Vragen van het lid Teeven (VVD) aan de ministers van Justitie en van Binnenlandse Zaken en Koninkrijksrelaties over het artikel «Uw vingerafdrukken bij de Franse militaire industrie» (ingezonden 19 maart 2010).

Antwoord van staatssecretaris Bijleveld-Schouten (Binnenlandse Zaken en Koninkrijksrelaties), mede namens de minister van Justitie (ontvangen 20 april 2010)

Vraag 1

Heeft u kennisgenomen van het artikel «Uw vingerafdrukken bij de Franse militaire industrie»?¹

Antwoord

Ja.

Vraag 2

Kunt u de gang van zaken, zoals beschreven in dit artikel, bevestigen? Wordt de vingerafdrukkendatabase inderdaad beheerd door een Franse bedrijf genaamd Sagem dat een dochter is van de SAFRAN GROUP, een Frans defensie-, luchtvaart- en veiligheidsconglomeraat? Hoe word Sagem's beheer van de Nederlandse persoonsgegevens gecontroleerd?

Antwoord

Voor het antwoord op deze vraag verwijs ik u naar mijn antwoorden op de vragen van het lid Van Raak (nummer 2010Z04738).

Vraag 3

Zijn er meer buitenlandse bedrijven die Nederlandse persoonsgegevens beheren? Zo ja, welke bedrijven zijn dit en uit welke landen zijn zij afkomstig? Kunnen deze gegevens in verkeerde handen vallen?

Antwoord

Het is niet bekend in hoeveel gevallen de verwerking van persoonsgegevens die betrekking hebben op Nederlandse burgers of ingezetenen van Nederland buiten Nederland plaatsvindt. Datzelfde geldt voor de bewerking van persoonsgegevens. Daarvan is sprake wanneer feitelijke werkzaamheden met betrekking tot persoonsgegevens door derden worden verricht krachtens een zogeheten bewerkersovereenkomst gesloten tussen verwerker en bewerker. Er bestaat noch bij mij, noch bij het College bescherming persoonsgegevens een registratie van het aantal gevallen waarin dit plaatsvindt.

Hierbij moet worden bedacht dat op grond van richtlijn nr. 95/46/EG van het Europees Parlement en de Raad van de Europese Unie² persoonsgegevens vrij kunnen circuleren binnen de Europese Unie, respectievelijk, de Europese Economische Ruimte, zolang verwerker en bewerker zich houden aan de eisen van de richtlijn en de wetgeving van het land waar de verwerking (of bewerking) plaatsvindt. De richtlijn garandeert een hoog niveau van gegevensbescherming en bevat eisen over beveiliging en geheimhouding van persoonsgegevens. In alle landen van de Europese Unie bestaat een toezichthouder voor de gegevensbescherming die over de noodzakelijke bevoegdheden beschikt om een rechtmatige verwerking zonodig te kunnen afdwingen.

Er bestaat evenmin een overzicht van doorgiften van persoonsgegevens naar landen buiten de Europese Economische Ruimte. In een aantal gevallen is ook dit mogelijk zonder nadere beperkingen. Dan heeft het vooral betrekking op gegevens die worden doorgegeven naar landen waarvan de Europese Commissie op grond van haar bevoegdheden het oordeel heeft gegeven dat in het desbetreffende land een adequaat niveau van gegevensbescherming bestaat, of gegevens die worden doorgegeven aan bedrijven of instanties, gevestigd in de Verenigde Staten, die onder de zogeheten «Safe Harbor Principles» zijn aangemeld. Voor een restcategorie van doorgiften wordt een vergunning verleend door de Minister van Justitie op grond van de Wet bescherming persoonsgegevens. In 2008 zijn 79 van dergelijke vergunningen afgegeven. In het merendeel van de gevallen betreft het doorgiften naar de Verenigde Staten. Vaak is er dan sprake van verwerkingen met betrekking tot werknemers of klanten binnen het verband van een grote multinationale onderneming met vestigingen in de Verenigde Staten en Nederland.

Vraag 4

Wat gaat u doen om deze ongewenste toegang tot Nederlandse persoonsgegevens te voorkomen?

Antwoord

Zoals uit mijn antwoorden blijkt op de vragen van het lid Van Raak (nummer 2010Z04738) is er voor wat betreft de Nederlandse reisdocumenten geen sprake van ongewenste toegang. Ook overigens zie ik geen aanleiding voor het oordeel dat er sprake is van ongewenste activiteiten.

---

1 NRC Handelsblad, 17 maart 2010.

2 Richtlijn van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PbEG L 281).