**1.** Toepassingsgebied
Tenzij anders bepaald in de punten b) en c), verwerkt iedere partij de persoonsgegevens die zij uit hoofde van dit protocol ontvangt in overeenstemming met de leden 2 tot en met 15 van dit artikel.
Indien ten tijde van de ontvangst van persoonsgegevens uit hoofde van dit protocol zowel de doorgevende partij als de ontvangende partij wederzijds gebonden zijn door een internationale overeenkomst tot vaststelling van een algemeen kader tussen die partijen voor de bescherming van persoonsgegevens, die van toepassing is op de doorgifte van persoonsgegevens met het oog op het voorkomen, opsporen, onderzoeken en vervolgen van strafbare feiten en waarin is bepaald dat de verwerking van persoonsgegevens in het kader van die overeenkomst in overeenstemming is met de vereisten van de gegevensbeschermingswetgeving van de betrokken partijen, zijn de bepalingen van die overeenkomst, wat maatregelen betreft die onder het toepassingsgebied van die overeenkomst vallen, van toepassing op persoonsgegevens die in het kader van het protocol zijn ontvangen, in plaats van de leden 2 tot en met 15, tenzij de betrokken partijen anders zijn overeengekomen.
Indien de doorgevende partij en de ontvangende partij niet wederzijds gebonden zijn door een overeenkomst als bedoeld in punt b), kunnen zij overeenkomen dat de doorgifte van persoonsgegevens in het kader van dit protocol kan plaatsvinden op basis van andere overeenkomsten of regelingen tussen de betrokken partijen in plaats van de leden 2 tot en met 15.
Iedere partij gaat ervan uit dat de verwerking van persoonsgegevens overeenkomstig de punten a) en b) voldoet aan de vereisten van haar rechtskader inzake de bescherming van persoonsgegevens voor internationale doorgiften van persoonsgegevens, en dat uit hoofde van dat rechtskader geen verdere toestemming voor doorgifte vereist is. Een partij mag de doorgifte van gegevens aan een andere partij in het kader van dit protocol alleen weigeren of verhinderen om redenen van gegevensbescherming onder de voorwaarden van lid 15, wanneer punt a) van toepassing is, of onder de voorwaarden van een overeenkomst als bedoeld in punt b) of c), indien een van die punten van toepassing is.
Niets in dit artikel belet een partij om strengere waarborgen toe te passen op de verwerking door haar eigen autoriteiten van in het kader van dit protocol ontvangen persoonsgegevens.
**2.** Doel en gebruik
Een partij die persoonsgegevens heeft ontvangen, verwerkt deze voor de in artikel 2 omschreven doeleinden. Zij verwerkt de persoonsgegevens niet verder voor een daarmee onverenigbaar doel en verwerkt de gegevens niet verder wanneer haar nationale rechtskader zulks niet toestaat. Dit artikel doet geen afbreuk aan de mogelijkheid voor de doorgevende partij om in een specifiek geval uit hoofde van dit protocol aanvullende voorwaarden op te leggen, maar dergelijke voorwaarden mogen geen algemene voorwaarden inzake gegevensbescherming inhouden.
De ontvangende partij ziet er overeenkomstig haar nationale rechtskader op toe dat de gevraagde en vervolgens verwerkte persoonsgegevens relevant zijn voor het doel van de verwerking en in verhouding daartoe niet bovenmatig zijn.
**3.** Kwaliteit en integriteit
Iedere partij neemt redelijke maatregelen om ervoor te zorgen dat persoonsgegevens worden bewaard en bijgewerkt met de nauwkeurigheid en volledigheid die voor de rechtmatige verwerking van de persoonsgegevens vereist en passend is, rekening houdend met de doeleinden waarvoor zij worden verwerkt.
**4.** Gevoelige gegevens
Een partij mag persoonsgegevens waaruit raciale of etnische afkomst, politieke opvattingen, godsdienstige of andere overtuigingen of het lidmaatschap van een vakvereniging blijken, genetische gegevens, biometrische gegevens die gezien de ermee gepaard gaande risico’s als gevoelig worden beschouwd, en persoonsgegevens die gezondheid of seksueel gedrag betreffen, slechts verwerken met inachtneming van passende waarborgen ter voorkoming van het risico van ongerechtvaardigde nadelige gevolgen van het gebruik van dergelijke gegevens, en in het bijzonder ter voorkoming van onwettige discriminatie.
**5.** Bewaringstermijnen
Iedere partij bewaart persoonsgegevens niet langer dan nodig en passend is voor de doeleinden van de verwerking van de gegevens overeenkomstig lid 2. Om aan deze verplichting te voldoen, stelt zij in haar nationale rechtskader specifieke bewaringstermijnen vast of voorziet zij in periodieke toetsing van de noodzaak om gegevens langer te bewaren.
**6.** Geautomatiseerde besluiten
Besluiten die aanzienlijke nadelige gevolgen hebben voor de relevante belangen van de persoon op wie de persoonsgegevens betrekking hebben, mogen niet uitsluitend gebaseerd zijn op geautomatiseerde verwerking van persoonsgegevens, tenzij dat is toegestaan uit hoofde van het nationale recht en in passende waarborgen is voorzien, waaronder de mogelijkheid van menselijke tussenkomst.
**7.** Gegevensbeveiliging en beveiligingsincidenten
Iedere partij zorgt ervoor dat zij beschikt over passende technologische, fysieke en organisatorische maatregelen om persoonsgegevens te beschermen, met name tegen verlies of onopzettelijke of ongeoorloofde toegang, verspreiding, wijziging of vernietiging („beveiligingsincidenten”).
Wanneer een veiligheidsincident aan het licht komt dat gepaard gaat met een aanzienlijk risico van fysiek letsel of niet-fysieke schade aan personen of aan de andere partij, beoordeelt de ontvangende partij onverwijld de waarschijnlijkheid en de omvang ervan en neemt zij onverwijld passende maatregelen om dergelijk letsel of dergelijke schade te beperken. Deze maatregelen houden onder meer in dat kennisgeving wordt gedaan aan de doorgevende autoriteit, dan wel, voor de toepassing van hoofdstuk II, afdeling 2, aan de autoriteit(en) die zijn aangewezen krachtens lid 7, punt c). In de kennisgeving kunnen echter ook passende beperkingen op verdere verspreiding van de kennisgeving worden opgenomen: verspreiding kan worden uitgesteld of achterwege blijven wanneer de kennisgeving de nationale veiligheid in gevaar kan brengen, of worden uitgesteld wanneer de kennisgeving de maatregelen ter bescherming van de openbare veiligheid in gevaar kan brengen. De maatregelen omvatten ook kennisgeving aan de betrokken persoon, tenzij de partij passende maatregelen heeft genomen waardoor er niet langer een aanzienlijk risico bestaat. De kennisgeving aan de betrokken persoon kan worden uitgesteld of achterwege blijven onder de voorwaarden van lid 12, punt a), i). De in kennis gestelde partij kan verzoeken om overleg en aanvullende informatie over het incident en de respons erop.
Iedere partij stelt bij de ondertekening van het protocol of bij de nederlegging van haar akte van ratificatie, aanvaarding of goedkeuring de secretaris-generaal van de Raad van Europa in kennis van de autoriteit(en) waaraan uit hoofde van lid 7, punt b), kennisgeving moet worden gedaan voor de doeleinden van hoofdstuk II, afdeling 2; de verstrekte informatie kan later worden gewijzigd.
**8.** Bijhouden van bestanden
Iedere partij houdt bestanden bij of beschikt over andere passende middelen om aan te tonen hoe de persoonsgegevens van een persoon in een specifiek geval worden geraadpleegd, gebruikt en verstrekt.
**9.** Verdere uitwisseling binnen een partij
Wanneer een autoriteit van een partij persoonsgegevens die oorspronkelijk uit hoofde van dit protocol zijn ontvangen, aan een andere autoriteit van die partij verstrekt, verwerkt die andere autoriteit deze gegevens in overeenstemming met dit artikel, met inachtneming van lid 9, punt b).
Onverminderd lid 9, punt a), kan een partij die uit hoofde van artikel 17 een voorbehoud heeft gemaakt, door haar ontvangen persoonsgegevens verstrekken aan haar constituerende staten of vergelijkbare territoriale entiteiten, mits de partij maatregelen heeft getroffen om ervoor te zorgen dat de ontvangende autoriteiten de gegevens doeltreffend blijven beschermen door te voorzien in een niveau van bescherming van de gegevens dat vergelijkbaar is met dat waarin dit artikel voorziet.
Indien er aanwijzingen zijn van onjuiste toepassing van dit lid, kan de doorgevende partij verzoeken om overleg en relevante informatie over die aanwijzingen.
**10.** Verdere doorgifte naar een andere staat of internationale organisatie
De ontvangende partij mag de persoonsgegevens alleen doorgeven aan een andere staat of internationale organisatie indien daarvoor voorafgaande toestemming is verleend door de doorgevende autoriteit of, voor de toepassing van hoofdstuk II, afdeling 2, de overeenkomstig lid 10, punt b). aangewezen autoriteit(en).
Iedere partij stelt bij de ondertekening van het protocol of bij de nederlegging van haar akte van ratificatie, aanvaarding of goedkeuring de secretaris-generaal van de Raad van Europa in kennis van de autoriteiten die toestemming kunnen verlenen voor de toepassing van hoofdstuk II, afdeling 2; de verstrekte informatie kan later worden gewijzigd.
**11.** Transparantie en kennisgeving
Iedere partij stelt, door publicatie van algemene kennisgevingen of door een persoonlijke kennisgeving, de persoon wiens persoonsgegevens zijn verzameld, daarvan in kennis, met betrekking tot:
de rechtsgrondslag en het doel van de verwerking;
alle bewaringstermijnen of toetsingstermijnen overeenkomstig lid 5, naargelang het geval;
ontvangers of categorieën ontvangers aan wie dergelijke gegevens worden verstrekt; en
toegang, rectificatie en de beschikbare rechtsmiddelen.
Een partij kan elke verplichting tot persoonlijke kennisgeving onderwerpen aan redelijke beperkingen uit hoofde van haar interne rechtskader overeenkomstig de voorwaarden van lid 12, punt a), i).
Wanneer het nationale rechtskader van de doorgevende partij vereist dat de persoon wiens gegevens aan een andere partij zijn verstrekt, daarvan persoonlijk in kennis wordt gesteld, neemt de doorgevende partij maatregelen om de andere partij op het tijdstip van de doorgifte in kennis te stellen van deze eis en passende contactgegevens te verstrekken. De persoonlijke kennisgeving wordt niet gedaan indien de andere partij heeft verzocht de verstrekking van de gegevens vertrouwelijk te behandelen, ingeval de voorwaarden voor beperkingen van lid 12, punt a), i), van toepassing zijn. Zodra deze beperkingen niet langer van toepassing zijn en de persoonlijke kennisgeving kan worden verstrekt, neemt de andere partij maatregelen om de doorgevende partij daarvan in kennis te stellen. Indien zij nog niet in kennis is gesteld, heeft de doorgevende partij het recht een verzoek in te dienen bij de ontvangende partij, die de doorgevende partij zal meedelen of de beperking al dan niet moet worden gehandhaafd.
**12.** Toegang en rectificatie
Iedere partij ziet erop toe dat eenieder wiens persoonsgegevens in het kader van dit protocol zijn ontvangen, het recht heeft om, in overeenstemming met de in haar interne rechtskader vastgestelde procedures, onverwijld:
een schriftelijke of elektronische kopie te vragen en te verkrijgen van de documentatie die over die persoon wordt bewaard, met daarin de persoonsgegevens van de betrokkene, en de beschikbare informatie over de rechtsgrondslag en het doel van de verwerking, de bewaringstermijnen en de ontvangers of categorieën ontvangers van de gegevens (degenen die er „toegang” toe hebben), alsmede informatie over de beschikbare rechtsmiddelen; met dien verstande dat op de toegang in een bepaald geval op grond van het nationale rechtskader toegestane evenredige beperkingen van toepassing kunnen zijn die op het tijdstip van de uitspraak noodzakelijk zijn om de rechten en vrijheden van anderen of belangrijke doelstellingen van algemeen openbaar belang te beschermen en waarbij naar behoren rekening wordt gehouden met de legitieme belangen van de betrokkene;
rectificatie wanneer de persoonsgegevens van de betrokkene onjuist zijn of onjuist zijn verwerkt; rectificatie omvat – indien dat passend en redelijk is, gezien de redenen voor rectificatie en de bijzondere context van de verwerking – correctie, aanvulling, wissing of anonimisering, beperking van de verwerking of afscherming.
Indien de toegang of rectificatie wordt geweigerd of beperkt, verstrekt de partij de betrokkene onverwijld in schriftelijke vorm, hetgeen tevens elektronisch kan geschieden, een antwoord waarmee de betrokkene in kennis wordt gesteld van de weigering of beperking. Dit antwoord vermeldt de gronden voor de weigering of beperking en verstrekt informatie over de beschikbare rechtsmiddelen. Alle kosten voor het verkrijgen van toegang moeten beperkt blijven tot wat redelijk is en mogen niet buitensporig zijn.
**13.** Gerechtelijke en buitengerechtelijke rechtsmiddelen
Iedere partij beschikt over doeltreffende gerechtelijke en buitengerechtelijke rechtsmiddelen om verhaal te zoeken tegen schendingen van dit artikel.
**14.** Toezicht
Iedere partij beschikt over een of meer overheidsinstanties die, alleen of cumulatief, onafhankelijke en effectieve toezichtstaken en -bevoegdheden uitoefenen met betrekking tot de in dit artikel genoemde maatregelen. De taken en bevoegdheden van deze instanties die alleen of cumulatief handelen, omvatten onderzoeksbevoegdheden, de bevoegdheid om naar aanleiding van klachten op te treden en het vermogen corrigerende maatregelen te nemen.
**15.** Raadpleging en opschorting
Een partij kan de doorgifte van persoonsgegevens aan een andere partij opschorten indien zij over substantieel bewijs beschikt waaruit blijkt dat de andere partij stelselmatig of wezenlijk inbreuk maakt op de voorwaarden van dit artikel of dat een wezenlijke inbreuk dreigt. Zij schort doorgiften niet op zonder een redelijke termijn in acht te nemen en niet eerder dan nadat de betrokken partijen gedurende een redelijke termijn overleg hebben kunnen plegen zonder dat zij tot een oplossing zijn gekomen. Een partij kan doorgiften echter voorlopig opschorten in geval van een stelselmatige of wezenlijke inbreuk die een aanzienlijk en imminent risico vormt voor het leven of de veiligheid van of voor aanzienlijke reputatieschade of financiële schade aan een natuurlijke persoon, in welk geval zij de andere partij onmiddellijk daarna in kennis stelt en overleg opent. Indien het overleg niet tot een oplossing heeft geleid, kan de andere partij de doorgiften wederkerig opschorten indien zij over substantieel bewijs beschikt dat de opschorting door de partij die tot opschorting is overgegaan, in strijd was met de bepalingen van dit lid. De partij die tot opschorting is overgegaan, heft de opschorting op zodra de inbreuk die de opschorting rechtvaardigde, is beëindigd; Iedere wederkerige opschorting wordt op dat moment opgeheven. Persoonsgegevens die vóór de opschorting zijn doorgegeven, worden ook na de opschorting overeenkomstig het protocol behandeld.
HOOFDSTUK III
Artikel 14
– Bescherming van persoonsgegevens
Onderdeel van Tweede aanvullend protocol bij het Verdrag inzake de bestrijding van strafbare feiten verbonden met elektronische netwerken, inzake nauwere samenwerking en verstrekking van elektronisch bewijsmateriaal· Strafrecht