22 112 Nieuwe Commissievoorstellen en initiatieven van de lidstaten van de Europese Unie

Nr. 2309 BRIEF VAN DE MINISTER VAN BUITENLANDSE ZAKEN

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 17 februari 2017

Overeenkomstig de bestaande afspraken ontvangt u hierbij 6 fiches, die werden opgesteld door de werkgroep Beoordeling Nieuwe Commissievoorstellen (BNC).

Fiche: Mededeling opbouwen van een Europese Data-Economie (Kamerstuk 22 112, nr. 2305);

Fiche: Verordening vervanging van de ePrivacyrichtlijn door een ePrivacyverordening (Kamerstuk 22 112, nr. 2306);

Fiche: Mededeling veiliger en gezonder werk voor iedereen (Kamerstuk 22 112, nr. 2307);

Fiche: Mededeling bescherming werknemers tegen carcinogene of mutagene agentia (Kamerstuk 22 112, nr. 2308);

Fiche: Verordening bescherming persoonsgegevens in een geglobaliseerde wereld;

Fiche: Verordening gegevensbescherming EU-instellingen (Kamerstuk 22 112, nr. 2310).

De Minister van Buitenlandse Zaken, A.G. Koenders

Fiche: Mededeling Commissie bescherming persoonsgegevens in een geglobaliseerde wereld

1. Algemene gegevens

a) Titel voorstel

Communication from the Commission to the European Parliament and the Council Exchanging and Protecting Personal Data in a Globalised World

b) Datum ontvangst Commissiedocument

10 januari 2017

c) Nr. Commissiedocument

COM (2017) 7 final

d) EUR-Lex

http://eur-lex.europa.eu/search.html?DTN=0007&DTA=2017&qid=1485246303474&DB_TYPE_OF_ACT=comJoin&CASE_LAW_SUMMARY=false&DTS_DOM=ALL&excConsLeg=true&typeOfActStatus=COM_JOIN&type=advanced&SUBDOM_INIT=ALL_ALL&DTS_SUBDOM=ALL_ALL

e) Nr. impact assessment Commissie en Opinie Impact-assessment Board

Niet opgesteld

f) Behandelingstraject Raad

JBZ Raad

g) Eerstverantwoordelijk ministerie

Veiligheid en Justitie

2. Essentie voorstel

Persoonsgegevens mogen ingevolge het geldende EU-recht slechts naar een derde land worden overgebracht indien dat land een toereikend niveau van gegevensbescherming heeft. De Commissie beoordeelt dat niveau. Na de totstandkoming van de Algemene verordening gegevensbescherming (AVG) en de richtlijn gegevensbescherming opsporing en vervolging is een nieuw, en op onderdelen ook stringenter, kader beschikbaar voor de beoordeling van het niveau van gegevensbescherming in derde landen. De Commissie bevestigt met de Mededeling, die het kader aangeeft, haar bestaande beleid met betrekking tot de beoordeling van derde landen. Daarnaast bevestigt de Commissie haar beleid bij het opstellen van alternatieve instrumenten voor de export van persoonsgegevens, zoals standaardcontractsvoorwaarden. Bovendien spreekt de Commissie haar steun uit voor internationale samenwerking op het gebied van gegevensbescherming buiten de EU. De Commissie spreekt de intentie uit dat de EU moet toetreden tot het Verdrag van de Raad van Europa van 28 januari 1981 (Conventie 108). Tenslotte spreekt de Commissie uit dat op het gebied van rechtshandhaving meer verdragen met derde landen kunnen worden gesloten en wil zij nieuwe instrumenten, zoals de beoordeling van de toereikendheid van het gegevensbeschermingsniveau van derde landen, in de context van de rechtshandhaving gaan benutten.

De Commissie maakt in de Mededeling een onderscheid tussen de private en de publieke sector.

3. Nederlandse positie ten aanzien van de mededeling/aanbeveling

a) Essentie Nederlands beleid op dit terrein

De Mededeling betreft grotendeels bekendmaking van beleid dat de Commissie al langere tijd voert op het gebied van de doorgifte van persoonsgegevens naar derde landen op grond van haar bevoegdheden krachtens richtlijn 95/46/EG van het Europees parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PbEG L 281). De AVG en richtlijn (EU) 2016/680 van het Europees parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en vervolging van strafbare feiten of de tenuitvoerlegging van straf, en betreffende het vrije verkeer van die gegevens en tot intrekking van Kaderbesluit 2008/977/JBZ van de Raad (PbEU L 119) verlenen aan de Commissie soortgelijke bevoegdheden. Nederland heeft terzake slechts een marginale rol in de zogeheten comitologie. In een adviescommissie kunnen de lidstaten de Commissie adviseren over afzonderlijke besluiten die zij op grond van hiervoor genoemde bevoegdheden neemt.

Waar de EU gebruikmaakt van haar verdragsluitende bevoegdheid betreft het een onderwerp dat vrijwel volledig is geharmoniseerd, zodat de beleidsruimte die Nederland heeft ook beperkt is. Niettemin blijkt dat op dit terrein voor Nederland, mits goed wordt samengewerkt met andere lidstaten, positieve resultaten kunnen worden bereikt in de fora waarin de Commissie over de onderhandelingen moet terugkoppelen.

Bij de vaststelling van het beleid inzake de doorgifte van persoonsgegevens naar derde landen moet steeds worden gezocht naar het juiste evenwicht tussen de bescherming van de grondrechten van het individu enerzijds en anderzijds de noodzaak om ten behoeve van de economische belangen te streven naar een zo vrij mogelijk verkeer van persoonsgegevens, of ten behoeve van de rechtshandhaving persoonsgegevens te kunnen verstrekken aan of te kunnen ontvangen uit derde landen. De wijze waarop de Commissie daarmee in de afgelopen jaren is omgegaan kan in algemene zin rekenen op instemming van de kant van Nederland.

b) Beoordeling + inzet ten aanzien van dit voorstel

Nederland kan instemmen met de Mededeling. In de private sector kiest de Commissie voor voortzetting van het bestaande beleid. Nieuw is het voornemen tot toetreding van de EU tot Verdrag 108. Nederland kan dat in beginsel steunen. In de publieke sector geeft de Mededeling een opsomming van nog te nemen maatregelen. Nederland ziet in beginsel geen bezwaar tegen het verder ontwikkelen van dit beleid. Een oordeel kan echter pas worden gegeven wanneer concrete maatregelen worden voorgesteld.

In de private sector ziet de Commissie aanleiding voor herbevestiging van het gebruik van drie methoden voor de doorgifte van persoonsgegevens naar derde landen.

• In de eerste plaats wil de Commissie het beleid voortzetten om ten aanzien van zoveel mogelijk derde landen een oordeel te geven over het niveau van gegevensbescherming in dat land (een zogenaamd adquaatheids of toereikendheidsbesluit). Is dit oordeel eenmaal gegeven, dan mogen gegevens naar dat derde land zonder aanvullende waarborgen worden doorgegeven. Nederland is in algemene zin voorstander van dit beleid. Hier moet echter wel een aantekening bij worden gemaakt. Het beoordelen van de wetgeving, de instituties en gegevensbeschermingspraktijken van een derde land is geen sinecure. Doorgaans vergt dit een zeer langdurig onderzoeks- en adviestraject. Omdat het gegevensbeschermingsniveau in de EU erg hoog ligt, kwalificeren weinig landen voor een adequaatheidsbesluit. Soms zullen derde landen hun wetgeving moeten aanpassen. De bereidheid daartoe is niet onbeperkt. De praktijk leert dan ook dat het zinvol kan zijn om partiële adequaatheids-besluiten te nemen zoals dat in het verleden is gebeurd voor Canada (alleen beperkt tot het federale recht) en recent nog in het EU-US Privacy Shield (alleen beperkt tot delen van de private sector in de Verenigde Staten). Daar komt nog bij dat sinds het Schrems-arrest van het HvJEU de eisen nog strenger zijn geworden, ook ten aanzien van de evaluatie van gegeven besluiten. Nederland constateert dat de Commissie zich rekenschap geeft van die beperkingen. Waar de Commissie in de toekomst ruimte ziet voor adequaatheidsbesluiten voor Japan, Zuid-Korea, India en een groep landen uit Latijns-Amerika, spreekt Nederland dat niet tegen, maar waarschuwt het wel voor overspannen verwachtingen. De praktijk leert dat onderhandelingen gemakkelijk een decennium kunnen duren. Verder constateert Nederland met tevredenheid dat de Commissie serieus werk maakt van de jaarlijkse evaluatie van het EU-US Privacy Shield.

• In de tweede plaats wijst de Commissie op het nut van twee andere reeds beschikbare instrumenten, nl. de ontwikkeling van standaardcontracts-voorwaarden tussen verantwoordelijken voor de verwerking van persoonsgegevens onderling en tussen verantwoordelijken en bewerkers. Die voorwaarden zijn nu nog algemeen geldend van aard, maar de Commissie opent de mogelijkheid voor sectorspecifieke voorwaarden en voorwaarden die tussen bewerkers onderling gelden. De Commissie zal die ontwikkelen in samenspraak met de nationale toezichthouders en het bedrijfsleven. Nederland kan dat beleid steunen. Daarnaast introduceert de AVG een expliciete regeling voor intern bindende bedrijfsvoorschriften. Bedrijven kunnen op concernniveau privacyvoorschriften vaststellen die gebaseerd zijn op het EU-recht en die ook laten gelden in de vestigingen in derde landen. Dit instrument bestaat al langere tijd en is in de toezichtspraktijk inmiddels aanvaard. Toepassing van de nieuwe regels zal naar verwachting leiden tot een breder gebruik van dit instrument. De AVG maakt het ook mogelijk dat gedragscodes en privacykeurmerken als basis kunnen dienen voor doorgiften. Dit zijn nieuwe mogelijkheden. De Commissie moet samen met de toezichthouders nieuwe regelingen treffen over de uitvoeringsaspecten hiervan.

• In de derde plaats wijst de Commissie op verdragen en andere internationale instrumenten waarvan zij aangeeft dat die kunnen bijdragen aan verhoging van het beschermingsniveau. Belangrijk is het op 28 januari 1981 te Straatsburg totstandgekomen verdrag over de bescherming van individuen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens (Verdrag 108 van de Raad van Europa) (Trb. 1988,7). De Commissie wijst erop dat derde landen, ook landen die geen lid van de Raad van Europa zijn, tot dit verdrag kunnen toetreden. Daarvoor bestaat belangstelling, met name bij een groep Afrikaanse landen. Nederland kan toetreding van derde landen in de regel steunen. Sinds 2012 wordt, parallel aan de totstandkoming van de AVG, onderhandeld over een herziening van Verdrag 108. Die herziening heeft tot doel verdrag 108 toekomstbestendig te maken en een fundamentele standaard te bieden voor gegevensbescherming die ook door derde landen kan worden onderschreven. Voorts is de herziening noodzakelijk omdat het geldende verdrag op enkele punten afwijkt van de AVG. Uit artikel 4, derde lid, VEU vloeit voort dat de lidstaten in de onderhandelingen in EU-verband hun posities moeten coördineren. De Commissie spreekt in de Mededeling voor het eerst formeel uit dat de EU streeft naar toetreding tot het verdrag. Nederland kan dit in beginsel steunen, omdat de EU voor eigen instellingen ook intern geldend gegevensbeschermingsrecht heeft en sinds de totstandkoming van de AVG het recht bovendien vrijwel volledig is geharmoniseerd.

Ook in de publieke sector ziet de Commissie ook verschillende mogelijkheden. De Commissie spitst dit toe op de rechtshandhaving.

• In de eerste plaats wijst de Commissie op de mogelijkheid om onder de richtlijn gegevensbescherming opsporing en vervolging adequaatheidsbesluiten vast te stellen. Dit is voor de rechtshandhaving een nieuw instrument waarmee nog geen ervaring is opgedaan. Nederland kan met de toepassing van dit instrument op zichzelf genomen instemmen. Concrete ervaringen zullen echter moeten worden afgewacht.

• In de tweede plaats wijst de Commissie op het nut van het sluiten van verdragen over de doorgifte van persoonsgegevens voor rechtshandhavingsdoeleinden op EU-niveau. Terecht wijst de Commissie op het recent afgeronde EU – US Data Protection Umbrella Agreement. Dat verdrag voorziet in overkoepelende gegevensbeschermingsbepalingen voor afzonderlijk vast te stellen instrumenten die voorzien in de doorgifte van gegevens aan de VS. De Commissie ziet in dit verdrag een voorbeeld voor verdragen met andere derde landen. Nederland kan dat steunen.

• In de derde plaats wijst de Commissie op specifieke instrumenten bedoeld voor de uitwisseling van gegevens tussen rechtshandhavingsinstanties in de EU en private actoren en met uitwisselingen van gegevens met de overheden van derde landen. De Commissie neemt zich voor hierover in juni 2017 met verdere initiatieven te komen. Nederland wacht die initiatieven af.

• In de vierde plaats geeft de Commissie aan dat zij verplicht is om voor 2021 een beoordeling te geven over de bestaande operationele overeenkomsten tussen Europol en derde landen (of andere actoren), met inbegrip van de gegevensbeschermingsbepalingen. Nederland zal ook dit initiatief afwachten.

• In de vijfde plaats zal de Commissie het oordeel van het Hof van Justitie van de EU moeten afwachten over de verenigbaarheid van het verdrag tussen Canada en de EU over de verstrekking van passagiersgegevens met het Handvest van de Grondrechten van de EU. Eerst nadat dit oordeel beschikbaar is kan de Commissie bezien in hoeverre het verdrag kan fungeren als een model voor de verdragen met andere derde landen, zoals zij ambieert.

c) Eerste inschatting van krachtenveld

Nog slechts weinig lidstaten hebben zich over de Mededeling uitgesproken. De lidstaten die dit hebben gedaan waren in algemene zin positief. Nederland gaat ervan uit dat de Mededeling niet tot veel discussie in de Raad aanleiding zal geven. De Mededeling betreft voor de private sector immers grotendeels een voortzetting van het beleid dat al sinds ongeveer 2000 wordt gevoerd. Het betreft bovendien grotendeels de eigen bevoegdheden van de Commissie. Voor de publieke sector zal een oordeel uiteindelijk afhangen van de concrete maatregelen die worden voorgesteld. De opstelling van inhoudelijke Raadsconclusies wordt niet voorzien.

Het Europees parlement heeft zich nog niet uitgesproken.

4. Grondhouding ten aanzien van bevoegdheid, subsidiariteit, proportionaliteit, financiële gevolgen en gevolgen op het gebied van regeldruk en administratieve lasten

a) Bevoegdheid

De bevoegdheid van de EU om op te treden bij de vaststelling van adequaatheids c.q. toereikendheidsbesluiten is neergelegd in artikel 16 VWEU.

Waar het betreft de verdragsluitende bevoegdheid van de EU vindt bovendien artikel 218 VWEU toepassing. Aangezien de doorgifte van persoonsgegevens aan derde landen vrijwel geheel is geharmoniseerd is de bevoegdheid van Unie om terzake verdragen te sluiten een gegeven.

b) Subsidiariteit

Vanwege de exclusieve competentie van de EU voor zover het de toereikendheids-oordelen betreft komt het kabinet niet toe aan een oordeel over de subsidiariteit daaromtrent.

Waar het de verdragsluitende bevoegdheid betreft, is het subsidiariteitsoordeel, gezien de vergaande mate van harmonisering, in beginsel positief. Harmonisatie kan beter op EU-niveau worden bereikt, dan door lidstaten afzonderlijk.

c) Proportionaliteit

Het oordeel over de proportionaliteit is in beginsel positief. Toereikendheidsoordelen en de vaststelling van alternatieve instrumenten voor de doorgifte van persoonsgegevens naar derde landen kunnen uitsluitend door middel van gedelegeerde handelingen door de Commissie worden vastgesteld. Of er een noodzaak is op Unieniveau verdragen te sluiten met betrekking tot de doorgifte van persoonsgegevens met derde landen moet van geval tot geval worden vastgesteld.

d) Financiële gevolgen

Er worden geen financiële gevolgen voorzien.

e) Gevolgen voor regeldruk, administratieve lasten en concurrentiekracht

Uit de Mededeling vloeien geen specifieke gevolgen voor de regeldruk of de administratieve lasten voort.

Wat de concurrentiekracht van de EU betreft, vloeien uit het geheel van de EU-regelgeving die de doorgifte van persoonsgegevens aangaat competitieve gevolgen voor de EU als geheel voort. Bedrijven die gegevens uit de EU naar derde landen willen exporteren moeten als gevolg van dit geheel doorgaans aan meer verplichtingen voldoen dan bedrijven in derde landen die gegevens naar de EU willen exporteren. Het is onvermijdelijk dat daaraan voor bedrijven in de EU hogere kosten zijn verbonden. Gelet op de grondrechtelijke inbedding van het EU-gegevensbeschermingsrecht is dit verschil in concurrentiekracht in belangrijke mate een omstandigheid die moet worden aanvaard. Dat verschil kan bovendien niet als nadelig voor Nederland worden aangemerkt, omdat een betere bescherming van persoonsgegevens het vertrouwen in de ICT-sector in Nederland en de EU versterkt. Op de lange termijn zal dit concurrentieverschil naar verwachting verminderen omdat steeds meer staten de noodzaak inzien van het verbeteren van het niveau van bescherming.