Wij Beatrix, bij de gratie Gods, Koningin der Nederlanden, Prinses van Oranje-Nassau, enz. enz. enz.
Allen, die deze zullen zien of horen lezen, saluut! doen te weten:
Alzo Wij in overweging genomen hebben, dat het wenselijk is de Wet bescherming persoonsgegevens te wijzigen in verband met de vermindering van administratieve lasten, het herstellen van enkele wetstechnische gebreken en het aanbrengen van enige andere wijzigingen;
Zo is het, dat Wij, de Raad van State gehoord, en met gemeen overleg der Staten-Generaal, hebben goed gevonden en verstaan, gelijk Wij goedvinden en verstaan bij deze:
De Wet bescherming persoonsgegevens wordt als volgt gewijzigd:
Artikel 22 wordt als volgt gewijzigd:
1. Onder vernummering van het zesde en zevende lid tot zevende en achtste lid wordt een lid ingevoegd luidende:
6. Het verbod is niet van toepassing op verwerkingen van strafrechtelijke gegevens door en ten behoeve van publiekrechtelijke samenwerkingsverbanden van verantwoordelijken of groepen van verantwoordelijken indien de verwerking noodzakelijk is voor de uitvoering van de taak van deze verantwoordelijken of groepen van verantwoordelijken en bij de uitvoering is voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad.
2. In het zevende lid (nieuw) wordt «tweede tot en met vijfde lid» vervangen door: tweede tot en met zesde lid.
Artikel 23, eerste lid, wordt als volgt gewijzigd:
1. De onderdelen d en e worden geletterd e en f.
2. Er wordt een onderdeel ingevoegd, luidende:
d. dit noodzakelijk is ter verdediging van de vitale belangen van de betrokkene of van een derde en het vragen van diens uitdrukkelijke toestemming onmogelijk blijkt;
3. Na onderdeel f (nieuw) wordt onder de vervanging van de punt door een puntkomma, een onderdeel toegevoegd, luidende:
g. de gegevens worden verwerkt door het College, of een ombudsman als bedoeld in artikel 9:17 van de Algemene wet bestuursrecht en dit noodzakelijk is met het oog op een zwaarwegend algemeen belang, voor de uitvoering van de hun wettelijk opgedragen taken en bij die uitvoering is voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad.
Artikel 27 komt te luiden:
1. Een geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens die voor de verwezenlijking van een doeleinde of van verscheidene samenhangende doeleinden bestemd is, wordt gemeld.
2. Een niet geautomatiseerde verwerking van persoonsgegevens die voor de verwezenlijking van een doeleinde of van verscheidene samenhangende doeleinden bestemd is, wordt gemeld indien deze is onderworpen aan een voorafgaand onderzoek.
3. De verantwoordelijke meldt de verwerking alvorens daarmee te beginnen bij het College of bij de functionaris.
Artikel 30, derde lid, komt te luiden:
3. De verantwoordelijke verstrekt eenieder die daarom verzoekt binnen vier weken de inlichtingen, bedoeld in artikel 28, eerste lid, onder a tot en met e. Indien de inlichtingen niet binnen vier weken kunnen worden verstrekt, deelt de verantwoordelijke uiterlijk vier weken na de datum van ontvangst van het verzoek mede binnen welke termijn de inlichtingen wel kunnen worden verleend.
Artikel 31 wordt als volgt gewijzigd:
1. In het eerste lid, onderdeel b, wordt «op grond van eigen waarneming» vervangen door: op grond van het gericht verzamelen van informatie door middel van eigen onderzoek.
2. Het eerste lid, onderdeel b, komt als volgt te luiden:
b. voornemens is ten behoeve van derden strafrechtelijke gegevens of gegevens over onrechtmatig of hinderlijke gedrag te verwerken, anders dan in de gevallen genoemd in artikel 22, vierde lid, onderdelen a en b.
3. Onder vernummering van het derde en vierde lid tot het vierde en vijfde lid wordt een lid ingevoegd luidende:
3. het eerste lid, onderdeel c, is niet van toepassing op gegevensverwerkingen die reeds door een andere verantwoordelijke voor voorafgaand onderzoek zijn voorgelegd en ten aanzien waarvan het College een verklaring als bedoeld in artikel 32, vijfde lid, heeft afgegeven.
Artikel 38, eerste lid, komt te luiden:
1. De verantwoordelijke die naar aanleiding van een verzoek op grond van artikel 36 persoonsgegevens heeft verbeterd, aangevuld, verwijderd of afgeschermd, is verplicht om aan derden aan wie de gegevens daaraan voorafgaand zijn verstrekt, binnen vier weken kennis te geven van de verbetering, aanvulling, verwijdering of afscherming, tenzij dit onmogelijk blijkt of een onevenredige inspanning vergt. Indien de kennisgeving niet binnen vier weken kan worden gedaan, deelt de verantwoordelijke uiterlijk vier weken na de datum van ontvangst van het verzoek mede binnen welke termijn de kennisgeving wel kan worden gedaan.
In artikel 39, eerste lid, wordt «een bericht» vervangen door: een mededeling.
Artikel 41 wordt als volgt gewijzigd:
1. Aan het tweede lid wordt een volzin toegevoegd, luidende:
De verantwoordelijke doet aan de betrokkene desgevraagd binnen vier weken opgave van de genomen maatregelen. Indien de kennisgeving niet binnen vier weken kan worden gedaan, deelt de verantwoordelijke uiterlijk vier weken na de datum van ontvangst van het verzoek mede binnen welke termijn de kennisgeving wel kan worden gedaan.
2. Het derde lid komt te luiden:
3. De verantwoordelijke die persoonsgegevens verwerkt voor het in het eerste lid bedoelde doel, neemt passende maatregelen om betrokkenen de mogelijkheden bekend te maken tot het doen van verzet.
3. Het vierde lid vervalt.
Artikel 75 wordt als volgt gewijzigd:
1. Het eerste lid komt als volgt te luiden:
1. De verantwoordelijke die in strijd handelt met hetgeen bij of krachtens artikel 4, derde lid, 27, 28, 78, tweede lid, onder a, of 79, eerste lid, is bepaald, wordt gestraft met geldboete van de derde categorie.
2. In het tweede lid wordt de zinsnede «de derde categorie» vervangen door: de vierde categorie.
Artikel 77 wordt als volgt gewijzigd:
In het eerste lid, wordt onder vervanging van de punt aan het slot van onderdeel f door een puntkomma, een onderdeel g toegevoegd, luidende:
g. gebruik wordt gemaakt van modelcontracten, bedoeld in artikel 26, vierde lid, van richtlijn nr. 95/46/EG van het Europees Parlement en de Raad van de Europese Unie van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PbEG L 281).
Artikel 78 wordt als volgt gewijzigd:
1. Het tweede lid komt te luiden:
2. Indien zulks voortvloeit uit een besluit van de Commissie van de Europese Gemeenschappen of de Raad van de Europese Unie, bepaalt Onze Minister bij ministeriële regeling of bij besluit dat:
a. de doorgifte naar een land buiten de Europese Unie is verboden, of
b. een op grond van artikel 77, tweede lid, verleende vergunning wordt ingetrokken of gewijzigd.
2. Onder vernummering van het derde tot het zesde lid, worden drie leden ingevoegd, luidende:
3. Aan een derde land, waarvan de Commissie van de Europese Gemeenschappen of de Raad van de Europese Unie heeft vastgesteld dat het waarborgen voor een passend beschermingsniveau biedt, kunnen zonder aanvullende garanties persoonsgegevens worden doorgegeven.
4. In afwijking van het derde lid kan de doorgifte van persoonsgegevens naar een derde land, waarvan de Commissie van de Europese Gemeenschappen of de Raad van de Europese Unie heeft vastgesteld dat dit land waarborgen voor een passend beschermingsniveau biedt, onder omstandigheden worden opgeschort, teneinde personen bij de verwerking van hun persoonsgegevens te beschermen in de gevallen waarin:
a. een bevoegde autoriteit in het derde land tot de conclusie is gekomen dat de ontvanger in strijd met de toepasselijke normen voor de gegevensbescherming handelt, of
b. het zeer waarschijnlijk is dat niet aan de normen voor gegevensbescherming wordt voldaan, er goede redenen zijn om aan te nemen dat de bevoegde autoriteit in het derde land niet tijdig passende maatregelen neemt of zal nemen om het desbetreffende probleem op te lossen, de voortzetting van de doorgifte een dreigend gevaar voor ernstige schade aan de betrokkene inhoudt en het College voldoende inspanningen in deze situatie heeft geleverd om de in het derde land gevestigde organisatie die voor de verwerking verantwoordelijk is, in kennis te stellen en de gelegenheid te geven te reageren.
5. De opschortende maatregel blijft zolang van kracht totdat vaststaat dat de beschermingsnormen worden nageleefd en het College hiervan in kennis is gesteld.
Deze wet treedt in werking met ingang van de dag na de datum van uitgifte van het Staatsblad waarin zij wordt geplaatst.
Lasten en bevelen dat deze in het Staatsblad zal worden geplaatst en dat alle ministeries, autoriteiten, colleges en ambtenaren wie zulks aangaat, aan de nauwkeurige uitvoering de hand zullen houden.
Gegeven
De Minister van Justitie,
De Minister van Binnenlandse Zaken en Koninkrijksrelaties,