31 841
Wijziging van de Wet bescherming persoonsgegevens in verband met de vermindering van administratieve lasten en nalevingskosten, wijzigingen teneinde wetstechnische gebreken te herstellen en enige andere wijzigingen

nr. 11
NOTA VAN WIJZIGING

Ontvangen 17 september 2009

Het voorstel van wet wordt als volgt gewijzigd:

A

1. In artikel I worden de onderdelen J en K geletterd K en L.

2. In artikel I wordt na onderdeel I, een onderdeel ingevoegd, luidende:

J

In artikel 76 wordt, onder vernummering van het tweede tot derde lid, een lid ingevoegd, luidende:

2. In afwijking van het eerste lid kunnen persoonsgegevens die aan een verwerking worden onderworpen of die zijn bestemd om na hun doorgifte te worden verwerkt naar een land buiten de Europese Unie worden doorgegeven, indien dat land partij is bij de op 2 mei 1992 te Oporto totstandgekomen Overeenkomst betreffende de Europese Economische Ruimte (Trb. 1992, 132), tenzij uit een besluit van de Commissie van de Europese Gemeenschappen of de Raad van de Europese Unie voortvloeit dat deze doorgifte is beperkt of verboden.

B

Artikel I, onderdeel K (nieuw), komt te luiden:

K

Artikel 77 wordt als volgt gewijzigd:

In het eerste lid wordt, onder vervanging van de punt aan het slot van onderdeel f door een puntkomma, een onderdeel toegevoegd, luidende:

g. gebruik wordt gemaakt van een modelcontract als bedoeld in artikel 26, vierde lid, van richtlijn nr. 95/46/EG van het Europees Parlement en de Raad van de Europese Unie van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PbEG L 281).

C

Artikel I, onderdeel L (nieuw), komt te luiden:

L

Artikel 78 wordt als volgt gewijzigd:

1. Het tweede lid komt te luiden:

2. Indien zulks voortvloeit uit een besluit van de Commissie van de Europese Gemeenschappen of de Raad van de Europese Unie, bepaalt Onze Minister van Justitie bij ministeriële regeling of bij besluit dat:

a. de doorgifte naar een land buiten de Europese Unie is verboden, of,

b. een op grond van artikel 77, tweede lid, verleende vergunning wordt ingetrokken of gewijzigd.

2. Onder vernummering van het derde tot zesde lid, worden drie leden ingevoegd, luidende:

3. Aan een derde land, waarvan de Commissie van de Europese Gemeenschappen of de Raad van de Europese Unie heeft vastgesteld dat het waarborgen voor een passend beschermingsniveau biedt kunnen, onverminderd het overigens bij of krachtens deze wet bepaalde, persoonsgegevens worden doorgegeven.

4. In afwijking van het derde lid kan de doorgifte van persoonsgegevens naar een derde land waarvan de Commissie van de Europese Gemeenschappen of de Raad van de Europese Unie heeft vastgesteld dat het waarborgen voor een passend beschermingsniveau biedt, door Onze Minister van Justitie bij ministeriële regeling of bij besluit, gehoord het College, worden opgeschort, teneinde personen bij de verwerking van persoonsgegevens te beschermen in de gevallen waarin:

a. een bevoegde autoriteit in het derde land tot de conclusie is gekomen dat de desbetreffende ontvanger in strijd met de toepasselijke normen voor gegevensbescherming handelt;

b. het zeer waarschijnlijk is dat niet aan de normen voor gegevensbescherming wordt voldaan, er gegronde redenen zijn om aan te nemen dat de bevoegde autoriteit in het derde land niet tijdig passende maatregelen neemt of zal nemen om het desbetreffende probleem op te lossen, de voortzetting van de doorgifte een dreigend gevaar voor ernstige schade aan de betrokkene inhoudt en het College voldoende inspanningen heeft geleverd om de in het derde land gevestigde verantwoordelijke in kennis te stellen van zijn bevindingen en hem gelegenheid heeft geboden op die bevindingen te reageren.

5. De ministeriële regeling, onderscheidenlijk het besluit, bedoeld in het vierde lid, blijft van kracht tot vaststaat dat de normen voor gegevensverwerking worden nageleefd en het College daarvan in kennis is gesteld door de desbetreffende bevoegde autoriteit, in een geval als bedoeld in het vierde lid, onder a, dan wel het College dit heeft vastgesteld in een geval als bedoeld in het vierde lid, onder b. Het College brengt zijn bevindingen ter kennis van Onze Minister van Justitie.

Toelichting

Algemeen

In deze nota van wijziging zijn enige inhoudelijke en wetgevingstechnische verbeteringen van het wetsvoorstel opgenomen.

In onderdeel A is een wijziging opgenomen van artikel 76 van de Wet bescherming persoonsgegevens (Wbp) waarmee een bijzondere voorziening wordt getroffen voor de doorgifte van persoonsgegevens uit Nederland naar landen die niet tot de Europese Unie behoren, maar die wel partij zijn bij de op 2 mei 1992 te Oporto totstandgekomen Overeenkomst betreffende de Europese Economische Ruimte (Trb. 1992, 132). Uit Besluit van het Gemengd Comité van de EER nr. 83/1999 van 25 juni 1999 tot wijziging van Protocol nr. 37 en bijlage XI (Telecommunicatiediensten) bij de EER-Overeenkomst (PbEG 2000 L 296) (hierna: EER-Overeenkomst) volgt dat richtlijn nr. 95/46/EG van het Europees Parlement en de Raad van de Europese Unie van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PbEG L 281) (hierna: de richtlijn) ook geldt in de Europese Economische Ruimte (hierna: EER). Dat betekent de ruimte waarbinnen persoonsgegevens vrij moeten kunnen worden doorgegeven zich niet alleen uitstrekt tot de gehele Europese Unie, maar tot de gehele EER. Vrij gegevensverkeer met Noorwegen, IJsland en Liechtenstein is sinds evengenoemd besluit van het Gemengd Comité mogelijk. Dat besluit was tot dusverre niet geïmplementeerd in de Wbp. Het georganiseerd bedrijfsleven heeft ondergetekenden terecht op dit punt gewezen. In het besluit van het Gemengd Comité is overigens wel een uitzondering gemaakt op de regel van een geheel vrij gegevensverkeer binnen de EER. Hoewel Noorwegen, IJsland en Liechtenstein op grond van het besluit inhoudelijk volledig betrokken worden bij de voorbereiding van beslissingen die de Europese Commissie of de Raad van de Europese Unie kunnen nemen over de beoordeling van het niveau van gegevensbescherming in derde landen, maakt dit als gevolg van de verhouding tussen Europese Unie en EER nog geen einde aan de mogelijkheid dat elk van deze drie landen nog zelfstandig een beslissing neemt over de passendheid van het niveau van gegevensbescherming in een derde land. Daarmee blijft het in theorie mogelijk dat die beslissingen in concrete gevallen inhoudelijk afwijken van de beslissingen die de Europese instellingen terzake nemen. Er zou door Noorwegen, IJsland of Liechtenstein een besluit kunnen worden genomen dat gegevensdoorgifte uit een van die landen naar een derde land toelaat, onder aanvaarding van een lager beschermingsniveau dan de Europese Unie bereid is accepteren ten aanzien van dat derde land. Op die manier zou afbreuk kunnen worden gedaan aan het hoge beschermingsniveau dat de richtlijn beoogt te bieden. In het besluit van het Gemengd Comité wordt daarom de mogelijkheid opengehouden dat bij een dergelijke afwijking de gegevensdoorgifte naar Noorwegen, IJsland en Liechtenstein moet kunnen worden beperkt of verboden, overeenkomstig de procedures van de richtlijn. Daarmee is in het voorgestelde artikel 76, tweede lid, en in het voorgestelde artikel 78 Wbp rekening gehouden.

In onderdeel B is een nieuwe redactie voor artikel I, onderdeel J (thans: K), van het wetsvoorstel opgenomen. Gebleken is dat de verwijzing naar artikel 26, vierde lid, van de richtlijn bij het georganiseerde bedrijfsleven de vraag opriep of persoonsgegevens alleen aan derde landen mochten worden doorgegeven wanneer van beide modelcontracten waarnaar deze bepaling verwijst gebruik is gemaakt. Dat werd niet beoogd. Door de verwijzing naar artikel 26, vierde lid, van de richtlijn in het enkelvoud te redigeren, wordt verduidelijkt dat ook bij het gebruik van één modelcontract de voorziening van artikel 77, eerste lid, onder f, van de Wbp kan worden ingeroepen.

In onderdeel C is een nieuwe redactie van artikel I, onderdeel K (thans: L), van het wetsvoorstel opgenomen. Zowel de vragen van de leden van de SP-fractie in het verslag, als enige opmerkingen die de eerste ondergetekende van de zijde van het georganiseerde bedrijfsleven ontving, zijn aanleiding geweest de redactie van dit artikelonderdeel bij te stellen.

Verder is in het voorgestelde artikel 78, derde lid, van de Wbp de zinsnede «zonder aanvullende garanties» vervangen door: onverminderd het overigens bij en krachtens deze wet bepaalde. Bij nader inzien verdient dit de voorkeur, teneinde te expliciteren dat er wel degelijk materiële normen blijven gelden ten aanzien van de gegevensverwerking bij doorgifte aan een derde land.

Tenslotte verdient het voorgestelde artikel 78, vierde en vijfde lid, van de Wbp bij nader inzien in procedureel opzicht nog enige versterking. Zo is, in lijn met de overige bepalingen van hoofdstuk 11 van de Wbp, geëxpliciteerd dat het de Minister van Justitie is die bij ministeriële regeling of bij besluit tot de opschorting kan besluiten.

Advisering

Een ontwerp van deze nota van wijziging is bij brief van de Minister van Justitie, mede namens de Minister van Binnenlandse Zaken en Koninkrijksrelaties, van 25 mei 2009, nr. 5602762/09/6, voor advies aan het College bescherming persoonsgegevens (Cbp) voorgelegd. Het Cbp heeft bij brief van 20 juli 2009, nr. z2007–00676, advies uitgebracht.

Ten aanzien van het voornemen om de reikwijdte van hoofdstuk 11 van de Wbp te verruimen tot het gegevensverkeer met landen buiten de EER, wijst het Cbp op twee omstandigheden die bij de uitleg van het hierboven genoemde besluit van het Gemengd Comité zijns inziens van belang zijn. Ten eerste stelt het Cbp zich op het standpunt dat een in dat besluit voorgenomen aanpassing van richtlijn nr. 95/46/EG om deze in overeenstemming te brengen met de aanvulling van de EER-Overeenkomst die in het besluit van het Gemengd Comité is vervat tot op heden niet tot stand is gebracht.

Ten tweede stelt het Cbp dat het besluit van het Gemengd Comité regelt dat de lidstaten van de EU het vrije verkeer van persoonsgegevens naar EVA-staten moeten kunnen beperken of verbieden, wanneer de desbetreffende EVA-staat de door de Europese Commissie op grond van richtlijn nr. 95/46/EG vastgestelde maatregelen tot beperking of verbod van het verkeer van persoonsgegevens naar derde landen niet zou nakomen. Aangezien de nota van wijziging, zoals voorgelegd aan het Cbp, die mogelijkheid niet bevatte, zou deze volgens het Cbp niet in overeenstemming zijn met het besluit van het Gemengd Comité.

Ondergetekende is van oordeel dat de eerste stelling van het Cbp niet juist is. Artikel 2 van het besluit van het Gemengd Comité kan niet anders worden gelezen dan dat het een materiële aanpassing van richtlijn nr. 95/46/EG bevat. De tweede stelling van het Cbp is juist. Inderdaad doet noch de EER-Overeenkomst, noch de in het besluit van het Gemengd Comité vervatte aanvulling daarvan, afbreuk aan de bevoegdheid van Noorwegen, IJsland en Liechtenstein om zelfstandig besluiten te nemen ten aanzien van het niveau van gegevensbescherming in derde landen. In theorie kan de situatie ontstaan dat de doorgifte van persoonsgegevens naar Noorwegen, IJsland of Liechtenstein moet worden beperkt of verboden, om de enkele reden dat zij besluiten inzake de passendheid van het niveau van gegevensbescherming in derde landen nemen die afwijken van dergelijke besluiten die door de Europese instellingen zijn genomen en die daardoor kunnen leiden tot een inbreuk op het beschermingsniveau dat de richtlijn beoogt te bieden. Dat heeft geleid tot een ingrijpende aanpassing van onderdeel A van de nota van wijziging (artikel 76, eerste lid, van de Wbp), en een kleine aanpassing van onderdeel C van de nota van wijziging (artikel 78, tweede lid, van de Wbp). Overigens dient de desbetreffende voorziening zich niet uit te strekken tot alle EVA-staten, zoals het Cbp wellicht bedoelt, maar slechts tot Noorwegen, IJsland en Liechtenstein. Zwitserland is immers wel aangesloten bij de EVA, maar is geen partij bij de EER-Overeenkomst.

Verder adviseert het Cbp om in artikel 78, derde lid, van de Wbp preciezer tot uitdrukking te brengen dat bij doorgifte van gegevens aan een derde land de overige materiële bepalingen van de Wbp blijven gelden. Aan dit advies is gevolg gegeven.

De minister van Justitie,

E. M. H. Hirsch Ballin

De minister van Binnenlandse Zaken en Koninkrijksrelaties,

G. ter Horst