31 735
Goedkeuring van de op 26 juli 2007 te Washington tot stand gekomen Overeenkomst tussen de Europese Unie en de Verenigde Staten van Amerika inzake de verwerking en overdracht van persoonsgegevens van passagiers (PNR-gegevens) door luchtvaartmaatschappijen aan het Ministerie van Binnenlandse Veiligheid van de Verenigde Staten van Amerika (PNR-Overeenkomst 2007), met briefwisseling en verklaring (Trb. 2007, 129)

nr. 4
ADVIES RAAD VAN STATE EN NADER RAPPORT¹

Hieronder zijn opgenomen het advies van de Raad van State d.d. 14 juli 2008 en het nader rapport d.d. 2 oktober 2008, aangeboden aan de Koningin door de minister van Justitie, mede namens de minister van Buitenlandse Zaken. Het advies van de Raad van State is cursief afgedrukt.

Bij Kabinetsmissive van 21 mei 2008, no. 08.001495, heeft Uwe Majesteit, op voordracht van de Minister van Justitie, mede namens de Minister van Buitenlandse Zaken, bij de Raad van State ter overweging aanhangig gemaakt het voorstel van wet houdende goedkeuring van de op 26 juli 2007 te Washington tot stand gekomen Overeenkomst tussen de Europese Unie en de Verenigde Staten van Amerika inzake de verwerking en overdracht van persoonsgegevens van passagiers (PNR-gegevens) door luchtvaartmaatschappijen aan het Ministerie van Binnenlandse Veiligheid van de Verenigde Staten van Amerika (PNR-Overeenkomst 2007), met briefwisseling en verklaring (Trb. 2007, 129), met memorie van toelichting.

Het wetsvoorstel strekt tot goedkeuring van de op 26 juli 2007 te Washington tot stand gekomen Overeenkomst tussen de Europese Unie (EU) en de Verenigde Staten (VS) inzake de verwerking en overdracht van persoonsgegevens van passagiers door luchtvaartmaatschappijen aan het Ministerie van Binnenlandse Veiligheid (DHS) van de VS. De briefwisseling tussen de EU en de VS over de wijze waarop de VS met de PNR-gegevens omgaat, maakt integraal onderdeel uit van de overeenkomst.

Deze overeenkomst dient ter vervanging van de PNR-interimovereenkomst met de VS van 19 oktober 2006, die op 31 juli 2007 verstreek. De nieuwe, langdurige overeenkomst beoogt rechtszekerheid te bieden aan de luchtvaartmaatschappijen en de gegevensbeschermingsautoriteiten van de lidstaten van de EU.

De overeenkomst regelt het verstrekken van PNR-gegevens aan het DHS door luchtvaartmaatschappijen die internationale passagiersvluchten vanuit de EU naar de VS uitvoeren en omgekeerd. Vluchten vanuit en naar de Nederlandse Antillen en Aruba vallen daar niet onder. Het doel van de gegevensverstrekking is het bestrijden van terrorisme en grensoverschrijdende criminaliteit. De overeenkomst wordt tot de inwerkingtreding voorlopig toegepast vanaf de datum van ondertekening.

De Raad van State merkt vooraf het volgende op. Alhoewel de overeenkomst is gesloten tussen de EU en de VS, acht de Raad het juist dat de Nederlandse regering gebruik heeft gemaakt van de mogelijkheid een verklaring af te leggen op grond van artikel 24, vijfde lid, van het EU-Verdrag en de PNR-overeenkomst door middel van het onderhavige wetsvoorstel voor te leggen aan de Staten-Generaal. De overeenkomst bevat immers verplichtingen die de Nederlandse burgers en bedrijven raken.

Wat betreft de PNR-overeenkomst maakt de Raad opmerkingen over de wederkerigheid van de overeenkomst en het recht op bescherming van persoonsgegevens.

Blijkens de mededeling van de Directeur van Uw kabinet van 21 mei 2008, nr. 08.001495, machtigde Uwe Majesteit de Raad van State zijn advies inzake het bovenvermelde voorstel van wet rechtstreeks aan mij te doen toekomen.

Dit advies, gedateerd 14 juli 2008, nr. W03.08.0177/II, bied ik U hierbij aan.

1. Wederkerigheid

De PNR-overeenkomst regelt de verstrekking van PNR-gegevens van passagiers uit de EU aan het DHS van de VS. De Raad constateert dat de overeenkomst geen wederkerigheid kent in die zin dat ook gegevens van passagiers uit de VS door Amerikaanse luchtvaartmaatschappijen aan de EU worden verstrekt ten behoeve van de bestrijding van terrorisme en grensoverschrijdende zware criminaliteit. Artikel 5 van de overeenkomst bepaalt slechts dat het DHS op basis van «strikte wederkerigheid» de medewerking van de onder zijn bevoegdheid vallende luchtvaartmaatschappijen «actief zal bevorderen», indien de EU of haar lidstaten een systeem heeft ingevoerd voor het uitwisselen van passagiersgegevens.

De aard en strekking van deze van de zijde van de VS aangegane verplichting zijn, naar het oordeel van de Raad, onvoldoende duidelijk en concreet. Daarbij rijst ook de vraag wat in dit verband de betekenis is van het woord «strikt».

In de toelichting wordt op diverse plaatsen gemeld dat terrorismebestrijding een van de belangrijkste thema’s is in het internationale en nationale veiligheidsbeleid. Daarbij is een goede informatiepositie op centraal en decentraal niveau, zowel nationaal als internationaal, essentieel.¹ Gelet op het belang dat de EU en de Nederlandse regering hechten aan het vergaren en analyseren van passagiersgegevens ten behoeve van de strijd tegen het terrorisme en andere criminaliteit², rijst de vraag waarom de PNR-overeenkomst niet op basis van wederkerigheid van gegevensverstrekking is gesloten. De toelichting meldt slechts dat de Europese Commissie begin juli 2007 heeft aangekondigd met een voorstel te komen voor de oprichting van een EU-systeem voor de uitwisseling van passagiersgegevens tussen de rechtshandhavende diensten van de lidstaten van de EU.³ Het had in de rede gelegen om ook voor de VS een resultaatsverplichting op te nemen in plaats van een inspanningsverplichting.

De Raad adviseert in de toelichting aan het voorgaande aandacht te besteden en in te gaan op de stand van zaken met betrekking tot de oprichting van een EU-systeem voor de uitwisseling van passagiersgegevens.

1. Wederkerigheid

In de periode waarin de PNR-Overeenkomst 2007 tot stand is gekomen was er slechts sprake van niet veel meer dan een onuitgewerkt voornemen tot het opleggen van de verplichting aan luchtvaartmaatschappijen die vluchten uitvoeren naar de lidstaten van de Europese Unie (EU) om passagiersgegevens te verzamelen en over te dragen aan de rechtshandhavingsinstanties van de lidstaten, met als doel het voorkomen en bestrijden van terrorisme, grensoverschrijdende zware criminaliteit en andere verwante doelen. Inmiddels is dat voornemen omgezet in een concreet voorstel van de Europese Commissie voor een kaderbesluit van de Raad over het gebruik van persoonsgegevens van passagiers (PNR-gegevens) voor wetshandhavingsdoeleinden (COM(2007) 654 def.). Het lijdt weinig twijfel dat wanneer dat voorstel ten tijde van het sluiten van de PNR-Overeenkomst 2007 beschikbaar zou zijn geweest, de Europese Unie en de Verenigde Staten in staat zouden zijn geweest artikel 5 van de PNR-Overeenkomst 2007 duidelijker en meer concreet vorm te geven. Het is overigens de vraag of dit noodzakelijkerwijs had behoren te leiden tot het aannemen van de resultaatsverplichting waarop de Raad van State blijkbaar het oog heeft. Immers, de essentie van de PNR-Overeenkomst 2007 ligt niet hierin dat de EU er voor dient te zorgen dat luchtvaartmaatschappijen passagiersgegevens afstaan aan de Amerikaanse autoriteiten. De PNR-Overeenkomst 2007 dient er toe om de luchtvaartmaatschappijen die vanaf het grondgebied van lidstaten van de EU vluchten naar de Verenigde Staten uitvoeren zoveel mogelijk te vrijwaren van conflicterende verplichtingen en tegelijk een zo hoog mogelijk niveau van bescherming van persoonsgegevens van de betrokken passagiers te bereiken. Zou de EU dergelijke – in essentie eenzijdige– verplichtingen opleggen aan in derde landen gevestigde luchtvaartmaatschappijen die vluchten uitvoeren naar de Europese Unie dan staat de overheid van een derde land voor de vraag of zij dit, gelet op het eigen recht en de overige omstandigheden, zo veel mogelijk faciliteert of niet.

Dit laatste neemt niet weg dat het advies van de Raad van State wordt gevolgd. In de memorie van toelichting is rekening gehouden met de verhouding tussen de PNR-Overeenkomst 2007 en het vorenbedoelde ontwerpkaderbesluit. Daarnaast is de memorie van toelichting uitgebreid met de laatste stand van zaken met betrekking tot de besluitvorming over het ontwerpkaderbesluit.

2. Recht op bescherming van persoonsgegevens

Wat betreft het recht op bescherming van persoonsgegevens stelt de toelichting enerzijds dat passagiersgegevens toegankelijk zijn voor een aantal voldoende bepaalde doeleinden en dat voorzien wordt in een afdoende niveau van bescherming van bijzondere persoonsgegevens. Voorts is verzekerd dat EU-burgers in de VS zo nodig een beroep kunnen doen op de daar geldende privacywetgeving om hun belangen te beschermen. Anderzijds stelt de toelichting dat de regering zich er ook van bewust is dat op een niet onbelangrijk aantal onderdelen de tekst van de overeenkomst een aantal vragen openlaat. De uitwerking van een aantal bepalingen en begrippen in de overeenkomst en de DHS-brief laat te wensen over.¹ De Raad ondersteunt deze opvatting en is van oordeel dat de overeenkomst op diverse punten te onduidelijk is en dat bepaalde criteria en definities onvoldoende concreet zijn omschreven om te kunnen beoordelen of de beperking van het recht op bescherming van persoonsgegevens in redelijke verhouding staat tot het nagestreefde doel. De Raad gaat hierna in op een aantal onderdelen.

a. Doelstellingen van gegevensverstrekking

In de DHS-brief worden de doelen opgesomd waarvoor de PNR-gegevens kunnen worden gebruikt. Het gaat om voorkoming en bestrijding van

(1) terrorisme en daarmee samenhangende strafbare feiten,

(2) andere zware misdrijven van grensoverschrijdende aard, en

(3) het zich onttrekken aan aanhoudingsbevelen of arrestaties voor de genoemde strafbare feiten.

Verder kunnen PNR-gegevens waar nodig worden gebruikt

(4) voor de bescherming van de vitale belangen van betrokkene of anderen²,

(5) bij strafrechtelijke procedures of

(6) in andere wettelijk voorgeschreven gevallen.

Wat betreft de laatste twee doelen merkt de Raad op dat deze zeer ruim zijn omschreven en niet zijn afgebakend.³ Er zijn geen criteria of omstandigheden genoemd voor gebruik van deze twee doelen voor de verwerking van PNR-gegevens. In dit kader wijst de Raad erop dat ingevolge artikel 7 van de Wet bescherming persoonsgegevens (Wbp) persoonsgegevens slechts mogen worden verzameld voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. De regering plaatst zelf ook een kanttekening bij deze twee doelomschrijvingen.⁴

Door het ontbreken van een toetsingskader voor de laatste twee vorengenoemde doelen kan niet worden beoordeeld of de verstrekking van PNR-gegevens voor die doeleinden noodzakelijk is.

b. Bijzondere persoonsgegevens

Voor zover PNR-gegevens bijzondere persoonsgegevens bevatten, worden deze niet gebruikt. Deze gegevens kunnen echter wel in een uitzonderlijk geval worden gebruikt, aldus de DHS-brief.⁵ Zoals ook door de regering wordt erkend, is de invulling van het criterium«uitzonderlijk geval» nog niet volledig duidelijk omschreven.⁶ De Raad wijst erop dat krachtens artikel 23, eerste lid, onder e, van de Wbp bijzondere persoonsgegevens slechts kunnen worden verwerkt, als dit noodzakelijk is met het oog op een zwaarwegend algemeen belang, er passende waarborgen worden geboden ter bescherming van de persoonlijke levenssfeer en dit bij wet wordt bepaald. Het gaat hier om zeer gevoelige persoonsgegevens die in de Wbp en de Privacyrichtlijn¹ bijzondere bescherming genieten.

Vanwege het ontbreken van een invulling van het criterium «uitzonderlijk geval» kan niet worden beoordeeld of de verwerking van bijzondere persoonsgegevens noodzakelijk is voor een zwaarwegend algemeen belang.

c. Rechten van passagiers

In de DHS-brief is aangegeven dat de bescherming op grond van de Privacy Act wordt uitgebreid tot passagiers vanuit de EU, althans voor zover hun gegevens zijn opgenomen in het Automated Targeting System. De door of namens een persoon verstrekte PNR-gegevens worden, behoudens enkele uitzonderingsgevallen, aan de betrokkene meegedeeld overeenkomstig de Privacy Act en de Freedom of Information Act van de VS.² Artikel 9 van de overeenkomst bepaalt echter dat passagiers niet rechtstreeks rechten kunnen ontlenen aan de PNR-Overeenkomst. Gelet hierop is de Raad met de regering³ en het College bescherming persoonsgegevens⁴ van oordeel dat de huidige uitwerking van rechten van passagiers onvoldoende is. Dit klemt temeer, nu de regering ten aanzien van sanctionering van schendingen van het recht op privacy erkent dat niet met zekerheid valt te zeggen of EU-onderdanen zich voor de Amerikaanse rechter rechtstreeks op de privacyvoorschriften van de VS kunnen beroepen in het belang van de bescherming van hun persoonlijke levenssfeer.⁵

d. Doorgifte aan andere instanties binnen de VS en aan derde landen

In paragraaf II van de DHS-brief is vermeld dat het DHS de PNR-gegevens naar goeddunken uitsluitend verstrekt aan andere nationale overheden met taken op het gebied van wetshandhaving, openbare veiligheid of terrorismebestrijding. Wat betreft doorgifte van passagiersgegevens binnen de VS is er, in tegenstelling tot de voorgaande overeenkomsten met de VS, geen sprake van een beperkt aantal instanties dat toegang krijgt tot de PNR-gegevens. De toelichting vermeldt als reden voor het niet benoemen van instanties, dat in de VS een betrekkelijk groot aantal rechtshandhavinginstanties belast is met onderzoek naar en opsporing van strafbare feiten die verband houden met terrorisme en grensoverschrijdende criminaliteit. Het individueel benoemen van instanties zou een risico opleveren van ongereguleerde gegevensdoorgifte aan niet genoemde instanties, aldus de toelichting. De regering geeft toe dat deze verruiming niet in alle opzichten een winstpunt is.⁶

De Raad merkt op dat deze verruiming, tezamen met de twee aanvullende doeleinden voor verwerking van PNR-gegevens – namelijk strafrechtelijke procedures en andere wettelijk voorgeschreven gevallen –, kan betekenen dat overheidsinstanties binnen de VS die andere strafrechtelijke zaken behandelen dan die welke verband houden met het bestrijden van terrorisme, gemakkelijker PNR-gegevens kunnen ontvangen en verwerken. De Raad acht de motivering voor de verruiming in de doorgiftemogelijkheden niet voldoende. Daar komt bij dat deze overeenkomst niet langer bepaalt dat het DHS «verantwoordelijk» is in de zin van de Privacyrichtlijn. De beperking dat doorgifte door «derden» aan andere instanties alleen mogelijk is na voorafgaande expliciete toestemming van het DHS, komt in de onderhavige overeenkomst niet meer voor. Hierdoor is er onduidelijkheid over de verantwoordelijkheid voor de juistheid en bewaartermijn van PNR-gegevens die door anderen dan het DHS doorgegeven zijn aan andere instanties.

Wat betreft doorgifte aan derde landen wordt in de DHS-brief bepaald dat in noodsituaties aan een land PNR-gegevens kunnen worden verstrekt, ook indien er geen vergelijkbare gegevensbeschermingsregime met dat van de VS bestaat. De Raad deelt de zorg van de regering ten aanzien van het ontbreken van een afbakening van «noodsituaties»⁷ en is van oordeel dat dit begrip in de uitwerking die de EU aan de overeenkomst zal geven, nader dient te worden ingevuld.⁸

e. Bewaartermijnen

In paragraaf VII van de DHS-brief wordt vermeld dat gegevens gedurende zeven jaar in een actieve analytische gegevensbank worden bewaard. Daarna worden de gegevens gedurende acht jaar bewaard in een slapende, niet-operationele status. De gegevens zijn dan uitsluitend toegankelijk met toestemming van een aangewezen hoge ambtenaar van de Minister van Binnenlandse Veiligheid van de VS, en dit alleen naar aanleiding van een concrete zaak, dreiging of risico. De Raad merkt op dat er vanuit het oogpunt van gegevensbescherming geen verschil wordt gemaakt tussen actieve en slapende perioden van toegang tot persoonsgegevens. Gelet hierop wordt de bewaartermijn feitelijk verlengd met acht jaar. De Raad is van oordeel dat de toegang tot PNR-gegevens tijdens deze periode van acht jaar met waarborgen moet zijn omkleed. Het is daarbij van belang dat er door een onafhankelijke instantie vooraf wordt getoetst of gebruik van die gegevens in een concrete zaak noodzakelijk is voor een bepaald doel.

De Raad adviseert in de toelichting hierop in te gaan.

f. Betalings- en factureringsinformatie

Volgens paragraaf III, onder punt 8, van de DHS-brief worden alle beschikbare betalings- of factureringsgegevens als PNR-gegevens beschouwd en kunnen deze worden verstrekt aan de DHS. De Raad merkt op dat dit, naast de wijze van betaling van een vliegticket, ook gegevens over creditcardnummers of rekeningnummers van passagiers kan betreffen. De vraag rijst in hoeverre het voor het beoogde doel noodzakelijk is dat ook deze laatste gegevens ter beschikking worden gesteld aan het DHS. De Raad mist in de toelichting een motivering voor het verstrekken van deze gegevens aan het DHS.

2. Recht op bescherming van persoonsgegevens

a. Doelstellingen van gegevensverstrekking

Ondergetekende is het met de Raad van State eens dat het gebruik van passagiersgegevens ten behoeve van «strafrechtelijke procedures» en «andere wettelijk voorgeschreven gevallen», zoals omschreven in paragraaf I van de van de PNR-Overeenkomst 2007 deel uitmakende brief van het Ministerie van Binnenlandse Veiligheid van de Verenigde Staten (DHS-brief), doeleinden zijn waarvan nadere concretisering wenselijk is. Hoewel aan laatstgenoemde doeleinde de verplichting is gekoppeld van het Ministerie van Binnenlandse Veiligheid (DHS) de EU te informeren over de goedkeuring van VS-wetgeving waardoor de verklaringen in deze brief substantieel worden beïnvloed, zou een uitdrukkelijke opsomming van die wetgeving, zo mogelijk met een limitatief karakter, uit oogpunt van welbepaaldheid van doelomschrijvingen de voorkeur verdienen. Ondergetekende heeft in de memorie van toelichting reeds aangegeven dat er bij de Europese Commissie op zal worden aangedrongen op dit punt verdere duidelijkheid te verkrijgen. Het advies van de Raad van State wordt daarom gevolgd.

b. Bijzondere persoonsgegevens

Paragraaf III van de DHS-brief voorziet in enkele belangrijke waarborgen bij de behandeling van bijzondere persoonsgegevens door DHS. Deze waarborgen zijn procedureel van aard. Het is niettemin wenselijk dat een meer materiële invulling van de gevallen waarin bijzondere persoonsgegevens zullen worden verwerkt zou kunnen worden gegeven. In de memorie van toelichting was reeds aangegeven dat ondergetekende ook dit punt onder de aandacht van de Europese Commissie zal brengen. Daarom wordt ook dit advies van de Raad van State gevolgd.

c. Rechten van passagiers

Wat de rechten van passagiers betreft, is er enerzijds sprake van een uitbreiding van bestaande rechten ten gunste van passagiers (in paragraaf IV van de DHS-brief wordt aangegeven dat de reikwijdte van de bescherming van de Privacy Act 1974 wordt uitgebreid), en anderzijds van het aanvaarden van de omstandigheid dat de rechtsbeschermingsmogelijkheden die het sluitstuk vormen van de bescherming van persoonsgegevens in de Verenigde Staten verschillen van die in de EU. Het uiteindelijke resultaat van de onderhandelingen merkt ondergetekende wat de rechten van passagiers betreft aan als een zeker minimaal aanvaardbaar niveau. Dit niveau lijkt in ieder geval door een nadere, onderling meer samenhangende concrete omschrijving van de rechten van passagiers te kunnen worden verhoogd. In de memorie van toelichting was reeds aangegeven dat ondergetekende ook dit punt onder de aandacht van de Europese Commissie zal brengen. Ook in dit opzicht wordt het advies van de Raad van State gevolgd.

d. Doorgifte aan andere instanties binnen de VS en aan derde landen

In paragraaf II van de DHS-brief zijn de mogelijkheden opgesomd voor doorgifte van passagiersgegevens door DHS aan andere instanties in de Verenigde Staten, belast met een rechtshandhavingstaak. Die mogelijkheden zijn, zoals de Raad van State opmerkt, verruimd ten opzichte van de verdragen ter vervanging waarvan de PNR-Overeenkomst 2007 dient. Ondergetekende wijst er echter op dat de verruiming niet zozeer algemeen is, als wel betrekking heeft op het aantal instanties waaraan DHS bevoegd is eenmaal verworven gegevens ter beschikking te stellen. Hoewel het uit oogpunt van de bescherming van persoonsgegevens in zijn algemeenheid de voorkeur verdient bij verdragen als het onderhavige een limitatieve opsomming op te nemen, is het in dit geval wel de vraag hoe effectief dat zou zijn geweest. Het is van algemene bekendheid dat de Verenigde Staten een groot aantal verschillende diensten kennen die zijn belast met rechtshandhavingstaken die zich mede uitstrekken tot de bestrijding van terrorisme en andere vormen van ernstige grensoverschrijdende criminaliteit. Dat neemt op zichzelf niet weg dat het bij een evaluatie niet zou misstaan dat nader wordt bezien onder welke voorwaarden DHS gegevens doorgeeft aan welke andere diensten en welke derde landen. Ondergetekende is voornemens dit aan de orde te stellen bij de Europese Commissie. In zoverre wordt het advies van de Raad van State gevolgd.

e. Bewaartermijnen

Ondergetekende deelt niet de beoordeling van de Raad van State dat er uit het oogpunt van bescherming van persoonsgegevens niet of nauwelijks verschil bestaat tussen de periode waarin de gegevens actief bevraagd kunnen worden en de periode waarin de gegevens een niet-actieve status hebben. De PNR-Overeenkomst 2007 maakt dat onderscheid wel degelijk. Er is immers voorzien in toegangsrestricties tot niet actief bevraagbare gegevens. Bovendien zal alleen toegang tot deze gegevens kunnen worden verkregen in concrete gevallen. Ondergetekende wijst er op dat de PNR-Overeenkomst 2007 juist op het gebied van de bewaartermijnen belangrijke verbeteringen kent ten opzichte van de eerder afgesloten akkoorden. Ondergetekende meent daarom dat de suggestie van de Raad van State tot het organiseren van onafhankelijk toezicht op toegang tot en gebruik van de niet actief bevraagbare gegevens zich te ver verwijdert van de aard van de PNR-Overeenkomst 2007. Het volgen van die suggestie gaat verder dan het vragen van verdere verduidelijking van de tekst van de PNR-Overeenkomst 2007, maar vergt aanpassing van de inhoud van het verdrag. Ondergetekende acht dit niet reëel. Het advies van de Raad tot aanvulling van de memorie van toelichting wordt dan ook niet gevolgd.

f. Betalings- en factureringsgegevens

Passagiers hebben zelf een betrekkelijk grote mate van invloed op het aantal en de aard van de gegevens die worden verwerkt in een Passenger Name Record (PNR). De door hen bij de reservering van een vliegreis gebruikte nummers zullen dan ook in het PNR kunnen worden opgenomen. Dat geldt bijvoorbeeld voor een frequent flyernummer. Bij creditcardnummers ligt dit anders. Ingevolge de Data Security Standards die zijn geformuleerd door de Payment Card Industry, een initiatief waarbij veel grote Europese luchtvaartmaatschappijen zijn aangesloten, worden creditcardnummers ter voorkoming van fraude zo min mogelijk verspreid. Om die reden worden deze nummers door de desbetreffende luchtvaartmaatschappijen niet meer in het PNR opgenomen. Het advies van de Raad van State is aanleiding geweest om in de de memorie van toelichting op dit punt nader in te gaan.

Conclusie

De Raad is van oordeel dat de tekst van de PNR-overeenkomst op belangrijke onderdelen een aantal problemen oproept. Zoals hiervoor is uiteengezet, zijn bepaalde definities en criteria te ruim en onduidelijk omschreven zodat de overeenkomst onvoldoende garantie biedt dat bij de uitvoering daarvan het recht op bescherming van persoonsgegevens voldoende is gewaarborgd. De Raad ondersteunt het standpunt van de regering dat Nederland zich er sterk voor dient te maken dat in de uitwerking en evaluatie van de overeenkomst de vorengenoemde punten worden geconcretiseerd en verduidelijkt.

Naar het oordeel van de Raad dient de regering in EU-verband er op aan te dringen dat uitwerking en evaluatie zo spoedig mogelijk worden gerealiseerd. Een spoedige evaluatie is noodzakelijk omdat er vanaf de eerste overeenkomst tussen de VS en de EU in 2004 tot nu toe geen evaluatie heeft plaatsgevonden van de verstrekking van Europese PNR-gegevens aan de VS.

De Raad adviseert de toelichting dienovereenkomstig aan te vullen en in te gaan op vorengenoemde punten.

3. In het voorstel van wet en in de memorie van toelichting zijn, naast de hierboven verantwoorde wijzigingen, nog enige veranderingen van ondergeschikte aard aangebracht.

De Raad van State geeft U in overweging het voorstel van wet te zenden aan de Tweede Kamer der Staten-Generaal, nadat met het vorenstaande rekening zal zijn gehouden.

De waarnemend Vice-President van de Raad van State,

P. van Dijk

Ik moge U, mede namens mijn ambtgenoot van Buitenlandse Zaken, verzoeken het hierbij gevoegde gewijzigde voorstel van wet en de gewijzigde memorie van toelichting aan de Tweede Kamer der Staten-Generaal te zenden.

De minister van Justitie,

E. M. H. Hirsch Ballin

---

1 De oorspronkelijke tekst van het voorstel van wet en van de memorie van toelichting zoals voorgelegd aan de Raad van State is ter inzage gelegd bij het Centraal Informatiepunt Tweede Kamer.

1 Memorie van toelichting, paragraaf 2 getiteld «Doel van de PNR-Overeenkomst 2007» en paragraaf 3.1 getiteld «wettelijke maatregelen».

2 Tweede overweging van de considerans van de PNR-overeenkomst.

3 Memorie van toelichting, paragraaf 6.7 getiteld «Wederkerigheid van de PNR-Overeenkomst 2007».

1 Memorie van toelichting, paragraaf 4.7 getiteld «Beoordeling van de PNR-Overeenkomst 2007» en paragraaf 6.8 getiteld «Evaluatie».

2 Zie memorie van toelichting, paragraaf 6.1 getiteld «Doelbinding». Als voorbeeld van vitale belangen van betrokkene of anderen worden levensgevaar of ernstige gezondheidsrisico’s voor de betrokkene of derden genoemd.

3 Zie ook het advies van het College bescherming persoonsgegevens van 27 augustus 2007, onder punt 2.

4 Memorie van toelichting, paragraaf 6.1 getiteld «Doelbinding», laatste alinea.

5 DHS-brief, paragraaf III.

6 Memorie van toelichting, paragraaf 6.2.2 getiteld «Bijzondere persoonsgegevens».

1 Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens.

2 DHS-brief, paragraaf IV.

3 Memorie van toelichting, paragraaf 6.4.4 getiteld «Transparantie en informatieverplichtingen».

4 Zie het advies van het College bescherming persoonsgegevens van 27 augustus 2007, onder punt 5.

5 Memorie van toelichting, paragraaf 6.4.3 getiteld «Sanctionering van schendingen van het recht op bescherming van persoonsgegevens in de Verenigde Staten».

6 Memorie van toelichting, paragraaf 6.3.1 getiteld «Gegevensoverdracht naar en tussen Amerikaanse overheidsinstanties», tweede tekstblok.

7 Memorie van toelichting, paragraaf 6.3.2 getiteld «Overdracht naar derde landen».

8 Zie ook het advies van het College bescherming persoonsgegevens van 27 augustus 2007, onder punt 6.