32 761 Verwerking en bescherming persoonsgegevens

Nr. 75 BRIEF VAN DE STAATSSECRETARIS VAN VEILIGHEID EN JUSTITIE

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 3 november 2014

In het algemeen overleg van 7 maart 2012 (Kamerstuk 32 761, nr. 27) heb ik toegezegd u periodiek op de hoogte te houden van de stand van zaken over de onderhandelingen in Brussel over de Algemene verordening gegevensbescherming en de richtlijn gegevensbescherming opsporing en vervolging.

In deze brief doe ik verslag van de onderhandelingsronden die in juli en september 2014 hebben plaatsgevonden. Zes vergaderdagen zijn gewijd aan de verordening, één vergaderdag aan de richtlijn.

Raadswerkgroep 10 en 11 juli 2014

Het Italiaanse Voorzitterschap concentreert zich in de eerste maanden op Hoofdstuk IV van de verordening. In dat hoofdstuk zijn de verplichtingen voor de verantwoordelijke en de bewerker neergelegd. Omdat deze verplichtingen veel administratieve lasten en nalevingskosten genereren is dit hoofdstuk voor Nederland een belangrijk onderwerp. Nederland heeft zorgen over het, in vergelijking met de huidige richtlijn, zeer hoge niveau van administratieve lasten en nalevingskosten. Nederland is van oordeel dat de verschillende verplichtingen voor verantwoordelijken en bewerkers niet als een totaalpakket op elke verantwoordelijke moet drukken, ongeacht bedrijfsgrootte of aard van de verwerking. Een meer rechtvaardige verdeling zou zijn dat de verordening nuanceert tussen de verschillende in aanmerking komende risiconiveaus. Niet alleen bedrijfsgrootte, maar ook de aard van de verwerking, aard en aantal betrokkenen, doel van de verwerking en andere factoren moeten daarbij worden betrokken. Ook de aard van het risico zelf kan wat Nederland betreft goed worden geëxpliciteerd wanneer naast een algemeen risico voor de rechten en vrijheden van de betrokkenen meer inkleuring kan worden gegeven door de achter de privacybescherming liggende rechtsgoederen in de verordening te benoemen. Het gaat dan om, onder meer, het risico op discriminatie, het risico op identiteitsdiefstal, financiële risico's en het risico van reputatieverlies. Dit was in een eerder stadium van de onderhandelingen al uitgewerkt in een overweging. Nederland is van oordeel dat dit zo belangrijk is dat dit in de tekst van de artikelen zelf moet worden uitgewerkt.

Over het door het Voorzitterschap ingediende document is Nederland nog niet tevreden. De artikelen van Hoofdstuk IV moeten volgens Nederland onderling coherentie vertonen. Dat is nodig, omdat er volgens Nederland geen noodzaak bestaat om alle verplichtingen op alle verantwoordelijken te laten drukken. Bij consequent gebruik van de juiste terminologie kan worden verduidelijkt onder welke voorwaarden een bepaalde verplichting geldt. Nederland had daarvoor al een voorstel ingediend voor de bepalingen die het Privacy Impact Assessment en een verplicht voorafgaand onderzoek, of een voorafgaande toestemming van de toezichthouder betreffen. Nederland biedt aan dit voorstel uit te werken tot de rest van het hoofdstuk. Het blijkt dat veel lidstaten deze visie op hoofdlijnen delen. In de uitwerking blijven er echter meningsverschillen bestaan.

Met betrekking tot de relatie tussen de verplichtingen tot het houden van een Privacy Impact Assessment en het voeren van overleg met de toezichthouder voordat een begin wordt gemaakt met een nieuwe verwerking heeft Nederland zich van meet af aan op het standpunt gesteld dat wanneer een privacy impact assessment leert dat de desbetreffende verwerking een hoog risico oplevert dat naar het oordeel van de verantwoordelijke niet kan worden beheerst door redelijke technische en organisatorische maatregelen, het beter is de mogelijkheid van instemming of vergunningverlening door de toezichthouder te bieden dan een verplichting tot overleg. Overleg leidt niet altijd tot een duidelijke uitkomst. Wanneer tijd en kosten moeten worden besteed aan contact met de toezichthouder verdient instemming de voorkeur, omdat die wel een duidelijke uitkomst biedt die rechtszekerheid geeft. Dat baat de verantwoordelijke, de betrokkenen en de toezichthouder zelf. Het blijkt dat deze visie maar door een beperkt aantal lidstaten wordt gedeeld. Nederland blijft dit volhouden.

Een volgend onderwerp is het arrest van het Hof van Justitie van 13 mei 2014, C-131/12, inzake Google Spain SL en Google Inc/AEPD en Mario Costeja Gonzalez. Het Voorzitterschap vraagt de lidstaten om een eerste indruk van het arrest en de consequentie voor de voortzetting van de onderhandelingen. Het Nederlandse standpunt daarover is uitgebreid uiteengezet in mijn brieven van 2 juli 2014, 534565, en 2 oktober 2014, 562713. Het blijkt dat de lidstaten nog uiteenlopende gedachten hebben over de reikwijdte van het recht om te worden vergeten, de gevallen waarin het wel en niet moet kunnen worden uitgeoefend, de verhouding met de vrijheid van meningsuiting en de verplichting van de zoekmachinedienstverlener om verantwoordelijken van de verwerkingen die in een zoekresultaat verschijnen op de hoogte te stellen van gevallen waarin een verzoek om te worden vergeten in een zoekresultaat wordt ingewilligd.

Raadswerkgroep 11 en 12 september 2014

Op deze werkgroep staat opnieuw Hoofdstuk IV ter bespreking. Het Voorzitterschap heeft op basis van de voorgaande vergadering een nieuw voorstel uitgewerkt, waarin conform de Nederlandse voorstellen, de betekenis van het begrip risico in de artikelen is neergelegd. De afzonderlijke verplichtingen zijn in drie risicocategorieën ingedeeld, normaal, hoog en zeer hoog. Een verwerking die in de hoogste categorie valt, moet aan de zwaarste verplichtingen voldoen. Nederland is zeer ingenomen met dit voorstel en steunt dit dan ook royaal. Het blijkt echter dat de meeste lidstaten een indeling in drie niveaus teveel van het goede vinden en terug willen naar twee niveaus. Bovendien vinden een aantal lidstaten dat het niet aan de verantwoordelijken zelf kan worden overgelaten om zelf een risico-inschatting te maken. Volgens deze lidstaten moet ofwel dat risico geheel worden uitgeschreven in de verordening, ofwel de toezichthouder optreden. Deze lidstaten willen alle onzekerheden vermijden. Het Voorzitterschap kondigt aan op de JBZ Raad een nieuw, in beginsel definitief ontwerp voor Hoofdstuk IV voor te leggen.

Dit ontwerp wordt niet meer besproken in raadswerkgroepen, maar op het niveau van het Coreper. Dat ontwerp gaat uit van een regime met drie lagen. De eerste laag is een algemeen artikel waarin een algemene verplichting voor alle verantwoordelijken is neergelegd om maatregelen te nemen ter bescherming van de rechten van betrokkenen, rekening houdend met het risico van de verwerking. Daarover moet hij ook verantwoording kunnen afleggen. De tweede laag bestaat uit twee specifieke verplichtingen die voor alle verantwoordelijken gelden. Het betreft de verplichting tot het toepassen van privacy by design. Er moet altijd worden gestreefd naar minst zware inbreuk op de rechten van betrokkene in de verwerking. En er geldt altijd een beveiligingsplicht. Bij de uitvoering mag de verantwoordelijk rekening daarbij wel houden met de aard van de verwerking, maar de verplichting geldt altijd. Het derde niveau betreft alle andere verplichtingen, zoals de documentatieplicht, de meldplicht datalekken, de verplichting een privacy impact assessment te houden en de verplichting tot voorafgaand overleg met de toezichthouder. Deze verplichtingen zijn niet onvoorwaardelijk. Als er sprake is van een hoog risico voor de betrokkene in termen van het soort gegevens (bijvoorbeeld medische gegevens, creditcardnummers) dan gelden die verplichtingen bovenop de andere verplichtingen. Met dit model kan Nederland akkoord gaan.

Mede naar aanleiding van het door Nederland opgeworpen vraagstuk over de verhouding tussen het privacy impact assessment en de opvolging daarvan in de vorm van voorafgaand overleg of voorafgaande instemming van de toezichthouder, vraagt de Voorzitterschap de lidstaten expliciet welke voorkeuren zij hebben. Nederland stelt dit gebaar van het Voorzitterschap op prijs. Het blijkt dat de meerderheid van de lidstaten voelt voor voorafgaand overleg, maar dat er tegelijk begrip is voor de argumenten die Nederland aan de eigen voorkeur ten grondslag legt. Nederland ziet daarin aanleiding dit vraagstuk aan de orde te stellen op de eerstvolgende JBZ Raad.

Het Voorzitterschap stelt vervolgens opnieuw het bovenbedoelde arrest van 13 mei 2014 aan de orde. De centrale vraag daarbij is of het arrest noodzaakt tot ingrijpen van de wetgever.

Nederland vraagt zich af of het op dit moment al mogelijk is de wetgever een zinvolle formulering aan te reiken, zeker als die gebaseerd is op de kern van arrest. Nederland vindt dat de wetgever een andere verantwoordelijkheid heeft dan de rechter. In de eerste plaats is nog onduidelijk of het arrest het recht om te worden vergeten al definitief vastlegt of juist het beginpunt is van een verdere ontwikkeling. In de tweede plaats is er, in elk geval in de publieke opinie in Nederland overwegend kritisch gereageerd op het arrest. De afweging tussen gegevensbescherming en vrijheid van meningsuiting door het Hof van Justitie wordt niet overal als overtuigend gezien. De oplossing lijkt Nederland dan eerder in een verdere nuancering van de jurisprudentie te liggen dan in optreden van de wetgever. De ontwikkelingen zijn daarvoor nog onvoldoende voltooid. Ten derde onderschrijft Nederland niet zonder meer de stelling dat de bekendmaking van persoonsgegevens door zoekmachnies normaal niet onder de vrijheid van meningsuiting zou vallen. Nederland denkt dat niet te snel in beperkingen van het recht op de vrijheid van meningsuiting moet worden gedacht. Ten vierde is Nederland er geen voorstander van dat in secundaire wetgeving (de verordening) een specificering wordt aangebracht op de uitoefening van de vrijheid van meningsuiting. Het lijkt Nederland dat dit in strijd is met artikel 11 van het Handvest voor de Grondrechten. Het is beter het te laten bij het thans open geformuleerde artikel 80 van de verordening dat veel ruimte laat aan de vrijheid van meningsuiting. Ten vijfde: het recht op vrijheid van meningsuiting is niet alleen een zaak van het Handvest, maar ook van het EVRM en van de nationale grondwetten. Nederland is dan ook erg terughoudend om op het niveau van de Europese Unie een regeling te treffen voor de vrijheid van meningsuiting. Tenslotte ziet Nederland het recht om te worden vergeten niet als een zelfstandig grondrecht. Het Hof van Justitie heeft het recht op correctie uitgelegd in een specifieke context en noemt het vergeetrecht niet. Het Voorzitterschap zal de kwestie aan de orde stellen op de JBZ Raad van 9 en 10 oktober 2014. Over de uitkomsten van de JBZ Raad wordt u, via de gebruikelijke weg, separaat geïnformeerd.

Raadswerkgroep 27 september 2014

In deze raadswerkgroep is de behandeling van de ontwerprichtlijn gegevensbescherming opsporing en vervolging voortgezet. Het Italiaanse Voorzitterschap presenteerde een nieuw document, met een aangepaste tekst voor de artikelen 1 tot en met 9, en de daarbij behorende overwegingen. Dit betreft in het bijzonder de artikelen 4 (beginselen in verband met gegevensbescherming) en 8 (verwerking van speciale categorieën van persoonsgegevens) van de ontwerprichtlijn. Het Italiaanse Voorzitterschap wilde die artikelen behandelen en tevens een discussie voeren over de reikwijdte van de ontwerprichtlijn. Deze discussie is tevens van invloed op die over de reikwijdte van de ontwerpverordening.

De reikwijdte van de richtlijn

Het Italiaanse Voorzitterschap licht de voorgestelde tekst voor de reikwijdte van de richtlijn, in artikel 1, eerste lid, toe. Deze tekst luidt als volgt: «This Directive lays down the rules relating to the protection of individuals with regard to the processing of personal data by competent authorities for the purposes of prevention, investigation, detection or prosecution of criminal offences [and for these purposes], safeguarding of public security or the execution of criminal penalties».

De Nederlandse delegatie steunt het initiatief voor een discussie over dit belangrijke thema. Nederland is, zoals ook tijdens de vergadering van de raadswerkgroep van 24 maart 2014 reeds is aangegeven, voorstander van een ruime reikwijdte van de richtlijn zodat de uitvoering van de wettelijke taken door de politie daaronder valt. Naast de opsporing van strafbare feiten is de politie tevens belast met de handhaving van de openbare orde en de hulpverleningstaak. Daarnaast voert de politie administratieve taken uit die nauw zijn gelieerd aan de opsporing van strafbare feiten, zoals het toezicht op de naleving van de wapenwet en de wet op de particuliere beveiligingsdiensten. Anders wordt de politie geconfronteerd met verschillende regimes voor de verwerking van persoonsgegevens, dat komt de uitvoerbaarheid en efficiency niet ten goede. Nederland is voorstander van schrapping van de woorden «for these purposes». Nederland prefereert echter het voorstel van een andere delegatie om nauw aan te sluiten bij de bewoordingen van artikel 72 VWEU, door in plaats van de woorden «safeguarding of public security or the execution of criminal penalties» te spreken van: «maintenance of law and order or the safeguarding of public security bij the police or other law enforcement authorities». De woorden «maintenance of law and order» dienen te worden verstaan als de handhaving van de openbare orde, bedoeld in artikel 72 VWEU. Nederland geeft aan de bewoordingen «handhaving van de openbare orde» de voorkeur boven «handhaving van de openbare veiligheid», omdat dit laatste concept minder nauwkeurig is omlijnd.

De bevoegde autoriteiten

In artikel 3 is, onder punt 14, een definitie opgenomen van «bevoegde autoriteiten». Het Voorzitterschap stelt voor aan de tekst toe te voegen de woorden «or any body/entity entrusted by national law to perform public duties of exercise public powers for the purposes of prevention, investigation, detection of prosecution of criminal offences (and for these purposes) safeguarding of public security or the execution of criminal penalties». Het voorzitterschap licht toe dat met deze toevoeging wordt beoogd ook de verwerking van persoonsgegevens door particuliere instanties die in opdracht van de politie zijn belast met de uitvoering van onderdelen van de politietaak, zoals de handhaving van de openbare orde in een voetbalstadion, onder de reikwijdte van de ontwerprichtlijn te brengen. De Nederlandse delegatie merkt op dat de voorgestelde toevoeging ook van belang is voor de gegevensverwerking in publieke samenwerkingsverbanden, gericht op de voorkoming en opsporing van de georganiseerde criminaliteit. De Nederlandse delegatie heeft geen dringende behoefte aan een specifieke voorziening voor de gegevensverwerking door particuliere instanties in de ontwerprichtlijn maar heeft daartegen evenmin grote bezwaren. Dit dient echter goed te worden bestudeerd om te voorkomen dat particuliere instanties worden geconfronteerd met verschillende regimes voor de verwerking van persoonsgegevens.

Beginselen voor gegevensbescherming

Het Voorzitterschap stelt voor in artikel 4, naar aanleiding van het verzoek van verschillende delegaties waaronder de Nederlandse, een nieuw tweede lid op te nemen met daarin een bepaling over de verdere verwerking van persoonsgegevens voor verenigbare doelen. Deze bepaling is nauw aangesloten bij een soortgelijke bepaling in het kaderbesluit dataprotectie (artikel 3, tweede lid). De Nederlandse delegatie steunt deze bepaling. Wel wijst Nederland erop dat de verwijzing naar het doel van de oorspronkelijke verwerking, in het eerste lid, voor verheldering vatbaar is. Dit geldt eveneens voor de verhouding tussen de tekst van het eerste lid en die van artikel 7, onderdelen a en c. Het verdient aanbeveling de tekst van de artikelen 1, eerste lid, 4, eerste lid, en 7, eerste lid onderling nauwer af te stemmen, uitgaande van het doel van de gegevensverwerking als omschreven in artikel 1, eerste lid, van de ontwerprichtlijn.

Raadswerkgroep 30 september en Friends of the Presidency 1 oktober 2014

De raadswerkgroep van 30 september 2014 wordt besteed aan de uitwerking van de opdracht die de informele JBZ Raad van juli 2014 in Milaan heeft gegeven om de voorwaarden waaronder de verwerking van gegevens door de overheid plaatsvindt in de verordening nader uit te werken. Een aanmerkelijk aantal lidstaten uit het noorden van Unie stelt zich op het standpunt dat hun huidige wetgeving met betrekking tot verwerkingen voor overheidsdoeleinden zeer specifieke en deels ook strengere normen aanlegt voor de overheid dan de verordening doet. Deze lidstaten maken in hun wetgeving waarin de huidige richtlijn is geïmplementeerd een fundamenteel onderscheid tussen gegevensverwerking voor de publieke en de private sector. Als deze lidstaten dit onderscheid in de verordening niet langer kunnen terugzien, dan wensen zij in elk geval te voorkomen dat aanvaarding van de verordening leidt tot een lager beschermingsniveau. Het Voorzitterschap heeft voorstellen gedaan om deze lidstaten tegemoet te komen. Een aantal lidstaten steunt de mogelijkheid voor het beginsel om lidstaten de bevoegdheid te verlenen tot het vaststellen van strengere voorschriften voor verwerkingen in de sfeer van de overheid, onder de voorwaarde dat het niet ontaardt in een verplichting en er voor dergelijke voorschriften een meldplicht aan de Commissie komt. De Juridische Dienst van de Raad ziet noch in het Handvest voor de Grondrechten, noch in de rechtsbasis voor de verordening in het VWEU een beletsel voor de voorgenomen constructie. Het beschermingsniveau dat de verordening wil bewerkstelligen voor de publieke sector is een minimumniveau. Een hoger beschermingsniveau voor de publieke sector aht de Juridische Dienst mogelijk, omdat de overheid geen private sector is waarvoor totaalharmonisatie noodzakelijk is.

Nederland steunt de voorstellen. Nederland was al ingenomen met de ruimte die voor de overheidsverwerkingen die in de loop van de onderhandelingen is bereikt. Dat neemt echter niet weg dat de bevoegdheid om voor overheidsverwerkingen specifiekere, misschien zelfs strengere voorschriften vast te stellen niet hoeft te worden afgewezen.

Samenhangend met het vraagstuk van de overheidsverwerkingen is de vraag welke ruimte de nationale wetgever onder de verordening heeft voor de regulering van onderwerpen die sterk met de nationale rechtsorde zijn verbonden. Het betreft de gegevensverwerking in het kader van de vrijheid van meningsuiting, de gezondheidszorg, het arbeidsrecht, wetenschappelijke, statistische en historische doeleinden en archieven en de verwerking van persoonsgegevens door beroepen die een geheimhoudingsregime hebben en door kerken en levensbeschouwelijke instellingen. Hiervoor zijn door het Voorzitterschap nieuwe voorstellen ontwikkeld.

Nederland kan uit de voeten met het voorstel voor de verhouding met de vrijheid van meningsuiting (artikel 80). Daarvoor wordt een zeer ruime mate van vrijheid voor de lidstaten voorgesteld die het mogelijk maakt maximaal ruimte te benutten voor de eigen Grondwet en het eigen recht. Minder geestdriftig is Nederland over de voorstellen voor de gezondheidssector en het verwerken van genetische gegevens. In het huidige recht is een sluitende regeling neergelegd voor alle regelmatig voorkomende verwerkingen van gezondheidsgegevens. Weliswaar is die regeling op onderdelen aan herziening toe, maar het uitputtende karakter ervan volstaat. Dat kan niet worden gezegd van de artikelen 81 en 81a. Die regeling is onvolledig. Dat betekent dat voor het resterende gedeelte aanvullende nationale wetgeving zou moeten worden gemaakt. Dat is onwenselijk, alleen al uit oogpunt van de toegankelijkheid van regelgeving. Wat het arbeidsrecht en het overige sociale recht betreft (artikelen 82 en 82a) ziet Nederland geen aanleiding voor een interventie. Het betreft hier bevoegdheden en geen verplichtingen om regelgevend op te treden.

Ontevreden blijft Nederland met vormgeving van de bepalingen over de verwerking van persoonsgegevens in archieven en ten behoeve van statistische, wetenschappelijke en historische doeleinden (artikelen 83a tot en met 83d). De problemen beginnen al met de vormgeving van deze artikelen. Al deze doeleinden worden door Voorzitterschap en Commissie aangemerkt als onzelfstandige doeleinden. In die gedachtegang is het verwerken van gegevens in een archief een kwestie van verenigbaar gebruik en moet daarvoor op grond van artikel 6 van de verordening hetzij een afweging worden gemaakt over het desbetreffende doeleinde, hetzij een afzonderlijke verwerkingsgrondslag worden aangeroepen. Het betreft hier echter niet zelden zelfstandige doeleinden. Het verzamelen van persoonsgegevens in, bijvoorbeeld, het Nationaal Archief of voor een bevolkingsonderzoek in het kader van de volksgezondheid is geen afgeleide doelstelling. Dat heeft consequenties voor de vormgeving van deze artikelen, die zal moeten worden herzien. Moeilijk te verdedigen is ook dat de rechten van de betrokkene eigenlijk zonder uitzondering zouden kunnen worden uitgeoefend in al deze contexten. Wat Nederland betreft spreekt het vanzelf dat het recht om te worden vergeten niet jegens een archiefverantwoordelijke kan worden uitgeoefend. Ook is het voor het Centraal Bureau voor de Statistiek moeilijk uitvoerbaar om onder alle omstandigheden het inzagerecht van betrokkenen te kunnen honoreren.

Nederland is in het bijzonder ontevreden over het voorstel voor gegevensverwerking in het kader van wetenschappelijk onderzoek. Allereerst ziet Nederland geen enkele reden voor het opleggen van de voorwaarde dat het verwerken van persoonsgegevens als wetenschappelijke methode alleen mag worden gehanteerd wanneer het onderzoeksdoel niet op andere wijze bereikt kan worden. Het zelfde geldt voor de uitgesproken voorkeur voor pseudonimisering van persoonsgegevens bij het verrichten van wetenschappelijk onderzoek. Dergelijke vraagstukken behoren niet bij de wetgever te liggen. Deze keuzes zijn aan de onderzoeker te laten. Vrijheid van wetenschappelijk onderzoek wordt immers gegarandeerd in het Handvest voor de Grondrechten en de nationale constituties. Zorgelijk is ook het artikellid dat beperkingen oplegt aan de publicatiemogelijkheden van onderzoekers, waar het persoonsgegevens betreft. Dat is een beperking van de vrijheid van meningsuiting die Nederland niet alleen ongerechtvaardigd acht, maar die in andere contexten geheel ontbreekt in de verordening. De potentiële effecten van een dergelijke bepaling op de academische vrijheid en het innoverend vermogen beoordeelt Nederland negatief. In deze standpunten staat Nederland niet alleen. Er is steun van groep lidstaten. In die groep bevinden zich ook enkele grote lidstaten. Dit onderwerp kan op deze wijze niet bevredigend worden afgesloten.

Op de verwerking van persoonsgegevens door beoefenaars van beroepen die een geheimhoudingplicht hebben en door kerken en levensbeschouwelijke instelling maakt Nederland een studievoorbehoud in afwachting van overleg met de desbetreffende sectoren.

De Staatssecretaris van Veiligheid en Justitie, F. Teeven