Bijlagen bij COM(2023)275 - Eerste evaluatie van de werking van het adequaatheidsbesluit voor Japan - Hoofdinhoud
Dit is een beperkte versie
U kijkt naar een beperkte versie van dit dossier in de EU Monitor.
| dossier | COM(2023)275 - Eerste evaluatie van de werking van het adequaatheidsbesluit voor Japan. |
|---|---|
| document | COM(2023)275 |
| datum | 3 april 2023 |
In het licht van deze resultaten van de evaluatie en in overeenstemming met overweging 181 van het adequaatheidsbesluit is de Commissie van mening dat het niet nodig is om de cyclus van twee jaar voor toekomstige evaluaties te handhaven en acht zij het derhalve passend om, overeenkomstig artikel 45, lid 3, AVG, over te gaan op een cyclus van vier jaar. Zij zal dienovereenkomstig overleg voeren met het comité dat is ingesteld bij artikel 93, lid 1, AVG26.
De versterking van bepaalde aspecten van het Japanse kader zou tegelijkertijd kunnen bijdragen tot een verdere versterking van de waarborgen die zijn uiteengezet in de APPI en de aanvullende voorschriften. Daartoe doet de Commissie de navolgende aanbevelingen.
1. De Commissie is verheugd over het beoogde gebruik van steekproefcontroles door de PPC om de naleving van de aanvullende voorschriften te waarborgen en moedigt dit gebruik verder aan. Zij is van mening dat dergelijke steekproefcontroles zeer belangrijk zijn om (mogelijke) inbreuken op de aanvullende voorschriften op te sporen en aan te pakken en zo een doeltreffende naleving van deze voorschriften te waarborgen.
2. De Commissie is verheugd over het feit dat de PPC bijgewerkte richtsnoeren over internationale doorgiften heeft gepubliceerd, aangezien deze de toegankelijkheid van de APPI-regels met betrekking tot dit onderwerp zullen verbeteren en deze regels gebruiksvriendelijker zullen maken. In deze richtsnoeren (of ander begeleidend materiaal) moeten, waar relevant, ook de specifieke vereisten worden uitgelegd die voortvloeien uit de aanvullende voorschriften, ook met betrekking tot de uitsluiting van de certificeringsregeling van het APEC-CBPR-systeem voor verdere doorgiften aan derden van persoonsgegevens die oorspronkelijk uit de EU zijn ontvangen.
3. Tijdens de evaluatie werd besproken hoe de trajecten van de PPC voor onderzoek/bemiddeling voor vragen en klachten van personen toegankelijker kunnen worden gemaakt voor buitenlanders. In deze context zou het belangrijk zijn om op de speciale website te verduidelijken dat in principe ondersteuning in het Engels beschikbaar is.
In het kader van de evaluatie werden ook gebieden geïdentificeerd waarop in de toekomst mogelijk kan worden samengewerkt. Zoals opgemerkt voorziet de PPC momenteel niet in richtsnoeren over de aanbevolen inhoud (in termen van waarborgen) van “gelijkwaardige maatregelen” die worden gebruikt voor internationale gegevensoverdrachten, of dit nu in de vorm van richtsnoeren of modelcontracten voor gegevensbescherming is. Gezien het toenemende belang van modelbepalingen en het potentieel hiervan als mondiaal instrument voor gegevensoverdrachten, zoals bijvoorbeeld erkend door de G727 en de OESO28, heeft de Commissie aangegeven interesse te hebben in een toekomstige samenwerking met Japan bij de ontwikkeling van dergelijke bepalingen. De uitbreiding van het toepassingsgebied van het adequaatheidsbesluit tot meer dan alleen overdrachten tussen commerciële exploitanten is een ander gebied dat de Commissie samen met de PPC wil verkennen.
De Commissie zal het Japanse kader voor gegevensbescherming en de dagelijkse praktijk nauwlettend in de gaten blijven houden. In dit verband kijkt zij uit naar toekomstige uitwisselingen met de Japanse autoriteiten over ontwikkelingen die voor het besluit van belang zijn29, alsook naar een verdere versterking van de samenwerking op internationaal niveau in een tijd waarin de vraag naar mondiale normen inzake privacy en gegevensverkeer toeneemt.
1 PB L 119 van 4.5.2016, blz. 1 (AVG).
2 In de versie van de APPI die op het moment van goedkeuring van het adequaatheidsbesluit van kracht was, werd dit begrip omschreven als “exploitant die persoonsinformatie behandelt” (PIHBO — personal information handling business operator). Een onderneming die persoonsinformatie behandelt, wordt in artikel 16, lid 2, van de APPI gedefinieerd als “een persoon die gebruikmaakt van een gegevensbank van persoonsinformatie of het equivalent hiervan voor zakelijk gebruik”; overheids- en bestuursinstanties op centraal en lokaal niveau zijn van de definitie uitgesloten. Het begrip “zakelijk” in de zin van de APPI is zeer breed en betreft activiteiten van allerlei soorten organisaties en natuurlijke personen, al dan niet met winstoogmerk. “Zakelijk gebruik” omvat bovendien ook het gebruik van persoonsinformatie buiten het verband van (externe) zakenrelaties, maar binnen de organisatie, bijvoorbeeld het verwerken van personeelsgegevens. Zie overwegingen 32-34 van het besluit.
3 Uitvoeringsbesluit van de Commissie (EU) 2019/419 van 23 januari 2019 overeenkomstig Verordening (EU) 2016/679 van het Europees Parlement en de Raad over de passende bescherming van persoonsgegevens door Japan krachtens de Wet bescherming persoonsinformatie (PB L 76 van 19.3.2019, blz. 1).
4Zie artikel 45, AVG en overweging 5 van het besluit.
5 Zie bijlage I bij het besluit.
6 In de tussentijd is de definitie van “persoonsgegevens in het bezit van de onderneming” met de wijziging van de APPI van 2020 aangepast, zodat persoonsgegevens die binnen een termijn van zes maanden “moeten worden gewist” (artikel 16, lid 4, van de gewijzigde APPI) niet langer worden uitgesloten. In de versie van de APPI die op het moment van goedkeuring van het adequaatheidsbesluit van kracht was, werd dit begrip omschreven als “te bewaren persoonsgegevens”.
7 Overwegingen 26, 31, 43, 49-51, 63, 68, 71, 76-79, 101 van het besluit.
8 Overweging 15 van het besluit.
9 Overwegingen 113-170 van en bijlage II bij het besluit.
10 Overwegingen 141-144, 149, 169 van het besluit.
11 Zie het persbericht dat na de afronding van deze onderhandelingen werd gepubliceerd en dat beschikbaar is op: https://ec.europa.eu/commission/presscorner/detail/nl/IP_18_4501
12 Besluit (EU) 2018/1907 van de Raad van 20 december 2018 betreffende de sluiting van de Overeenkomst tussen de Europese Unie en Japan betreffende een economisch partnerschap (PB L 330 van 27.12.2018, blz. 1). Met de EPA worden de handelsbelemmeringen beperkt waarmee Europese bedrijven te maken krijgen wanneer zij naar Japan exporteren en worden deze bedrijven geholpen om beter op deze markt te kunnen concurreren.
13 Strategische partnerschapsovereenkomst tussen de Europese Unie en haar lidstaten, enerzijds, en Japan, anderzijds (PB L 216 van 24.8.2018, blz. 4). De strategische partnerschapsovereenkomst biedt het rechtskader voor verdere ontwikkeling van het reeds langdurige en sterke partnerschap tussen de Unie en haar lidstaten, enerzijds, en Japan, anderzijds, op vele gebieden, waaronder de politieke dialoog, energie, vervoer, de mensenrechten, onderwijs, wetenschap en technologie, justitie, asiel en migratie.
14 Beschikbaar op: https://www.consilium.europa.eu/media/56091/%E6%9C%80%E7%B5%82%E7%89%88-jp-eu-digital-partnership-clean-final-docx.pdf. In het kader van het digitale partnerschap wordt een forum gecreëerd dat zal voorzien in politieke sturing en stimulansen voor gezamenlijke werkzaamheden ten aanzien van digitale technologieën op gebieden zoals een veilig 5G, technologieën die verder gaan dan 5G/voor 6G, veilige en ethische toepassingen van artificiële intelligentie of de weerbaarheid van mondiale toeleveringsketens in de sector voor halfgeleiders.
15 Zie bv. https://policy.trade.ec.europa.eu/news/eu-and-japan-start-negotiations-include-rules-cross-border-data-flows-their-economic-partnership-2022-10-07_en
16 OESO, Declaration on Government Access to Personal Data Held by Private Sector Entities, 14 december 2022.
17 Overwegingen 180-183 en artikel 3, lid 4, van het besluit.
18 Een Engelse vertaling is beschikbaar op: https://www.ppc.go.jp/files/pdf/APPI_english.pdf
19 Een Engelse vertaling is beschikbaar op: https://www.japaneselawtranslation.go.jp/ja/laws/view/4241
20 Artikel 16, lid 4, en artikel 28, lid 2, van de APPI, zoals gewijzigd.
21 In het bijzonder zijn de APPI, de Wet bescherming persoonsinformatie die bij bestuursorganen berust, en de Wet bescherming persoonsinformatie die bij geregistreerde bestuursagentschappen berust, enz. bij de APPI-wijziging van 2021 geconsolideerd in één enkele wet inzake gegevensbescherming die van toepassing is op zowel particuliere entiteiten als overheidsinstanties, terwijl de bevoegdheid van de PPC dienovereenkomstig is uitgebreid. Deze wijziging trad op 1 april 2023 in werking, nadat delen ervan op 1 september 2021 en op 1 april 2022 van kracht werden.
22 Gepseudonimiseerde persoonsinformatie wordt in de gewijzigde APPI gedefinieerd als informatie in verband met een persoon die “op zodanige wijze kan worden bewerkt dat het onmogelijk wordt gemaakt om een specifieke persoon te identificeren, tenzij deze informatie wordt gebundeld met andere informatie” aan de hand van in de wet uiteengezette en in de handhavingsregels gespecificeerde maatregelen. Zie artikel 16, lid 5, en artikel 41 van de APPI, zoals gewijzigd.
23 De herziene aanvullende voorschriften werden op 15 maart 2023 door de PPC goedgekeurd en traden op 1 april 2023 in werking.
24 Hiermee wordt de toepassing uitgesloten van artikel 42 van de gewijzigde APPI, waarbij slechts een beperkt aantal waarborgen voor gepseudonimiseerde persoonsinformatie die niet als persoonsinformatie wordt beschouwd, in stand wordt gehouden.
25 Zie overweging 79 van het besluit.
26 Zie overweging 181 van het besluit.
27 Zie de ministeriële verklaring van de ministers van Digitale Zaken van de G7 van de vergadering van 11 mei 2022, bijlage 1 (G7 Action Plan Promoting Data Free Flow with Trust), waarin onder het kopje “Building on commonalities in order to foster future interoperability” wordt verwezen naar de steeds vaker gebruikte praktijken zoals modelcontractbepalingen.
28 Zie OESO, Going Digital Toolkit, “Interoperability of privacy and data protection frameworks” (beschikbaar op: https://goingdigital.oecd.org/data/notes/No21_ToolkitNote_PrivacyDataInteroperability.pdf), blz. 18.
29 Zie overweging 177 van het besluit, volgens welke van de Japanse autoriteiten wordt verwacht dat zij de Commissie informeren over materiële ontwikkelingen die voor het besluit van belang zijn, zowel wat de verwerking van persoonsgegevens door bedrijfsexploitanten als de beperkingen en waarborgen die gelden voor de toegang tot persoonsgegevens door overheidsinstanties betreft.
NL NL