31 841 Wijziging van de Wet bescherming persoonsgegevens in verband met de vermindering van administratieve lasten en nalevingskosten, wijzigingen teneinde wetstechnische gebreken te herstellen en enige andere wijzigingen

E NADERE MEMORIE VAN ANTWOORD

Ontvangen 23 december 2011

1. Inleiding

De regering dankt de Kamer voor haar nadere vragen en opmerkingen. Zij spreekt de hoop uit dat met deze nadere memorie van antwoord de verdere behandeling van dit voorstel van wet wordt bespoedigd.

2. Verslaggevingsplicht

De leden van de VVD-fractie herinneren eraan dat zij eerder hebben aangegeven dat de verslaggevingsplicht een belangrijke functie vervult om de transparantie over gegevensverwerkingen door verantwoordelijken te bevorderen. Transparantie is één van de belangrijkste beginselen van de geldende privacywetgeving, aldus deze leden. Zij geven aan dat de regering er in de memorie van antwoord vanuit gaat dat het opleggen van verplichtingen als de verslaggevingsplicht contraproductief zou werken, en dat met de afschaffing ervan meer bedrijven zich het belang van gegevensbescherming gaan aantrekken. Deze leden vragen waar de regering dit uitgangpunt op baseert.

Uit de gehouden evaluatie van de Wet bescherming persoonsgegevens (Wbp) komt naar voren dat er in Nederland met name in de private sector slechts een gering aantal functionarissen voor de gegevensbescherming zijn aangesteld. Het leidt weinig twijfel dat dit komt doordat in de private sector de opvatting opgeld doet dat de regeling van de functionaris in de Wbp een nogal grote ingreep vormt in de bedrijfshuishouding. Dat valt niet alleen toe te schrijven aan de verslagleggingsplicht, maar aan het geheel van rechten en verplichtingen van de functionaris. Tegelijkertijd constateren wij dat er in de private sector vaker privacy officers worden aangesteld die inhoudelijk dezelfde taken vervullen als een functionaris, maar die het zonder de rechten en verplichtingen van een functionaris moeten en ook kunnen stellen. Wanneer de verschillen tussen de functionaris en de privacy officer kunnen worden verminderd door de afschaffing van een maatregel die de drempel om een functionaris aan te stellen wat verkleint, die daarnaast leidt tot beperking van de nalevingskosten en die bovendien niet door richtlijn 95/46/EG wordt vereist, dan is de afschaffing van de verslaggingsplicht verantwoord. Het slechten van deze drempel zal er hopelijk toe leiden dat meer ondernemingen overgaan tot aanstelling van een functionaris.

De leden van de VVD-fractie wijzen erop dat de regering heeft aangegeven dat het van belang is dat de functionaris voor de gegevensbescherming openlijk verantwoording aflegt aan onder meer betrokkenen. Zij vragen zich hoe de regering dit concreet voor zich ziet. Deze leden menen dat het dan toch voor de hand ligt dat de betrokkene een jaarverslag opstelt. Deze leden wijzen erop dat de betrokkene centraal staat in het gegevensbeschermingsrecht. Zij vragen dan ook welke andere manieren de regering voor ogen heeft om de vereiste transparantie te realiseren. Zij vragen zich af hoe verantwoordelijken worden beïnvloed of gestimuleerd deze instrumenten toe te passen wanneer de regering geen verplichtingen wenst op te leggen en wensen op die vraag een reactie van de regering.

Inderdaad is het zo dat het belang van de functionaris voor de gegevensbescherming, en dat van de privacy officer, voor de organisatie die hem heeft aangesteld, mede in het vergroten van interne en externe transparantie van de gegevensverwerking ligt. Maar het zou toch een vertekening van de realiteit zijn om die transparantie te vereenzelvigen met het vaststellen en beschikbaar maken van een jaarverslag. Natuurlijk kan dat nuttig zijn, maar het afleggen van rekenschap kan daarnaast op andere wijze plaatsvinden. Het opstellen en onderhouden van duidelijke privacyverklaringen op een goed toegankelijke website, het op een reële, inhoudelijke en niet formele wijze afdoen van verzoeken om inzage en correctie, het spreken met een ondernemingsraad, personeelsvertegenwoordiging of klantenpanel zijn ook zinvolle middelen om gegevensbescherming te bevorderen. Het gaat hierbij om maatregelen die niet met behulp van overheidsdwang, van welke aard dan ook, kunnen worden afgedwongen, maar om maatregelen die instellingen en bedrijven zelf moeten nemen, uit vrije wil. De eigen verantwoordelijkheid van overheid en bedrijfsleven om de wet na te leven staat daarbij voorop. Gegeven het feit dat de Wbp in feite veel vrijheid geeft aan verantwoordelijken, mag ook worden verwacht dat de daarbij behorende verantwoordelijkheden worden aanvaard.

In de huidige wetgeving ontbreken doelmatige middelen om een stimulerend beleid te voeren, waarbij een bewezen hoger niveau van «accountability» zou kunnen worden beloond met een vrijstelling van verplichtingen. Momenteel staat richtlijn 95/46/EG daaraan in de weg. Afgewacht moet worden of het herziene Europese kader voor gegevensbescherming die mogelijkheden wel biedt. De regering heeft daarvoor een pleidooi gehouden.

3. Naleving en herziening privacyrichtlijn

De leden van de fractie van GroenLinks vragen de regering nader toe te lichten wat zij bedoelt met de opmerking dat er een evenwicht moet zijn tussen het vormgeven van enerzijds het belang van het recht van verzet overeenkomstig het doel van de richtlijn en anderzijds het belang van de verlichting van administratieve lasten. Deze leden vragen om de verzekering dat de naleving van de richtlijn niet ter discussie staat. Zij wijzen er verder op dat de regering aangeeft dat het aanbieden van een hoger beschermingsniveau dan de richtlijn voorschrijft in strijd zou zijn met het Nederlandse beleid wat betreft de implementatie van richtlijnen, en dat zij om die reden geen voorstander is van een optoutregeling. Zij vragen of de regering om inhoudelijke redenen een dergelijke regeling wel wenselijk acht. Deze leden vragen dan ook om bevestiging dat de privacyrichtlijn minimumnormen biedt en een neerslag bevat van de laagst gemene deler op dit terrein. Zij vragen of de regering het met hen eens is dat het uit een oogpunt van privacy wenselijk kan zijn om meer waarborgen te bieden dan dit minimale Europese beschermingsniveau. Indien de regering dit standpunt deelt, vragen deze leden aan te geven voor welke punten dit zou gelden.

Wat de vormgeving van het recht van verzet betreft, moet voorop staan dat al hetgeen de richtlijn terzake aan verplichtingen oplegt aan de lidstaten en aan rechten toekent aan betrokkenen onvoorwaardelijk in wetgeving en uitvoeringspraktijk moet worden geïmplementeerd. De regering is het met de leden van de GroenLinks-fractie eens dat de naleving van hetgeen de richtlijn van Nederland verlangt niet ter discussie staat, uiteraard zolang de richtlijn geldt. Maar als de Nederlandse wetgever die verplichtingen implementeert op een wijze die burgers en bedrijven administratieve lasten en nalevingskosten oplevert, terwijl de richtlijn daartoe niet dwingt, zal moeten worden aanvaard dat het bedrijfsleven de regering daarop aanspreekt. Daarbij gaat het niet alleen om de enkele omstandigheid dat er kosten moeten worden gemaakt, maar ook om de omstandigheid dat het stellen van aanvullende eisen door een lidstaat het niveau en de aard van de gegevensbescherming in de gehele Europese Unie beïnvloedt. Daar heeft het bedrijfsleven last van. Dit is geen theorie. Het is zelfs een van de belangrijkste motieven voor de Europese Commissie om de richtlijn te herzien. Het is verder niet de juiste weg om een tegenstelling te zien tussen inhoudelijke motieven enerzijds, en motieven van wetgevingsbeleid anderzijds. De essentie van het gegevensbeschermingsrecht is nu juist dat gegevensbescherming nooit een absolute waarde is, maar altijd moet worden afgewogen tegen andere belangen, ook tegen belangen van economische aard, die de drijvende kracht zijn achter het beleid om geen nationale koppen in implementatiewetgeving op te nemen. De vraag of wel of geen standaard optoutregeling bij de verwerking van gegevens ten behoeve van commerciële en charitatieve doeleinden in de wet moet worden opgenomen, is voorwerp van een dergelijk afweging geweest. In de memorie van antwoord is die afweging verantwoord.

De privacyrichtlijn bevat zeker geen verzameling minimumnormen op het gebied van gegevensbescherming. Die functie is weggelegd voor het op 28 januari 1981 te Straatsburg tot stand gekomen Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens (Trb. 1981, 7). Het beschermingsniveau van de richtlijn is daarop mede gebaseerd, maar gaat daar in aanzienlijke mate bovenuit. Wel beoogt de richtlijn een vorm van zogeheten totale harmonisatie te zijn, waaraan in elk geval niet op een beperkende wijze van implementeren afbreuk mag worden gedaan door de lidstaten. Dit is zeer recent nog eens bevestigd door het Hof van Justitie van de Europese Unie in zijn arrest van 24 november 2011 in de gevoegde zaken C-468/10 en C-469/10 (ASNEF en FECEMD/Spanje) (bron: www.curia.europa.eu/juris). Beperkend implementeren mag dus niet, verruimend implementeren kan in beginsel wel, maar een verruimende maatregel moet worden onderworpen aan een belangenafweging als bovenbedoeld.

De leden van de GroenLinks-fractie vragen de regering haar onderhandelingsinzet ten aanzien van de privacyrichtlijn toe te lichten. Zij vragen of zij zich daarbij alleen richt op de beperking van de administratieve lasten en nalevingskosten tot een minimum, of dat zij ook meer waarborgen voorstelt met betrekking tot de herziening van persoonsgegevens. De leden vragen welk evenwicht de regering hierbij nastreeft en in welke herzieningsvoorstellen dit heeft geresulteerd.

Afgaande op de mededelingen van de Europese Commissie terzake, mag de presentatie van de voorstellen voor de herziening van het Europese kader voor gegevensbescherming einde januari 2012 worden verwacht. De onderhandelingsinzet van de regering zal nog op deze voorstellen moeten worden afgestemd. De Kamers worden zo spoedig mogelijk na de bekendmaking van de voorstellen geïnformeerd met het gebruikelijke BNC-fiche. Bij een eerdere gelegenheid heeft de regering al aangegeven dat zowel de terugdringing van administratieve lasten en nalevingskosten als de versterking van de rechten van betrokkene belangrijke aandachtspunten zijn. Deze aandachtspunten zijn niet noodzakelijkerwijs elkaars tegengestelde. Voor een nadere uitwerking van deze aandachtspunten verwijst de regering graag naar de brief van de Staatssecretaris van Buitenlandse Zaken aan de voorzitter van de Tweede Kamer der Staten-Generaal van 23 december 2010 (Kamerstukken II 2010/11, 22 112, nr. 1116). Als bijlage bij deze brief is het BNC-fiche gevoegd dat is uitgebracht naar aanleiding van de Mededeling van de Europese Commissie inzake herziening van het Europese kader voor gegevensbescherming «Een integrale aanpak van de bescherming van persoonsgegevens in de Europese Unie» COM (2010) 609 def. In die bijlage is een eerste standpuntbepaling neergelegd.

De staatssecretaris van Veiligheid en Justitie,

F. Teeven

De minister van Binnenlandse Zaken en Koninkrijksrelaties,

J. W. E. Spies