36 451 Uitvoering van verordening (EU) 2022/868 van het Europees Parlement en de Raad van 30 mei 2022 betreffende Europese datagovernance en tot wijziging van Verordening (EU) 2018/1724 (Uitvoeringswet datagovernanceverordening)

Nr. 6 NOTA NAAR AANLEIDING VAN HET VERSLAG

Ontvangen 7 maart 2024

Inhoudsopgave

ALGEMEEN DEEL			1
1.	Inleiding		1
2.	Beleidscontext		4
3.	Datagovernanceverordening		5
	3.1	Hergebruik van beschermde gegevens die in het bezit zijn van openbare lichamen	5
	3.2	Databemiddelingsdiensten	11
	3.3.	Data-altruïsme	13
	3.4.	Internationale datastromen	13
4.	Inhoud uitvoeringswet		14
	4.1	Toezicht en handhaving	15
5.	Verhouding tot hoger recht		17
	5.1	Bescherming van persoonsgegevens, AVG	17
6.	Uitvoerbaarheid en handhaafbaarheid		18
	6.1	Adviescollege Openbaarheid en Informatiehuishouding	18
7.	Overgangsrecht en inwerktreding		19
OVERIG			19

ALGEMEEN DEEL

Graag beantwoord ik de vragen die zijn gesteld door de leden van de aan het woord zijnde fracties, mede namens de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties.

1. Inleiding

1

De leden van de PVV-fractie hebben kennisgenomen van de Uitvoering van verordening (EU) 2022/868 van het Europees Parlement en de Raad van 30 mei 2022 betreffende Europese datagovernance en tot wijziging van Verordening (EU) 2018/1724 (Uitvoeringswet datagovernanceverordening) en de bijbehorende documenten. Naar aanleiding hiervan hebben deze leden nog enkele vragen. Voorts merken de leden op dat de toelichting op het niet navolgen van de door de Afdeling advisering van de Raad van State gedane aanbeveling inzake de verhouding tussen de uitvoeringswet en de DGA tot de AVG niet ingaat op de mogelijke tegenstrijdigheden. Kan een overzicht van deze conflicterende punten worden opgeleverd met de onderbouwing waarom het prevaleren van de Algemene Verordening Gegevensbescherming tot conflict zou kunnen leiden?

Antwoord

Ik heb met belangstelling kennisgenomen van de vragen en hoop met deze beantwoording resterende onduidelijkheden weg te nemen. Artikel 1, derde lid, van de datagovernanceverordening (hierna: verordening) bepaalt als algemene regel dat indien de verordening en de Algemene Verordening Gegevensbescherming (hierna: AVG) tegenstrijdig zijn, de AVG voorgaat. Doordat de AVG bij een eventuele tegenstrijdigheid altijd voorgaat zal dit niet tot een conflict leiden. Op dit moment zijn geen tegenstrijdigheden bekend. De voorrang van de AVG is leidend in de praktijk bij de verwerking van gegevens.

2

De leden van de GroenLinks-PvdA-fractie hebben met belangstelling kennisgenomen van de uitvoeringswet. In een datagedreven samenleving vinden zij het van groot belang om het uitwisselen van gegevens betrouwbaar, transparant en in dienst van de publieke zaak te laten verlopen. Over de uitvoeringswet hebben de leden enkele opmerkingen en vragen. De leden zijn van mening dat gevoelige data, indien het wordt hergebruikt, moeten bijdragen aan de publieke zaak. Zij vinden het niet gepast als bedrijven gevoelige data hergebruiken om meer winst te maken, omdat mensen dan producten worden verkocht die tot stand zijn gekomen door hun eigen data. Dat vinden deze leden geen wenselijk gebruik van persoonsgegevens. Welke financiële prikkels bevat deze uitvoeringswet voor bedrijven? Hoe mogen private bedrijven gebruik maken van deze data voor economische winst?

Antwoord

Ik heb met belangstelling kennisgenomen van uw vragen. Er zijn veel soorten gegevens, naast persoonsgegevens zijn er ook andere soorten gegevens die niet herleidbaar zijn tot een persoon. Bijvoorbeeld gegevens uit industriële machines, statistische gegevens, logistieke gegevens, of landbouwgegevens. Deze gegevens vormen een belangrijke bron voor potentiële oplossingen voor maatschappelijke uitdagingen en duurzame economische groei. Een van de doelen van de verordening is om ervoor te zorgen dat dit soort gegevens op een verantwoorde en betrouwbare manier kunnen worden hergebruikt, zowel door publieke als private entiteiten. Daarbij is het van belang dat de overheid dergelijke partijen op een eerlijke en gelijke wijze behandelt. Gegevens die met een private partij gedeeld worden moeten ook voor andere relevante private partijen beschikbaar kunnen worden gesteld, om zo machtsposities met betrekking tot gegevens te voorkomen.

Ten aanzien van persoonsgegevens geldt het kader van de AVG. Gaat het om persoonsgegevens in bezit van overheden dan is in Europese of nationale wetgeving geregeld voor welke doeleinden hergebruik mag plaatsvinden. Dit regelt de verordening niet. Op dit moment kent Nederland geen grondslag voor commercieel hergebruik als bedoeld in de verordening en is deze ook niet voorzien.

3

De leden van de VVD-fractie hebben kennisgenomen van de uitvoering van de verordening. De leden hebben nog enkele vragen en opmerkingen. De leden lezen dat de Raad van State verschillende opmerkingen en adviezen heeft gemaakt. Hoe leest de regering deze kanttekeningen? Kunt u hier specifiek ingaan op de kritiek met betrekking tot de voorgestelde verhouding tussen de Autoriteit Consument & Markt (ACM) en de Autoriteit Persoonsgegevens (AP)?

Antwoord

In het rapport heeft de regering uitgebreid gereageerd op het advies van de Afdeling advisering van de Raad van State¹ waaronder het advies om de standaard advisering door de AP te schrappen uit het wetsvoorstel (hierna: Uitvoeringswet). Zowel de ACM als de AP hebben in het consultatieproces voor deze Uitvoeringswet uitdrukkelijk de wens kenbaar gemaakt dat hun samenwerking en hun respectievelijke rollen, waaronder de standaardadvisering, duidelijk vastgesteld wordt in de Uitvoeringswet. Dit vanwege de nieuwe adviestaak voor de AP en de structurele samenwerking bij deze werkzaamheden. De Afdeling vraagt zich af of de bedoelde regeling wel wenselijk is. Het kabinet acht dit inderdaad wenselijk gezien de expliciete wens van de toezichthouders om dit te formaliseren naast de bestaande praktijk van het samenwerkingsprotocol. Door deze structurele samenwerking en advisering op te nemen in de wet, worden de verantwoordelijkheden van de toezichthouders rondom de verwerking van persoonsgegevens verduidelijkt. Bij deze verordening heeft de AP een andere rol dan de andere toezichthouders waar eventueel mee wordt samengewerkt. Een aantal voorwaarden uit de verordening ziet op de verwerking van persoonsgegevens en raakt daarmee aan de expertise van de AP. De advisering door de AP aan de ACM betreft een ex ante advisering bij de beoordeling of een databemiddelingsdienst of organisatie voor data-altruïsme aan voorwaarden uit de verordening voldoet voor zover het gaat om de bescherming van persoonsgegevens. Het betreft een nieuwe taak voor de AP op grond van de verordening en het is wenselijk om dit op wetsniveau te regelen. Daarom is besloten om toch vast te houden aan deze bepaling in de Uitvoeringswet.

4

Voorts vinden de leden van de VVD-fractie het goed om te horen dat bij de verwerking van persoonsgegevens de regelgeving met betrekking tot persoonsgegevens altijd van toepassing is. De leden van de VVD-fractie vragen zich af in hoeverre de AI-verordening invloed heeft op wat er nu voor ligt. Kan de regering hier nader op ingaan?

Antwoord

Het kabinet heeft met belangstelling kennisgenomen van uw vragen en onderkent ook dat het belangrijk is om duidelijk te maken hoe verschillende Europese wetgevingsinstrumenten die betrekking hebben op de digitale economie zich tot elkaar verhouden. De AI-verordening heeft geen invloed op de bepalingen uit de verordening en de voorliggende Uitvoeringswet, noch op de toepassing hiervan, aangezien de AI-verordening betrekking heeft op risico’s van AI en de kwaliteit van gegevens voor AI. De DGA gaat echter over het delen van gegevens ongeacht het doel of de kwaliteit van gegevens. De DGA gaat dus niet over de data zelf maar over hergebruik van bepaalde categorieën van gegevens in bezit van de overheid, eisen aan databemiddelingsdiensten en een label voor data-altruïstische organisaties.

De leden van de NSC-fractie hebben kennisgenomen van het wetsvoorstel en hebben hierover enkele vragen en opmerkingen.

De leden van de D66-fractie hebben kennisgenomen van het wetsvoorstel en hebben hierover enkele vragen en opmerkingen.

5

De leden van de BBB-fractie hebben met interesse de stukken gelezen en hebben over een aantal onderdelen vragen. De leden van de BBB-fractie vragen waarom ervoor is gekozen om geen internetconsultatie over dit wetsvoorstel te houden. Welke afwegingen zijn hiervoor gemaakt?

Bij uitvoering van een Europese verordening is internetconsultatie optioneel.² In de Uitvoeringswet wordt alleen geregeld wat strikt noodzakelijk is gelet op de uitvoering van de verordening. Zoals het aanwijzen van bevoegde instanties en toezichthouders, de samenwerking tussen de AP en de ACM en het vaststellen van de sancties. Het kabinet heeft geconstateerd dat er relatief weinig ruimte is voor de wetgever om keuzes te maken gezien de directe werking van een verordening. Dit maakt dat er ook weinig onderwerpen zijn waarop een publieke consultatie tot andere resultaten of overwegingen zou kunnen leiden. Dit heeft er samen met een de korte implementatietermijn van 15 maanden toe geleid dat het kabinet in dit geval ervoor heeft gekozen geen internetconsulatie te houden. Wel is gebruik gemaakt van informele consultatie van de betrokken toezichthouders en zijn zij om een uitvoerbaarheid- en handhaafbaarheidstoets (UHT) gevraagd.

De leden van de SP-fractie hebben kennisgenomen van de (uitvoering van) de verordening en hebben enkele vragen hierover.

2. Beleidscontext

6

De leden van de GroenLinks-PvdA-fractie lezen dat het begrip «data» niet altijd duidelijk gedefinieerd is in beleidsinitiatieven. Welke definitie van «data» hanteert de regering in deze uitvoeringswet?

Antwoord

De Uitvoeringswet gaat uit van de definitie uit de verordening. De verordening heeft een rechtstreekse werking en daarmee is ook de definitie van «gegevens» van toepassing in de uitvoering van de verordening in Nederland. De definitie uit artikel 2, eerste lid, luidt: «elke digitale weergave van handelingen, feiten of informatie en elke compilatie van dergelijke handelingen, feiten of informatie, ook in de vorm van geluidsopnames of visuele of audiovisuele opnames».

7

De leden van de D66-fractie vragen of de regering kan toelichten in hoeverre het uiteindelijke resultaat van de Uitvoeringswet datagovernanceverordening verschilt met de inzet als opgenomen in het BNC-fiche en of de regering deze verschillen kan toelichten.

Antwoord

In de visie op datadeling tussen bedrijven uit 2019 signaleert het kabinet dat een gebrek aan vertrouwen een reden is waarom het delen van niet-persoonsgebonden gegevens tussen bedrijven slechts in beperkte mate tot stand komt waardoor de mogelijkheden van gegevens onvoldoende benut worden. De verordening poogt gegevensdeling te vergemakkelijken. Daarom verwelkomde het kabinet de verordening in het BNC-fiche.³ In hoofdlijnen is de verordening gelijk gebleven aan het voorstel van de Commissie.

Een aantal wijzigingen is onder meer door de inzet van Nederland doorgevoerd. Zo zijn er eisen gekomen voor organisaties voor data-altruïsme en moeten deze voldoen aan een «rulebook». Dit rulebook zal door de Commissie worden vastgesteld en zal onder andere normen bevatten voor de informatievoorziening aan datasubjecten en gegevenshouders, en beveiligingseisen voor de gegevens. Dat draagt bij aan het vertrouwen in organisaties voor data-altruïsme die in de EU zijn erkend. Ten aanzien van databemiddelingsdiensten waren er tijdens de onderhandeling vooral vragen over de definitie en over het verdienmodel. De definitie is enigszins duidelijker geworden ten opzichte van het Commissievoorstel maar bevat nog steeds een open norm die nader moet worden ingevuld door toezichthouders. Nederland had graag gezien dat dit al in de verordening zou zijn ingevuld. Mogelijk zal de Europese Commissie voor de invulling van deze norm nog richtsnoeren publiceren.

Ook is het voor aanbieders van databemiddelingsdiensten niet mogelijk om aanvullende diensten te leveren aan de gegevenshouder. In de optiek van het kabinet had dit de dienst tot een aantrekkelijker product kunnen maken, zonder dat de grip op gegevens zou zijn verminderd. Hiermee had de verordening effectiever kunnen zijn. Tijdens de onderhandelingen is echter gebleken dat hier geen meerderheid voor te vinden was.

Desalniettemin geeft de verordening een wettelijk kader waardoor het vertrouwen in datadeling kan toenemen en burgers en bedrijven meer grip op hun gegevens krijgen. Daarmee draagt de verordening dus bij aan een verantwoorde Europese data-economie op basis van Europese waarden als consumentenbescherming, privacybescherming en versterking van de onderhandelingspositie voor kleinere bedrijven.

In lijn met wat in het BNC-fiche was voorzien is een uitvoeringswet opgesteld waarin bevoegde autoriteiten worden aangewezen en hun bevoegdheden worden geregeld, sancties worden vastgesteld en de uitwisseling van gegevens tussen toezichthouders wordt beperkt tot wat noodzakelijk is voor de toezichtstaak. Aanvullend op het BNC-fiche is gebleken dat er meer geregeld moet worden voor de uitvoering van de verordening. Het is ook noodzakelijk om regels vast te stellen over vergoedingen voor hergebruik van gegevens. Voor het verzoek tot aanmelding als databemiddelingsdienst wordt geregeld binnen welke termijn een beslissing moet worden genomen en daarnaast dat regels gesteld kunnen worden voor wat betreft de vergoeding voor de aanmelding van aanbieders van databemiddelingsdiensten. Daarnaast worden doeleinden van algemeen belang in verband met data-altruïsme vastgesteld. Ook wordt de samenwerking tussen de AP en ACM verder geregeld. Tot slot is in lijn met de Uitvoeringswet digitalemarktenverordening en de Uitvoeringswet digitaledienstenverordening gekozen voor concentratie van de rechtspraak bij Rechtbank Rotterdam en het College van Beroep voor het bedrijfsleven (CBb).

3. Datagovernanceverordening

3.1 Hergebruik van beschermde gegevens die in het bezit zijn van openbare lichamen

8

De leden van de GroenLinks-PvdA-fractie steunen de ambitie van de Europese Commissie om de marktmachtsconcentratie van Big Tech-bedrijven op te breken. Dit achten zij hard nodig om het speelveld op de digitale markt eerlijker te maken. De leden lezen dat openbare lichamen verantwoordelijk worden voor het nemen van adequate technische maatregelen om de gegevensbescherming, privacy en vertrouwelijkheid te borgen. Is het duidelijk welke maatregelen er minimaal genomen moeten worden door openbare lichamen om te voldoen aan de verordening?

Antwoord

Er bestaat geen vaste set aan maatregelen die in iedere situatie voldoende gegevensbescherming oplevert. Er moet rekening worden gehouden met de stand van de techniek en de praktijk, die aan constante ontwikkeling onderhevig zijn. Daarnaast moet de vorm van bescherming worden afgestemd op de behoefte van de hergebruiker. Sommige hergebruikers zullen bijvoorbeeld voldoende hebben aan een set volledig geanonimiseerde of geaggregeerde gegevens. Andere hergebruikers kunnen hun beoogde activiteiten alleen uitvoeren met een gegevensset waarin nog wel persoonsgegevens voorkomen. In zo’n geval kan pseudonimisering – dat wil zeggen: het afschermen of versleutelen van direct herleidbare persoonsgegevens – in combinatie met een beveiligde verwerkingsomgeving de beste oplossing bieden. Om beter te bepalen in hoeverre gegevens zich lenen voor hergebruik en wat daarvoor de meest geschikte maatregelen zijn, dient de overheidsorganisatie een gegevensbeschermingseffectbeoordeling/DPIA uit te voeren, wanneer het om persoonsgegevens gaat. Wanneer het niet om persoonsgegevens gaat, kan de organisatie naar analogie van de DPIA een vergelijkbare toets uitvoeren om bijvoorbeeld bedrijfsbelangen in kaart te brengen en om op basis daarvan de beste maatregelen te onderzoeken. In alle gevallen blijft sprake van maatwerk.

9

Welke «enkele andere uitzonderingen» bedoelt de regering bij het verbod op exclusieve overeenkomsten? Waarom zijn deze uitgezonderd?

Antwoord

Artikel 4 van de verordening kent één uitdrukkelijke uitzondering op het verbod van exclusieve overeenkomsten, namelijk de situatie waarin de exclusieve overeenkomst nodig is voor de verlening van een dienst of de levering van een product in het algemeen belang die anders niet mogelijk zou zijn. Zo’n exclusief recht moet worden verleend bij administratieve handeling of een contractuele regeling in overeenstemming met het toepasselijke Unierecht of nationale recht en met inachtneming van de beginselen van transparantie, gelijke behandeling en non-discriminatie. Deze toekenning, alsmede de redenen daartoe, moeten online openbaar worden gemaakt in een vorm die aansluit bij het Unierecht inzake openbare aanbestedingen. Het exclusieve recht mag daarnaast ten hoogste 12 maanden duren.

Overweging 13 van de verordening noemt daarbij als voorbeeld van zo’n gerechtvaardigd en noodzakelijk exclusief recht, de situatie dat «het exclusief gebruik van de gegevens de enige manier is om de maatschappelijke voordelen van de betrokken gegevens optimaal te benutten, bijvoorbeeld als er slechts één entiteit (die gespecialiseerd is in de verwerking van een specifieke gegevensverzameling) is die de dienst kan verlenen die of het product kan leveren dat het openbaar lichaam in staat stelt in het algemeen belang een dienst te verlenen of een product te leveren.»

Naast de uitdrukkelijke uitzondering voor de dienst of de levering van een product in het algemeen belang kent de verordening nog een overgangsregeling voor reeds bestaande exclusieve overeenkomsten die niet onder de uitzondering vallen en die al waren gesloten vóór 23 juni 2022 (datum van inwerkingtreding van de verordening). Zij vervallen aan het einde van de toepasselijke overeenkomst en in elk geval uiterlijk op 24 december 2024. De verordening geeft niet uitdrukkelijk aan waarom voor deze termijn is gekozen, maar aangenomen mag worden dat die deadline bestaat om partijen voldoende tijd te geven om zich aan te passen aan de nieuwe situatie.

10

De leden van de VVD-fractie onderschrijven dat bij datadeling de bescherming van persoonsgegevens, rechten van derden en wettelijke doelbinding goed geborgd moeten worden. De regering stelt voor dat onafhankelijke derde partijen een belangrijke rol kunnen spelen in de technische ondersteuning. Hoe wordt de bescherming van de gegevens bij deze partijen ingebouwd?

Antwoord

Door enkele bevoegde organen aan te wijzen die openbare lichamen ondersteunen bij binnengekomen verzoeken voor hergebruik wordt de kennis en ervaring omtrent het veilig voor hergebruik beschikbaar maken van de gegevens geconcentreerd bij deze organen. Openbare lichamen hoeven daardoor deze kennis niet zelf op te bouwen: zij kunnen zich beroepen op ondersteuning door die bevoegde organen. De verordening verplicht om aan hen voldoende middelen en expertise beschikbaar te stellen, zodat zij de bescherming kunnen inbouwen. Denk daarbij bijvoorbeeld aan het beschikbaar stellen van een beveiligde verwerkingsomgeving waarbinnen de hergebruiker met de gegevens kan werken. Het openbaar lichaam kan vervolgens controleren en filteren welke resultaten uit die omgeving kunnen worden meegenomen naar buiten toe, zodat er geen persoonsgegevens worden ontsloten.

11

De leden van de VVD-fractie lezen dat openbare lichamen technische maatregelen moeten nemen om ervoor te zorgen dat de vertrouwelijkheid volledig wordt geborgd. Hoe wordt deze borging gecontroleerd en hoe lang krijgen deze organisaties om deze aanpassing door te voeren? Wat zijn de consequenties als niet alle organisaties tijdig aan deze privacy eisen voldoen? Blijft deze data dan buiten de scope van de verordening?

Antwoord

De vertrouwelijkheid moet geborgd worden bij het beschikbaar maken voor hergebruik. Dit vergt in beginsel geen aanpassingen door openbare lichamen / met een publieke taak belaste instellingen. Zij worden op grond van bestaande regelgeving zoals de Awb en de AVG al geacht om gegevens vertrouwelijk te behandelen. De vereisten van de verordening zijn pas van toepassing als er een verzoek om hergebruik binnenkomt. Dan moeten technische maatregelen genomen worden om het beschikbaar stellen op vertrouwelijke wijze uit te voeren. Hiervoor kunnen openbare lichamen / met een publieke taak belaste instellingen ondersteuning vragen van de bevoegde organen. Het is dus niet zo dat organisaties buiten de scope vallen als het regulier beheer van gegevens niet voldoet aan privacywetgeving.

12

De leden van de NSC-fractie verzoeken verduidelijking over het centrale contactpunt binnen Nederland. Kan de regering nader toelichting geven over de instantie die tot taak heeft om «onderzoekers en innovatieve bedrijven te ondersteunen bij het identificeren van geschikte gegevens», en om «structuren op te zetten om zo openbare lichamen technische en juridische bijstand te bieden»? In paragraaf 3.1 van de memorie van toelichting (MvT) lijkt dit contactpunt gelijkgesteld te worden aan het centraal informatiepunt. Klopt dit, en dient de MvT dan zo gelezen te worden dat het agentschap Logius de rol toebedeeld zal krijgen van dit contactpunt c.q. informatiepunt, en daarmee zowel de functie van portaal (data.overheid.nl) als die van algemeen ondersteunend/technisch/juridisch loket zal krijgen? Zo niet, hoe zullen deze rollen dan ingevuld worden?

Antwoord

Waar contactpunt staat, wordt inderdaad informatiepunt bedoeld. Hiervoor is het inderdaad het agentschap Logius beoogd, in het bijzonder het reeds bestaande portaal data.overheid.nl.

Met de «structuren op te zetten om zo openbare lichamen technische en juridische bijstand te bieden» wordt niet het centraal informatiepunt bedoeld, maar de bevoegde organen die openbare lichamen ondersteunen bij hergebruik. Bij algemene maatregel van bestuur worden een of meerdere bevoegde organen aangewezen. Hiervoor wordt in ieder geval gekeken naar het Centraal Bureau voor de Statistiek. Het gaat in die zin dus om twee verschillende rollen voor verschillende organisaties.

13

De leden van de D66-fractie vragen in hoeverre de veronderstelling klopt dat de Datagovernanceverordening toeziet op het delen van beschermde gegevens, waar de Open data richtlijn dit doet op niet-beschermde gegevens.

Antwoord

De verordening gaat inderdaad over gegevens die beschermd zijn op basis van statistisch geheim, bedrijfsgeheim, persoonsgegevens en intellectuele eigendomsrechten. De Open data richtlijn ziet daar grotendeels niet op, hoewel ook die richtlijn in zeer beperkte mate betrekking kan hebben op persoonsgegevens. Er kunnen echter andere redenen zijn om gegevens te beschermen, zoals nationale veiligheid. Deze gegevens vallen zowel buiten de verordening als de Open data richtlijn.

14

De leden van de D66-fractie zien graag een toelichting van de regering over hoe «het algemeen» belang wordt gedefinieerd binnen deze context.

Antwoord

«Het algemeen belang» komt in de verordening en de Uitvoeringswet voornamelijk voor in de context van data-altruïsme, maar is ook relevant bij hergebruik van gegevens en exclusieve overeenkomsten.

De verordening noemt «het algemeen belang» enkele keren in de context van hergebruik. Daarbij gaat het in een aantal overwegingen over (wetenschappelijk) onderzoek en innoverende activiteiten in het algemeen belang. Aangenomen mag worden dat daarmee wordt gedoeld op activiteiten die geen privaat of commercieel belang dienen, maar breed maatschappelijk nut hebben.

Verder spreekt overweging 24 over het stellen van beperkingen aan de doorgifte van gegevens aan derde landen om het algemeen belang te beschermen. Daar wordt bedoeld dat misbruik van die gegevens door derde landen zou kunnen leiden tot schade voor een veelheid aan Europese burgers of aan de EU, haar lidstaten of hun instituties.

Ook wordt het «algemeen belang» genoemd in de context van exclusieve overeenkomsten. Deze zijn toegestaan om een dienst of een product in het algemeen belang te leveren als dat anders niet mogelijk is. Hier lijkt het begrip raakvlakken te hebben met de «dienst van algemeen economisch belang» uit het Europese mededingingsrecht. Daar gaat het om een maatschappelijk op zichzelf waardevolle dienst die onder normale marktomstandigheden niet, of niet onder acceptabele voorwaarden, tot stand komt. Overheidspartijen kunnen dan (steun)maatregelen nemen om deze dienst toch in het leven te roepen. Dat is inmenging in de markt, maar wordt niet gezien als verboden staatssteun.

Overheden hebben vaak veel ruimte om in de context van diensten van algemeen economisch belang te beoordelen wat zij als het algemeen belang zien. Deze ruimte wordt echter begrensd door de algemene beginselen van proportionaliteit en noodzakelijkheid en het moet gaan om een vorm van marktfalen. Datzelfde geldt voor de exclusieve overeenkomsten onder de verordening: ook die mogen alleen worden ingezet als de markt onvoldoende tot oplossingen komt.

In de context van data-altruïsme noemt de verordening als voorbeelden: gezondheidszorg, bestrijding van de klimaatverandering, mobiliteitsverbetering, facilitering van de ontwikkeling, productie en verspreiding van officiële statistieken, verbetering van openbare diensten, of openbare besluitvorming en steun voor wetenschappelijk onderzoek. In de Uitvoeringswet is deze lijst samengevoegd met wat in artikel 5b derde lid, van de Algemene wet inzake rijksbelastingen als «algemeen nut» wordt aangeduid. Het betreft onderwerpen waarvan de bevordering als algemeen nuttig – en daarom in het algemeen belang – wordt beschouwd.

15

De leden van de BBB-fractie constateren dat de lidstaten één contactpunt moeten oprichten om onderzoekers en innovatieve bedrijven te ondersteunen bij het identificeren van geschikte gegevens en structuren moeten opzetten om openbare lichamen technische en juridische bijstand te bieden. De leden vragen de regering of dit contactpunt eenvoudig te vinden is voor burgers en bedrijven, en in hoeverre verwacht wordt hoe vaak dit contactpunt gebruikt gaat worden en of de middelen en capaciteiten van het contactpunt hierop aansluiten.

Antwoord

Er is voor gekozen om dit te beleggen bij het reeds bestaande opendataportaal data.overheid.nl. Dit portaal werd in 2023 gemiddeld ruim veertigduizend keer per maand bezocht. Door dit portaal ook te gebruiken voor de verordening kunnen bedrijven voor al hun vragen over gegevens van de overheid terecht op één punt. De regering heeft nog geen beeld hoe vaak hiervan gebruik gemaakt zal worden. De inschatting is dat dit geen significante extra middelen vereist. Als dit wel het geval blijkt, zal dit meegenomen worden in de gesprekken met Logius over het beheer van het portaal.

16

De leden van de SP-fractie lezen dat een aantal beschermde categorieën van data, zoals persoonsgegevens die buiten het toepassingsbeleid van de Open data richtlijn vallen en data waarop intellectuele-eigendomsrechten van derden rusten, te gevoelig zijn om als open data voor een ieder algemeen beschikbaar te stellen, maar niet zo gevoelig dat elke vorm van hergebruik principieel moet worden uitgesloten. De leden zien niet goed voor zich welk beeld de regering hier probeert te schetsen. In welke gevallen acht de regering het wenselijk om deze beschermde categorieën van data voor hergebruik beschikbaar te stellen? Hoe groot is het risico dat persoonsgegevens hierdoor de markt op komen, waardoor een inbreuk op privacy wordt gemaakt?

Antwoord

Overheidsgegevens kunnen bijvoorbeeld gebruikt worden voor wetenschappelijk onderzoek. Het Centraal Bureau voor de Statistiek biedt al de mogelijkheid voor wetenschappers om de gegevens die het bureau verzameld heeft in het kader van zijn wettelijke taak, onder strikte voorwaarden te gebruiken ten behoeve van statistisch en/of wetenschappelijk onderzoek. De Wet open overheid bevat eveneens die mogelijkheid voor wetenschappelijk, statistisch, historisch en journalistiek onderzoek. Zoals reeds genoemd in het antwoord op vraag 2, kent Nederland op dit moment geen grondslag voor commercieel hergebruik van dergelijke gegevens en is deze ook niet voorzien. Persoonsgegevens mogen verder sowieso niet beschikbaar gesteld worden zonder waarborgen, zoals anonimisering. De combinatie van de hoge vertrouwelijkheidseisen die de verordening stelt en het feit dat er geen grondslag is voor commercieel gebruik maakt dat het risico dat persoonsgegevens hierdoor op de markt komen zeer klein. Daarnaast blijft de AVG onverminderd van toepassing en is er dus een verwerkingsgrondslag nodig om persoonsgegevens te mogen verwerken. De AP blijft toezicht houden op het verwerken van persoonsgegevens op grond van de AVG.

17

De leden van de SP-fractie lezen dat de Europese Commissie ziet dat nieuwe markten voor gegevensdeling ontstaan en wil bevorderen dat deze markten zich op een verantwoorde en betrouwbare manier ontwikkelen. De leden zien ook dat deze markten zijn ontstaan en uitgegroeid tot gigantische proporties. Alhoewel de leden het nut zien van het delen van data op altruïstische gronden en het hergebruik van data voor wetenschappelijke- en onderzoeksdoeleinden of voor andere doeleinden in het publiek belang, hebben zij fundamentele bezwaren tegen de privatisering van publieke data en verkoop van persoonsgegevens die plaats kan vinden door deze verordening. Door data voor hergebruik beschikbaar te stellen aan marktpartijen kan het voorkomen dat publiek gefinancierd onderzoek wordt gebruikt door marktpartijen en daardoor publieke informatie geprivatiseerd wordt. De publieke sector heeft hier weinig baat bij. Hoe gaat de regering voorkomen dat publieke informatie op deze manier geprivatiseerd wordt? Persoonsgegevens worden nu door grote techbedrijven als Meta, Amazon en Google verzameld, ingezet en verkocht om zo efficiënt mogelijk te adverteren. Deze verordening creëert ruimte in de markt voor zogenoemde databemiddelingsbedrijven om ook kleinere bedrijven mee te laten doen. De verkoop van persoonsgegevens doet afbreuk aan privacy en geeft bedrijven te veel macht. Faciliteren de Europese Commissie en de regering de verkoop van persoonsgegevens met deze verordening?

Antwoord

Het klopt dat voor wetenschappelijk onderzoek gegevens onder voorwaarden hergebruikt kunnen worden. De verordening legt geen beperkingen op aan het beschikbaar maken van de wetenschappelijke inzichten die hier uit voortkomen. Dit acht de regering ook onwenselijk, omdat dan de inzichten – al dan niet publiek gefinancierd- niet door andere wetenschappers gebruikt kunnen worden terwijl de maatschappij daar juist baat bij heeft. Het publiceren betekent inderdaad dat marktpartijen ook gebruik kunnen maken van deze inzichten. De regering ziet dit niet als onwenselijk en ook niet als privatisering van publieke informatie.

Databemiddelingsdiensten kopen of verkopen niet zelf gegevens maar zorgen voor de totstandkoming van de gegevensdeelrelatie. Indien het gaat om een natuurlijk persoon die een gegevensdeelrelatie aan wil gaan, heeft de databemiddelingsdienst de plicht om ervoor te zorgen deze persoon zijn of haar rechten onder de AVG kan uitoefenen. Het doel is dus dat personen juist meer grip op gun gegevens krijgen en de rechten uit de AVG effectiever kunnen worden uitgeoefend als databemiddelingsdiensten meer worden gebruikt.

18

De leden van de SP-fractie lezen dat de openbare lichamen die hergebruik toestaan zelf technische maatregelen moeten nemen om gegevensbescherming, privacy en vertrouwelijkheid te waarborgen. De regering geeft als voorbeeld dat een openbaar lichaam kan eisen dat persoonsgegevens geanonimiseerd zijn. Moeten de leden hieruit concluderen dat het aan openbare lichamen is om te besluiten of zij persoonsgegevens anonimiseren? Zo ja, waarom wordt dit niet wettelijk verplicht?

Antwoord

Openbare lichamen zijn verplicht ervoor te zorgen dat het beschermde karakter van de gegevens, zoals persoonsgegevens, behouden blijft. Een mogelijkheid daarvoor is het anonimiseren, maar andere manieren die de verordening noemt zijn het beschikbaar stellen in een beveiligde digitale verwerkingsomgeving of het beschikbaar stellen op een fysieke locatie. Voor alle mogelijkheden geldt dat ze de rechten van personen over wie de gegevens gaan, moeten beschermen. Een openbaar lichaam kan het best per verzoek inschatten welke manier van beschikbaar stellen het beste past bij het verzoek en tegelijkertijd voor de beste bescherming zorgt. Het wettelijk verplichten van anonimiseren zou verdere beperkingen opleggen aan mogelijk hergebruik en strijdig zijn met de verordening.

3.2. Databemiddelingsdiensten

19

De leden van de GroenLinks-PvdA-fractie hebben vragen over de «databemiddelingsdiensten», waarvan de definitie nog in ontwikkeling is. De aangedragen voorbeelden van wat wel en geen databemiddelingsdiensten zijn, vinden de leden verhelderend maar nog niet concreet genoeg. Kan de regering een concrete definitie geven van een databemiddelingsdienst? Omvat dit ook bedrijven die een indirecte relatie hebben met de datahouder en de -gebruiker?

Antwoord

De Europese Commissie heeft beoogd een nieuw soort diensten in het leven te roepen met de verordening. Op het moment dat het oorspronkelijke commissievoorstel uit werd gebracht waren er weinig databemiddelingsdiensten. Momenteel wordt door beoogde toezichthouders onderzocht welke partijen onder de definitie uit de verordening vallen. In eerste instantie lijkt het nog om een beperkt aantal partijen te gaan.

Een van de geïdentificeerde redenen waarom een markt voor deze diensten niet van de grond kwam was het gebrek aan vertrouwen in dergelijke diensten. De verordening vereist dat databemiddelingsdienstverleners de gegevens die via hen worden gedeeld nergens anders voor mogen gebruiken. Dit betekent dat de aanbieders van databemiddelingsdiensten zowel op papier als in de praktijk hun databemiddelingsdiensten moeten scheiden van andere dienstverlening. Door deze en andere maatregelen zou het vertrouwen in dergelijke dienstverleners verhoogd moeten worden.

In algemene zin valt, als voorbeeld, te denken aan een datamarktplaats waarbij een gegevenshouder een dataset aanbiedt en een eventuele gegevensgebruiker contact op kan nemen met de gegevenshouder voor het gebruik van deze gegevens. De datamarktplaats koopt of verkoopt geen gegevens, maar brengt bedrijven samen die geïnteresseerd zijn in het genereren van inkomsten en het hergebruiken van gegevens, en bevordert de transparantie tussen gegevensleveranciers en gebruikers door ervoor te zorgen dat zij rechtstreeks op het platform met elkaar communiceren en de transactie uitvoeren. Een dergelijke marktplaats kan een reeks tools ontwikkelen om zowel dataleveranciers als gebruikers te helpen de gegevens te begrijpen, te beoordelen en erover te communiceren. Zo bieden visualisatietools gegevensgebruikers verschillende vormen van informatie over een volledige dataset die veilig kan worden gedeeld voordat een transactie is voltooid. Sampling tools genereren automatisch representatieve gegevensvoorbeelden op basis van algoritmen, om vertekening te voorkomen. Gegevensgebruikers en dataleveranciers communiceren via een berichtentool die in het platform is ingebed. Bovendien kan een datamarktplaats de onderhandelingen over de contractuele overeenkomst ondersteunen door modelvoorwaarden die automatisch kunnen worden gegenereerd. Daarnaast is het mogelijk dat bepaalde persoonlijke datamanagers onder de verordening vallen.

Belangrijk is dat een entiteit alleen een databemiddelingsdienst is als het via een vorm van matchmaking een commerciële datadeelrelatie tot stand brengt. Het kan in die zin niet gaan om een indirecte relatie omdat de matchmaking moet plaatsvinden tussen de gegevenshouder en gegevensgebruiker. Als de gegevenshouder de gegevens en de daaraan verbonden rechten overdraagt aan een andere partij, dan is die partij de gegevenshouder geworden.

20

Wanneer handelt een databemiddelingsdienst «in het belang van de datasubjecten», zoals beschreven in de MvT?

Antwoord

Overweging 30 van de verordening geeft aan wat er bedoeld wordt met een databemiddelingsdienst die handelt in het belang van datasubjecten:

«Dergelijke aanbieders zouden personen helpen hun rechten uit hoofde van Verordening (EU) 2016/679 uit te oefenen, met name het geven en intrekken van hun toestemming voor de gegevensverwerking, het recht op toegang tot hun eigen gegevens, het recht op rectificatie van onjuiste persoonsgegevens, het recht op het wissen van gegevens of om «te worden vergeten», het recht om de verwerking te beperken en het recht op gegevensoverdraagbaarheid, waardoor datasubjecten hun persoonsgegevens naar een andere gegevensverwerkingsverantwoordelijke kunnen overbrengen. In dat verband is het belangrijk dat het bedrijfsmodel van dergelijke aanbieders waarborgt dat er geen ongewenste prikkels gegenereerd worden die personen ertoe aansporen dergelijke diensten te gebruiken om meer gegevens beschikbaar te stellen voor verwerking dan in hun eigen belang is.

Dat kan onder meer betekenen dat personen advies krijgen over de mogelijke manieren waarop hun gegevens worden gebruikt en dat zorgvuldigheidscontroles op gegevensgebruikers worden uitgevoerd voordat zij contact mogen opnemen met datasubjecten, teneinde frauduleuze praktijken te voorkomen. In bepaalde situaties kan het wenselijk zijn om feitelijke gegevens te verzamelen in een persoonsgegevensruimte, zodat de verwerking binnen die ruimte kan gebeuren zonder dat persoonsgegevens aan derden worden doorgegeven, teneinde de persoonsgegevens en de persoonlijke levenssfeer maximaal te beschermen. Dergelijke persoonsgegevensruimten kunnen statische persoonsgegevens zoals naam, adres of geboortedatum bevatten, alsook dynamische gegevens die een persoon genereert, bijvoorbeeld door gebruik te maken van een onlinedienst of een met het internet van de dingen verbonden voorwerp. Zij kunnen ook worden gebruikt voor het opslaan van gecontroleerde identiteitsgegevens, zoals paspoortnummers of socialezekerheidsinformatie, en van persoonlijke gegevens, zoals rijbewijzen, diploma’s of bankrekeninginformatie.»

21

De leden van de D66-fractie zien dat in het voorbeeld over de databemiddelingsdiensten wordt gesproken over een Frans bedrijf. In hoeverre zal toezicht vanuit de lidstaat (de Nederlandse toezichthouder) mandaat hebben om een Frans (of een ander land binnen de EU) bedrijf sancties op te leggen?

Antwoord

Een Nederlandse toezichthouder kan geen sancties opleggen aan een aanbieder van databemiddelingsdiensten die zijn hoofdvestiging of zijn wettelijke vertegenwoordiger in een andere lidstaat (bijvoorbeeld Frankrijk) heeft. Indien databemiddelingsdiensten in een andere lidstaat (bijvoorbeeld Nederland) worden aangeboden, werken de toezichthouders (de voor databemiddelingsdiensten bevoegde autoriteit uit beide lidstaten) samen en verlenen zij elkaar bijstand. Voor deze bijstand moet de toezichthouder een gemotiveerd verzoek indienen bij de andere toezichthouder. Vervolgens kunnen zij informatie uitwisselen voor zover dat nodig is voor het toezicht op de verordening. Het is in dit voorbeeld aan de Franse toezichthouder om waar nodig een sanctie op te leggen. Zie ook artikel 14, zevende lid, van de verordening.

3.3. Data-altruïsme

22

De leden van de NSC-fractie hebben een vraag aan de regering over de reikwijdte van het data-altruïsme. Is het voor de in de Unie erkende organisaties voor data-altruïsme toegestaan om gegevens die onder deze verordening of onder de Open data richtlijn door enige instantie tegen vergoeding voor hergebruik beschikbaar zijn gesteld, kosteloos breder beschikbaar te stellen?

Antwoord

Data-altruïstische organisaties hebben geen speciale positie ten opzichte van het hergebruik van hoofdstuk II van deze verordening of ten opzichte van hergebruik van de Open data richtlijn. Voor hen gelden in dit kader dus geen bijzondere regels. De rechten die zij wel of niet hebben ten aanzien van het eventueel kosteloos breder beschikbaar stellen van dergelijke gegevens, zijn afhankelijk van de wettelijke grondslag, afspraken en voorwaarden waaronder zij die gegevens hebben verkregen. Dat kan van geval tot geval verschillen.

3.4. Internationale datastromen

23

De leden van de GroenLinks-PvdA-fractie lezen dat de Europese Commissie gedelegeerde handelingen mag vastleggen voor het overdragen van zeer gevoelige data naar derde landen. Welke mogelijke voorwaarden betreft dit? Welke rechten heeft de datahouder, naast het recht om geïnformeerd te worden? Mag de datahouder bezwaar maken?

Antwoord

Overweging 24 van de verordening stelt over die voorwaarden het volgende: «Het kan gaan om voorwaarden voor de doorgifte of technische regelingen, zoals de verplichting om een beveiligde verwerkingsomgeving te gebruiken, beperkingen met betrekking tot het hergebruik van gegevens in derde landen of met betrekking tot categorieën van personen die dergelijke gegevens mogen doorgeven aan derde landen of die in dat derde land toegang kunnen krijgen tot de gegevens. In uitzonderlijke gevallen kunnen dergelijke voorwaarden ook beperkingen op de doorgifte van gegevens aan derde landen omvatten om het algemeen belang te beschermen.»

Naast het recht om geïnformeerd te worden, kent de verordening zelf geen andere directe rechten toe aan de gegevenshouder wiens gegevens worden doorgegeven aan een derde land. Wel volgt uit artikel 31 van de verordening een gelaagde set maatregelen, waaruit mogelijk rechten voortvloeien voor de gegevenshouder. In de eerste plaats moeten betrokken organisaties diverse maatregelen nemen, waaronder contractuele regelingen, om verboden doorgifte te voorkomen. In die contractuele regelingen zouden afspraken kunnen worden gemaakt over de rechten van gegevenshouders. In het tweede lid staat als hoofdregel dat een eventuele doorgifte moet zijn gebaseerd op een internationale overeenkomst, zoals een verdrag inzake wederzijdse rechtsbijstand. In zo’n internationale overeenkomst kunnen ook rechten voor gegevenshouders zijn getroffen. Bij gebrek aan een dergelijke internationale overeenkomst, kan volgens het derde lid alleen onder specifieke voorwaarden sprake zijn van een legale doorgifte, waaronder het recht van de geadresseerde om bezwaar te maken en dat te laten toetsen bij de rechter van dat derde land. Dit recht ligt dan overigens niet bij de oorspronkelijke gegevenshouder, omdat deze geen partij is in de betreffende zaak. Als ook van deze situatie geen sprake is, is de doorgifte naar Europees recht verboden

4. Inhoud uitvoeringswet

24

De leden van de NSC-fractie verzoeken om toelichting waarom is gekozen om de Minister van Economische Zaken en Klimaat verantwoordelijk te maken voor de databemiddelingsdiensten en de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties voor het hergebruik van overheidsgegevens en de erkende organisaties voor data-altruïsme.⁴ Met welke reden is deze knip gemaakt?

Antwoord

De bredere juridische grondslag voor deze verordening is artikel 114 van het Verdrag betreffende de werking van de Europese Unie dat ziet op de werking van de interne markt. De gekozen grondslag onderstreept het economische karakter van deze wetgeving. De regulering van databemiddelingsdiensten beoogt het ontwikkelen van een markt voor vertrouwde commerciële datadeling. Dit doel sluit aan bij het kabinetsbeleid met betrekking tot het stimuleren van onze data-economie, waarvoor het Ministerie van Economische Zaken en Klimaat beleidsverantwoordelijk is. Zo heeft de Staatssecretaris van Economische Zaken in 2019 «de Nederlandse visie op datadeling tussen bedrijven» naar uw Kamer gestuurd en zijn er sindsdien meerdere beleidsinitiatieven geweest vanuit het Ministerie van Economische Zaken en Klimaat rondom de data-economie zoals ook blijkt uit de Strategie Digitale Economie.⁵ Het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties is verantwoordelijk voor het open data beleid en de informatiehuishouding van de Rijksoverheid. Door aan te sluiten bij bestaande beleidsverantwoordelijkheden wordt de inhoudelijke consistentie gewaarborgd. Er is op meerdere digitale dossiers intensieve samenwerking tussen de ministeries van Economische Zaken en Klimaat en Binnenlandse Zaken en Koninkrijksrelaties waardoor de inhoudelijke knip goed te maken is maar er voor burgers en bedrijven geen praktische gevolgen zijn.

25

De leden van de GroenLinks-PvdA-fractie lezen dat de Minister van Economische Zaken en Klimaat verantwoordelijk is voor de databemiddelingsdiensten. Op welke manier is de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties hierbij betrokken?

Zie het antwoord op vraag 24.

26

Ook lezen de leden dat kosten in rekening mogen worden gebracht voor het hergebruiken van data. Is dat niet in strijd met de bedoeling van de wet, namelijk om data beter toegankelijk te maken? Onder welke voorwaarden mag er een tarief worden gehanteerd?

Antwoord

Het klopt dat de verordening ernaar streeft gegevens toegankelijk te maken. Dat beogen de verordening en de Uitvoeringswet te bereiken door een kader te stellen voor het hergebruik van overheidsgegevens en ondersteuning te bieden door bevoegde organen en het inrichten van een centraal informatiepunt. Dit type hergebruik vereist echter – meer dan gegevens onder de wet hergebruik overheidsinformatie – capaciteit van de overheid. Vooral om dit op een veilige manier uit te voeren. De regering vindt het daarom redelijk om de kosten door te berekenen aan de hergebruiker. De verordening staat dit toe.

27

De leden van de D66-fractie vragen in hoeverre het klopt het dat de Wet open overheid (Woo) prevaleert boven deze verordening. Klopt het ook dat de Woo, wat geen intellectueel eigendom van derden erkent als reden om documenten niet openbaar te maken, blijft gelden?

Antwoord

Hoofdstuk II van de verordening stelt in artikel 3, derde lid, onderdeel a, dat het hoofdstuk geen afbreuk doet aan het Unie- en nationaal recht inzake toegang tot documenten. De Woo is dus van toepassing en het klopt dat de Woo in die zin prevaleert boven de verordening.

De Woo erkent het intellectueel eigendomsrecht van derden niet afzonderlijk als reden om documenten niet openbaar te maken. Echter, in geval een verzoek tot openbaarmaking op grond van de Woo wordt gedaan, kunnen er andere weigeringsgronden van toepassing zijn, zoals het feit dat het bedrijfs- en fabricagegegevens betreft die vertrouwelijk aan de overheid zijn meegedeeld. Daarnaast gelden door auteurs gepubliceerde documenten als reeds openbaar, ook als die documenten zich bijvoorbeeld bevinden achter een betaalmuur. De Woo is niet van toepassing op reeds openbare documenten. Het is dus niet zo dat ingevolge de Woo zomaar documenten waarop een intellectueel eigendomsrecht rust gratis openbaar kunnen worden.

Voor zover documenten wel openbaar zijn of worden gemaakt (via de Woo of buiten de Woo om), is daarop in principe de Wet hergebruik van overheidsinformatie van toepassing (Who). De Who erkent intellectuele eigendomsrechten van derden echter wel uitdrukkelijk als een reden om hergebruik niet toe te staan.

4.1 Toezicht en handhaving

28

De leden van de D66-fractie zien graag een meer uitgebreide toelichting van de regering waarom het advies van de Raad van State om de verplichte samenwerking tussen de Autoriteit Persoonsgegevens (AP) en de Autoriteit Consument & Markt (ACM) te schrappen, niet wordt opgevolgd. In hoeverre wordt de ACM verplicht om het advies van de AP op te volgen?

Antwoord

De ACM wordt aangewezen als bevoegde autoriteit voor de verordening met betrekking tot de hoofdstukken III en IV. Bij de aanmelding als databemiddelingsdienst respectievelijk registratie als erkende organisatie voor data-altruïsme wordt ex ante beoordeeld of een databemiddelingsdienst of een organisatie voor data-altruïsme aan deze verordening voldoet. De AP adviseert, gelet op haar expertise met betrekking tot de verwerking van persoonsgegevens, de ACM over op dat vlak in deze verordening gestelde voorwaarden. Uit de Awb volgt dat gemotiveerd van een advies kan worden afgeweken. Dat geldt ook in dit geval. Er wordt nadrukkelijk niet gevraagd om een ex ante AVG-beoordeling: de AP behoudt al haar AVG-bevoegdheden om in het kader van de AVG toezicht te houden. Naar aanleiding van het advies van de Afdeling is de adviesplicht aangepast zodat duidelijk wordt dat het advies van de AP ziet op het voldoen aan de relevante bepalingen van de verordening en niet op het voldoen aan de AVG.

29

De leden van de BBB-fractie lezen in de MvT dat de Autoriteit Consument & Markt (ACM) wordt aangewezen als toezichthouder. De ACM mag databemiddelingsdiensten sanctioneren, schorsen en dwangsommen opleggen als die zich niet aan de regels houden. Ook houden ze toezicht op inbreuken op verplichtingen m.b.t. deze doorgifte van niet-persoonsgebonden gegevens aan derde landen wanneer deze doorgifte in strijd is met de Europese of nationale wetgeving. De leden vragen de regering of er rekening mee is gehouden met de vraag, wanneer databemiddelingsdiensten die zich bevinden in landen waarin boetes frequent niet betaald worden en sancties worden genegeerd, hoe de ACM hiermee om kan gaan, en wat mogelijke vervolgstappen zijn? Als de vervolgstap om recht te halen in landen (waarin databemiddelingsdiensten zich bevinden) mislukt, wat zou dan het gevolg zijn en hoe beperkt deze wetgeving in een dergelijke situatie? Is er een mogelijkheid om een register van landen te maken van waaruit databemiddelingsdiensten geen toegang hebben tot de Nederlandse en Europese data i.v.m. het mogelijk in gevaar brengen van de nationale veiligheid of grootschalige schending van de privacy?

Antwoord

De ACM houdt toezicht op Nederlandse databemiddelingsdiensten. Indien een databemiddelingsdienst is gevestigd in een andere lidstaat maar in Nederland de verordening overtreedt, dan is de toezichthouder in het land van vestiging de toezichthouder die de verordening moet handhaven. De ACM kan contact opnemen met de toezichthouder in een andere lidstaat om informatie over een eventuele inbreuk op de verordening te delen. Indien een lidstaat zich niet aan de Europese regels houdt, is het aan de Europese Commissie om bij het Europese Hof een inbreukprocedure te starten tegen deze lidstaat. In het geval een databemiddelingsdienst niet gevestigd is in de EU en ook geen wettelijke vertegenwoordiger in de EU heeft, dan mag deze haar diensten niet in de EU aanbieden. De ACM mag deze partijen dan ook weren van de Nederlandse markt.

Als het gaat om schending van de privacy is de AVG van toepassing en is de AP verantwoordelijk voor het toezicht. De verordening is niet van toepassing in het geval van nationale veiligheid omdat de verordening geen afbreuk doet aan de bevoegdheden van lidstaten hierin (artikel 1, vijfde lid van de verordening). Daarnaast is het goed om te verhelderen dat databemiddelingsdiensten zelf geen toegang kunnen regelen tot gegevens omdat een databemiddelingsdienst moet worden afgenomen door een gegevenshouder en gegevensgebruiker en de gegevenshouder zelf het initiatief moet nemen om gegevens aan te bieden bij een databemiddelingsdienst. Bovendien mag een databemiddelingsdienst de gegevens ook voor geen enkel ander doel gebruiken dan het delen met de gegevensgebruiker, in overeenstemming met de wensen van de gegevenshouder.

30

De leden van de BBB-fractie lezen dat de ACM moet beoordelen of een databemiddelingsdienst of geregistreerde data-altruïstische organisatie (naar verwachting) zal voldoen aan de eisen die de verordening aan de betreffende organisatie stelt. Aangezien de AP echter de toezichthouder is op de AVG, is de AP de aangewezen organisatie om advies te geven met betrekking tot die voorwaarden uit de verordening die verband houden met de bescherming van persoonsgegevens. De leden vragen de regering in hoeveel procent van de gevallen de AVG van toepassing zal zijn bij het beoordelen van een databemiddelingsdienst of geregistreerde data-altruïstische organisatie? Zou het kunnen dat de AP een grotere hoeveelheid aanvragen moet gaan beoordelen dan dat nu verwacht wordt, en zo ja, tussen hoeveel full time equivalent (FTE) schommelt dit en wat betekent dit voor de financiële lasten voor de toezichthouder?

Antwoord

Het gaat bij databemiddelingsdiensten en data-altruïstische organisaties om een zeer nieuw type dienstverlening. Het is nu dus nog lastig om in te schatten hoeveel databemiddelingsdienstverleners en data-altruïstische organisaties zich in de komende jaren in Nederland zullen registreren. Daarmee is het ook lastig in te schatten hoe vaak de AP om advies zal worden gevraagd door de ACM. Op dit moment zijn er nog maar een zeer beperkt aantal entiteiten die mogelijk een aanbieder van databemiddelingsdiensten zijn. Op basis van de inschattingen van de ACM en de AP in de UHT’s is gebleken dat er structureel 2,5 FTE nodig is voor de toezichtstaken van de ACM met betrekking tot de verordening. Op basis het geschatte aantal adviesaanvragen van de ACM aan de AP is er aan de AP 1,5 FTE toegekend. Het kabinet verwacht voldoende capaciteit te hebben georganiseerd bij de ACM en de AP om de taken uit de Uitvoeringswet te vervullen. Los van de reguliere inhoudelijke samenwerking tussen de beleidsverantwoordelijke departementen en de ACM en AP zal ook de financieringsbehoefte op reguliere basis worden geëvalueerd. Als dat nodig blijkt kan in de toekomst de capaciteit worden aangepast.

5. Verhouding tot ander recht

5.1 Bescherming van persoonsgegevens, AVG

31

De leden van de GroenLinks-PvdA-fractie merken op dat de wet in 2023 geïmplementeerd had moeten zijn. Ook is er een nauwe samenhang met de Wet implementatie Open data richtlijn. Welke gevolgen heeft het niet op tijd invoeren van deze wet? Welke risico’s brengt het met zich mee als deze wet en de Wet implementatie Open data richtlijn niet tegelijk worden ingevoerd? Vallen er op die manier geen gaten in het beleid?

Antwoord

Zolang deze Uitvoeringswet nog niet van kracht is in Nederland heeft Nederland niet volledige uitvoering gegeven aan de Verordening. Zo kunnen de betrokken toezichthouders en uitvoeringsorganisaties hun rol nog niet uitvoeren. Dit betekent dat Nederlandse databemiddelingsdiensten en organisaties voor data-altruïsme zich niet kunnen aanmelden en dus niet in en vanuit Nederland hun diensten kunnen aanbieden.

Het niet op tijd uitvoeren van de verordening betekent dat Nederland het risico loopt op een inbreukprocedure van de Europese Commissie. Een inbreukprocedure kan leiden tot een boete van de Europese Commissie. De Europese Commissie is op de hoogte gebracht dat de Uitvoeringswet op 16 oktober 2023 naar uw Kamer is gestuurd.

Het niet tegelijk invoeren van de Wet implementatie Open data richtlijn en de Uitvoeringswet heeft geen risico’s voor de uitvoering. Zij hebben immers betrekking op verschillende typen gegevens. Voor een effectief hergebruik van overheidsinformatie is het echter wel wenselijk dat beide zo snel mogelijk ingevoerd worden.

32

De leden van de D66-fractie vragen in hoeverre het klopt dat bij tegenstrijdigheid tussen de verordening en de AVG de laatstgenoemde prevaleert?

Antwoord

Artikel 1, derde lid, van de verordening geeft expliciet aan dat deze verordening geen afbreuk doet aan de AVG. De AVG prevaleert daarmee.

33

In hoeverre ondervindt dit wetsvoorstel last van het gegeven dat de Wet implementatie Open data richtlijn nog niet is aangenomen? Kan de regering dit toelichten, zo vragen deze leden?

Antwoord

Zoals toegelicht bij vraag 31, ondervindt het onderhavige wetsvoorstel geen last van het verlate invoeren van de Wet implementatie Open data richtlijn.

34

De leden van de BBB-fractie lezen dat een met een publieke taak belaste instelling er voor kan kiezen om de gegevens in kwestie te anonimiseren, alvorens hergebruik daarvan toe te staan. Is het gebruik van «reverse engineering» voor geanonimiseerde persoonsgegevens door middel van kwantum computers als risico meegenomen in deze afweging?

Antwoord

Bij anonimisering is heridentificatie of «reverse engineering» per definitie niet mogelijk. Als hier wel nu of in de toekomst sprake van is, is er sprake van pseudonimisering. Dat heridentificatie in de toekomst mogelijk is, kan komen door ontwikkelingen zoals kwantum.⁶ Artikel 5, vijfde lid, van de verordening verbiedt heridentificatie door hergebruikers en verplicht hen daartegen maatregelen te nemen. Het is uiteindelijk aan het openbaar lichaam, al dan niet ondersteund door een bevoegd orgaan, om te beoordelen of de persoonsgegevens voldoende beschermd zijn. Daarbij moeten zij het risico op heridentificatie meenemen in de afweging.

6. Uitvoerbaarheid en handhaafbaarheid

6.1 Adviescollege Openbaarheid en Informatiehuishouding

35

De leden van de PVV-fractie merken op dat de beantwoording van de inbreng van het Adviescollege Openbaarheid en Informatiehuishouding (ACOI) niet volledig is verwoord in de MvT. Derhalve verzoeken de leden alsnog een toelichting op de door het ACOI gedane voorstellen.

Antwoord

Het ACOI heeft vier adviezen gegeven. In de MvT is specifiek ingegaan op het derde advies, omdat dit direct gerelateerd was aan de voorliggende Uitvoeringswet. Concreet ging dat om het advies om in de MvT op te nemen dat de bevoegde organen eisen moeten stellen aan de duurzame toegankelijkheid.

Het ACOI deed ook de aanbeveling om te onderzoeken welke aanvullende grondslagen voor het hergebruik van beschermde gegevens van toegevoegde waarde kunnen zijn. Het hergebruikregime van de verordening bevat immers geen zelfstandige grondslagen om hergebruik toe te staan of verplicht te stellen, maar functioneert in afhankelijkheid van nationale grondslagen. Ten tijde van het advies van de ACOI, was de indruk nog dat Nederlandse regelgeving maar zeer beperkt dergelijke grondslagen kende. Het ACOI stelde daarom voor om meer van dergelijke grondslagen toe te voegen. Na het uitbrengen van het advies is echter duidelijk geworden dat artikel 5.7 van de Wet open overheid ook fungeert als een grondslag voor hergebruik als bedoeld in de verordening. Omdat deze grondslag zeer breed is, ziet de regering geen reden om op korte termijn aanvullende grondslagen te creëren. Wanneer dit wel het geval is, zal de regering deze voorleggen aan het ACOI.

Het ACOI doet tevens de aanbeveling om verschillende aspecten rond het centraal informatiepunt te onderzoeken. Het beoogde portaal, data.overheid.nl, voldoet volgens de regering aan deze aspecten. Dit portaal is reeds het portaal voor open data en wordt goed bezocht. De vereiste ondersteuning past bij de rol die het portaal al heeft met betrekking tot open data. Verder voldoet het portaal aan de minimale interoperabiliteit en wordt er gewerkt aan een verbetering waarbij de laatste versie van de uitwisselingsstandaard gebruikt wordt. Het laatste advies van ACOI heeft betrekking op de vergoeding voor hergebruik. Het ACOI wil daar op adviseren. Er wordt nog gewerkt aan de AMvB en de regering zegt toe deze AMvB voor te leggen aan het ACOI voor advies.

7. Overgangsrecht en inwerktreding

36

De leden van de NSC-fractie verzoeken de regering om nadere toelichting waarom de verordening niet op een eerder moment is geïmplementeerd, aangezien de deadline van 24 september 2023 reeds is verstreken.

Antwoord

De verordening voorzag in een periode van 15 maanden voor uitvoering. Vanwege de nieuwe thematiek waar deze wetgeving betrekking op heeft en de (mogelijke) samenhang met de uitvoering van andere verordeningen op het terrein van digitalisering is deze periode helaas te kort gebleken voor de zorgvuldige voorbereiding, afstemming met alle betrokken partijen en behandeling van het voorstel voor de Uitvoeringswet. De Uitvoeringswet is daardoor op 16 oktober 2023 aan uw Kamer aangeboden.

OVERIG

37

De leden van de PVV-fractie merken op dat er geen evaluatie zal plaatsvinden. Gezien de regeldruk nog een onbekende factor is lijkt het voor de hand dat er een evaluatie zal plaatsvinden. Waarom wordt afgezien van een evaluatie?

Zie het antwoord op vraag 38.

38

De leden van de GroenLinks-PvdA-fractie willen weten hoe vaak de Kamer geïnformeerd wordt over de vordering op deze wet. Op welke termijn wordt de uitvoering geëvalueerd?

Antwoord

Artikel 35 van de verordening voorziet in een evaluatie van de verordening. Uiterlijk op 24 september 2025 brengt de Commissie verslag uit aan het Europees Parlement, de Raad en het Europees Economisch en Sociaal Comité over de evaluatie van de verordening. Indien uit de evaluatie blijkt dat de uitvoering in Nederland moet worden aangepast, kan er te zijner tijd worden gekeken hoe dit in Nederland het beste kan worden geadresseerd. Overigens heeft de Uitvoeringswet zelf geen gevolgen voor de regeldruk omdat het gaat om een zuivere en beleidsarme uitvoering. Bij bijzonderheden over de verordening of de uitvoeringswet, kan dit in de jaarlijkse voortgangsrapportage van de Strategie Digitale Economie worden meegenomen.

39

De leden van de vragen D66-fractie hoe er gecontroleerd zal worden dat data niet gebruikt wordt door de inzet van Artificial Intelligence (AI), bijvoorbeeld bij Large Language Models?

Antwoord

De verordening regelt niet voor welke toepassingen gegevens gebruikt mogen worden. Zij regelt alleen onder welke voorwaarden gegevens mogen worden gedeeld. Het verschilt per hoofdstuk om welke gegevens het gaat en wat de voorwaarden zijn. Zo gaat het hoofdstuk over databemiddelingsdiensten over gegevens in bezit van gegevenshouders of datasubjecten en gaat het om de voorwaarden gesteld aan databemiddelingsdienstverleners die kunnen worden gebruikt door een gegevenshouder of datasubject om hun gegevens te delen met een gegevensgebruiker.

Het is mogelijk dat de gegevensgebruiker de gegevens gebruikt voor de ontwikkeling van AI. In beginsel is dit ook positief omdat er veel maatschappelijke en economische kansen van AI zijn. Zo kan AI helpen bij diagnostisering in de zorg, vermindering van files door slimme verkeerssystemen of het verlagen van CO₂-uitstoot door procesoptimalisatie. Het delen van data moet natuurlijk wel verantwoord gebeuren. Daarom is er een uitgebreid wettelijk kader voor gegevens met de AVG, de verordening en binnenkort de Dataverordening waarin rechten van datasubjecten (personen over wie de gegevens gaat) zijn vastgesteld. Ook worden daarin datamarkten gereguleerd om deelnemers verantwoord met gegevens om te laten gaan én ongewenste machtsconcentraties tegen te gaan. Dit kader geldt ook voor gegevens die worden gebruikt om AI mee te trainen.

De AI-Verordening stelt daarnaast regels voor de verantwoorde ontwikkeling en gebruik van AI-systemen. Voor hoog-risico AI-systemen gaan onder andere eisen gelden aan de gegevens die gebruikt worden voor training. Grote AI-modellen (zoals Large Language Models) die voor veel verschillende toepassingen gebruikt kunnen worden, moeten onder andere een samenvatting van de gebruikte trainingsdata openbaar publiceren.

In het geval van hergebruik van overheidsinformatie ontbreekt het aan een grondslag voor zulk hergebruik. Het gebruik daarvan voor Large Language Models zou ook op gespannen voet staan met de vereiste dat het beschermde karakter van de informatie behouden moet blijven. In het geval van persoonsgegevens is het verder aan de Autoriteit Persoonsgegevens om toe te zien op eventueel misbruik van de gegevens.

De Minister van Economische Zaken en Klimaat, M.A.M. Adriaansens

---

1 Kamerstuk 36 451, nr. 4.

2 Zie najaarsrapportage regeldruk van 17 november 2016 (Kamerstuk 29 515, nr. 397, p. 5)

3 Kamerstuk 22 112, nr. 3016.

4 N.B.: Deze leden merken op dat in de MvT abusievelijk het woord «data-altruïstisme» staat.

5 De Nederlandse visie op datadeling tussen bedrijven: Kamerstukken II 2018/19, 26 643, nr. 594; Strategie Digitale Economie: Kamerstuk 26 643, nr. 941.

6 https://www.wodc.nl/actueel/nieuws/2022/12/13/hoe-persoonsgegevens-te-beschermen-als-anonimisering-niet-meer-te-garanderen-is