33 169 EU-voorstel: Richtlijn bescherming persoonsgegevens bij gebruik door politiële en justitiële autoriteiten (COM(2012)10) en EU-voorstel Verordening algemeen kader bescherming persoonsgegevens COM(2012)11)¹

34 353 EU-voorstel: Commissiemededeling inzake de overdracht van persoonsgegevens van de EU aan de VS naar aanleiding van het Schrems arrest COM(2015)566²

AD VERSLAG VAN EEN SCHRIFTELIJK OVERLEG

Vastgesteld 15 januari 2016

De leden van de vaste commissies voor Immigratie & Asiel / JBZ-raad³ en voor Veiligheid en Justitie⁴ hebben in hun vergadering van 3 november 2015 het verslag van de JBZ-Raad van 8–9 oktober 2015 (32 317, FG)⁵ besproken. Naar aanleiding hiervan hebben zij de Minister van Veiligheid en Justitie op 23 november 2015 een brief gestuurd.

De Minister heeft op 15 januari 2016 gereageerd.

De commissies brengen bijgaand verslag uit van het gevoerde schriftelijk overleg.

De griffier voor dit verslag, Van Dooren

BRIEF VAN DE VOORZITTERS VAN DE VASTE COMMISSIES VOOR IMMIGRATIE EN ASIEL – JBZ/RAAD EN VOOR VEILIGHEID EN JUSTITIE

Aan de Minister van Veiligheid en Justitie

Den Haag, 23 november 2015

In haar vergadering van 3 november jl. hebben de leden van de vaste commissies voor Immigratie & Asiel / JBZ-raad en voor Veiligheid en Justitie het verslag van de JBZ-Raad van 8–9 oktober 2015 besproken, door u aangeboden bij brief van 27 oktober jl (32 317, FG)⁶. Naar aanleiding van de passages uit het verslag over gegevensbescherming wensen de leden van de D66-fractie u enkele vragen te stellen. Daarnaast wensen de leden van de SP-fractie uw reactie te vernemen op een passage over de verordening gegevensbescherming uit een notitie van de Commissie Meijers van 9 juni 2015⁷.

Vragen van de leden van de D66-fractie

De leden van de D66-fractie hebben kennisgenomen van het verslag van de JBZ-Raad van 8–9 oktober 2015. In dit verslag schrijft u over de algemene benadering die is bereikt ten aanzien van de richtlijn gegevensbescherming voor opsporing en vervolging. U merkt in het verslag op dat de Europese Commissie enkele punten van zorg heeft, te weten: de verhouding tussen artikel 60 en 351 VWEU, de toedeling van bevoegdheden van de toezichthoudende autoriteit (artikel 46), mede in het licht van het recente Schrems-arrest⁸ en de inwerkingtredingstermijn van 3 jaar. De leden van de D66-fractie vernemen graag hoe het kabinet deze punten van zorg van de Europese Commissie beoordeelt. Daarnaast wensen de leden van de D66-fractie te vernemen wat naar het oordeel van het kabinet de gevolgen zijn van het Schrems-arrest voor de in ontwikkeling zijnde dataprotectie richtlijn en verordening.

Vragen van de leden van de SP-fractie

De leden van de SP-fractie hebben met belangstelling kennisgenomen van de notitie van de commissie Meijers van 9 juni 2015, waarin de Commissie Meijers reageert op de geannoteerde agenda van de JBZ-Raad van 15–16 juni 2015. Ten aanzien van de verordening gegevensbescherming stelt de Commissie Meijers in deze notitie het volgende:

«De Verordening Gegevensbescherming zou zonder vertraging aangenomen moeten worden. Naar het oordeel van de Commissie Meijers mag onder geen beding het beschermingsniveau van de Verordening dalen tot onder het niveau van de huidige Richtlijn bescherming persoonsgegevens (95/46).

Juist in een wereld van «big data» en het «internet of things» is het belangrijk dat regels ervoor zorgen dat gegevens over mensen alleen verwerkt worden op een manier die rechtmatig, eerlijk en transparant is. Ook als een verantwoordelijke of verwerker geen naam kan koppelen aan gegevens over een individu, moeten die gegevens op een behoorlijke en rechtmatige manier behandeld worden.

Met nieuwe informatietechnologie kunnen beslissingen over mensen genomen worden op grond van bijvoorbeeld profielen – ook zonder dat een naam wordt gekoppeld aan die profielen. Daarom moet de definitie van het begrip persoonsgegeven niet worden ingeperkt, of worden beperkt tot gegevens waaraan de naam van een betrokkene toegevoegd kan worden. De regels voor een behoorlijke en transparante verwerking van gegevens moeten onverkort gelden voor zogenoemde pseudonieme gegevens.

De Commissie Meijers verzoekt de Kamer daarom er op aan te dringen dat de bescherming van mensen niet uitgehold wordt via uitzonderingen voor pseudonieme gegevens (zie artikel 4(3)(b))en een afzwakking van het doelbindingsbeginsel (zie artikel 5(1)(b)).»

De leden van de SP-fractie sluiten zich aan bij deze zorgen en steunen de oproep van de Commissie Meijers. De leden van de SP-fractie ontvangen graag een reactie van het kabinet op bovenstaande passage in het licht van de huidige stand van zaken in de onderhandelingen.

De vaste commissies voor Immigratie & Asiel / JBZ-raad en voor Veiligheid en Justitie zien met belangstelling uit naar uw reactie en ontvangen deze graag binnen vier weken.

Voorzitter van de vaste commissie voor Immigratie en Asiel / JBZ-Raad, G. Markuszower

Voorzitter van de vaste commissie voor Veiligheid en Justitie, A.W. Duthler

BRIEF VAN DE MINISTER VAN VEILIGHEID EN JUSTITIE

Aan de Voorzitter van de Eerste Kamer der Staten-Generaal

Den Haag, 15 januari 2016

Bij brief van 23 november 2015 hebben de leden van de vaste commissies voor Immigratie en Asiel / JBZ-raad enkele vragen gesteld over het verslag van de JBZ-Raad van 8/9 oktober 2015, dat door mij bij brief van 27 oktober aan Uw Kamer is aangeboden (32 317, FG). Naar aanleiding van de passages uit het verslag over gegevensbescherming hebben de leden van de D66-fractie enkele vragen gesteld. Daarnaast wensen de leden van de SP-fractie mijn reactie te vernemen op een passage over de verordening gegevensbescherming uit een notitie van de Commissie Meijers van 9 juni 2015.

Vragen van de leden van de D66-fractie

Naar aanleiding van mijn opmerking dat de Europese Commissie enkele punten van zorg heeft, te weten: de verhouding tussen artikel 60 en 351 VWEU, de toedeling van bevoegdheden aan de toezichthoudende autoriteit (artikel 46), mede in het licht van het recente Schrems-arrest, en de inwerkingstredingstermijn van 3 jaar, zouden de leden van de D66-fractie graag vernemen hoe het kabinet deze punten van zorg van de Europese Commissie beoordeelt.

De verhouding tussen artikel 60 en 351 VWEU

In het voorstel van de Commissie voor artikel 60 was een verplichting voor de lidstaten opgenomen om bestaande verdragen, waar nodig, in overeenstemming te brengen met de bepalingen van de richtlijn. Deze verplichting was afgeleid van artikel 351 van het Verdrag betreffende de werking van de Europese Unie (VWEU). Een groot aantal lidstaten, waaronder Nederland, heeft bezwaar gemaakt tegen het voorgestelde artikel 60 omdat het voor een individuele lidstaat praktisch niet mogelijk is om eenzijdig een verdrag met een derde land aan te passen. Vanwege deze bezwaren is in de Raad overeenstemming bereikt over een aangepaste tekst voor artikel 60, die erin voorziet dat bestaande verdragen die in overeenstemming zijn met het EU-recht van voor de inwerkingtreding van de richtlijn, van kracht blijven totdat deze zijn gewijzigd, vervangen of ingetrokken. De Commissie heeft hierover haar zorgen uitgesproken omdat de Commissie de voorkeur gaf aan een meer actieve verplichting voor de lidstaten tot aanpassing van bestaande verdragen.

Inmiddels hebben het Europees Parlement en de Raad een voorlopige overeenstemming bereikt over de tekst van artikel 60 van de ontwerprichtlijn, op basis van de Algemene Oriëntatie van de Raad. Naar aanleiding van de vraag van de D66-fractie merk ik op dat ik de bezwaren van de lidstaten tegen een verplichting tot heronderhandeling van bestaande verdragen met derde landen deel. De tekst van artikel 60, zoals die tussen het Europees Parlement en de Raad is overeengekomen, vormt naar mijn oordeel een goed evenwicht tussen de verschillende standpunten.

De toedeling van bevoegdheden aan de toezichthoudende autoriteit

De bevoegdheden van de toezichthouder op het gebied van gegevensbescherming (in Nederland: het College bescherming persoonsgegevens) zijn geregeld in artikel 46 van de ontwerprichtlijn. In de tekst van die bepaling, zoals door de Raad aanvaard, is geregeld dat de toezichthouder moet beschikken over effectieve bevoegdheden in geval van overtreding van de bepalingen van de richtlijn, zoals omgezet in de nationale wetgeving. In artikel 46 zijn een aantal voorbeelden opgenomen van effectieve bevoegdheden, zoals het opleggen van een tijdelijke of definitieve beperking van de verwerking van gegevens. De Commissie heeft aangegeven dat deze bevoegdheden niet enkel als voorbeeld – doch als minimale handhavingsbevoegdheden in de richtlijn opgenomen zouden moeten worden.

Inmiddels hebben het Europees Parlement en de Raad een voorlopige overeenstemming bereikt over de tekst van 46 van de ontwerprichtlijn, op basis van de Algemene Oriëntatie van de Raad. Naar aanleiding van de vraag van de D66-fractie merk ik op dat ik voorstander ben van effectieve bevoegdheden voor de toezichthouder maar aarzelingen heb ten aanzien van de door de Commissie voorgestelde bevoegdheden, omdat die vergaand zijn. Deze bevoegdheden staan thans, op basis van de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens, niet ter beschikking van de toezichthoudende autoriteit. Vooral de uitoefening van de bevoegdheid tot een tijdelijke of definitieve beperking van het verwerken, die vanwege haar ongeclausuleerde karakter ook acuut kan worden opgelegd, kan een onoverzienbare impact op het proces van opsporing en vervolging hebben, met mogelijk zeer grote risico’s voor bepaalde personen. Te denken valt aan een beperking van het verwerken van informatie die cruciaal is om een moordaanslag te verhinderen. Verder is ook de verhouding met de bevoegdheden van de toezichthoudende autoriteit op basis van de verordening gegevensbescherming van belang, waarbij in aanmerking genomen moet worden dat – anders dan bij de verordening – het bij de richtlijn uitsluitend om instanties gaat die belast zijn met de (publieke) taak van opsporing en vervolging. De taakuitvoering door de instanties, die zijn belast met opsporing en vervolging, is tevens onderworpen aan rechterlijke toetsing. Ook is het noodzakelijk dat de lidstaten de nodige ruimte houden om zelf de toezichthouder te voorzien van een passend handhavingsinstrumentarium, omdat daarbij rekening kan worden gehouden met de inpassing van die bevoegdheden in de nationale rechtsorde. Een gedetailleerde lijst met handhavingsbevoegdheden voor de toezichthouder verhoudt zich hier niet goed mee.

De implementatietermijn

De Commissie geeft de voorkeur aan het binnen de Unie van kracht worden van het gehele EU-pakket gegevensbescherming, dus zowel de ontwerpverordening als de ontwerprichtlijn, binnen uiterlijk twee jaar. Deze termijn stuitte op bezwaren bij een groot aantal lidstaten, waaronder Nederland.

Inmiddels hebben het Europees Parlement en de Raad een voorlopige overeenstemming bereikt over een implementatietermijn van twee jaar. Naar aanleiding van de vraag van de D66-fractie merk ik op dat mijn voorkeur aanvankelijk uitging naar een langere implementatieperiode vanwege de gevolgen van de richtlijn voor de nationale wetgeving en de uitvoeringspraktijk, maar dat ik goed kan leven met de overeengekomen implementatietermijn als compromis tussen het Europees Parlement en de Raad.

Vragen van de leden van de SP-fractie

De leden van de SP-fractie geven aan zich aan sluiten zich bij de zorgen van de Commissie Meijers over de verordening gegevensbescherming. De leden van deze fractie steunen de oproep van de commissie dat «de bescherming van mensen niet uitgehold wordt via uitzonderingen voor pseudonieme gegevens (zie artikel 4(3)(b)) en een afzwakking van het doelbindingsbeginsel (zie artikel 5(1)(b))». De leden van de SP-fractie ontvangen graag een reactie van het kabinet op bovenstaande passage in het licht van de huidige stand van zaken in de onderhandelingen.

Ik heb mij, sinds het begin van de onderhandelingen in januari 2012, op het standpunt gesteld dat pseudonimiseren als een technische maatregel kan helpen met het beveiligen van persoonsgegevens. Gebruikmaken van pseudoniemen heeft in die zin een gunstige invloed op de bescherming van persoonsgegevens. Het feit dat een bepaalde (technische) maatregel wordt getroffen om persoonsgegevens beter te beveiligen, betekent echter geenszins dat verwerkingen van deze persoonsgegevens buiten de werkingssfeer van de verordening gegevensbescherming komen te vallen, waaronder de principes als neergelegd in artikel 5. Slechts volledig geanonimiseerde gegevens, die niet meer herleidbaar zijn tot een persoon, vallen buiten de werkingssfeer van de verordening, zoals in overweging 23 is neergelegd. Deze overweging maakt deel uit van het inmiddels bereikte voorlopige akkoord tussen het Europees Parlement en de Raad.

De Minister van Veiligheid en Justitie, G.A. van der Steur

---

1 Zie dossiers E120003 en E120004 op www.europapoort.nl

2 Zie dossier E150031 op www.europapoort.nl

3 Samenstelling Immigratie en Asiel / JBZ-Raad:

Engels (D66), Ruers (SP), Van Bijsterveld (CDA), Duthler (VVD), Ten Hoeve (OSF), Strik (GL) (vice-voorzitter), Knip (VVD), Beuving (PvdA), De Grave (VVD), P. van Dijk (PVV), Schrijver (PvdA), Gerkens (SP), Bikker (CU), Bredenoord (D66), Van Dijk (SGP), Knapen (CDA), Markuszower (PVV) (voorzitter), Nooren (PvdA), Oomen-Ruijten (CDA), Rombouts (CDA), Van Rooijen (50PLUS), Stienen (D66), Teunissen (PvdD), Van Weerdenburg (PVV), Wezel (SP)

4 Samenstelling Veiligheid en Justitie:

Kox (SP), Engels (D66), Nagel (50PLUS), Ruers (SP), Van Bijsterveld (CDA) (vice-voorzitter), Duthler (VVD) (voorzitter), Ten Hoeve (OSF), Koffeman (PvdD), Swagerman (VVD), Strik (GL), Backer (D66), Knip (VVD), Barth (PvdA), Beuving (PvdA), Hoekstra (CDA), P. van Dijk (PVV), Schouwenaar (VVD), Schrijver (PvdA), Bikker (CU), Bredenoord (D66), Van Dijk (SGP), Markuszower (PVV), Van Rij (CDA), Rombouts (CDA), Van Weerdenburg (PVV), Wezel (SP)

5 Zie dossiers E120003, E120004 en E150031 op www.europapoort.nl.

6 Zie dossiers E120003, E120004 en E150031 op www.europapoort.nl.

7 Zie notitie CM1509 te raadplegen op www.commissie-meijers.nl.

8 Hof van Justitie, C-362/14, Maximillian Schrems/Data Protection Commissioner.