Aanpassing aan het digitale tijdperk 

De bescherming van persoonsgegevens is als grondrecht verankerd in het Handvest van de grondrechten van de EU en het Verdrag betreffende de werking van de Europese Unie.

In een digitale samenleving waarin voortdurend persoonsgegevens worden verzameld, gebruikt en verspreid, moeten burgers vrij over het gebruik van hun eigen persoonsgegevens kunnen beslissen om misbruik te voorkomen.

Overeenkomstig artikel 8 van het Handvest heeft eenieder recht op bescherming van zijn persoonsgegevens.

Deze gegevens moeten eerlijk worden verwerkt, voor bepaalde doeleinden en met toestemming van de betrokkene of op basis van een andere gerechtvaardigde grondslag waarin het recht voorziet. Eenieder heeft recht van inzage in de over hem verzamelde gegevens en op rectificatie daarvan. Op de naleving van deze voorschriften wordt toezicht uitgeoefend door een onafhankelijke autoriteit.

Wanneer de verwerking van persoonsgegevens van personen in de Unie plaatsvindt in de Unie, of verband houdt met het aanbieden van goederen of diensten aan die personen in de Unie of met het observeren van hun gedrag binnen de Unie, dan zijn die personen beschermd door het rechtskader dat de Unie heeft vastgesteld overeenkomstig artikel 8 van het Handvest en artikel 16 van het Verdrag betreffende de werking van de Europese Unie.

Het Europees Parlement dringt erop aan dat voor een goed evenwicht wordt gezorgd tussen enerzijds de versterking van de veiligheid en de bestrijding van criminaliteit en terrorisme en anderzijds de bescherming van privacy en persoonsgegevens, om te waarborgen dat deze grondrechten worden geïntegreerd in het beleid. Het heeft diverse resoluties aangenomen over deze gevoelige onderwerpen, met name over grootschalig elektronisch toezicht op EU-burgers.  Het Hof van Justitie van de Europese Unie heeft ook verschillende belangrijke arresten gewezen over de verenigbaarheid van de Uniewetgeving over de bestrijding van ernstige criminaliteit en terrorisme met het Handvest, bijvoorbeeld: Digital Rights Ireland Ltd (C-293/12), Tele2 Sverige AB (C-203/15), Maximillian Schrems tegen Data Protection Commissioner (C-362/14), en PNR Canada (Advies 1/15).

In 2016 hebben het Europees Parlement en de Raad het pakket gegevensbescherming aangenomen, dat bestaat uit een verordening en een richtlijn. Dit pakket vormt een nieuw modern en krachtig rechtskader dat de lidstaten vanaf 25 mei 2018 moeten toepassen om ervoor te zorgen dat de persoonsgegevens van iedereen in de Unie beschermd zijn.

In het Unierecht inzake gegevensbescherming zijn de beginselen en verplichtingen vastgelegd die een verwerkingsverantwoordelijke in acht moet nemen om rechtmatige verwerking van persoonsgegevens te waarborgen, zoals de rechtsgrond voor gegevensverwerking, de beginselen van gegevensverwerking, en regels inzake internationale doorgifte van persoonsgegevens naar buiten de Unie of inzake inbreuken in verband met persoonsgegevens.

Personen hebben het recht om

• te worden geïnformeerd over de verwerking van hun persoonsgegevens,
• toegang tot hun persoonsgegevens te verkrijgen, en
• te verzoeken om rectificatie, wissing of afscherming van onjuiste, onnauwkeurige of onvolledige persoonsgegevens. Zij hebben ook het recht om hun persoonsgegevens over te dragen van de verwerkingsverantwoordelijke die de gegevens aanvankelijk heeft verwerkt naar een andere verwerkingsverantwoordelijke.

Personen hebben ook het recht te verzoeken dat persoonsgegevens worden gewist, wanneer zij niet langer noodzakelijk zijn of wanneer de verwerking niet in overeenstemming is met het recht.

Overeenkomstig het Handvest (artikel 52) kunnen de rechten van personen worden beperkt in zeer specifieke omstandigheden indien dit noodzakelijk is en evenredig in een democratische samenleving ter waarborging van enige doelstelling van algemeen belang waarin het Unierecht inzake gegevensbescherming uitdrukkelijk voorziet. 

Personen hebben te allen tijde het recht om bezwaar te maken tegen de verwerking van hun persoonsgegevens voor marketingdoeleinden, met inbegrip van profilering die betrekking heeft op direct marketing, of vanwege met hun specifieke situatie verband houdende redenen, in bepaalde specifieke gevallen.

Bepaalde bijzondere categorieën van persoonsgegevens worden gevoelig geacht en genieten specifieke bescherming op grond van de algemene verordening gegevensbescherming.

Het gaat hier om gegevens over ras of etnische afkomst; politieke opvattingen; religieuze of levensbeschouwelijke overtuigingen; het lidmaatschap van een vakbond; verwerking van genetische gegevens; biometrische gegevens met het oog op de identificatie van een persoon; gezondheid, iemands seksueel gedrag of seksuele gerichtheid.

Onafhankelijke overheidsinstanties voor gegevensbescherming in de lidstaten moeten toezien op de naleving van de gegevensbeschermingsregels en hebben de bevoegdheid om te interveniëren, klachten van personen in behandeling te nemen en handhavingsmaatregelen ten aanzien van een verwerkingsverantwoordelijke vast te stellen. De nationale instanties voor gegevensbescherming kunnen administratieve geldboeten opleggen tot 20 000 000 euro of 4 % van de totale wereldwijde jaaromzet van een verwerkingsverantwoordelijke of verwerker voor inbreuken op het Unierecht inzake gegevensbescherming.