Rina Steenkamp - Privacy and technology

My annotated General Data Protection Regulation

[Additional information]

[Directive 95/46/EC]

[Article 28]

Chapter VI Supervisory authority and Working Party on the Protection of Individuals with regard to the Processing of Personal Data

Article 28 Supervisory authority

Article 28(1)

1. Each Member State shall provide that one or more public authorities are responsible for monitoring the application within its territory of the provisions adopted by the Member States pursuant to this Directive.

These authorities shall act with complete independence in exercising the functions entrusted to them.

Article 28(2)

2. Each Member State shall provide that the supervisory authorities are consulted when drawing up administrative measures or regulations relating to the protection of individuals' rights and freedoms with regard to the processing of personal data.

Article 28(3)

3. Each authority shall in particular be endowed with:

Decisions by the supervisory authority which give rise to complaints may be appealed against through the courts.

Article 28(4)

4. Each supervisory authority shall hear claims lodged by any person, or by an association representing that person, concerning the protection of his rights and freedoms in regard to the processing of personal data. The person concerned shall be informed of the outcome of the claim.

Each supervisory authority shall, in particular, hear claims for checks on the lawfulness of data processing lodged by any person when the national provisions adopted pursuant to Article 13 of this Directive apply. The person shall at any rate be informed that a check has taken place.

Article 28(5)

5. Each supervisory authority shall draw up a report on its activities at regular intervals. The report shall be made public.

Article 28(6)

6. Each supervisory authority is competent, whatever the national law applicable to the processing in question, to exercise, on the territory of its own Member State, the powers conferred on it in accordance with paragraph 3. Each authority may be requested to exercise its powers by an authority of another Member State.

The supervisory authorities shall cooperate with one another to the extent necessary for the performance of their duties, in particular by exchanging all useful information.

Article 28(7)

7. Member States shall provide that the members and staff of the supervisory authority, even after their employment has ended, are to be subject to a duty of professional secrecy with regard to confidential information to which they have access.

[Source: Directive 95/46/EC]

Cross-reference

Article 28(1)

Article 28(1) Directive 95/46/ECArticle 46(1) GDPR

1. Each Member State shall provide that one or more public authorities are responsible for monitoring the application within its territory of the provisions adopted by the Member States pursuant to this Directive. [...]

1. Each Member State shall provide that one or more public authorities are responsible for monitoring the application of this Regulation and for contributing to its consistent application throughout the Union, in order to protect the fundamental rights and freedoms of natural persons in relation to the processing of their personal data and to facilitate the free flow of personal data within the Union. [...]

 Article 47(1) GDPR

[...] These authorities shall act with complete independence in exercising the functions entrusted to them.

1. The supervisory authority shall act with complete independence in exercising the duties and powers entrusted to it [...]

 Artikel 51 lid 1 Wbp

1. Elke Lid-Staat bepaalt dat een of meer autoriteiten worden belast met het toezicht op de toepassing op zijn grondgebied van de ter uitvoering van deze richtlijn door de Lid-Staten vastgestelde bepalingen. [...]

1. Er is een College bescherming persoonsgegevens dat tot taak heeft toe te zien op de verwerking van persoonsgegevens overeenkomstig het bij en krachtens de wet bepaalde. Tevens houdt het College toezicht op de verwerking van persoonsgegevens in Nederland, wanneer de verwerking plaatsvindt overeenkomstig het recht van een ander land van de Europese Unie.

 Artikel 52 lid 2 Wbp

[...] Deze autoriteiten vervullen de hun opgedragen taken in volledige onafhankelijkheid.

2. Het College vervult zijn taken in onafhankelijkheid.

[Context: Article 46 GDPR, Article 47 GDPR, Artikel 51 Wbp, Artikel 52 Wbp]

Article 28(2)

Article 28(2) Directive 95/46/ECArticle 52(1) point (f) GDPR

2. Each Member State shall provide that the supervisory authorities are consulted when drawing up administrative measures or regulations relating to the protection of individuals' rights and freedoms with regard to the processing of personal data.

1. The supervisory authority shall:

  • (f) be consulted by Member State institutions and bodies on legislative and administrative measures relating to the protection of individuals' rights and freedoms with regard to the processing of personal data;
 Artikel 51 lid 2 Wbp

2. Elke Lid-Staat bepaalt dat de toezichthoudende autoriteiten worden geraadpleegd bij de opstelling van de wettelijke of bestuursrechtelijke bepalingen met betrekking tot de bescherming van de rechten en vrijheden van personen in verband met de verwerking van persoonsgegevens.

2. Het College wordt om advies gevraagd over voorstellen van wet en ontwerpen van algemene maatregelen van bestuur die geheel of voor een belangrijk deel betrekking hebben op de verwerking van persoonsgegevens.

[Context: Article 52 GDPR, Artikel 51 Wbp]

Article 28(3)

Article 28(3) Directive 95/46/ECArticle 53(2) GDPR

3. Each authority shall in particular be endowed with:

  • - investigative powers, such as powers of access to data forming the subject-matter of processing operations and powers to collect all the information necessary for the performance of its supervisory duties,

2. Each supervisory authority shall have the investigative power to obtain from the controller or the processor without prior notice:

  • (a) access to all personal data and to all documents and information necessary for the performance of its duties;
  • (b) access to any of its premises, including to any data processing equipment and means.

    The powers referred to in point (b) shall be exercised in conformity with Union law and Member State law.
 Article 53(1) GDPR
  • - effective powers of intervention, such as, for example, that of delivering opinions before processing operations are carried out, in accordance with Article 20, and ensuring appropriate publication of such opinions, of ordering the blocking, erasure or destruction of data, of imposing a temporary or definitive ban on processing, of warning or admonishing the controller, or that of referring the matter to national parliaments or other political institutions,

1. Each supervisory authority shall, in line with this regulation, have the power:

  • (a) to notify the controller or the processor of an alleged breach of the provisions governing the processing of personal data, and, where appropriate, order the controller or the processor to remedy that breach, in a specific manner, in order to improve the protection of the data subject, or to order the controller to communicate a personal data breach to the data subject;
  • (b) to order the controller or the processor to comply with the data subject's requests to exercise the rights provided by this Regulation;
  • (c) to order the controller and the processor, and, where applicable, the representative to provide any information relevant for the performance of its duties;
  • (d) to ensure the compliance with prior authorisations and prior consultations referred to in Article 34;
  • (e) to warn or admonish the controller or the processor;
  • (f) to order the rectification, erasure or destruction of all data when they have been processed in breach of the provisions of this Regulation and the notification of such actions to third parties to whom the data have been disclosed;
  • (g) to impose a temporary or definitive ban on processing;
  • (h) to suspend data flows to a recipient in a third country or to an international organisation;
  • (i) to issue opinions on any issue related to the protection of personal data;
  • (ia) to certify controllers and processors pursuant to Article 39;
  • (j) to inform the national parliament, the government or other political institutions as well as the public on any issue related to the protection of personal data.
  • (ja) to put in place effective mechanisms to encourage confidential reporting of breaches of this Regulation, taking into account guidance issued by the European Data Protection Board pursuant to Article 66(4b).
 Article 53(3) GDPR
  • - the power to engage in legal proceedings where the national provisions adopted pursuant to this Directive have been violated or to bring these violations to the attention of the judicial authorities.

3. Each supervisory authority shall have the power to bring violations of this Regulation to the attention of the judicial authorities and to engage in legal proceedings, in particular pursuant to Article 74(4) and Article 75(2).

 Article 74(1) GDPR

Decisions by the supervisory authority which give rise to complaints may be appealed against through the courts.

1. Without prejudice to any other administrative or non-judicial remedy, each natural or legal person shall have the right to a judicial remedy against decisions of a supervisory authority concerning them.

 Artikel 61 lid 1, 2, 3, 4 en 5 Wbp

3. Elke toezichthoudende autoriteit beschikt met name over:

  • - onderzoeksbevoegdheden, zoals het recht van toegang tot gegevens die het voorwerp vormen van een verwerking en het recht alle inlichtingen in te winnen die voor de uitoefening van haar toezichtstaak noodzakelijk zijn;

1. Met het toezicht op de naleving als bedoeld in artikel 51, eerste lid zijn belast de leden en buitengewone leden van het College, de ambtenaren van het secretariaat van het College, alsmede de bij besluit van het College aangewezen personen.

2. De in het eerste lid bedoelde personen zijn bevoegd een woning te betreden zonder toestemming van de bewoner.

3. De in het eerste lid bedoelde personen behoeven voor de uitoefening van de in het tweede lid omschreven bevoegdheid de uitdrukkelijke en bijzondere volmacht van het College, onverminderd het bepaalde in artikel 2 van de Algemene wet op het binnentreden.

4. Het College is bevoegd tot oplegging van een last onder bestuursdwang ter handhaving van artikel 5:20, eerste lid, van de Algemene wet bestuursrecht, voor zover het betreft de verplichting tot het verlenen van medewerking aan een bij of krachtens het eerste lid aangewezen ambtenaar.

5. Geen beroep is mogelijk op een geheimhoudingsplicht, voor zover inlichtingen of medewerking wordt verlangd in verband met de eigen betrokkenheid bij de verwerking van persoonsgegevens.

[Context: Article 53 GDPR, Article 74 GDPR, Artikel 61 Wbp]

Article 28(4)

Article 28(4) Directive 95/46/ECArticle 52(1) point(b) GDPR

4. Each supervisory authority shall hear claims lodged by any person, or by an association representing that person, concerning the protection of his rights and freedoms in regard to the processing of personal data. The person concerned shall be informed of the outcome of the claim.

Each supervisory authority shall, in particular, hear claims for checks on the lawfulness of data processing lodged by any person when the national provisions adopted pursuant to Article 13 of this Directive apply. The person shall at any rate be informed that a check has taken place.

1. The supervisory authority shall:

  • (b) hear complaints lodged by any data subject, or by an association in accordance with Article 73, investigate, to the extent appropriate, the matter and inform the data subject or the association of the progress and the outcome of the complaint within a reasonable period, in particular if further investigation or coordination with another supervisory authority is necessary;
 Artikel 60 lid 1 Wbp

4. Een ieder kan in eigen persoon of door middel van een vereniging die als zijn vertegenwoordiger optreedt bij elke toezichthoudende autoriteit een verzoek indienen met betrekking tot de bescherming van zijn rechten en vrijheden in verband met de verwerking van persoonsgegevens. Hij wordt van het gevolg dat daaraan wordt gegeven in kennis gesteld.

Een ieder kan meer bepaald bij elke autoriteit een verzoek indienen om de rechtmatigheid van een verwerking te verifiëren, wanneer de krachtens artikel 13 van deze richtlijn vastgestelde nationale bepalingen van toepassing zijn. [...]

1. Het College kan ambtshalve of op verzoek van een belanghebbende, een onderzoek instellen naar de wijze waarop ten aanzien van gegevensverwerking toepassing wordt gegeven aan het bepaalde bij of krachtens de wet.

 Artikel 60 lid 3 Wbp

[...] Hij wordt in ieder geval in kennis gesteld van het feit dat een verificatie heeft plaatsgevonden.

3. In geval van een onderzoek, ingesteld op verzoek van een belanghebbende, doet het College aan deze mededeling van zijn bevindingen, tenzij zodanige mededeling onverenigbaar is met het doel van de gegevensverwerking of de aard van de persoonsgegevens, dan wel gewichtige belangen van anderen dan de verzoeker, de verantwoordelijke daaronder begrepen, daardoor onevenredig zouden worden geschaad. Indien het mededeling van zijn bevindingen achterwege laat, zendt het de belanghebbende zodanig bericht als hem geraden voorkomt.

[Context: Article 52 GDPR, Artikel 60 Wbp]

Article 28(5)

Article 28(5) Directive 95/46/ECArticle 54 GDPR

5. Each supervisory authority shall draw up a report on its activities at regular intervals. The report shall be made public.

Each supervisory authority must draw up a report on its activities at least every two years. The report shall be presented to the respective parliament and shall be made be available to the public, the Commission and the European Data Protection Board.

 Artikel 58 Wbp

5. Elke toezichthoudende autoriteit stelt op gezette tijden een verslag op over haar activiteiten. Dit verslag wordt gepubliceerd.

Het College stelt jaarlijks vóór 1 september een verslag op van de werkzaamheden, het gevoerde beleid in het algemeen en de doelmatigheid en doeltreffendheid van zijn werkwijze in het bijzonder in het afgelopen kalenderjaar. Het verslag wordt aan Onze Minister en aan de functionarissen voor de gegevensbescherming als bedoeld in artikel 62 toegezonden en algemeen verkrijgbaar gesteld.

[Context: Article 54 GDPR, Artikel 58 Wbp]

Article 28(6)

Article 28(6) Directive 95/46/ECArticle 51(1) GDPR

6. Each supervisory authority is competent, whatever the national law applicable to the processing in question, to exercise, on the territory of its own Member State, the powers conferred on it in accordance with paragraph 3. Each authority may be requested to exercise its powers by an authority of another Member State.

1. Each supervisory authority shall be competent to perform the duties and to exercise the powers conferred on it in accordance with this Regulation on the territory of its own Member State, without prejudice to Articles 73 and 74. Data processing by a public authority shall be supervised only by the supervisory authority of that Member State.

 Article 55(1) GDPR

The supervisory authorities shall cooperate with one another to the extent necessary for the performance of their duties, in particular by exchanging all useful information.

1. Supervisory authorities shall provide each other relevant information and mutual assistance in order to implement and apply this Regulation in a consistent manner, and shall put in place measures for effective co-operation with one another. [...]

 Artikel 51 lid 1 Wbp

6. Elke toezichthoudende autoriteit is bevoegd, ongeacht welk nationaal recht op de betrokken verwerking van toepassing is, op het grondgebied van haar eigen Lid-Staat de haar overeenkomstig lid 3 verleende bevoegdheden uit te oefenen. Elke autoriteit kan door een autoriteit van een andere Lid-Staat worden verzocht haar bevoegdheden uit te oefenen.

1. Er is een College bescherming persoonsgegevens dat tot taak heeft toe te zien op de verwerking van persoonsgegevens overeenkomstig het bij en krachtens de wet bepaalde. Tevens houdt het College toezicht op de verwerking van persoonsgegevens in Nederland, wanneer de verwerking plaatsvindt overeenkomstig het recht van een ander land van de Europese Unie.

 Artikel 61 lid 6 Wbp

De toezichthoudende autoriteiten werken onderling samen voor zover zulks noodzakelijk is voor de uitvoering van hun taken, met name door de uitwisseling van alle nuttige inlichtingen.

6. Het College is desgevraagd verplicht aan de toezichthoudende autoriteiten van de andere lidstaten van de Europese Unie alle medewerking te verlenen voor zover dat noodzakelijk is voor de uitvoering van hun taken.

[Context: Article 51 GDPR, Article 55 GDPR, Artikel 51 Wbp, Artikel 61 Wbp]

Article 28(7)

Article 28(7) Directive 95/46/ECArticle 50 GDPR

7. Member States shall provide that the members and staff of the supervisory authority, even after their employment has ended, are to be subject to a duty of professional secrecy with regard to confidential information to which they have access.

The members and the staff of the supervisory authority shall be subject, both during and after their term of office and in conformity with national legislation and practice, to a duty of professional secrecy with regard to any confidential information which has come to their knowledge in the course of the performance of their official duties, whilst conducting their duties with independence and transparency as set out in the Regulation.

[Context: Article 50 GDPR]