Vragen van de leden Schouw en Verhoeven (beiden D66) aan de staatssecretaris van Veiligheid en Justitie en de minister van Economische Zaken, Landbouw en Innovatie over het bericht dat een Brits advertentiebedrijf een database heeft met profielen van vrijwel alle Nederlanders die online zijn (ingezonden 6 juli 2011).

Antwoord van minister Opstelten (Veiligheid en Justitie), mede namens de minister van Economische Zaken, Landbouw en Innovatie (ontvangen 24 augustus 2011) Zie ook Aanhangsel Handelingen, vergaderjaar 2010–2011, nr. 3229.

Vraag 1

Bent u bekend met het bericht «We zitten allemaal in de Nieuwe Grote Database»?¹

Antwoord 1

Ja.

Vraag 2

Wat is uw reactie op de vaststelling dat het Britse advertentiebedrijf WPP een database heeft met profielen van vrijwel alle Nederlandse internetgebruikers?

Antwoord 2

Het is een feit dat er bedrijven zijn die persoonsgegevens verzamelen met het doel om gedragsgericht te kunnen adverteren ten behoeve van derden. Ik verwijs verder naar de antwoorden van mij respectievelijk de Minister van Economische Zaken, Landbouw en Innovatie en mij op vragen van het lid Gesthuizen van uw Kamer (Kamerstukken II, 2010–2011, Aanhangsel Handelingen, nrs. 1220 en 2427).

Vraag 3

Wat is uw reactie op het concentreren van deze profielen in één database onder het beheer van één organisatie? Welke risico’s kleven aan de opslag en het concentreren van deze gegevens?

Antwoord 3

Ik kan niet oordelen over de specifieke verwerking van (persoons)gegevens door het in het bericht (De Pers, 3 juli 2011) genoemde bedrijf WPP. Dat is voorbehouden aan de bevoegde toezichthouders. In zijn algemeenheid geldt dat de concentratie van veel persoonsgegevens op één plek onder beheer van één organisatie specifieke en stringente maatregelen vereist in lijn met de vigerende wet- en regelgeving.

Vraag 4

Hoe verhouden de activiteiten van deze organisatie zich tot de Wet bescherming persoonsgegevens? Acht u het wenselijk dat al deze persoonsgegevens zonder ondubbelzinnige toestemming verzameld worden?

Antwoord 4

Gegeven de omstandigheid dat WPP volgens het bericht een Brits bedrijf is, mag ervan uit worden gegaan dat de eventuele verwerking van (persoons)gegevens primair wordt beheerst door het gegevensbeschermingsrecht van het Verenigd Koninkrijk. De Wet bescherming persoonsgegevens zou mede van toepassing kunnen zijn als WPP over een vestiging in Nederland zou beschikken en in deze vestiging in het kader van de activiteiten van WPP persoonsgegevens zouden worden verwerkt. In elk geval vloeit uit de EU-privacyrichtlijn voort dat ondubbelzinnige toestemming van de betrokkene niet de enige rechtvaardigingsgrond is voor het verwerken van persoonsgegevens. Er zou ook sprake kunnen zijn van een noodzaak tot verwerking van persoonsgegevens die voortvloeit uit een gerechtvaardigd belang van de verantwoordelijke dat in concreto opweegt tegen het belang of de fundamentele rechten en vrijheden van de betrokkene. Of daarvan daadwerkelijk sprake is, staat ter beoordeling van de bevoegde toezichthouders.

Vraag 5

Bent u van mening dat de privacy van Nederlandse burgers in het geding is? Zo nee, waarom niet? Zo ja, welke stappen gaat u ondernemen om de privacy van de burgers te beschermen?

Antwoord 5

Als sprake is van het verwerken van persoonsgegevens van Nederlandse burgers door WPP, raakt dat de privacy van deze burgers. Het is ter beoordeling van de bevoegde toezichthouders of daarbij sprake is van een verwerking in overeenstemming met de geldende rechtsregels.

Vraag 6

Hoe lang mogen bedrijven zoals WPP en Xaxis verzamelde gegevens bewaren? Wie houdt hier toezicht op?

Antwoord 6

Er bestaan geen wettelijke maximumbewaartermijnen voor de in het bericht genoemde gegevens. WPP en Xaxis moeten deze bewaartermijnen zelf vaststellen. De bevoegde toezichthouders in het Verenigd Koninkrijk en andere in aanmerking komende landen houden toezicht op de rechtvaardiging van de bewaartermijnen en de naleving daarvan.

Vraag 7

Wat is het effect van het eventueel door de Eerste Kamer aannemen van de «cookiewet» (32 549) voor dergelijke activiteiten van bedrijven als Xaxis?

Antwoord 7

De voorliggende wettekst, waaronder de zogenaamde «cookiewet», regelt dat voor het plaatsen of uitlezen van gegevens in de randapparatuur van een gebruiker toestemming is vereist van die gebruiker, waarbij voorafgaand aan die toestemming duidelijke en volledige informatie moet worden verstrekt aan de gebruiker. Dit impliceert dat wanneer organisaties in de toekomst in het kader van het opbouwen van een database gegevens van gebruikers opslaan op of uitlezen van de eindapparatuur van die gebruikers, de bedrijven verplicht zijn de gebruikers hiervoor om toestemming te vragen voorafgegaan door duidelijke en volledige informatie.

Vraag 8

Hoe verhouden de activiteiten van bedrijven als WPP zich tot de door de minister van Economische Zaken, Landbouw en Innovatie bij de behandeling van de wijziging van de Telecomwet (32 549) (bepleitte) zelfregulering bij het gebruik van cookies voor onder meer behavioural advertising?

Antwoord 8

De minister van Economische Zaken, Landbouw en Innovatie heeft tijdens de behandeling van de wijziging van de Telecommunicatiewet aangegeven zelfreguleringinitiatieven van de markt – in lijn met het Europese kader en als aanvulling op de wettelijke bepalingen – een goede ontwikkeling te vinden. De(ze) ontwikkeling(en) doen zodoende niets af aan het feit dat organisaties zich aan de (gewijzigde) bepalingen in de Telecommunicatiewet moeten houden.

---

1 De Pers, «We zitten allemaal in de Nieuwe Grote Database», 23-01-2011.