32 317 JBZ-Raad

32 761 Verwerking en bescherming persoonsgegevens

Nr. 425 BRIEF VAN DE MINISTER VAN VEILIGHEID EN JUSTITIE

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 29 juni 2016

Op 18 mei 2016 had ik met de Vaste Commissie voor Veiligheid en Justitie uit uw Kamer een algemeen overleg over gegevensbescherming (Kamerstuk 32 761, nr. 102).

Een van de onderwerpen die in dat overleg ter sprake kwam was het EU US Privacy Shield (hierna: Shield). Het overleg gaf aanleiding tot enige vragen van uw Kamer. Die zal ik graag beantwoorden. Verder geef ik in deze brief de laatste stand van zaken betreffende de totstandkoming van het Shield en een daarmee verband houdende ontwikkeling.

In mijn brief van 29 april 2016, Kamerstukken 32 317 en 32 761, nr. 409, heb ik aangegeven dat ik het denkbaar achtte dat de overwegingen van het ontwerpbesluit van de Commissie op een meer systematische wijze zouden kunnen ingaan op alle criteria die het Hof van Justitie van de EU (HvJEU) in zijn arrest van 6 oktober 2015 (C-362/14) (Schrems) heeft gegeven met betrekking tot de rechtmatigheid van toereikendheidsbesluiten. Immers, als dat zou worden gedaan dan zou op systematische wijze kunnen blijken hoe het Shield zich verhoudt tot de uitspraak van het HvJEU. Ik heb daarbij aangegeven dat de Commissie daarvoor openstond, mits daarvoor een voldoende draagvlak bestaat bij de lidstaten. Ik heb uw Kamer op verzoek van het lid Verhoeven (D66) toegezegd terzake initiatieven te nemen.

Ik heb daartoe informeel contact gezocht met enkele lidstaten die deze suggestie zelf deden om te zien of voor dit voorstel nog voldoende draagvlak bestaat. Uit dat overleg heb ik afgeleid dat de desbetreffende lidstaten die gedachte op zichzelf genomen niet afwijzen, maar dat zij het op dit moment niet opportuun achten met voorstellen te komen. Zij hebben dit vooral gedaan omdat de Commissie thans nog met de Verenigde Staten in gesprek is om nadere verduidelijkingen en verbeteringen te bereiken en het onder de geldende omstandigheden in het belang van Unie is dat de Commissie zoveel mogelijk wordt gesteund. Ik heb vervolgens de Commissie gevraagd hoe zij thans oordeelt over de suggestie die eerder was gedaan. De Commissie heeft aangegeven dat zij meermalen serieus heeft overwogen om het besluit op te bouwen volgens de gedane suggestie. De Commissie vond het echter uiteindelijk verstandiger om in de overwegingen van het ontwerpbesluit niet reactief in te gaan op de overwegingen van het HvJEU, maar die overwegingen zo goed mogelijk te laten aansluiten bij de Annexen bij het besluit. De Commissie is ervan overtuigd dat dit behulpzaam zal zijn bij de verdediging in rechte van het besluit. Ik moet die beslissing respecteren. Vaststelling van het Shield is een eigenstandige bevoegdheid van de Commissie. De Commissie, en niet de lidstaten of de Raad, zal het besluit te zijner tijd moeten kunnen verantwoorden tegenover de rechter.

Tijdens het algemeen overleg op 18 mei 2016 (Kamerstuk 32 761, nr. 102) is gesuggereerd dat het wenselijk zou zijn dat het HvJEU een aan de vaststelling voorafgaande toets verricht op de rechtmatigheid van het Shield. Een dergelijke toets is bij een uitvoeringsbesluit in de zin van artikel 291 VWEU echter niet mogelijk. De rechtmatigheid van het Shield kan alleen na vaststelling worden getoetst door het HvJEU, hetzij rechtstreeks via een vernietigingsberoep, hetzij via een nationale rechter in een prejudiciële procedure. Ik acht de kans aanwezig dat de laatste procedure zal worden benut.

Uw Kamer heeft verder verzocht in samenspraak met de Minister van Economische Zaken en het bedrijfsleven te onderzoeken of de ontwikkeling van standaardcontracten bij de uitvoering van Annex II, § III, punt 10, van het Shield ter hand kon worden genomen. Dit onderdeel van het Shield regelt dat indien gegevens door een verantwoordelijke in de EU naar een bewerker in de Verenigde Staten worden doorgegeven dat, behoudens enkele uitzonderingen, alleen rechtmatig is indien verantwoordelijke en bewerker daartoe een overeenkomst hebben gesloten.

Ik heb naar aanleiding van het verzoek uit de Kamer eerst de Commissie geraadpleegd om na te gaan of hieraan tijdens de onderhandelingen met de Verenigde Staten is gedacht. De Commissie acht het idee om model- of misschien zelfs standaardovereenkomsten te ontwikkelen een op zichzelf genomen een zinvolle suggestie. Daarbij heeft men wel de aantekening gemaakt dat dit in de Europese Unie alleen goed uitvoerbaar is indien op die overeenkomsten het recht van een van de lidstaten van Unie van toepassing is. De Commissie ziet geen rol voor zichzelf weggelegd bij de ontwikkeling van dergelijke overeenkomsten naar Amerikaans recht. De Commissie heeft aangegeven dit bij gelegenheid van de eerste evaluatie met de Verenigde Staten te willen bespreken. Ik heb dit inmiddels doorgegeven aan de Minister van Economische Zaken en vertegenwoordigers van het bedrijfsleven.

Op 19 mei 2016 heeft de Commissie de lidstaten bijgepraat over de stand van zaken. De Commissie heeft daarbij aangegeven dat het advies van de Artikel 29 Werkgroep zwaar weegt. Dit advies is voor de Commissie aanleiding geweest om het gesprek met de Verenigde Staten voort te zetten met het doel om op de belangrijkste punten van het advies nadere verduidelijkingen en verbeteringen te bewerkstelligen. Voor de positie van de Commissie bestaat onder de lidstaten zeer brede steun, ook van Nederland.

Op 25 mei 2016 heeft het Europees parlement (EP) een plenair debat gevoerd met de Commissie over het Shield. De Minister van Buitenlandse Zaken vertegenwoordigde de Raad in dat debat. Het EP heeft resolutie 2016/2727 (RSP) aangenomen (bijlage)¹. Die resolutie bevat een vijftiental punten. In die punten wordt het belang van het Privacy Shield benadrukt voor bedrijven en burgers. Er is ook kritiek omdat het EP onder meer oordeelt dat de verzameling van gegevens in bulk niet in overeenstemming is met het Handvest van de Grondrechten en dat er meer duidelijkheid moet komen over de bevoegdheden van de Ombudspersoon. Het EP roept de Commissie op alle adviezen van de Artikel 29 Werkgroep op te volgen. De Commissie heeft aangegeven de resolutie van het EP vooral als steun in de rug te beschouwen.

Op 30 mei 2016 heeft de Europees Toezichthouder Gegevensbescherming (EDPS) Opinion 4/2016, Opinion on the EU–US Privacy Shield draft adequacy decision vastgesteld. Dit advies is kritisch gestemd. De opmerkingen in het advies vallen in twee delen uiteen. In de eerste plaats steunt de EDPS het advies van de Artikel 29 Werkgroep. Dat is niet verrassend omdat de EDPS deel uitmaakt van de Werkgroep. Aan deze onderdelen van het advies wordt door de Commissie in een voortgezette dialoog met de Verenigde Staten de nodige aandacht besteed. De Commissie richt zich op verbetering van onderdelen van het Shield. In de tweede plaats doet de EDPS de nodige voorstellen voor de langere termijn. Die zijn onder meer gericht op het volledig in overeenstemming brengen van het Shield met de Algemene verordening gegevensbescherming. De Commissie heeft daarover opgemerkt dat dit punt niet de eerste prioriteit heeft. De normen van de verordening gelden pas met ingang van 18 mei 2018. Er is bovendien voorzien in overgangsrecht voor de op dat tijdstip van kracht zijnde toereikendheidsbesluiten. De Commissie meent dat er voldoende gelegenheid is later te beoordelen hoe het Shield zich verhoudt tot de verordening zodat men zich nu kan concentreren op het verbeteren van onderdelen van het Shield. Ik heb begrip voor de keuze van de Commissie.

Op 6 en op 20 juni 2016 heeft de Commissie verslag gedaan van de vorderingen die zijn gemaakt. De Commissie zal dat opnieuw doen op 29 juni 2016. De hoop is dat in juli 2016 de besprekingen met een positieve stemming in het Artikel 31 Comité kunnen worden afgerond. Formele vaststelling van het besluit kan dan nog in juli 2016 plaatsvinden. Zekerheid hierover kan ik nog niet geven. De besprekingen tussen de Commissie en Verenigde Staten zijn nog niet volledig afgerond.

Tenslotte informeer ik u nog over het volgende. In mijn brieven van 30 november 2015 (Kamerstukken 32 317 en 32 761, nr. 363) en 16 februari 2016 (Kamerstukken 32 317 en 32 761, nr. 388) ben ik ingegaan op de andere grondslagen voor de doorgifte van persoonsgegevens naar de Verenigde Staten dan het Shield. Een van die grondslagen is het gebruik van standaardcontractsvoorwaarden die bij besluit van de Commissie op grond van artikel 26, vierde lid, van richtlijn 95/46/EG zijn goedgekeurd. Er bestaan drie van dergelijke besluiten. De Commissie en de Artikel 29 Werkgroep hebben zich op het standpunt gesteld dat deze grondslag gebruikt kan worden voor de doorgifte van persoonsgegevens aangezien het arrest van 6 oktober 2015 geen betrekking heeft op deze besluiten. Ik heb dat standpunt gesteund.

Op 25 mei 2016 heeft de Ierse toezichthouder, de Data Protection Commissioner, in een korte verklaring bekend gemaakt dat zij de Ierse High Court of Justice verzocht heeft het HvJEU prejudiciële vragen te stellen over de verenigbaarheid van deze standaardcontractsvoorwaarden met hoger recht, wederom naar aanleiding van een klacht van de heer Schrems tegen een doorgifte door Facebook. Indien het HvJEU uiteindelijk zou besluiten tot ongeldigverklaring van de standaardcontractsvoorwaarden een bijzonder ernstige situatie ontstaat. Deze voorwaarden hebben niet alleen gelding in het gegevensverkeer met de Verenigde Staten, maar kunnen wereldwijd worden toegepast.

Ik verwacht dat het nog geruime tijd duurt voor er zicht is op een einduitspraak. Tot die tijd blijven de voorwaarden hoe dan ook rechtsgeldig. Mocht daartoe aanleiding zijn dan zal ik uw Kamer nader informeren.

De Minister van Veiligheid en Justitie, G.A. van der Steur

---

1 Raadpleegbaar via www.tweedekamer.nl