31 841 Wijziging van de Wet bescherming persoonsgegevens in verband met de vermindering van administratieve lasten en nalevingskosten, wijzigingen teneinde wetstechnische gebreken te herstellen en enige andere wijzigingen

C MEMORIE VAN ANTWOORD

Ontvangen 24 november 2011

1. Inleiding

De regering dankt de leden van de fracties voor hun vragen en opmerkingen. De beantwoording van de vragen en opmerkingen vormt tevens aanleiding in te gaan op hetgeen op 2 juli 2007 door de toenmalige minister van Justitie is toegezegd¹ bij de openbare behandeling van het wetsvoorstel Aanpassing van de Vreemdelingenwet 2000 aan richtlijn nr. 2004/82/EG van de Raad van 29 april 2004 betreffende de verplichting voor vervoerders om passagiersgegevens door te geven (PbEU L 261) (Kamerstukken 30 897).

De leden van de CDA-fractie merken op dat zij bij de totstandkoming van dit wetsvoorstel grotere voortvarendheid op prijs hadden gesteld en vragen de regering op dit onderwerp alert te blijven.

Inderdaad hebben voorbereiding en behandeling van dit wetsvoorstel door uiteenlopende oorzaken aanzienlijk meer tijd gevergd dan redelijkerwijs nodig was geweest. Wij betreuren dit.

2. Algemeen

De leden van de PvdA-fractie vragen de regering een reactie op hun stelling dat de uiteindelijke waarde van het wetsvoorstel buitengewoon gering is en vragen de regering ook welke lessen zij hieruit trekt. Zij vragen of de regering mogelijkheden ziet om op andere wijze dan door wetgeving de administratieve lasten en nalevingskosten van de Wbp te beperken, of dat de regering accepteert dat de bescherming van persoonsgegevens een last vraagt waarvan het niet mogelijk en wellicht ook niet wenselijk is die verder te verminderen.

Wij zijn van oordeel dat het wetsvoorstel zoals het op tafel ligt alleszins de moeite waard is. Dat geldt ook nadat op advies van de Raad van State een aantal oorspronkelijke voornemens zijn heroverwogen en nadat de Tweede Kamer een aantal amendementen heeft aanvaard die van invloed zijn op de keuzes die de regering had gemaakt. Dit wetsvoorstel heeft bovendien aan waarde gewonnen doordat bij nota van wijziging een aantal betekenisvolle wijzigingen in hoofdstuk 11 van de Wet bescherming persoonsgegevens (Wbp) zijn toegevoegd, die gezamenlijk met het bedrijfsleven zijn ontwikkeld en waarover het College bescherming persoonsgegevens (Cbp) advies heeft uitgebracht. Dat leidt naar verwachting tot een doelmatiger verkeer van persoonsgegevens met derde landen, binnen het kader van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PbEG L 281) (hierna: EU-privacyrichtlijn).

Wat de administratieve lasten en nalevingskosten betreft, is het een gegeven dat zonder wijziging van de EU-privacyrichtlijn administratieve lasten blijven bestaan. Dat volgt uit het gebruik van de meldplicht van verwerkingen bij het Cbp, bij de verplichting tot het volgen van een voorafgaand onderzoek bij het Cbp en uit de noodzaak om bij doorgifte van gegevens naar derde landen een vergunning van de minister van Veiligheid en Justitie aan te vragen. Waar dat mogelijk is willen wij het gebruik van bestuursrechtelijke instrumenten terugbrengen tot het minimaal noodzakelijke. Wij spannen ons ook in om bij de herziening van de EU-privacyrichtlijn de administratieve lasten tot het minimum te beschermen.

Verder is het in algemene zin onvermijdelijk is dat de naleving van de Wbp tijd vergt en dus ook direct of indirect nalevingskosten veroorzaakt. Een samenleving die de bescherming van persoonsgegevens als belangrijk aanmerkt, behoort ook te aanvaarden dat daarmee investeringen door overheid en bedrijfsleven gemoeid zijn. Maar ook hier moet naar een goed evenwicht worden gestreefd tussen doeleinden en middelen.

Tenslotte trekken wij uit de ervaringen met het wetsvoorstel de les dat de algemeen-abstracte aard van de normering in de Wbp het kwantificeren van administratieve lasten en nalevingskosten tot een moeilijke exercitie maakt. Het gevolg van de moeilijkheidsgraad is dat de voorspellingen een grotere onzekerheidsmarge hebben dan bij andere wetgevingscomplexen het geval is.

De leden van de CDA-fractie vragen een nadere uitleg van hetgeen de regering voor ogen staat bij het onderscheid dat zij maakt tussen de algemene bevoegdheid tot het verwerken van bijzondere persoonsgegevens door de Nationale ombudsman, andere ombudsvoorzieningen en het Cbp enerzijds en toezichthouders en accountantsorganisaties anderzijds.

Van het Cbp, de Nationale ombudsman en de andere ombudsvoorzieningen op publiekrechtelijke grondslag is het evident dat zij bij de vervulling van hun taak veelvuldig geconfronteerd worden met de noodzaak om in concrete onderzoeken kennis te nemen van alle voorkomende typen bijzondere persoonsgegevens, zonder dat daar steeds een adequate grondslag in de Wbp tegenover staat. Er moet dan worden teruggevallen op de artikelen 5:20 van de Algemene wet bestuursrecht (Awb) voor het Cbp en op artikel 9:31 Awb voor de ombudsvoorzieningen. Van eerstgenoemde bepaling kan op grond van de parlementaire geschiedenis (Kamerstukken II 23 700, nr. 5, blz. 64–65) worden aangenomen dat die bepaling – zonder verdere verfijning – de bevoegdheid impliceert tot het verwerken van persoonsgegevens in algemene zin. Voor de ombudsvoorzieningen is dat minder duidelijk. Mede gelet op de omstandigheid dat het toezicht op de verwerking van persoonsgegevens en de publiekrechtelijke ombudsfuncties voorzieningen van algemeen belang zijn die zich over de volle breedte van de overheidstaak uitstrekken, is het gerechtvaardigd dat de Wbp een algemene rechtvaardigingsgrond bevat voor de verwerking van alle typen bijzondere persoonsgegevens door deze instellingen.

Voor de verwerking van deze gegevens door toezichthouders en accountants ligt dit anders. Toezichthouders in de zin van de Awb houden toezicht op de naleving van één of meer specifieke wetten. Voor zover zij bij dat toezicht gegevens verzamelen of verstrekken buiten het kader dat artikel 5:20 Awb biedt behoort een specifieke bevoegdheid daartoe in de desbetreffende wetten te zijn geregeld. Zonodig moeten die wetten worden aangepast. Dat beleid wordt sinds de brief van de minister van Justitie aan de voorzitter van de Tweede Kamer der Staten-Generaal van 29 oktober 2008 (Kamerstukken II 2008/09, 31 700 VI, nr. 70) gevoerd. Er bestaat een grote verscheidenheid aan toezichthouders. De veronderstelling dat alle toezichthouders onder alle omstandigheden alle typen persoonsgegevens verwerken is niet gerechtvaardigd. Een voorziening daarvoor in de Wbp is dan ook niet nodig.

De kerntaak van accountants ligt bij de controle van jaarrekeningen en het geven van adviezen op bedrijfseconomisch gebied. Dat betreft niet in de eerste plaats de verwerking van persoonsgegevens. Het is duidelijk dat accountantskantoren in het kader van hun adviserende taak regelmatig wordt gevraagd onderzoek te doen bij bedrijven en de overheid, en dat daarbij onder omstandigheden ook wel eens persoonsgegevens worden verwerkt, maar de Raad van State heeft met zijn advies de regering ervan overtuigd dat dit onvoldoende rechtvaardigt dat de Wbp een rechtvaardigingsgrond schept voor de verwerking van alle typen bijzondere persoonsgegevens. De werkzaamheden van een accountant zijn ook niet zodanig te kwalificeren dat zij gelijk kunnen worden gesteld aan voorzieningen als de Nationale ombudsman of het Cbp. Als de noodzaak tot het verwerken van bijzondere persoonsgegevens nader wordt onderbouwd, kan een wijziging van de accountantswetgeving worden overwogen.

De leden van de SP-fractie vragen of de regering bij dit wetsvoorstel toezegging T 00496 heeft betrokken, aangezien deze leden niet hebben kunnen vaststellen dat dit het geval is geweest. Deze toezegging behelst dat de regering bij toekomstige wetsvoorstellen de mogelijkheid van een «opt out» zal creëren voor burgers die niet benaderd wensen te worden. Indien de regering die toezegging in het wetsvoorstel heeft betrokken vragen deze leden op welke wijze dat is gebeurd. Indien de regering dat niet heeft gedaan vragen deze leden of de regering bereid is de toezegging alsnog gestand te doen en in de wetgeving daaraan passende aandacht te geven.

Op 2 juli 2007 heeft de toenmalige minister van Justitie bij de openbare behandeling van het wetsvoorstel Aanpassing van de Vreemdelingenwet 2000 aan richtlijn nr. 2004/82/EG van de Raad van 29 april 2004 betreffende de verplichting voor vervoerders om passagiersgegevens door te geven (PbEU L 261) (Kamerstukken 30 897) toegezegd bij de beleidsevaluatie de vraag te betrekken of er een wettelijke verplichting moet komen om in standaardcontracten een alternatief aan te bieden dat erop neerkomt dat de betrokkene ervoor kan kiezen dat zijn gegevens niet voor andere doeleinden dan het doeleinde waarvoor de gegevens oorspronkelijk worden verzameld, verder mogen verwerkt (Handelingen I 2006/07, nr. 36, blz. 36–1100).

De regering heeft de vraag van deze leden betrokken bij de vormgeving van dit wetsvoorstel. De regering betreurt dat dit niet expliciet in de memorie van toelichting is gebeurd.

Inhoudelijk komt de vraag van de leden van de SP-fractie erop neer of de uitoefening van het zogeheten recht van verzet van de betrokkene verder zou moeten worden ondersteund dan nu al het geval is, en wel door een specifieke vorm van de uitoefening van dat recht in de wet vast te leggen. Het recht van verzet is op grondslag van artikel 14 van de EU-privacyrichtlijn geregeld in de artikelen 40 en 41 van de Wbp. Uit artikel 41 van de Wbp vloeit voort dat dit recht absoluut van aard is, wanneer de verwerking van persoonsgegevens plaatsvindt ten behoeve van commerciële of charitatieve doeleinden. Dat betekent dus dat voor alle gevallen waarin de verwerking van persoonsgegevens plaatsvindt voor de doeleinden waarop de leden van de SP-fractie destijds het oog hadden, deze verwerking gestaakt dient te worden wanneer de betrokkene de wens daartoe kenbaar maakt. Artikel 41 van de Wbp verplicht de verantwoordelijke bovendien de nodige inspanning te verrichten om de betrokkene op de hoogte stellen van het recht van verzet. De wijze waarop dit moet gebeuren is één van de onderdelen van dit wetsvoorstel. Daarbij moet een behoorlijk evenwicht zijn verzekerd tussen enerzijds het belang dat het recht van verzet volledig wordt vormgegeven overeenkomstig hetgeen de EU-privacyrichtlijn beoogt en anderzijds het belang van het verminderen van de met de uitvoering van de Wbp gemoeide administratieve lasten en nalevingskosten. De regering heeft bij dit wetsvoorstel als uitgangspunt gekozen dat het de verantwoordelijke zoveel mogelijk vrijstaat om te kiezen op welke wijze en met welke frequentie hij bekendheid geeft aan het recht van verzet. De huidige regeling in de Wbp verlangt in dit opzicht meer dan de EU-privacyrichtlijn vraagt. Dat impliceert ook dat de verplichting om in standaardcontracten een «opt out» regeling op te nemen niet uit de richtlijn voortvloeit, maar een nationale toevoeging in de Wbp zou betekenen. Dat is in strijd met het beleid dat bij de implementatie van richtlijnen al jarenlang wordt gevoerd.

Toch betekent dit niet dat verdere reflectie over het recht van verzet en de notificatieplicht niet mogelijk is. Bij de openbare behandeling van het wetsvoorstel in de Tweede Kamer is de reikwijdte van de notificatieplicht uitgebreid aan de orde gekomen. De waarschijnlijke aanvaarding van het amendement-Schouten c.s. (Kamerstukken II 2010/11, 31 841, nr. 17) dat strekte tot het behoud van het huidige artikel 41, vierde lid, van de Wbp gaf de eerste ondergetekende aanleiding het Cbp om advies te vragen over de toekomstbestendigheid van deze regeling. Daarbij speelde een belangrijke rol dat in de Tweede Kamer een lans werd gebroken voor het openstellen van de mogelijkheid van elektronische notificatie. Het betrof hier het aanklikken van een vinkje op een website of losse boodschap waarmee het recht van verzet zou kunnen worden uitgeoefend. In wezen betreft het hier een elektronische variant van hetgeen de leden van de SP-fractie in 2007 voor ogen stond. Eerste ondergetekende heeft het Cbp dan ook uitdrukkelijk verzocht daarop in te gaan.

Bij brief van 25 oktober 2011, nr. z2011–00618, heeft het Cbp zijn advies gegeven. Dit advies voegen wij als bijlage toe aan deze memorie. Het Cbp concludeert dat de tekst van artikel 41 van de Wbp, zoals die komt te luiden wanneer dit wetsvoorstel tot wet wordt verheven, door zijn techniekneutrale formulering voldoende is toegesneden op de noodzaak de betrokkene in staat te stellen het recht van verzet uit te oefenen en dat er – op dit moment – geen noodzaak is de elektronische weg verplichtend op te leggen. Wij zien in dit advies aanleiding thans geen verdere voorstellen tot wijziging van artikel 41 van de Wbp in overweging te nemen. Mogelijk geeft de voorgenomen herziening van de EU-privacyrichtlijn aanleiding het recht van verzet en de notificatieplicht opnieuw te bezien.

3. Vragen met betrekking tot de reductiemaatregelen

De leden van de VVD-fractie wijzen erop dat als gevolg van de aanvaarding van een amendement door de Tweede Kamer de verplichting van de functionaris voor de gegevensbescherming om een jaarverslag vast te stellen is komen te vervallen. Deze leden vragen aandacht voor het belang van de functionaris voor de gegevensbescherming. Deze leden wijzen erop dat transparantie één van de uitgangspunten van de Wbp is. Met een verslagleggingsplicht wordt een functionaris voor de gegevensbescherming verplicht zich te verantwoorden, zo stellen deze leden. Deze leden betreuren het dat deze verplichting komt te vervallen en vragen de regering welke maatregelen zij voornemens is te treffen om ervoor te zorgen dat de functionaris voor de gegevensbescherming jaarlijks verantwoording aflegt op een zodanige wijze dat de buitenwereld daarvan op een laagdrempelige wijze kennis van kan nemen.

Bij de vraag of de verslaggevingsverplichting van de functionaris voor de gegevensbescherming moest worden gehandhaafd of juist moest vervallen gaat het om de vraag of het belang van transparantie van de activiteiten van de onderneming of overheidsinstelling die het betreft en positie van de functionaris ten opzichte van de verantwoordelijke enerzijds, opweegt tegen het belang van verminderen van administratieve lasten anderzijds. Bij de beoordeling van het amendement-Çörüz (Kamerstukken II 2010/11, 31 841, nr. 20) heeft de regering daarbij de volgende afweging gemaakt. Het aantal functionarissen voor de gegevensbescherming in Nederland is betrekkelijk gering. De achtergrond daarvan is dat het met name voor het bedrijfsleven weinig aantrekkelijk blijkt een functionaris aan te stellen die een in de wet geregelde positie heeft. Wel hebben veel grote bedrijven een privacy officer aangesteld die hetzelfde werk doet als een functionaris voor de gegevensbescherming, maar die niet over formele toezichtsbevoegdheden beschikt, en die niet de verplichting heeft een jaarverslag vast te stellen. Waar het de regering om gaat is dat bedrijven en overheidsinstellingen zich bewust zijn van de omstandigheid dat gegevensbescherming een integraal deel van het bedrijfs- en het overheidsbeleid moet zijn of moet worden. Daarbij kunnen zowel functionarissen voor de gegevensbescherming als privacy officers belangrijke diensten bewijzen. Met beide middelen kan dat doel worden bereikt. In Nederland bemoeit de wetgever zich traditioneel niet met de inrichting van de bedrijfshuishoudingen. Het opleggen van verplichtingen terzake kan juist contraproductief werken. Wanneer met de afschaffing van een dergelijke verplichting bereikt kan worden dat meer bedrijven zich het belang van gegevensbescherming gaan aantrekken, kan het zinvol zijn die verplichting af te schaffen. Daar staat tegenover dat het voor de gevallen waarin wel een functionaris voor de gegevensbescherming is aangewezen, het van belang is dat deze functionaris openlijk verantwoording aflegt aan de verantwoordelijke, aan de betrokkenen en aan het Cbp. Deze afweging moet uiteindelijk uitvallen ten gunste van het verkleinen van de drempel om een functionaris aan te stellen en het verminderen van de daarmee gepaard gaande nalevingskosten. Het staat functionarissen vanzelfsprekend vrij om op vrijwillige basis jaarverslagen vast te stellen. Maar het is heel goed denkbaar dat de transparantie ook op andere wijze kan worden bereikt dan door middel van het wat formele moment om jaarlijks een verslag vast te stellen. Dit moet aan de verantwoordelijke en de functionaris worden overgelaten. Het voorschrijven van alternatieve verplichtingen, zoals de leden van de VVD-fractie suggereren, leidt alleen tot vervanging van de ene verplichting door een andere. De regering is daarvan geen voorstander.

De leden van de CDA-fractie hebben enkele vragen gesteld met betrekking tot de regeling van Binding Corporate Rules (BCR's), intern bindende gedragscodes voor gegevensbescherming in zeer grote bedrijven. Zij herinneren eraan dat de regering meent dat terzake van het afschaffen van meldings- en vergunningsplichten voor de toepassing van dit instrument een regeling in de richtlijn op zijn plaats is. Deze leden vragen of de regering zich met betrekking tot dit onderwerp achter het afwezig zijn van een regeling in de richtlijn mag verschuilen. Zij verzoeken de regering in te gaan op de aanbevelingen die zijn gedaan in het recent aan de Universiteit van Tilburg verdedigde proefschrift over dit onderwerp van mw. mr. E.M.L. Moerel. Zij vragen of ten aanzien van dit onderwerp meer zelfregulering op zijn plaats zou zijn.

De regering betreurt het dat de leden van de CDA-fractie de indruk hebben gekregen dat zij zich ten aanzien van BCR's verschuilt achter het ontbreken van een regeling in de richtlijn. Het tegendeel is het geval. In het ontwerpbesluit tot wijziging van het Besluit kostenvergoeding rechten betrokkene Wbp, het Meldingsbesluit Wbp en het Vrijstellingsbesluit Wbp in verband met vermindering van administratieve lasten – dat samen met dit wetsvoorstel het lastenreductiepakket op het gebied van gegevensbescherming vormt – wordt voorzien in een vrijstelling van meldplicht voor verwerkingen van persoonsgegevens krachtens een BCR, waarvoor een vergunning is verleend op grond van artikel 77, tweede lid, van de Wbp. Wel blijft de regering bij de vaststelling dat de positie van BCR's onder het huidige recht problemen oproept die voortkomen uit de structuur van de EU-privacyrichtlijn. De richtlijn laat de lidstaten een ruime mate van beleidsvrijheid bij de vaststelling van intern recht ter implementatie van de richtlijn. Dat geldt niet alleen voor onderdelen van materiële normstelling, maar ook voor de reikwijdte van de bestuursrechtelijke instrumenten en de bestuursrechtelijke en strafrechtelijke handhaving. Het gevolg daarvan is dat wanneer een concern vanuit meer dan één lidstaat gegevens doorgeeft aan een derde land, vergunningen of andere bestuursrechtelijke besluiten van verschillende lidstaten nodig zijn om die gegevens rechtmatig door te kunnen geven. Onder het huidige recht moet de winst worden gezocht in betere onderlinge afstemming van de meest betrokken lidstaten en wederzijdse erkenning van vergunningen van die lidstaten door de andere lidstaten. Het Cbp heeft terzake de nodige inspanningen verricht. De regering heeft daarvoor grote waardering. Maar het probleem van die onderlinge afstemming kan uiteindelijk niet op nationaal niveau worden opgelost.

Het proefschrift van mw. mr. E.M.L. Moerel, «Binding Corporate Rules, Fixing the regulatory patchwork of dataprotection», Amsterdam, 2011, is zo omvangrijk en diepgravend dat het de redelijke begrenzing van de omvang van een memorie van antwoord te buiten gaat, wanneer op alle aanbevelingen wordt gereageerd. Wij volstaan daarom met een algemene reactie.

Wanneer wordt uitgegaan van de vormgeving van het komende Europese gegevensbeschermingsrecht in een of meer richtlijnen, lijkt de meest optimale regeling voor de BCR dat deze wordt vastgesteld onder de verantwoordelijkheid van de toezichthouder van één lidstaat. Bij voorkeur is dat de lidstaat waar de verantwoordelijke zijn hoofdvestiging heeft, of wellicht de lidstaat waar de rechtspersoon is gevestigd die in concernverband de feitelijke uitvoering verzorgt van het compliancebeleid van de groep, en de verantwoordelijke aldus vertegenwoordigt. De verantwoordelijkheid van de toezichthouder kan tot uitdrukking komen in een vergunningverlening, of een goedkeuring, maar van dit vereiste kan worden afgezien, wanneer de BCR geheel volgens een op het niveau van de Europese Unie vastgesteld model is vormgegeven. Dat model behoort te worden vastgesteld na het volgen van een procedure die meer transparantie en betrokkenheid van belanghebbenden en deskundigen verzekert dan de bestaande procedures van de artikel 29 Werkgroep. Het ligt voor de hand dat het besluit van één toezichthouder – zonder nadere besluitvorming – wordt erkend door alle andere toezichthouders van de lidstaten, en daarmee dus uitvoerbaar en handhaafbaar is in alle lidstaten.

Wij delen niet zonder meer de aanbeveling uit het proefschrift dat een BCR in de plaats kan treden van wettelijke voorschriften op het gebied van gegevensbescherming van de lidstaten. Wettelijke voorschriften zijn in onze rechtsorde van dwingende aard. In het privaatrecht heeft het aanvullend recht natuurlijk een belangrijke plaats, maar ook aanvullend recht kan niet in strijd of in afwijking van wettelijke voorschriften worden vastgesteld. Dit geldt in het bijzonder voor het toezicht op de naleving en de handhaving. Die zijn van bestuursrechtelijke aard en daarmee niet vrijblijvend. Toezicht en handhaving zullen naar onze verwachting in het komende gegevensbeschermingrecht eerder worden versterkt dan gerelativeerd. Zelfregulering behoort ook te zijn begrensd, maar de algemeen-abstracte aard van het gegevensbeschermingsrecht biedt hier het grote voordeel van flexibiliteit.

De aanbeveling om in een BCR rechtskeuze en forumkeuze mogelijk te maken voor de oplossing van rechtsgeschillen voortvloeiend uit de toepassing van de BCR moet nader worden doordacht. Zolang het betreft rechts- en forumkeuze voor één van de lidstaten, is in ieder geval verzekerd dat de betrokkene zijn rechten op inzage, correctie, afscherming en verzet kan uitoefenen en dat daarop bestuursrechtelijk toezicht wordt uitgeoefend. Dat is niet per definitie het geval wanneer gekozen wordt voor het recht van een derde land.

Wanneer wordt uitgegaan van de vormgeving van het komende gegevensbeschermingsrecht in de vorm van een verordening is het stellig veel eenvoudiger om de BCR tot instrument van Europees gegevensbeschermingrecht uit te bouwen. Maar die keuze heeft op veel andere terreinen dan de BCR vergaande consequenties. Het zou leiden tot een vermindering van de mogelijkheid van de lidstaten om hun nationale recht vast te stellen en daarbij optimaal rekening te houden met nationale eigenaardigheden. Te denken valt aan de verwerking van persoonsgegevens in relatie tot de organisatie van het belastingstelsel, en de stelsels van sociale zekerheid, gezondheidszorg en de arbeidsverhoudingen. Die verschillen sterk per lidstaat.

Tenslotte is het zeker de moeite waard om op mondiaal, en in elk geval op transatlantisch niveau, te streven naar een vorm van wederzijdse erkenning van gegevensbeschermingsrecht en BCR's. Er moet dan wel overeenstemming worden bereikt over een minimumniveau van normering, wellicht volgens International Standards on the Protection of Personal Data and Privacy (Madrid Resolution) uit 2009.

De leden van de CDA-fractie vragen of de regering concrete stappen voor ogen heeft bij het afschaffen van de meldplicht op Europees niveau en de uitbreiding van het vrijstellingenregime. In dat verband vragen deze leden ook naar de stand van zaken met betrekking tot het Vrijstellingsbesluit Wbp en het Meldingsbesluit Wbp. Tevens stellen deze leden het op prijs de mening van de regering te vernemen met betrekking tot het voorafgaand onderzoek.

Naar aanleiding van de Mededeling van de Europese Commissie over herziening van het Europese kader voor gegevensbescherming van november 2010 heeft de regering in de Raadswerkgroepen – niet voor het eerst – bepleit de meldplicht en het voorafgaand onderzoek af te schaffen, wanneer een doelmatig en risicogeoriënteerd toezicht op de naleving daarvoor in de plaats komt. Gebleken is dat een vrij grote meerderheid van de lidstaten deze gedachte zonder meer afwijst. Dat ligt aan de omstandigheid dat veel lidstaten hun toezichthouder financieren met de leges die voor de meldingen worden geheven. Er zijn ook lidstaten die weinig of geen vrijstellingen van de meldplicht kennen en vrezen voor verlies aan werkgelegenheid bij de overheid als de meldplicht komt te vervallen. Het is onder deze omstandigheden weinig kansrijk afschaffing van de meldplicht en het onderzoek te blijven bepleiten. De gedachten van de Commissie gaan vermoedelijk uit naar vereenvoudiging van de meldplicht en meer vrijstellingen. Wij kunnen dergelijke voorstellen in beginsel steunen. Ten aanzien van het voorafgaand onderzoek heeft de Commissie nog geen richting aangegeven. In een wetsvoorstel tot wijziging van de Wbp waaraan thans wordt gewerkt, zal het vereiste van het voorafgaand onderzoek vervallen voor bepaalde verwerkingen van camerabeelden van strafbare feiten. Dit wetsvoorstel zal eind november 2011 in consultatie worden gegeven.

De regering blijft openstaan voor de verdere ontwikkeling van het vrijstellingenbeleid. Dit wordt periodiek onder de aandacht gebracht van de georganiseerd bedrijfsleven. Daar bestaat immers het beste zicht op de behoeften van de praktijk. Toch heeft dat niet tot respons geleid. Tekenend is ook dat de internetconsultatie van het ontwerpbesluit houdende wijziging van het Besluit kostenvergoeding rechten betrokkene Wbp, het Meldingsbesluit Wbp en het Vrijstellingsbesluit Wbp in verband met vermindering van administratieve lasten tot geen enkele reactie heeft geleid. In de vraagstelling was expliciet verzocht om suggesties voor verdere vrijstelling. Dit ontwerpbesluit zal overigens in december 2011 aan de Afdeling advisering van de Raad van State worden gezonden.

De staatssecretaris van Veiligheid en Justitie,

F. Teeven

De minister van Binnenlandse Zaken en Koninkrijksrelaties,

Mr. J. P. H. Donner

---

1 Toezegging T 00496