31 734
Wijziging van de Wet bescherming persoonsgegevens in verband met de uitvoering van de op 26 juli 2007 te Washington tot stand gekomen Overeenkomst tussen de Europese Unie en de Verenigde Staten van Amerika inzake de verwerking en overdracht van persoonsgegevens van passagiers (PNR-gegevens) door luchtvaartmaatschappijen aan het Ministerie van Binnenlandse Veiligheid van de Verenigde Staten van Amerika (PNR-Overeenkomst 2007) met briefwisseling en verklaring (Trb. 2007, 129)

nr. 5
NOTA NAAR AANLEIDING VAN HET VERSLAG

Ontvangen 19 maart 2009

1. Inleiding

De regering dankt de Kamer voor de vragen en de opmerkingen die de leden van de verschillende fracties in het verslag hebben gemaakt. Voor zoveel nog nodig verwijst de regering de leden van de diverse fracties naar de gelijktijdig met de nota uitgebrachte nota naar aanleiding van het verslag ten aan zien van het voorstel van wet houdende goedkeuring van de op 26 juli 2007 te Washington tot stand gekomen Overeenkomst tussen de Europese Unie en de Verenigde Staten van Amerika inzake de verwerking en overdracht van persoonsgegevens van passagiers door luchtvaartmaatschappijen aan het Ministerie van Binnenlandse Veiligheid van de Verenigde Staten van Amerika (PNR-Overeenkomst 2007), met briefwisseling en verklaring (Trb. 2007, 129).

De leden van de SP-fractie geven uiting aan hun teleurstelling over het voorliggende wetsvoorstel. Zij constateren dat de tussen de Europese Unie en de Verenigde Staten gesloten Overeenkomst in strijd is met de Wet bescherming persoonsgegevens (Wbp) en dat de Wbp dient te worden aangepast om deze situatie op te heffen. Deze leden vragen of deze weergave van de feiten juist is en hoe de regering deze situatie beoordeelt. Verder vragen deze leden wat de consequenties zijn wanneer dit wetsvoorstel niet door de Tweede Kamer zou worden aangenomen.

De regering is van oordeel dat er geen strijd bestaat tussen de Wbp en de PNR-Overeenkomst 2007. Ook niet onder de huidige situatie waarin de PNR-Overeenkomst 2007 voorlopige toepassing vindt.

Immers, luchtvaartmaatschappijen zijn ingevolge artikel 33 van de Wbp verplicht hun passagiers tijdig en volledig te informeren over de verplichting die zij op grond van Amerikaanse regelgeving hebben om gegevens door te geven aan de Amerikaanse autoriteiten. Die informatieplicht ziet op alle gegevens die de luchtvaartmaatschappij verwerkt, dus ook op gegevens waaruit onder omstandigheden bijzondere persoonsgegevens kunnen worden afgeleid. Daargelaten de mogelijkheid dat betrokkenen bewust de mogelijkheid verkiezen geen gegevens te verstrekken die kunnen worden aangemerkt als bijzondere persoonsgegevens, kunnen zij op basis van de informatie die door de luchtvaartmaatschappij wordt verstrekt hun toestemming geven of onthouden tot het verwerken van die gegevens. Op grond van artikel 23, eerste lid, onder a, van de Wbp doorbreekt toestemming van de betrokkene het verbod op verwerking van die gegevens. In vrijwel alle gevallen volstaat deze verwerkingsgrond. Het onthouden van toestemming leidt voor de betrokkene echter tot een probleem: hem zal de toegang tot het vliegtuig worden geweigerd. Zou het wetsvoorstel worden verworpen, dan blijft deze situatie bestaan.

De thans bestaande – rechtmatige – vorm van gegevensdoorgifte neemt niet weg dat de regering het toch noodzakelijk acht om zowel ten aanzien van betrokkene, als ten aanzien van verantwoordelijke duidelijkheid te verschaffen over de gevolgen van het toch min of meer onontkoombare karakter van gegevensdoorgifte aan derde landen ten behoeve van een zwaarwegend algemeen belang. In geval van de PNR-Overeenkomst 2007 betreft dit primair het voorkomen en bestrijden van terrorisme en andere vormen van grensoverschrijdende criminaliteit.

De regering heeft zich, vooral met het oog op nog komende verdragen over de doorgifte van passagiersgegevens, afgevraagd of de toestemming van de betrokkene steeds maar moet worden ingeroepen om de doorgifte van bijzondere persoonsgegevens te rechtvaardigen, in situaties waarin een weigering van de betrokkene altijd leidt tot ongewilde consequenties. Het gevaar bestaat dat op de lange duur het toestemmingsvereiste aan overtuigende betekenis zal inboeten. De regering acht het beter om voor dit soort gevallen een duidelijke en evenwichtige regeling voor te stellen. Die regeling faciliteert niet alleen luchtvaartmaatschappijen. Ook bij de positie van betrokkenen is stilgestaan, omdat de voorgestelde regeling alleen toepassing vindt in gevallen waarin is voorzien in een behoorlijke internationaalrechtelijke grondslag voor de doorgifte van persoonsgegevens waarin waarborgen voor de bescherming van persoonsgegevens moeten zijn ingebouwd. Daarmee is ook bereikt dat steeds democratische controle door de Staten-Generaal of het Europees Parlement mogelijk is. Met die laatste eis wordt bovendien bereikt dat aan derde landen een duidelijk signaal wordt gegeven over hetgeen op dit terrein voor de Nederlandse wetgever acceptabel is.

Daarnaast is er een wetssystematische reden voor de voorgestelde voorziening. Artikel 23, eerste lid, onder d, van de Wbp geeft een uitzondering op het verwerkingsverbod indien dit noodzakelijk is ter voldoening aan een volkenrechtelijke verplichting. Het voorgestelde artikel 23a van de Wbp sluit aan bij die uitzonderingsgrond. Wanneer uit een regel van buitenlands recht voortvloeit dat de doorgifte van bijzondere persoonsgegevens in een zwaarwegend algemeen belang noodzakelijk is, en in een verdrag of een bindend EG- of EU-besluit de consequenties van de verschillen tussen gegevensbeschermingsregimes van Nederland, respectievelijk de Europese Unie, en het derde land afdoende zijn geregeld, is er geen principiële reden meer de doorgifte van bijzondere persoonsgegevens te verbieden.

2. Doel van het wetsvoorstel

De leden van de PvdA-fractie vragen of de doorgifte van bijzondere gegevens onder de huidige situatie, waarbij de PNR-Overeenkomst 2007 voorlopig wordt toegepast, juridisch juist is, en wat daarvan de eventuele gevolgen kunnen zijn.

De regering verwijst deze leden graag naar paragraaf 1 van deze nota, waarin is geantwoord op gelijkluidende vragen van de leden van de SP-fractie.

3. Rechtvaardiging van de verwerking van bijzondere persoonsgegevens in een Passenger Name Record

De leden van de CDA-fractie constateren dat het College bescherming persoonsgegevens (Cbp) kanttekeningen heeft geplaatst in verband met de Europeesrechtelijke grondslag voor het voorgestelde artikel 23a van de Wbp. Gezien de reactie van de regering daarop spreken deze leden de twijfel en de vraag uit of het vooruitlopen op komende Europese regelgeving geen aanleiding kan geven tot twijfel over de juridische houdbaarheid van de grondslag om in ieder geval op de kortere termijn bijzondere passagiersgegevens te verwerken. Zij verzoeken de regering daarop in te gaan. Zij vragen of de European Data Protection Supervisor in dit verband wellicht opmerkingen heeft gemaakt.

Wat de rechtsgrondslag voor het verwerken van bijzondere persoonsgegevens op de kortere termijn betreft, herhaalt de regering met nadruk dat een afdoende grondslag daarvoor thans reeds aanwezig is, in de vorm van toestemming van de betrokkene. Er behoeft dus niet te worden gevreesd dat gegevensdoorgifte zonder afdoende grondslag plaatsvindt gedurende de periode dat de PNR-Overeenkomst 2007 voorlopig wordt toegepast. De reactie van de regering op het advies van het Cbp betreft een andere punt. Het Cbp maakte in zijn advies een kanttekening ten aanzien van het voorgestelde artikel 23a, onder c, van de Wbp. Het Cbp is van oordeel dat de internationaalrechtelijke grondslag waarin dat artikelonderdeel voorziet niet zou mogen bestaan in een besluit van alleen de Europese Commissie. Het Cbp wijst er – op zichzelf genomen terecht – op dat gegevensdoorgifte ten behoeve van rechtshandhavingsdoeleinden thans alleen plaatsvindt in het kader van de Europese Unie, in het bijzonder de derde pijler, en dat de Europese Commissie in het kader van de derde pijler geen bevoegdheid heeft tot het vaststellen van bindende besluiten, noch rechtstreeks, noch krachtens delegatie (zogenoemde comitologie). Zodoende zou die grondslag kunnen worden gemist, aldus het Cbp.

De regering deelt dit laatste oordeel niet. In paragraaf 7 van de memorie van toelichting heeft zij erop gewezen dat het reeds thans mogelijk is om op grond van artikel 42 van het Verdrag betreffende de Europese Unie (hierna: EU) de Commissie de bevoegdheid te verlenen uitvoeringsmaatregelen vast te stellen op het terrein van de derde pijler, ook al is daarvan tot dusverre geen gebruik gemaakt. Het Verdrag van Lissabon maakt het op ruimere schaal mogelijk de Commissie met dergelijke bevoegdheden te bekleden. De regering acht het verstandig rekening te houden met deze toekomstige mogelijkheden. Er wordt overigens niet op de toepassing van dergelijke maatregelen vooruitgelopen, noch in het wetsvoorstel, noch in de bestaande toepassing van de PNR-Overeenkomst 2007. De grondslag voor beoordeling van de adequaatheid van het niveau van gegevensbescherming is immers een verdrag tussen de EU en de VS, en geen unilaterale besluitvorming door de instellingen van de EU.

De Europese Toezichthouder voor de Gegevensbescherming heeft niet geadviseerd over het wetsvoorstel. Zijn adviserende taak strekt zich niet uit tot voorstellen van wet van de lidstaten.

De leden van de PvdA-fractie willen graag weten of er in de verdragen met Canada en Australië, en in het verdrag met Zuid-Korea waaraan wordt gewerkt sprake is van de uitwisseling van bijzondere gegevens. Verder willen zij weten of het idee bestaat dat de uitwisseling van bijzondere gegevens voor andere landen een harde voorwaarde zal zijn om een PNR-overeenkomst aan te gaan. Deze leden zouden die uitwisseling graag voorkomen en wensen de visie van de regering daarop te vernemen. Zij vragen zich dan ook af of het niet verstandig is het wetsvoorstel te beperken tot het verdrag met de Verenigde Staten om de terughoudendheid in de uitwisseling van bijzondere gegevens tot uitdrukking te brengen.

De regering wijst naar aanleiding van de vragen van de leden van de PvdA-fractie erop dat met Canada geen verdrag is gesloten. De doorgifte van passagiersgegevens aan de Canadese autoriteiten geschiedt krachtens de beschikking van de Commissie van 6 september 2005 over de passende bescherming van persoonsgegevens in het «Passenger Name Record» (PNR) van vliegtuigpassagiers die aan de «Canada Border Services Agency» worden doorgegeven (PbEU L 91). Blijkens paragraaf 4 van de bijlage bij deze beschikking worden gegevens die als bijzondere gegevens in de zin van artikel 8 van richtlijn nr. 95/46/EG van het Europees Parlement en de Raad van de Europese Unie van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PbEG L 281) (hierna: richtlijn nr. 95/46/EG) kunnen worden aangemerkt niet begrepen onder de gegevens die vallen onder de reikwijdte van de beschikking. Krachtens paragraaf 10 van de bijlage bij de op 30 juni 2008 te Brussel totstandgekomen Overeenkomst tussen de Europese Unie en Australië inzake de verwerking en doorgifte van persoonsgegevens van passagiers (PNR) uit de Europese Unie door luchtvaartmaatschappijen aan de Australische douane, met Bijlage en verklaring (Trb. 2008, 170) wordt het gehele PNR, met inbegrip van gegevens waaruit onder omstandigheden bijzondere persoonsgegevens kunnen worden afgeleid, doorgegeven aan de Australische autoriteiten. De autoriteiten wissen echter de bijzondere gegevens. Ten aanzien van Zuid-Korea wordt – anders dan de leden van de PvdA-fractie blijkbaar veronderstellen – vooralsnog niet gewerkt aan een verdrag. Momenteel is er slechts sprake van een officieel verzoek van de regering van Zuid-Korea aan de het voorzitterschap van de Europese Unie om onderhandelingen over een dergelijk verdrag te openen. Er is nog geen zicht op een besluit op dat verzoek. Er wordt ook niet informeel onderhandeld.

De regering heeft uit oogpunt van dataprotectie een zekere voorkeur voor het niet overdragen van gegevens die als bijzondere persoonsgegevens kunnen worden aangemerkt. Niettemin merkt zij op dat onder omstandigheden bijzondere persoonsgegevens ook kunnen bijdragen aan, bijvoorbeeld, een definitieve positieve of negatieve identificatie van een persoon. De verwerking en doorgifte van bijzondere persoonsgegevens kan dus wel degelijk een zekere toegevoegde waarde hebben ten behoeve van de doeleinden waarvoor de PNR-Overeenkomst is gesloten. De regering heeft op zichzelf genomen begrip voor de neiging de diverse PNR-overeenkomsten onderling op detailniveau te vergelijken, maar zij waarschuwt wel tegen het trekken van te vergaande conclusies daaruit. Canada, de Verenigde Staten en Australië zijn drie verschillende landen, met een verschillend intern gegevensbeschermingsrecht, met een verschillende veiligheidsbehoefte en met een verschillende onderhandelingspositie ten opzichte van de Europese Unie. De onderhandelingspositie van de Unie wordt bovendien beïnvloed door de omstandigheden van het moment en de standpunten van 27 lidstaten.

Reeds omdat in het bovenvermelde verdrag met Australië ook wordt voorzien in de doorgifte van gegevens die als bijzondere gegevens kunnen worden aangemerkt, acht de regering beperking van het wetsvoorstel tot de implementatie van de PNR-Overeenkomst 2007 niet juist. Ook overigens is het principieel bezwaarlijk de gelding van een wettelijke regeling tot één afzonderlijk geval te beperken.

De leden van de PvdA-fractie constateren dat verondersteld wordt dat ook bindende besluiten van de EU basis kunnen zijn voor de uitwisseling van bijzondere gegevens. Volgens deze leden kunnen dergelijke besluiten niet in het kader van de derde pijler worden genomen. Zij wensen te vernemen waarom deze besluiten toch als rechtsgrondslag in het wetsvoorstel zijn genoemd.

Op grond van artikel 34, tweede lid, onder b en c, EU kan de Raad van de Europese Unie kaderbesluiten, onderscheidenlijk besluiten, aannemen met een verbindend karakter ten aanzien van de politiële en justitiële samenwerking in strafzaken. Deze beide typen besluiten zijn verbindend voor de lidstaten. In dit opzicht is er dus wel degelijk sprake van bindende besluiten. Daarom noemt het voorgestelde artikel 23a van de Wbp terecht bindende besluiten van de Raad van de Europese Unie als één van de grondslagen. De bedoelde categorieën besluiten hebben echter geen rechtstreekse werking. Mitsdien kunnen dergelijke besluiten geen burgers bindende bepalingen bevatten. Mogelijk doelen de leden van de PvdA-fractie op dit laatste aspect.

De leden van de PvdA-fractie lezen in het wetsvoorstel dat de luchtvaartmaatschappijen nog wel een vergunning moeten aanvragen voor de overdracht van de gegevens naar de Verenigde Staten. Zij vragen naar de meerwaarde daarvan en naar de ruimte van het Cbp om deze vergunningaanvragen te toetsen.

De in het wetsvoorstel voorgestelde regeling beoogt zo min mogelijk afbreuk te doen aan het bestaande systeem van de Wbp. Het voorgestelde artikel 23a van de Wbp beoogt niet meer dan het verbod op de verwerking van bijzondere persoonsgegevens te doorbreken, onder gelijktijdige vaststelling van een aantal waarborgen. Dat betekent dat hoofdstuk 11 van de Wbp, waarin de algemene beginselen van het gegevensverkeer met derde landen is geregeld, onverkort blijft gelden. Dat hoofdstuk kent verschillende mogelijkheden om dergelijke overdrachten mogelijk te maken. Vergunningverlening op grond van artikel 77, tweede lid, van de Wbp is daar één van. Die methode wordt niet overwogen ten aanzien van de uit de PNR-Overeenkomst 2007 voortvloeiende overdracht. Op grond van artikel 78, tweede lid, Wbp kan de Minister van Justitie – conform het stelsel van richtlijn nr. 95/46/EG – bij ministeriële regeling bepalen dat een oordeel van de Raad van de Europese Unie of de Europese Commissie over het beschermingsniveau van persoonsgegevens in een derde land ook in de Nederlandse rechtsorde doorwerkt. Aangezien een dergelijk oordeel bij de PNR-overeenkomsten door de Commissie wordt gegeven, ligt het voor de hand dit systeem ook in dit geval consequent toe te passen. Het Cbp zal overeenkomstig artikel 51, tweede lid, van de Wbp in staat moeten worden gesteld over deze regelingen advies te geven.

De leden van de PvdA-fractie vragen welke plicht de luchtvaartmaatschappij heeft om haar klanten te informeren over de overdracht van bijzondere gegevens en hoe de klanten daarmee kunnen omgaan. Zij vragen hoe de burger inzage kan krijgen in de gegevens die op basis van het wetsvoorstel en de PNR-Overeenkomst worden uitgewisseld. Tenslotte wensen deze leden te vernemen of enkele essentiële elementen van de rechtsbescherming, zoals inzagerecht en bezwaarrecht in wet worden vastgelegd.

Op grond van artikel 33 van de Wbp is de luchtvaartmaatschappij die vluchten naar de Verenigde Staten of een ander derde land dat krachtens zijn interne recht luchtvaartmaatschappijen verplicht tot de doorgifte van passagiersgegevens, verplicht zijn passagiers voorafgaand aan de gegevensverwerking volledig te informeren over de doeleinden van gegevensverwerking, de doorgifte aan derde landen daaronder begrepen. Passagiers kunnen op grond van de aldus gegeven informatie beslissen of zij bereid zijn onder die voorwaarden een reisovereenkomst aan te gaan.

Zolang de gegevens zich uitsluitend bij de luchtvaartmaatschappij bevinden, kan een passagier met een beroep op artikel 35 van de Wbp van de maatschappij inzage verlangen in de over hem verwerkte gegevens. Op grond van artikel 36 van de Wbp kan hij van de maatschappij correctie van onjuiste gegevens of aanvulling van onvolledige gegevens verlangen. Het recht van verzet van artikel 40 van de Wbp kan hier gezien de aard van de gegevensverwerking moeilijk worden ingeroepen. Na overdracht van de gegevens aan de Verenigde Staten zal een passagier, wanneer hij behoefte heeft te weten welke gegevens in dat land over hem worden verwerkt, een beroep moeten doen op de bepalingen van Amerikaans recht waarnaar in de PNR-Overeenkomst 2007 wordt verwezen. Die bepalingen bevatten ook inzageen correctierechten. De regering is van oordeel dat daarmee de essentiële elementen waarop de leden van de PvdA-fractie doelen voldoende in de wet en de PNR-Overeenkomst 2007 zijn vastgelegd.

De leden van de SP-fractie vragen of de voorgestelde bepaling werkelijk zo is bedoeld dat daarmee de belangen van luchtvaartmaatschappijen worden gediend, omdat zij een gerechtvaardigd belang hebben bij het vermijden van sancties van het desbetreffende land, en dat deze niet dient ter bescherming van de burger waarvan de gegevens worden verwerkt en doorgegeven.

Het voorgestelde artikel 23a van de Wbp beoogt zowel de luchtvaartmaatschappij in haar hoedanigheid als verantwoordelijke en de burger in zijn hoedanigheid als betrokkene te beschermen. Inderdaad heeft een luchtvaartmaatschappij een gerechtvaardigd belang bij bescherming van haar positie als partij die door een derde land wordt verplicht gegevens aan dat land door te geven. Maar ook de burger heeft een gerechtvaardigd belang bij bescherming van zijn positie als betrokkene. Die bescherming biedt het voorgestelde artikel 23a Wbp doordat aan gegevensdoorgifte aan een derde land alleen in een zwaarwegend algemeen belang mag geschieden en ook doordat aan die doorgifte een bindend EG- of EU-besluit of een verdrag ten grondslag moet liggen waarin, onder meer, passende waarborgen voor de gegevensbescherming zijn geboden.

De leden van de SP-fractie vragen waarom er een verschil wordt gemaakt per luchtvaartmaatschappij welke gegevens moeten worden verstrekt. Zij vragen waarom deze hoeveelheid niet kan worden beperkt tot de minimaal toegestane hoeveelheid gegevens die door de Verenigde Staten vereist wordt. Zij vragen of hiervoor zonodig regels kunnen worden gesteld ten aanzien van luchtvaartmaatschappijen.

Noch het onderhavige wetsvoorstel, noch de PNR-Overeenkomst 2007 maakt een onderscheid tussen luchtvaartmaatschappijen ten aanzien van de te leveren hoeveelheid gegevens. Wetsvoorstel en Overeenkomst gelden gelijkelijk voor alle maatschappijen. Wel is het zo dat de in aanmerking komende derde landen zelf kunnen vaststellen welke gegevens zij kunnen ontvangen. Zo verlangt Canada andere gegevens dan de Verenigde Staten. Geen van beide landen differentieert echter naar luchtvaartmaatschappij. Het door de Nederlandse wetgever bij wet opleggen van verplichtingen aan luchtvaartmaatschappijen om minimale of maximale hoeveelheden passagiersgegevens te bewaren wordt in vergaande mate beperkt door het Europese recht. Een dergelijke wet zou een beperking van de vrijheid van dienstenverkeer betekenen en die beperking moet voldoen aan zware motiveringseisen. Overigens bevat het wetsvoorstel geen verplichtingen terzake. Het voorgestelde artikel 23a heft slechts het verbod op verwerking van bijzondere persoonsgegevens op.

De leden van de SP-fractie constateren dat de doorgifte van bijzondere persoonsgegevens alleen mogelijk is in een zwaarwegend algemeen belang, en dat daaronder in dit geval de bestrijding van terrorisme en ernstige grensoverschrijdende criminaliteit worden begrepen. Zij vragen zich af of dat per geval wordt beoordeeld en of met het vermelden van deze algemene dreigingen voor alle toekomstige gevallen van gegevensdoorgifte kan worden beoordeeld dat dit gerechtvaardigd is.

Inderdaad is het zo dat van geval tot geval moet worden beoordeeld of de gegevensdoorgifte voldoet aan het criterium «zwaarwegend algemeen belang». De invulling van dit criterium zal overigens steeds mede moeten gebeuren in bindende EU- of EG-besluiten, dan wel in verdragen. Voor het geval van de PNR-Overeenkomst 2007, en overigens ook voor het nog aan de Staten-Generaal ter goedkering voor te leggen verdrag tussen de Europese Unie en Australië, is de regering van oordeel dat de bestrijding van terrorisme en andere vormen van grensoverschrijdende criminaliteit, gegeven de context van die verdragen én hun inhoud, als een dergelijk zwaarwegend algemeen belang kan worden aangemerkt. Het is niet per definitie gegeven dat deze belangenafweging onder alle omstandigheden zo behoort uit te vallen. Context en inhoud van verdragen spelen daarbij een rol.

4. De inhoud van het wetsvoorstel

De leden van de PvdA-fractie vragen de regering of er naast de luchtvaartsector meer sectoren zijn waar de uitwisseling van passagiersgegevens is te voorzien. Deze leden vragen van de regering een visie op de bescherming van bijzondere persoonsgegevens door een nadrukkelijker doelbepaling van de geconditioneerde verwerking van dergelijke gegevens.

Bij het opstellen van het wetsvoorstel is nadrukkelijk de vraag naar de reikwijdte van de voorgestelde voorziening onder ogen gezien. Daarbij heeft de regering de navolgende keuzes geïdentificeerd:

a. het wetsvoorstel zou uitsluitend kunnen dienen ter uitvoering van de PNR-Overeenkomst 2007;

b. het wetsvoorstel zou kunnen dienen ter uitvoering van verdragen en bindende EU- of EG-besluiten die betrekking hebben op doorgifteverplichtingen van passagiersgegevens die als bijzondere persoonsgegevens kunnen worden aangemerkt in de luchtvaartsector in algemene zin;

c. het wetsvoorstel zou kunnen dienen ter uitvoering van verdragen en bindende EU- of EG-besluiten die betrekking hebben op doorgifteverplichtingen van passagiersgegevens die als bijzondere persoonsgegevens kunnen worden aangemerkt in alle vervoerssectoren in algemene zin;

d. het wetsvoorstel zou kunnen dienen ter uitvoering van verdragen en bindende EU- of EG-besluiten die betrekking hebben op doorgifteverplichtingen van gegevens die als bijzondere persoonsgegevens kunnen worden aangemerkt in algemene zin.

De keuze voor de eerste variant lag niet voor de hand. Ten tijde van opstellen van het wetsvoorstel was al te voorzien dat meer landen dan alleen de Verenigde Staten de doorgifte van bijzondere persoonsgegevens zouden gaan vragen. Voor de tweede variant is niet gekozen omdat niet kan worden uitgesloten dat ook andere vervoerssectoren, bijvoorbeeld het passagiersvervoer per schip of bus nog eens worden bestreken door vergelijkbare maatregelen als de luchtvaart, ook al bestaan daarvoor thans nog geen concrete aanwijzingen. Bovendien bestaat bij een beperkende beschrijving als bedoeld in de tweede en derde variant een zeker risico op een discriminerend effect, tussen vervoerssectoren onderling of tussen de vervoerssector als geheel en andere sectoren van de economie. Dat zou als een beperking van de vrijheid van dienstenverkeer kunnen worden geïnterpreteerd. De regering wil dit vermijden. Daarom is ervoor gekozen een voorziening te treffen die alle doorgifteverplichtingen krachtens het recht van vreemde staten beslaat.

Daarvoor bestaat bovendien een wetssystematisch argument. De artikelen 17 tot en met 22 van de Wbp bevatten specifiek omschreven uitzonderingen op het verbod van verwerking van bijzondere persoonsgegevens, per artikel toegesneden op de aard van het desbetreffende persoonsgegeven. In artikel 23 van de Wbp zijn de algemeen omschreven uitzonderingen op het verwerkingsverbod opgenomen. Die uitzonderingen hebben betrekking op alle bijzondere persoonsgegevens. Het wetsvoorstel bevat ook een algemeen omschreven uitzondering. Alleen om wetgevingstechnische reden wordt die voorziening niet in artikel 23, maar in een afzonderlijk artikel ondergebracht. Artikel 23, eerste lid, onder d, van de Wbp geeft een uitzondering op het verwerkingsverbod indien dit noodzakelijk is ter voldoening aan een volkenrechtelijke verplichting. Het voorgestelde artikel 23a van de Wbp sluit aan bij die uitzonderingsgrond. Wanneer uit buitenlands recht voortvloeit dat de doorgifte van bijzondere persoonsgegevens noodzakelijk is, en in een verdrag of een bindend EG- of EU-besluit de consequenties van de verschillen tussen gegevensbeschermingsregimes van Nederland, respectievelijk de Europese Unie, en het derde land afdoende zijn geregeld, is er geen principiële reden meer de doorgifte van bijzondere persoonsgegevens te verbieden.

De leden van de SP-fractie vragen de regering een nadere toelichting op het in de PNR-Overeenkomst 2007 vervatte niveau van bescherming van persoonsgegevens. Zij vragen de regering dit niveau te voorzien van een kwalificatie, bijvoorbeeld of dit niveau als ruim voldoende, matig of onvoldoende moet worden gekwalificeerd. Zij vragen of er een passend niveau van gegevensbescherming is bereikt.

De regering herhaalt hier wat zij reeds uitvoerig in paragraaf 2 van de memorie van toelichting en in paragrafen 4.7 en 7 van de nota naar aanleiding van het verslag bij het wetsvoorstel tot goedkeuring van de PNR-Overeenkomst 2007 heeft gesteld: de krachtens het Europees gegevensbeschermingsrecht geldende maatstaf voor de beoordeling van de PNR-Overeenkomst 2007 is of er een passend niveau van gegevensbescherming bestaat in het land waarnaar de gegevens worden doorgegeven (Kamerstukken II 2008/09, 31 375, nr. 3, blz. 8 en 9 en 21 tot en met 27). Dit moet van geval tot geval worden beoordeeld, met inachtneming van alle relevante omstandigheden. Van die omstandigheden maakt deel uit dat de PNR-Overeenkomst 2007 wordt geëvalueerd en dat er in dat kader ruimte lijkt voor verduidelijking op een aantal punten. Ten aanzien van de Verenigde Staten heeft de Raad van de Europese Unie in de PNR-Overeenkomst 2007 en in het begeleidende besluit nr. 2007/551/GBVB/JBZ dat oordeel uitgesproken. De regering is daaraan gebonden.

5. De verhouding van het wetsvoorstel tot het recht op bescherming van de persoonlijke levenssfeer

5.1 Artikel 8 EVRM

De leden van de SP-fractie vragen of de inmenging in het recht op respect voor het privé-leven sinds de datum van sluiting van de PNR-Overeenkomst 2007, zijnde 26 juli 2007, niet in strijd is geweest met artikel 8 van het Europese Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden (EVRM) wegens het ontbreken van de eis dat de inmenging bij de wet moet zijn voorzien en dat aan deze situatie pas een eind komt wanneer dit wetsvoorstel in werking treedt en de PNR-Overeenkomst 2007 wordt goedgekeurd.

Dat is naar het oordeel van de regering niet het geval. Aan de eis van artikel 8 EVRM dat de inmenging bij de wet is voorzien is voldaan. Een formeelwettelijke grondslag in Nederland is in dit geval niet noodzakelijk om aan de uit het EVRM voortvloeiende eis te voldoen. Er kan ook in lagere regelgeving in zijn voorzien, of in verdragen die gelding hebben in Nederland. Met de sluiting van de PNR-Overeenkomst 2007 en de bekendmaking van de overeenkomst in het Tractatenblad is voldaan aan de eisen van kenbaarheid en voorzienbaarheid van de inmenging. Voor zoveel nodig verwijst de regering naar paragraaf 7.1 van de memorie van toelichting bij het meergenoemde voorstel van wet tot goedkeuring van de PNR-Overeenkomst 2007 (Kamerstukken II 2008/09, 31 735, nr. 3, blz. 21–23) waar de verhouding van de PNR-Overeenkomst tot artikel 8 EVRM uitvoerig is toegelicht.

Beperking van recht op bescherming van de persoonlijke levenssfeer, bedoeld in artikel 10, eerste lid, van de Grondwet, eist overigens wel een formeelwettelijke grondslag, waarbij delegatie is toegelaten. In paragraaf 7.2 van de memorie van toelichting bij het wetsvoorstel houdende goedkeuring van de op 26 juli 2007 te Washington tot stand gekomen Overeenkomst tussen de Europese Unie en de Verenigde Staten van Amerika inzake de verwerking en overdracht van persoonsgegevens van passagiers door luchtvaartmaatschappijen aan het Ministerie van Binnenlandse Veiligheid van de Verenigde Staten van Amerika (PNR-Overeenkomst 2007), met briefwisseling en verklaring (Trb. 2007, 129) (Kamerstukken II 2007/08, 31 735, nr. 3, blz. 23) heeft de regering al opgemerkt dat artikel 8, onder f, Wbp een afweging voorschrijft tussen de belangen van de verantwoordelijke en derden enerzijds en de rechten van betrokkene anderzijds.

In paragraaf 1 van deze nota heeft de regering, eveneens in antwoord op de vragen van de leden van de SP-fractie, uiteengezet dat voorlopige toepassing van de PNR-Overeenkomst 2007 ook met de huidige tekst van de Wbp verenigbaar is.

5.2 Richtlijn nr. 95/46/EG

De leden van de SP-fractie constateren met betrekking tot de verhouding van het wetsvoorstel tot richtlijn nr. 95/46/EG dat het wetsvoorstel eigenlijk niet past in de uitzonderingen die de richtlijn toelaat, en dat slechts met een grote omweg kan worden beredeneerd dat er geen strijdigheid bestaat tussen wetsvoorstel en de richtlijn. Dit terwijl Nederland wijziging van de Wbp alleen maar voorstelt omdat de Europese Unie met de Verenigde Staten een overeenkomst heeft gesloten. Zij vragen zich af of dit geen vreemde situatie is.

De regering deelt niet het oordeel van de leden van de SP-fractie dat het wetsvoorstel eigenlijk niet in de uitzonderingen past die de richtlijn toelaat op het verbod van verwerken van bijzondere persoonsgegevens. Artikel 8, vierde lid, van de richtlijn opent de mogelijkheid voor de lidstaten om in hun eigen regelgeving andere uitzonderingen op het bedoelde verwerkingsverbod op te nemen als dat om een reden van zwaarwegend algemeen belang gerechtvaardigd is. De regering heeft in paragraaf 5.4 van de memorie van toelichting gemotiveerd aangegeven dat op deze uitzondering in dit geval een beroep kan worden gedaan. Dat de PNR-Overeenkomst 2007 niet is genoemd als een van de voorbeelden waaraan de Europese wetgever heeft gedacht in de desbetreffende overwegingen bij de richtlijn, maakt niet dat voor het oordeel van de regering een grote omweg nodig is. Zoals hierboven in paragraaf 3 is betoogd heeft het wetsvoorstel overigens een ruimere reikwijdte dan alleen de uitvoering van de PNR-Overeenkomst 2007.

De minister van Justitie,

E. M. H. Hirsch Ballin

De minister van Binnenlandse Zaken en Koninkrijksrelaties,

G. ter Horst