Artikelen 22-26

Lid 1

De betrokkene heeft het recht op diens schriftelijke verzoek van de verwerkingsverantwoordelijke rectificatie van de hem betreffende justitiële gegevens te verkrijgen en, rekening houdend met het doel van de verwerking, onvolledige justitiële gegevens te laten aanvullen. Het verzoek bevat de aan te brengen wijzigingen.

Lid 2

De betrokkene heeft het recht op diens schriftelijke verzoek van de verwerkingsverantwoordelijke zonder onnodige vertraging vernietiging van de hem betreffende justitiële gegevens te verkrijgen, indien de gegevens in strijd met een wettelijk voorschrift worden verwerkt of een wettelijk voorschrift tot vernietiging verplicht.

Lid 3

In plaats van vernietiging draagt de verwerkingsverantwoordelijke zorg voor afscherming van justitiële gegevens, als:

1. de juistheid van de gegevens door de betrokkene wordt betwist en de juistheid of onjuistheid niet kan worden geverifieerd, in welk geval de verwerkingsverantwoordelijke de betrokkene informeert voordat de afscherming wordt opgeheven, of

2. de persoonsgegevens moeten worden bewaard als bewijsmateriaal.

Lid 4

De verwerkingsverantwoordelijke stelt de betrokkene binnen vier weken na ontvangst van het verzoek schriftelijk in kennis of, dan wel in hoeverre, hij daaraan voldoet.

Lid 5

De verwerkingsverantwoordelijke deelt de rectificatie van de onjuiste justitiële gegevens mede aan de bevoegde autoriteit van wie de gegevens afkomstig zijn.

Lid 1

Een beslissing op een verzoek als bedoeld in artikel 18 of 22 geldt als een beschikking in de zin van artikel 1:3, tweede lid, van de Algemene wet bestuursrecht.

Lid 2

De belanghebbende kan zich binnen de termijn bepaald voor het beroep op grond van de Algemene wet bestuursrecht tot de Autoriteit persoonsgegevens wenden met het verzoek te bemiddelen of te adviseren in zijn geschil met de verwerkingsverantwoordelijke. In dat geval kan in afwijking van artikel 6:7 van de Algemene wet bestuursrecht het beroep nog worden ingesteld nadat de belanghebbende van de Autoriteit persoonsgegevens bericht heeft ontvangen dat de behandeling van de zaak is beëindigd, doch uiterlijk zes weken na dat tijdstip.

Lid 1

Indien Onze Minister heeft vastgesteld dat onjuiste justitiële gegevens zijn verstrekt, of dat de justitiële gegevens onrechtmatig zijn verstrekt stelt hij de ontvangers onverwijld hiervan in kennis. In dat geval dienen de gegevens te worden gerectificeerd, vernietigd of te worden afgeschermd.

Lid 2

Onze Minister deelt aan de verzoeker en voorzover van toepassing aan de wettelijk vertegenwoordiger, desgevraagd mede aan wie hij de mededeling heeft gedaan.

Lid 1

De verstrekking van de informatie, bedoeld in de artikelen 18 en 22, eerste lid, geschiedt kosteloos.

Lid 2

In het geval van kennelijk ongegronde of buitensporige verzoeken, met name vanwege de geringe tussenpozen tussen opeenvolgende verzoeken, kan Onze Minister weigeren gevolg te geven aan het verzoek.

Lid 1

Betrokkene kan bij Onze Minister verzet aantekenen wegens bijzondere persoonlijke omstandigheden.

Lid 2

Onze Minister beoordeelt, gehoord het openbaar ministerie, binnen vier weken na ontvangst van het verzet of het verzet gerechtvaardigd is. Indien het verzet gerechtvaardigd is, beëindigt hij terstond de verwerking.

Lid 3

De artikelen 23 en 25 zijn van overeenkomstige toepassing.

Lid 1

Onverminderd bestaande rechtsmiddelen heeft iedere betrokkene het recht een klacht in te dienen bij de Autoriteit persoonsgegevens, indien de betrokkene van mening is dat de verwerking van hem betreffende justitiële gegevens niet in overeenstemming is met het bij of krachtens deze wet bepaalde.

Lid 2

Indien de Autoriteit persoonsgegevens niet bevoegd is op grond van artikel 27, eerste lid, zendt zij de klacht zonder onnodige vertraging door aan de autoriteit in een andere lidstaat van de Europese Unie die bevoegd is tot het uitoefenen van het toezicht. De betrokkene wordt van de doorzending in kennis gesteld.

Lid 3

Op verzoek van de betrokkene verleent de Autoriteit persoonsgegevens verdere bijstand.

Lid 4

De Autoriteit persoonsgegevens faciliteert het indienen van klachten door maatregelen te nemen, zoals het ter beschikking stellen van een klachtformulier dat ook elektronisch kan worden ingevuld, zonder dat andere communicatiemiddelen worden uitgesloten.

Lid 5

De Autoriteit persoonsgegevens neemt binnen drie maanden een beslissing op een klacht als bedoeld in het eerste lid. Een beslissing op een klacht geldt als een besluit in de zin van de Algemene wet bestuursrecht.

Lid 6

In het geval van een kennelijk ongegronde of buitensporige klacht, met name vanwege de geringe tussenpozen tussen opéénvolgende klachten, kan de Autoriteit persoonsgegevens weigeren gevolg te geven aan de klacht.

Een vordering tegen de Autoriteit persoonsgegevens wordt ingesteld bij een gerecht, bedoeld in artikel 2 van de Wet op de rechterlijke organisatie, in Nederland.

Lid 1

De verwerkingsverantwoordelijke houdt een register bij dat de volgende gegevens bevat:

1. de naam en de contactgegevens van de verwerkingsverantwoordelijke en de functionaris voor gegevensbescherming;

2. de doelen van de verwerking;

3. de categorieën van ontvangers aan wie justitiële gegevens zijn of zullen worden verstrekt, met inbegrip van ontvangers in derde landen of internationale organisaties;

4. een beschrijving van de categorieën van betrokkenen en van de categorieën van persoonsgegevens;

5. in voorkomend geval, het gebruik van profilering;

6. in voorkomend geval, de categorieën van doorgiften van justitiële gegevens aan een derde land of een internationale organisatie;

7. een aanwijzing van de rechtsgrondslag van de verwerking, met inbegrip van doorgiften, waarvoor de justitiële gegevens bedoeld zijn;

8. zo mogelijk, de beoogde termijnen waarbinnen de verschillende categorieën van gegevens worden verwijderd of vernietigd;

9. zo mogelijk, een algemene beschrijving van de technische en organisatorische maatregelen ter beveiliging, bedoeld in artikel 7.

Lid 2

De verwerker houdt een register bij dat de volgende gegevens bevat:

1. de naam en de contactgegevens van de verwerker of verwerkers en van iedere verwerkingsverantwoordelijke ten behoeve van wie de verwerker handelt en, in voorkomend geval, van de functionaris voor gegevensbescherming;

2. de categorieën van verwerkingen die namens iedere verwerkingsverantwoordelijke zijn uitgevoerd;

3. indien van toepassing, doorgiften van justitiële gegevens aan een derde land of een internationale organisatie, onder vermelding van dat derde land of die internationale organisatie, indien daartoe door de verwerkingsverantwoordelijke uitdrukkelijk geïnstrueerd;

4. indien mogelijk, een algemene beschrijving van de technische en organisatorische maatregelen, bedoeld in artikel 7.

Lid 1

De verwerkingsverantwoordelijke draagt zorg voor de schriftelijke vastlegging van:

1. de feitelijke of juridische redenen die ten grondslag liggen aan een beslissing tot afwijzing op een verzoek tot inzage of rectificatie;

2. de verstrekking of doorgifte van justitiële gegevens, bedoeld in artikel 16a, tweede lid, onderdeel b, derde en vierde lid;

3. een inbreuk op de beveiliging van justitiële gegevens, inclusief de feiten omtrent de inbreuk, de gevolgen ervan en de maatregelen die zijn getroffen ter correctie.

Lid 2

Bij de doorgifte van justitiële gegevens aan een verwerkingsverantwoordelijke in een derde land of van een internationale organisatie omvat de schriftelijke vastlegging de datum en tijd van doorgifte, informatie over de ontvangende bevoegde autoriteit, de reden van doorgifte en de doorgegeven gegevens.

Lid 1

De verwerkingsverantwoordelijke en de verwerker dragen zorg voor de vastlegging langs elektronische weg (logging) van ten minste de volgende verwerkingen van justitiële gegevens in geautomatiseerde systemen: het verzamelen, wijzigen, raadplegen, verstrekken onder meer in de vorm van doorgiften, combineren en vernietigen van justitiële gegevens.

Lid 2

De vastgelegde gegevens, bedoeld in het eerste lid, worden uitsluitend gebruikt voor de controle van de rechtmatigheid van de gegevensverwerking, voor interne controles, ter waarborging van de integriteit en de beveiliging van de justitiële gegevens en voor strafrechtelijke procedures.

Lid 1

De verwerkingsverantwoordelijke benoemt een functionaris voor gegevensbescherming. Voor verschillende bevoegde autoriteiten kan, rekening houdend met hun organisatiestructuur en omvang, één functionaris voor gegevensbescherming worden aangewezen. De functionaris voor gegevensbescherming wordt door de verwerkingsverantwoordelijke tijdig en naar behoren betrokken bij alle aangelegenheden die verband houden met de bescherming van justitiële gegevens.

Lid 2

De functionaris voor gegevensbescherming wordt aangewezen op grond van zijn professionele kwaliteiten en, in het bijzonder, zijn deskundigheid op het gebied van de wetgeving en de praktijk inzake gegevensbescherming en zijn vermogen de taken, bedoeld in het derde lid, te vervullen.

Lid 3

De functionaris voor gegevensbescherming is tenminste belast met de volgende taken:

1. het informeren en adviseren van de verwerkingsverantwoordelijke en het onder hem ressorterend personeel dat justitiële gegevens verwerkt over hun verplichtingen op grond van het bepaalde bij of krachtens deze wet en andere gegevensbeschermingsbepalingen op grond van het Unierecht of het Nederlandse recht;

2. het toezien op de naleving van het bepaalde bij of krachtens deze wet, van andere gegevensbeschermingsbepalingen van het Unierecht of het Nederlandse recht en van het beleid van de verwerkingsverantwoordelijke met betrekking tot de bescherming van persoonsgegevens, met inbegrip van de toewijzing van verantwoordelijkheden, bewustmaking en opleiding van het voor de verwerkingsverantwoordelijke werkzame personeel dat betrokken is bij de verwerking van justitiële gegevens en de betreffende audits;

3. het desgevraagd verstrekken van advies over de effectbeoordeling, bedoeld in artikel 7b, en het toezien op de uitvoering ervan;

4. het samenwerken met de Autoriteit persoonsgegevens;

5. het optreden als contactpunt voor de Autoriteit persoonsgegevens inzake aangelegenheden in verband met de verwerking van persoonsgegevens en, voor zover dienstig, plegen van overleg over enige andere aangelegenheid.

Lid 4

De functionaris voor de gegevensbescherming stelt jaarlijks een verslag op van zijn bevindingen.

Lid 5

De verwerkingsverantwoordelijke maakt de contactgegevens van de functionaris voor gegevensbescherming openbaar en meldt hem aan bij de Autoriteit persoonsgegevens.

Lid 6

De verwerkingsverantwoordelijke ondersteunt de functionaris voor gegevensbescherming bij de vervulling van zijn taken door hem toegang te verschaffen tot persoonsgegevens en stelt de functionaris voor gegevensbescherming de benodigde middelen ter beschikking voor het vervullen van de taken, bedoeld in het derde lid, en het in standhouden van zijn deskundigheid.

Lid 1

De verwerkingsverantwoordelijke meldt een inbreuk op de beveiliging onverwijld en uiterlijk binnen 72 uur nadat hij ervan kennis heeft genomen aan de Autoriteit persoonsgegevens, tenzij het niet waarschijnlijk is dat de inbreuk een risico voor de rechten en vrijheden van personen met zich meebrengt. In het geval de melding na 72 uur wordt gedaan, gaat deze vergezeld van een motivering voor de vertraging.

Lid 2

De melding, bedoeld in het eerste lid, bevat ten minste de volgende informatie:

1. een beschrijving van de aard en omvang van de inbreuk, bedoeld in het eerste lid, waaronder begrepen, waar mogelijk, de categorieën van betrokkenen en van gegevensbestanden en, bij benadering, het aantal betrokkenen en gegevensbestanden.

2. de mededeling van de naam en de contactgegevens van de functionaris voor gegevensbescherming of een ander contactpunt waar meer informatie kan worden verkregen;

3. een beschrijving van de waarschijnlijke gevolgen van de inbreuk, bedoeld in het eerste lid;

4. een beschrijving van de voorgestelde of uitgevoerde maatregelen om de inbreuk, bedoeld in het eerste lid, te beëindigen en, in voorkomend geval, de maatregelen ter beperking van de eventuele nadelige gevolgen ervan.

Lid 3

Voor zover het niet mogelijk is de informatie, bedoeld in het tweede lid, gelijktijdig te verstrekken, kan deze zonder onnodige vertraging in stappen worden verstrekt.

Lid 4

De verwerkingsverantwoordelijke deelt een inbreuk op de beveiliging met betrekking tot justitiële gegevens, die zijn doorgezonden door of aan een verwerkingsverantwoordelijke van een andere lidstaat, zonder onnodige vertraging mee aan de verwerkingsverantwoordelijke van deze lidstaat.

Lid 5

De verwerkingsverantwoordelijke deelt een inbreuk op de beveiliging mede aan de betrokkene als deze inbreuk waarschijnlijk een hoog risico voor de rechten en vrijheden van personen met zich meebrengt. De mededeling bevat een omschrijving van de aard van de inbreuk op de beveiliging en ten minste de informatie, bedoeld in het tweede lid, onderdelen b, c en d.

Lid 6

De mededeling aan de betrokkene, bedoeld in het vijfde lid, is niet vereist wanneer:

1. de verwerkingsverantwoordelijke passende technische en organisatorische beschermingsmaatregelen heeft getroffen en deze maatregelen zijn toegepast op de justitiële gegevens waarop de inbreuk, bedoeld in het eerste lid, betrekking heeft;

2. de verwerkingsverantwoordelijke maatregelen heeft getroffen om ervoor te zorgen dat het hoge risico, bedoeld in het vijfde lid, zich waarschijnlijk niet meer zal voordoen, of

3. de mededeling een onevenredige inspanning zou vergen. In dat geval volgt een openbare mededeling of vergelijkbare maatregel waarmee de betrokkenen even doeltreffend worden geïnformeerd.

Lid 7

De mededeling aan de betrokkene kan worden uitgesteld, beperkt of achterwege gelaten vanwege de gronden, bedoeld in artikel 21, tweede lid.

Lid 8

De melding door een verwerkingsverantwoordelijke aan een betrokkene van een inbreuk op de beveiliging, geschiedt kosteloos.

Lid 1

De Autoriteit persoonsgegevens wordt door de verwerkingsverantwoordelijke of de verwerker geraadpleegd over de voorgenomen verwerking van justitiële gegevens, die in een nieuw gegevensbestand zullen worden opgenomen, wanneer:

1. de aard van de verwerking, in het bijzonder met gebruikmaking van nieuwe technologieën, mechanismen of procedures, een hoog risico voor de rechten en vrijheden van de betrokkene met zich meebrengt;

2. uit een gegevensbeschermingseffectbeoordeling, bedoeld in artikel 7b, blijkt dat de verwerking een hoog risico zou opleveren als de verwerkingsverantwoordelijke geen maatregelen treft om het risico te beperken.

Lid 2

De Autoriteit persoonsgegevens kan een lijst opstellen van de verwerkingen waarvoor raadpleging, overeenkomstig het eerste lid, vereist is.

Lid 3

De verwerkingsverantwoordelijke verstrekt de Autoriteit persoonsgegevens de gegevensbeschermingseffectbeoordeling, bedoeld in artikel 7b, en, desgevraagd alle andere informatie op grond waarvan de Autoriteit persoonsgegevens de conformiteit van de verwerking en met name de risico’s voor de bescherming van persoonsgegevens van de betrokkene en de betrokken waarborgen kan beoordelen.

Lid 4

Wanneer de Autoriteit persoonsgegevens van oordeel is dat de voorgenomen verwerking van justitiële gegevens, bedoeld in het eerste lid, niet voldoet aan het bij of krachtens deze wet bepaalde, geeft zij binnen een termijn van ten hoogste zes weken schriftelijk advies aan de verwerkingsverantwoordelijke en, in voorkomend geval, aan de verwerker. De advisering geschiedt kosteloos.

Lid 5

De termijn, bedoeld in het vierde lid, kan, rekening houdend met de complexiteit van de voorgenomen verwerking, worden verlengd met een maand. In dit geval wordt de verwerkingsverantwoordelijke en, in voorkomend geval, de verwerker, binnen een maand na de ontvangst van het verzoek in kennis gesteld van de verlenging en de redenen daarvoor.