35 447 Regels omtrent gegevensverwerking door samenwerkingsverbanden (Wet gegevensverwerking door samenwerkingsverbanden)

Nr. 7 NOTA VAN WIJZIGING

Ontvangen 29 oktober 2020

Het voorstel van wet wordt gewijzigd als volgt:

A

In artikel 1.1 wordt in de alfabetische volgorde de volgende definitie ingevoegd:

– geautomatiseerde gegevensanalyse: bij algemene maatregel van bestuur aangewezen vormen van analyse van persoonsgegevens die worden verricht zonder menselijke tussenkomst;

B

Aan artikel 1.12, eerste lid, wordt een volzin toegevoegd, luidende: «Een cluster van samenwerkingsverbanden kan beslissen om één gezamenlijk jaarverslag uit te brengen.»

C

In artikel 2.4, eerste lid, wordt «betrokkene» telkens vervangen door «de betrokken natuurlijke persoon of rechtspersoon» en wordt «personen» vervangen door «natuurlijke personen of rechtspersonen».

D

Artikel 2.5 wordt als volgt gewijzigd:

1. Voor de tekst wordt de aanduiding «1.» geplaatst.

2. Er wordt een lid toegevoegd, luidende:

2. Bij of krachtens algemene maatregel van bestuur kunnen nadere regels worden gesteld over de activiteiten, bedoeld in het eerste lid, en kunnen aanvullende activiteiten, waaronder geautomatiseerde gegevensanalyse, worden aangewezen, voor zover die noodzakelijk zijn voor het doel, bedoeld in artikel 2.2.

E

Artikel 2.12 wordt als volgt gewijzigd:

1. In het eerste lid wordt «betrokkene» telkens vervangen door «de betrokken natuurlijke persoon of rechtspersoon».

2. In het eerste lid, onder e, en het tweede lid wordt «personen» telkens vervangen door «natuurlijke personen of rechtspersonen».

3. In het eerste lid, onder g, wordt «persoonsgegevens van strafrechtelijke aard» vervangen door «justitiële en strafvorderlijke gegevens en tenuitvoerleggingsgegevens».

4. In het derde lid, eerste volzin, wordt voor de punt aan het slot ingevoegd: «en kunnen aanvullende categorieën gegevens worden aangewezen, voor zover dat noodzakelijk is voor het doel, bedoeld in artikel 2.10».

F

In artikel 2.13, aanhef, wordt «geautomatiseerd analyseren» vervangen door «al dan niet met behulp van geautomatiseerde gegevensanalyse verwerken».

G

Artikel 2.22, eerste lid, onderdeel a, wordt als volgt gewijzigd:

1. In onderdeel 2°, tweede gedachtestreepje, wordt «persoonsgegevens van strafrechtelijke aard» vervangen door «politiegegevens».

2. In onderdeel 2°, derde gedachtestreepje, wordt «persoonsgegevens van strafrechtelijke aard» vervangen door «justitiële en strafvorderlijke gegevens en tenuitvoerleggingsgegevens».

3. In onderdeel 3° wordt «persoonsgegevens van strafrechtelijke aard» vervangen door «politiegegevens».

H

Artikel 2.30, eerste lid, onderdeel a, wordt als volgt gewijzigd:

1. Na het zevende gedachtestreepje wordt «persoonsgegevens van strafrechtelijke aard» vervangen door «politiegegevens».

2. Na het achtste gedachtestreepje wordt «persoonsgegevens van strafrechtelijke aard» vervangen door «justitiële en strafvorderlijke gegevens en tenuitvoerleggingsgegevens»

I

In artikel 3.2, onderdeel d, wordt voor de puntkomma aan het slot ingevoegd «en de activiteiten die het samenwerkingsverband verricht, waaronder geautomatiseerde gegevensanalyse».

Toelichting:

A (artikel 1.1)

In het wetsvoorstel ontbrak een definitie voor geautomatiseerde gegevensanalyse. Wat hieronder wordt verstaan is relevant, omdat geautomatiseerde analyse van persoonsgegevens voor samenwerkingsverbanden in de zin van dit wetsvoorstel alleen wordt toegestaan wanneer dit wetsvoorstel expliciet daartoe de bevoegdheid regelt. Wanneer sprake is van geautomatiseerde gegevensanalyse, biedt het wetsvoorstel vervolgens aanvullende waarborgen om de zorgvuldigheid en kwaliteit van de gegevensverwerking te bewaken (met name artikel 1.9).

Om rechtsonzekerheid te voorkomen, is het wenselijk om alsnog een definitie op te nemen. Daartoe is het nodig om af te bakenen welke activiteiten van samenwerkingsverbanden worden aangemerkt als geautomatiseerde gegevensanalyse. Omwille van de toekomstbestendigheid en gelet op innovatieve technologische ontwikkelingen, is het wenselijk om de definitie zoveel mogelijk techniekneutraal te houden en om een delegatiegrondslag op te nemen om bij amvb de vormen van geautomatiseerde gegevensanalyse te omschrijven. Geautomatiseerde gegevensanalyse valt uitsluitend onder de definitie voor zover het persoonsgegevens betreft.

Bij geautomatiseerde gegevensanalyse valt te denken aan een gegevensanalyse die daadwerkelijk door een geautomatiseerd systeem zelf wordt uitgevoerd zonder menselijke tussenkomst. Dit is niet aan de orde bij analyses waarbij een softwarepakket (bijv. Excel of Analyst Notebook) slechts gebruikt wordt als hulpmiddel bij de analyse – ondergeschikt aan de daadwerkelijke analyse – terwijl de feitelijke analyse door een natuurlijk persoon wordt gedaan. Een voorbeeld van een vorm van geautomatiseerde gegevensanalyse die bij amvb zou kunnen worden aangewezen, is geautomatiseerde analyse van gegevensbestanden waarbij de uitkomsten – zoals potentiële verbanden en patronen tussen personen – daadwerkelijk uit een softwarepakket zelf voortvloeien.

Het enkele feit dat er soms grote hoeveelheden data worden verwerkt betekent nog niet dat sprake is van geautomatiseerde gegevensanalyse. Bestandsvergelijking (bijv. hit, no-hit) is een gewone verwerking en derhalve geen (geautomatiseerde) analyse.

Geautomatiseerde gegevensanalyse moet overigens niet worden verward met «geautomatiseerde besluitvorming» in de zin van de AVG, waarbij een besluit wordt genomen, enkel op basis van een geautomatiseerde verwerking. De geautomatiseerde gegevensanalyse is geenszins een besluit. Daar komt bij dat een samenwerkingsverband in het geheel geen besluitvormende bevoegdheden heeft. Er zal derhalve in geen geval sprake zijn van geautomatiseerde besluitvorming door het samenwerkingsverband als bedoeld in artikel 22 AVG. Het onderhavige wetsvoorstel gaat niet over geautomatiseerde besluitvorming en geeft daarvoor geen grondslag. In dit wetsvoorstel kan de geautomatiseerde gegevensanalyse slechts aanleiding zijn voor verder onderzoek door een of meer deelnemers van het samenwerkingsverband. Artikel 1.9, tweede lid, WGS verzekert dat een resultaat van geautomatiseerde gegevensanalyse uitsluitend aan een deelnemer of derde kan worden verstrekt na menselijke tussenkomst waarbij wordt beoordeeld of het resultaat op zorgvuldige wijze tot stand is gekomen. Wanneer een deelnemer relevante informatie ontvangt van het samenwerkingsverband, geeft dat die deelnemer de mogelijkheid om capaciteit in te zetten voor bijvoorbeeld verder onderzoek en interventiebepaling. De informatie dient nader geanalyseerd te worden.

B (artikel 1.12, eerste lid)

Naar aanleiding van de nota naar aanleiding van het verslag is de mogelijkheid toegevoegd dat een cluster van samenwerkingsverbanden (RIEC’s of Zorg- en Veiligheidshuizen) kan beslissen om één gezamenlijk jaarverslag uit te brengen. Hiermee kunnen de krachten worden gebundeld en uitvoeringslasten worden beperkt. Deze bepaling sluit aan bij artikel 1.8, zesde lid, dat het mogelijk maakt om één gezamenlijke rechtmatigheidsadviescommissie in te stellen voor een cluster van samenwerkingsverbanden.

C (artikel 2.4, eerste lid)

Deze wijziging stelt buiten twijfel dat de gegevensverstrekking aan het FEC zowel betrekking heeft op natuurlijke personen als rechtspersonen. Dit sluit aan bij het doel van het FEC, dat betrekking heeft op risico’s met betrekking tot de integriteit van natuurlijke of rechtspersonen die binnen het financiële stelsel werkzaam zijn (artikel 2.2, tweede lid)

D (artikel 2.5, tweede lid)

In artikel 2.5, tweede lid, is de mogelijkheid toegevoegd om bij amvb nadere regels te stellen over de activiteiten van het FEC, evenals de mogelijkheid om aanvullende activiteiten, waaronder geautomatiseerde gegevensanalyse, aan te wijzen, voor zover die noodzakelijk zijn voor het doel van het FEC. Met deze bepaling is aangesloten bij het gelijkluidende artikel 2.18, tweede lid, dat op de RIEC’s van toepassing is.

Artikel 2.5, tweede lid, is relevant omdat in het wetsvoorstel niet expliciet was bepaald dat de gegevensanalyse door het FEC ook geautomatiseerde gegevensanalyse kan omvatten.

Hoewel het FEC thans geen volledig geautomatiseerde gegevensanalyses verricht, dient de mogelijkheid om in de toekomst wel geautomatiseerde gegevensanalyses te kunnen verrichten, voor het FEC niet bij voorbaat te zijn uitgesloten. Omwille van de toekomstbestendigheid en gelet op innovatieve technologische ontwikkelingen is het ongewenst om bij voorbaat de deur dicht te houden voor technische ontwikkelingen, wanneer die noodzakelijk blijken om de verwachte toename aan data in de toekomst effectief te kunnen verwerken, bijvoorbeeld bij uitbreiding van (internationale) samenwerking of de ontwikkeling van efficiëntere analysemethodieken.

E (artikel 2.12)

De wijzigingen van artikel 2.12, eerste en tweede lid, stellen buiten twijfel dat de gegevensverstrekking aan iCOV zowel betrekking kan hebben op een natuurlijk persoon als een rechtspersoon. Dit sluit aan bij de rapportages die iCOV vervaardigt, die volgens artikel 2.13 betrekking hebben op zowel natuurlijke personen als rechtspersonen. Daarnaast is een redactionele verbetering doorgevoerd om op consistente wijze te verwijzen naar justitiële en strafvorderlijke gegevens en tenuitvoerleggingsgegevens in de fase waarin deze aan het samenwerkingsverband worden verstrekt.

In artikel 2.12, derde lid, is de mogelijkheid toegevoegd om bij amvb aanvullende categorieën te verstrekken gegevens te regelen. Deze bepaling, die betrekking heeft op iCOV, is in overeenstemming gebracht met vergelijkbare artikelen voor de andere samenwerkingsverbanden (artikelen 2.4, tweede lid, 2.22, tweede lid, en 2.30, tweede lid). Hiermee is de bepaling geharmoniseerd, aangezien de mogelijkheid van aanvulling van categorieën gegevens bij iCOV ontbrak. In het wetsvoorstel is ervoor gekozen om de categorieën van gegevens die de samenwerkingsverbanden mogen verwerken weliswaar zoveel mogelijk maar niet uitputtend in het wetsvoorstel zelf te benoemen. Deze keuze vloeit voort uit de behoefte aan enige flexibiliteit. Er kunnen zich immers nieuwe categorieën van relevante gegevens aandienen die nu nog niet voorzienbaar zijn, maar wel als noodzakelijk kunnen worden aangemerkt voor het doel van het desbetreffende samenwerkingsverband. Het zou dan de slagvaardigheid te zeer beperken om daarvoor steeds de procedure van wetgeving in formele zin te doorlopen.

F (artikel 2.13)

Door de formulering van artikel 2.13 ontbrak onbedoeld de mogelijkheid om op de gangbare wijze rapportages samen te stellen, dat wil zeggen door vormen van gegevensverwerking die geen geautomatiseerde gegevensverwerking inhouden. Hierdoor zou alleen de mogelijkheid resteren om geautomatiseerd gegevens te analyseren. Met de gewijzigde formulering is het mogelijk om te kiezen tussen de gangbare wijze en de geautomatiseerde gegevensanalyse. Dit is relevant omdat iCOV mede gebruikmaakt van «hit, no hit»-bestandsvergelijking. Dit is geen analyse en reeds om die reden geen geautomatiseerde gegevensanalyse; het is een gewone gegevensverwerking.

G (artikel 2.22, eerste lid, onderdeel a) en H (artikel 2.30, eerste lid, onderdeel a)

Met deze redactionele verbetering wordt voor de in de artikelen 2.22, eerste lid, onderdeel a, en 2.30, eerste lid, onderdeel a, bedoelde categorieën politiegegevens aangesloten bij de terminologie van artikel 1, onderdeel a, van de Wet politiegegevens. Daarnaast zijn twee redactionele verbeteringen doorgevoerd om op consistente wijze te verwijzen naar justitiële en strafvorderlijke gegevens en tenuitvoerleggingsgegevens als bedoeld in artikel 1 van de Wet justitiële en strafvorderlijke gegevens in de fase waarin deze aan het samenwerkingsverband worden verstrekt.

I (artikel 3.2, onderdeel d)

In artikel 3.2 ontbrak abusievelijk een delegatiegrondslag voor geautomatiseerde gegevensanalyse door samenwerkingsverbanden die bij amvb worden aangewezen. Voor dergelijke samenwerkingsverbanden dient geautomatiseerde gegevensanalyse niet categorisch uitgesloten te zijn. Om de mogelijkheid open te houden, is artikel 3.2 aangepast. Wanneer de delegatiegrondslag wordt gebruikt, geldt overigens de parlementaire nahangprocedure uit artikel 3.3. Verder is in onderdeel d toegevoegd dat activiteiten kunnen worden aangewezen, omwille van de consistentie met hoofdstuk 2.

Deze nota van wijziging wordt mede namens de Minister voor Rechtsbescherming aangeboden.

De Minister van Justitie en Veiligheid, F.B.J. Grapperhaus