Richtsnoeren inzake gegevensbescherming voor organisatoren van Europese burgerinitiatieven
Basisbeginselen
Bij het verzamelen van steunbetuigingen voor hun initiatief moeten organisatoren de persoonsgegevens van ondertekenaars vaak op grote schaal verwerken. De vertegenwoordiger van de groep organisatoren (of eventueel de daarvoor opgerichte juridische entiteit) moet hierop toezien als zogenaamde “verwerkingsverantwoordelijke”.
Als de steunbetuigingen worden verzameld en/of overgedragen via het centrale online verzamelsysteem, draagt de Europese Commissie voor deze taken een deel van de verantwoordelijkheid door op te treden als gezamenlijke verwerkingsverantwoordelijke.
Als de groep organisatoren eenmaal het vereiste aantal steunbetuigingen heeft verzameld, moet ze deze ter verificatie en certificering naar de bevoegde nationale instanties doorsturen. Voor die stap in de procedure zijn de nationale instanties de “verwerkingsverantwoordelijke”.
De verwerkingsverantwoordelijke moet de verplichtingen en regels inzake gegevensbescherming van de algemene verordening gegevensbescherming (AVG) naleven en de naleving ervan waarborgen.
Belangrijke begrippen
Bekijk de woordenlijst met betrekking tot gegevensbescherming in het kader van het Europees burgerinitiatief.
Welke verwerkingen worden de organisatoren geacht te verrichten op grond van de burgerinitiatiefverordening?
- Verwerking van de steunbetuigingen van ondertekenaars:
Om een initiatief te steunen, moet een ondertekenaar een steunbetuigingsformulier invullen en zijn of haar persoonsgegevens verstrekken. In het geval van steunbetuigingen die online worden ondertekend met gebruikmaking van eID, worden deze gegevens geïmporteerd uit een nationaal eID-systeem.
Als voor een initiatief het vereiste aantal steunbetuigingen is verzameld, worden deze steunbetuigingen ter verificatie en certificering doorgestuurd naar de lidstaten. Persoonsgegevens die in het kader van steunbetuigingen worden verzameld, mogen niet voor andere doeleinden worden gebruikt, zoals steun voor andere initiatieven dan die waarvoor de gegevens zijn verstrekt, of het overdragen van de verzamelde gegevens aan een andere organisatie.
- Verwerking van de e-mailadressen van ondertekenaars:
Het is ook toegestaan e-mailadressen te verzamelen van ondertekenaars die verder willen worden geïnformeerd over de voortgang van het initiatief dat zij hebben ondertekend.
E-mailadressen mogen niet worden verzameld als onderdeel van de steunbetuigingsformulieren, maar mogen wel tegelijkertijd worden verzameld, mits de ondertekenaars ervan in kennis worden gesteld dat hun recht om een initiatief te steunen niet afhankelijk is van hun toestemming om hun e-mailadres te verzamelen.
Deze e-mailadressen kunnen alleen worden gebruikt om ondertekenaars die dat wensen te informeren over de voortgang van het initiatief dat zij hebben ondertekend. Zij mogen niet worden gebruikt voor andere doeleinden, bijvoorbeeld om ondertekenaars commerciële aanbiedingen te doen of informatie over een ander initiatief te verstrekken. Zij zijn niet onderworpen aan verificatie door de lidstaten.
- Verwerking van persoonsgegevens van sponsors:
Bovendien bevat de burgerinitiatiefverordening enkele regels betreffende de verwerking van de gegevens van sponsors.
In de artikelen 17 en 18, artikel 19, lid 1, en artikel 19, lid 3, van de burgerinitiatiefverordening wordt nader bepaald hoe deze gegevens kunnen worden verwerkt.
Verwerkingsverantwoordelijken: scenario’s voor het verzamelen en overdragen van steunbetuigingen
Er zijn twee algemene scenario’s:
Scenario 1
- De steunbetuigingen worden verzameld via het centrale online verzamelsysteem van de Commissie (gezamenlijke verantwoordelijkheid tussen de Commissie en de vertegenwoordiger van de groep organisatoren).
- De steunbetuigingen worden ter verificatie doorgestuurd naar de bevoegde nationale instanties met behulp van de bestandenuitwisselingsdienst van de Commissie (gezamenlijke verantwoordelijkheid tussen de Commissie en de vertegenwoordiger van de groep organisatoren).
Scenario 2
- De steunbetuigingen worden verzameld met behulp van papieren formulieren (exclusieve verantwoordelijkheid van de vertegenwoordiger van de groep organisatoren).
- De steunbetuigingen worden ter verificatie doorgestuurd naar de bevoegde nationale instanties met behulp van de eigen middelen van de groep organisatoren (exclusieve verantwoordelijkheid van de vertegenwoordiger van de groep organisatoren) OF met behulp van de bestandenuitwisselingsdienst van de Commissie (gezamenlijke verantwoordelijkheid van de Commissie en de vertegenwoordiger van de groep organisatoren).
Opmerking:
- De organisatoren kunnen steunbetuigingen zowel op papier als online verzamelen of slechts één van deze manieren gebruiken.
- Om steunbetuigingen online te verzamelen, moeten de organisatoren het centrale online verzamelsysteem gebruiken.
- Als de organisatoren steunbetuigingen online verzamelen met behulp van het centrale online verzamelsysteem en parallel daaraan op papier, kunnen voor deze verschillende manieren van verzamelen verschillende regels gelden.
Vragen en antwoorden over gegevensbescherming voor de organisatoren
- Centraal online verzamelsysteem — wat zijn de verplichtingen van de Commissie en de vertegenwoordiger van de groep organisatoren als gezamenlijke verwerkingsverantwoordelijken?
- Verzameling op papieren formulieren — wat zijn de verplichtingen van de vertegenwoordiger van de groep organisatoren als enige verwerkingsverantwoordelijke?
- “Gevoelige gegevens” — wanneer vallen de gegevens van ondertekenaars onder een bijzondere categorie van gegevens?
- Beveiliging — welke maatregelen moet u nemen als u de gegevens van ondertekenaars op papier verzamelt?
- Beveiliging — wat zijn de vereisten wanneer steunbetuigingen op papier worden verzameld door vrijwillige of gecontracteerde campagnevoerders?
- Wanneer en hoe moet u een gegevensbeschermingseffectbeoordeling uitvoeren?
- Hoe moet u een gegevensverwerkingsregister opstellen?
- Wat is de rol van een functionaris voor gegevensbescherming (DPO)?
- Welke informatie moet u aan de burgers geven wanneer u hun gegevens verzamelt?
- Wat moet u doen wanneer u verzoeken van ondertekenaars in verband met gegevensverwerking behandelt?
- Wat moet u doen in geval van een inbreuk in verband met persoonsgegevens?
- Wat is uw aansprakelijkheid als verwerkingsverantwoordelijke?
- De verzamelde steunbetuigingen ter verificatie doorsturen naar de lidstaten — wie is de verwerkingsverantwoordelijke?
- De verzamelde steunbetuigingen ter verificatie doorsturen naar de lidstaten — wat zijn de beveiligingsaanbevelingen?
- De verzamelde steunbetuigingen ter verificatie doorsturen naar de lidstaten — wat zijn de taken en verantwoordelijkheden wanneer gebruik wordt gemaakt van de bestandenuitwisselingsdienst van de Commissie?
- Wat zijn de termijnen voor gegevensbewaring?
- Tot welke nationale toezichthoudende autoriteit moet u zich wenden voor kwesties in verband met de verwerking van persoonsgegevens?
- Ondersteuning en financiering — waar moet u op letten bij de verwerking van persoonsgegevens?
Vragen en antwoorden over gegevensbescherming voor ondertekenaars
Zie de specifieke rubriek onder veelgestelde vragen.
Welke regels gelden er voor het verwerken van persoonsgegevens?
- De burgerinitiatiefverordening en de bepalingen daarin over gegevensbescherming (zie artikel 19)
- Voor de vertegenwoordiger: de algemene verordening gegevensbescherming (AVG) en de desbetreffende nationale bepalingen
- Voor de Europese Commissie: de verordening betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen van de Unie (EU-gegevensbeschermingsverordening)
Contactpunten op nationaal niveau
- De contactgegevens van de nationale instanties die verantwoordelijk zijn voor de verificatie en certificering van steunbetuigingen, vindt u hier.
- De contactgegevens van de nationale gegevensbeschermingsautoriteiten vindt u hier.
Privacybeleid van de Europese Commissie in het kader van het Europees burgerinitiatief
De privacyverklaringen die worden gebruikt voor de verschillende verwerkingen die de Europese Commissie verricht in het kader van de uitvoering van het instrument van het Europees burgerinitiatief, worden gepubliceerd op de speciale website voor privacybeleid.
DISCLAIMER
Deze richtsnoeren zijn bedoeld om bij te dragen tot een beter begrip van de EU-gegevensbeschermingsvoorschriften die van toepassing zijn op verwerkingen op grond van Verordening (EU) 2019/788 betreffende het Europees burgerinitiatief (burgerinitiatiefverordening). Alleen de teksten van de burgerinitiatiefverordening, de algemene verordening gegevensbescherming (AVG) en de verordening betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen van de Unie (EU-gegevensbeschermingsverordening) hebben rechtskracht. Deze richtsnoeren kunnen niet in de plaats treden van het toepasselijk rechtskader, met inbegrip van, in voorkomend geval, bindende contracten zoals overeenkomsten voor gezamenlijke verantwoordelijkheid.
In deze richtsnoeren staan praktische aanwijzingen voor organisatoren van burgerinitiatieven en er kan geen afdwingbaar recht of gewettigd vertrouwen uit worden afgeleid. Deze richtsnoeren doen met name geen afbreuk aan de verantwoordelijkheid van de vertegenwoordiger van de groep organisatoren, als verwerkingsverantwoordelijke, uit hoofde van artikel 5, lid 2, AVG, om de verplichtingen en regels van de AVG na te leven en te doen naleven.
De bindende interpretatie van EU-wetgeving is de exclusieve bevoegdheid van het Hof van Justitie van de Europese Unie. De in deze richtsnoeren uiteengezette zienswijzen laten het standpunt dat de Commissie voor het Hof van Justitie zou kunnen innemen, onverlet.
Aangezien deze richtsnoeren een afspiegeling zijn van de stand der techniek ten tijde van de opstelling ervan, moeten zij worden beschouwd als een “levend instrument” dat openstaat voor verbetering en kan de inhoud ervan zonder voorafgaande kennisgeving worden gewijzigd.
