze na drie jaar verwijderd.

3.   De verwerkingsverantwoordelijke stelt de logbestanden op verzoek ter beschikking van zijn functionaris voor gegevensbescherming en van de Europese Toezichthouder voor gegevensbescherming.

1.   Wanneer een soort verwerking, in het bijzonder een verwerking waarbij nieuwe technologieën worden gebruikt, gelet op de aard, de omvang, de context en de doeleinden daarvan, waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen, voert de verwerkingsverantwoordelijke vóór de verwerking een beoordeling uit van het effect van de beoogde verwerkingen op de bescherming van operationele persoonsgegevens.

2.   De in lid 1 bedoelde beoordeling bevat ten minste een algemene beschrijving van de beoogde verwerkingen, een beoordeling van de risico’s voor de rechten en vrijheden van de betrokkenen, de beoogde maatregelen ter beperking van de risico’s, de voorzorgsmaatregelen, de beveiligingsmaatregelen en de mechanismen die zijn ingesteld om de operationele persoonsgegevens te beschermen en aan te tonen dat aan de gegevensbeschermingsvoorschriften is voldaan, met inachtneming van de rechten en legitieme belangen van de betrokkenen en andere betrokken personen.

1.   De verwerkingsverantwoordelijke raadpleegt de Europese Toezichthouder voor gegevensbescherming voordat de verwerking van persoonsgegevens in een nieuw bestand zal worden opgenomen, wanneer:

2.   De Europese Toezichthouder voor gegevensbescherming kan een lijst opstellen van de verwerkingen waarvoor op grond van lid 1 voorafgaande raadpleging moet plaatsvinden.

3.   De verwerkingsverantwoordelijke verstrekt de Europese Toezichthouder voor gegevensbescherming de in artikel 89 vermelde gegevensbeschermingseffectbeoordeling en, desgevraagd, alle andere informatie op grond waarvan de Europese Toezichthouder voor gegevensbescherming de conformiteit van de verwerking en met name de risico’s voor de bescherming van de operationele persoonsgegevens van de betrokkene en de betrokken waarborgen kan beoordelen.

4.   Indien de Europese Toezichthouder voor gegevensbescherming van oordeel is dat de in lid 1 bedoelde voorgenomen verwerking inbreuk zou maken op deze verordening of de rechtshandeling tot oprichting van het orgaan of de instantie van de Unie, met name indien de verwerkingsverantwoordelijke het risico onvoldoende heeft onderkend of beperkt, geeft de Europese Toezichthouder voor gegevensbescherming binnen een maximumtermijn van zes weken na de ontvangst van het verzoek om raadpleging schriftelijk advies aan de verwerkingsverantwoordelijke. Die termijn kan, naargelang de complexiteit van de voorgenomen verwerking, met een maand worden verlengd. De Europese Toezichthouder voor gegevensbescherming stelt de verwerkingsverantwoordelijke binnen een maand na ontvangst van het verzoek om raadpleging in kennis van een eventuele verlenging, samen met de redenen voor de vertraging.

1.   De verwerkingsverantwoordelijke en de verwerker treffen, rekening houdend met de stand van de techniek, de uitvoeringskosten en de aard, de omvang, de context en het doel van de verwerking alsook met de qua waarschijnlijkheid en ernst uiteenlopende risico’s voor de rechten en vrijheden van natuurlijke personen, passende technische en organisatorische maatregelen om een op de risico’s afgestemd beveiligingsniveau te waarborgen, met name met betrekking tot de verwerking van bijzondere categorieën van operationele persoonsgegevens.

2.   Ten aanzien van geautomatiseerde verwerking treffen de verwerkingsverantwoordelijke en de verwerker, na een beoordeling van de risico’s, maatregelen om:

1.   Indien een inbreuk in verband met persoonsgegevens heeft plaatsgevonden, meldt de verwerkingsverantwoordelijke deze zonder onredelijke vertraging en, indien mogelijk, uiterlijk 72 uur nadat hij er kennis van heeft genomen, aan de Europese Toezichthouder voor gegevensbescherming, tenzij het niet waarschijnlijk is dat de inbreuk in verband met persoonsgegevens een risico inhoudt voor de rechten en vrijheden van natuurlijke personen. Indien de melding aan de Europese Toezichthouder voor gegevensbescherming niet binnen 72 uur plaatsvindt, gaat zij vergezeld van een motivering voor de vertraging.

2.   In de in lid 1 bedoelde melding wordt ten minste het volgende omschreven of meegedeeld:

3.   Indien en voor zover het niet mogelijk is om alle in lid 2 bedoelde informatie gelijktijdig te verstrekken, kan de informatie zonder onnodige vertraging in stappen worden verstrekt.

4.   De verwerkingsverantwoordelijke documenteert alle in lid 1 bedoelde inbreuken in verband met persoonsgegevens, met inbegrip van de feiten in verband met de inbreuk ter zake van persoonsgegevens, de gevolgen daarvan en de genomen corrigerende maatregelen. Die documentatie stelt de Europese Toezichthouder voor gegevensbescherming in staat de naleving van dit artikel te controleren.

5.   Wanneer de inbreuk in verband met persoonsgegevens betrekking heeft op operationele persoonsgegevens die zijn doorgezonden door of aan de bevoegde autoriteiten, deelt de verwerkingsverantwoordelijke de in lid 2 bedoelde informatie zonder onnodige vertraging aan de bevoegde autoriteiten mee.

1.   Wanneer de inbreuk in verband met persoonsgegevens waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen, deelt de verwerkingsverantwoordelijke de betrokkene de inbreuk in verband met persoonsgegevens zonder onnodige vertraging mee.

2.   De in lid 1 van dit artikel bedoelde mededeling aan de betrokkene bevat een omschrijving, in duidelijke en eenvoudige taal, van de aard van de inbreuk in verband met persoonsgegevens en ten minste de in artikel 92, lid 2, onder b), c) en d), bedoelde gegevens en aanbevelingen.

3.   De in lid 1 bedoelde mededeling aan de betrokkene is niet vereist wanneer aan een van de volgende voorwaarden is voldaan:

4.   Indien de verwerkingsverantwoordelijke de inbreuk in verband met persoonsgegevens nog niet aan de betrokkene heeft gemeld, kan de Europese Toezichthouder voor gegevensbescherming, na beraad over de kans dat de inbreuk in verband met persoonsgegevens een hoog risico met zich meebrengt, de verwerkingsverantwoordelijke daartoe verplichten of besluiten dat aan een of meer van de in lid 3 bedoelde voorwaarden is voldaan.

5.   De in lid 1 van dit artikel bedoelde mededeling aan de betrokkene kan worden uitgesteld, beperkt of achterwege gelaten onder de voorwaarden en om de redenen bedoeld in artikel 79.

1.   Met inachtneming van de beperkingen en voorwaarden die zijn neergelegd in de rechtshandelingen tot oprichting van het orgaan of de instantie van de Unie, mag de verwerkingsverantwoordelijke operationele persoonsgegevens doorgeven aan een autoriteit van een derde land of aan een internationale organisatie voor zover die doorgifte noodzakelijk is voor de verrichting van de taken van de verwerkingsverantwoordelijke en enkel wanneer aan de voorwaarden van dit artikel is voldaan, te weten:

2.   In de rechtshandelingen tot oprichting van de organen en instanties van de Unie kunnen meer specifieke bepalingen worden gehandhaafd of ingevoerd inzake de voorwaarden voor internationale doorgifte van operationele persoonsgegevens, in het bijzonder inzake de doorgifte middels passende waarborgen en uitzonderingen voor specifieke situaties.

3.   De verwerkingsverantwoordelijke publiceert op zijn website een lijst van onder a) bedoelde adequaatheidsbesluiten, overeenkomsten, administratieve regelingen en andere instrumenten met betrekking tot de doorgifte van operationele persoonsgegevens in overeenstemming met lid 1, en houdt deze lijst bij.

4.   De verwerkingsverantwoordelijke houdt een gedetailleerde administratie bij van alle op grond van dit artikel gemaakte overdrachten.

1.   De Commissie wordt bijgestaan door het bij artikel 93 van Verordening (EU) 2016/679 ingestelde comité. Dat comité is een comité in de zin van Verordening (EU) nr. 182/2011.

2.   Wanneer naar dit lid wordt verwezen, is artikel 5 van Verordening (EU) nr. 182/2011 van toepassing.

1.   Uiterlijk op 30 april 2022 evalueert de Commissie rechtshandelingen die op basis van de Verdragen zijn vastgesteld tot regeling van de verwerking van operationele persoonsgegevens door instellingen, organen of instanties van de Unie bij de uitvoering van activiteiten die binnen het toepassingsgebied van hoofdstuk 4 of hoofdstuk 5 van titel V van het derde deel van het VWEU vallen, teneinde:

2.   Op basis van deze toetsing kan de Commissie, om te zorgen voor een eenvormige en consequente bescherming van natuurlijke personen in verband met verwerking, passende wetgevingsvoorstellen indienen om met name hoofdstuk IX van deze verordening toe te passen op Europol en het Europees Openbaar Ministerie en om hoofdstuk IX van deze verordening indien nodig aan te passen.

1.   Deze verordening doet geen afbreuk aan Besluit 2014/886/EU van het Europees Parlement en de Raad (20) en de huidige ambtstermijnen van de Europese Toezichthouder voor gegevensbescherming en de adjunct-toezichthouder.

2.   De adjunct-toezichthouder wordt beschouwd als gelijkwaardig aan de griffier van het Hof van Justitie wat betreft de vaststelling van zijn salaris, toelagen, ouderdomspensioen en elk ander in de plaats van een bezoldiging komend voordeel.

3.   Artikel 53, leden 4, 5 en 7, en de artikelen 55 en 56 van deze verordening gelden voor de huidige adjunct-toezichthouder tot het verstrijken van diens ambtstermijn.

4.   Tot het verstrijken van de ambtstermijn van de huidige adjunct-toezichthouder ondersteunt de adjunct-toezichthouder de Europese Toezichthouder voor gegevensbescherming bij diens taken en vervangt hij de Europese Toezichthouder voor gegevensbescherming wanneer deze afwezig is of verhinderd is om voornoemde taken te vervullen.

1.   Deze verordening treedt in werking op de twintigste dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie.

2.   Deze verordening is echter van toepassing op de verwerking van persoonsgegevens door Eurojust met ingang van 12 december 2019.