32 761 Verwerking en bescherming persoonsgegevens

32 317 JBZ-Raad

Nr. 99 BRIEF VAN DE MINISTER VAN VEILIGHEID EN JUSTITIE

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 20 mei 2016

In deze brief informeer ik u over het Verdrag tussen de Verenigde Staten van Amerika en de Europese Unie inzake de bescherming van persoonsgegevens met betrekking tot het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten. (Dit is het zogenoemde Parapluverdrag of Umbrella Agreement). Ik informeerde uw Kamer eerder over dit onderwerp, onder meer in mijn brief¹ van 1 oktober 2015 en in de geannoteerde agenda² voor de JBZ-Raad van 10 en 11 maart 2016. De besluitvorming in de Raad ten aanzien van het verdrag verkeert nu in een ver gevorderd stadium. Tot voor kort werd agendering op Raadsniveau voorzien voor een Raad aan het einde van deze maand. Zeer recent is gebleken dat het onderwerp – eerder dan verwacht – als hamerstuk op de JBZ-Raad van vandaag 20 mei 2016 kon worden geagendeerd vanwege de opheffing van enige voorbehouden. De besluitvormingsprocedure licht ik in deze brief verder toe.

Strekking en inhoud van het verdrag

Het doel van het Parapluverdrag is om een hoog niveau van bescherming van persoonsgegevens te verzekeren en de samenwerking tussen de VS en de EU en haar lidstaten te bevorderen, met betrekking tot de preventie, het onderzoek, opsporing of vervolging van strafbare feiten, waaronder terrorisme. Het betreft alle persoonsgegevens van betrokkenen uit de Europese Unie die voor strafrechtelijke doeleinden worden uitgewisseld met de Verenigde Staten. De overeenkomst vormt zelf geen juridische basis voor informatie-overdracht, maar biedt een «paraplu» voor bestaande en toekomstige verdragen met de VS die strekken tot overdracht van persoonsgegevens ten behoeve van strafrechtelijke rechtshandhaving. Het verdrag geeft een aanvulling op bepalingen (mede inzake de bescherming van persoonsgegevens) die zijn opgenomen in internationale overeenkomsten met de VS als deze overeenkomsten onderwerpen betreffen die binnen de reikwijdte van het Parapluverdrag vallen – te weten doorgifte van persoonsgegevens ten behoeve van het terrein van strafrechtelijke rechtshandhaving. Dit betreft zowel overeenkomsten die op EU-niveau zijn of worden gesloten als overeenkomsten die tussen individuele lidstaten en de VS bilateraal zijn of worden gesloten. Deze bestaande overeenkomsten vormen de juridische basis voor doorgifte van persoonsgegevens voor doeleinden van rechtshandhaving naar de VS (en – waar van toepassing – door de VS). Deze overeenkomsten worden niet gewijzigd. De criteria waaraan getoetst moet worden bij de beoordeling of persoonsgegevens mogen worden overgedragen, zoals criteria inzake noodzaak en proportionaliteit, liggen vast in deze overeenkomsten die de grondslag voor doorgifte vormen. De paraplu geeft een belangrijke aanvulling op de vereisten voor de verwerking van de overgedragen gegevens en op de rechten van betrokkenen.

Op EU-niveau vormt het Parapluverdrag een raamwerk voor de bestaande overeenkomsten inzake Passenger Name Records³ en inzake bankgegevens⁴.

In de bilaterale relatie tussen Nederland en de VS is het Parapluverdrag voornamelijk van belang voor het bestaande Verdrag tussen het Koninkrijk der Nederlanden en de Verenigde Staten van Amerika aangaande wederzijdse rechtshulp in strafzaken. Verder vormt het Parapluverdrag een «veiligheidsnet» voor de Overeenkomst tussen de regering van het Koninkrijk der Nederlanden en de regering van de Verenigde Staten van Amerika inzake verbetering van de samenwerking bij het voorkomen en bestrijden van ernstige criminaliteit (’s-Gravenhage, 19 november 2010). De goedkeuringswet ten aanzien van het laatstgenoemde verdrag is aanhangig bij uw Kamer⁵.

Na de inwerkingtreding van het Parapluverdrag moeten alle persoonsgegevens die worden doorgegeven voor het doel van strafrechtelijke rechtshandhaving door de EU of door autoriteiten van lidstaten (of private partijen als dit is toegestaan op grond van een overeenkomst) aan de VS, overgedragen worden aan en verwerkt worden door VS-rechtshandhavingsautoriteiten in overeenstemming met alle regels voor gegevensbescherming die zijn opgenomen in het verdrag. Deze regels betreffen: verwerkingsnormen (bijv. kwaliteit en integriteit van data, veiligheid van gegevens, geautomatiseerde besluitvorming, bijzondere persoonsgegevens), belangrijke waarborgen en beperkingen (doelbinding, gebruiksbeperking, verdere doorgifte, bewaartermijnen, non-discriminatie) en individuele rechten (toegang, correctie, administratieve en gerechtelijke klachtprocedures). Op deze wijze zal het Parapluverdrag leemten in bestaande overeenkomsten van lidstaten met de VS invullen en tevens voor toekomstige verdragen een veiligheidsnet bieden zodat bij voorbaat vaststaat dat het niveau van gegevensbescherming in zulke verdragen aan de normen van het Parapluverdrag zal voldoen.

Stand van zaken besluitvorming

De Europese Unie is bevoegd om het verdrag met de VS te sluiten op grond van artikel 16 juncto artikel 216 van het Verdrag inzake de Werking van de Europese Unie (VWEU). De besluitvorming voor ondertekening en sluiting verloopt overeenkomstig de procedure neergelegd in artikel 218 VWEU. De Raad heeft in december 2010 mandaat gegeven aan de Europese Commissie om met de VS te onderhandelen. De onderhandelingen zijn officieel gestart op 29 maart 2011. In september 2015 hebben de onderhandelaars overeenstemming bereikt en is de tekst door de Europese Commissie en de VS geparafeerd. De Europese Commissie heeft toen een belangrijke voorwaarde gesteld: De overeenkomst zou pas worden ondertekend en gesloten als de wetgeving in de Verenigde Staten zou zijn aangepast. Door deze aanpassing dienen Europese burgers toegang tot de Amerikaanse rechter te krijgen, op dezelfde wijze als burgers van de VS deze toegang hebben bij klachten betreffende de bescherming van hun persoonsgegevens. Hiertoe is de zogenaamde «Judicial Redress Bill» ingediend bij het Congres van de Verenigde Staten. Dit wetsontwerp had tot doel dat alle EU-burgers het recht zouden krijgen om hun rechten betreffende bescherming van hun gegevens voor de Amerikaanse rechter te kunnen uitoefenen, met name als autoriteiten toegang of rectificatie van gegevens hebben geweigerd of de gegevens van een Europese ingezetene op onrechtmatige wijze hebben ontsloten. Het betreft een aanpassing van de US Privacy Act.

De beoogde Judicial Redress Act is inmiddels tot stand gebracht en in februari 2016 door President Obama ondertekend.

Op 29 april 2016 heeft de Europese Commissie een voorstel voor een Raadsbesluit tot ondertekening en een voorstel voor Raadsbesluit tot sluiting van de overeenkomst aan de Raad gezonden. Als voorzitter van de Raad beoogt Nederland dat het verdrag op 2 juni tijdens de Ministeriële JBZ-bijeenkomst EU-VS zal worden ondertekend. Dit betekent dat de Raad voordien het besluit tot ondertekening moet hebben aangenomen. Het verdrag kan gesloten worden als de Raad daartoe, na goedkeuring van het Europees Parlement, heeft besloten. Momenteel is nog niet bekend welk standpunt het EP zal innemen.

Het Comité van Permanente Vertegenwoordigers van de lidstaten bij de EU (Coreper) heeft op 11 mei ingestemd met het voorstel tot ondertekening. Nu er op ambassadeursniveau overeenstemming is bereikt zou het voorstel om mandaat te verlenen tot ondertekening als hamerstuk worden geagendeerd voor een Raadsvergadering aan het eind van mei 2016. Agendering werd voorzien zodra een aantal voorbehouden van lidstaten zou zijn ingetrokken. Hoewel de besluitvorming met gekwalificeerde meerderheid wordt genomen, is het gebruikelijk om lidstaten die nog een voorbehoud hebben enige tijd te bieden om hun voorbehoud in te trekken. Naar het zich medio mei liet aanzien zouden deze voorbehouden tegen het eind van mei kunnen worden ingetrokken. Zeer recent is gebleken dat vrijwel alle lidstaten al eerder hun voorbehouden hebben opgeheven. Dit betekent dat het onderwerp – eerder dan verwacht – als hamerstuk op de JBZ-Raad van 20 mei werd geagendeerd.

Advies Europese Toezichthouder Gegevensbescherming

De Europese Toezichthouder Gegevensbescherming (EDPS) heeft op 12 februari 2016 advies uitgebracht⁶. In een eerste, verkennend overleg van het Europees Parlement (EP) is dit advies besproken, evenals een advies van de Juridische Dienst van het EP. De Europese Commissie heeft een toelichting gegeven aan het EP en de kritiek weerlegd.

De EDPS heeft gesuggereerd dat de Commissie verder zou moeten onderhandelen over een addendum bij het verdrag, waarin onder meer zou moeten worden vastgelegd dat niet alleen ingezetenen van de EU recht krijgen op judicial redress, maar dat alle personen die beschermd worden door het EU Handvest voor de Grondrechten dit recht zouden moeten hebben. Dit betekent dat ieder die aanwezig is op Europees grondgebied toegang zou moeten hebben tot een judicial redressprocedure. Verder zou verzekerd moeten worden dat de bepalingen inzake judicial redress effectief zijn, zoals bedoeld in het Handvest. Ook vindt de EDPS dat de preventie van bulk-overdracht van bijzondere persoonsgegevens beter moet worden vastgelegd.

De Europese Commissie heeft op de opinie van de EDPS gereageerd en meent dat het feit dat niet elk individu in de EU toegang heeft tot het nieuwe recht op judicial redress (zoals vastgelegd in de Privacy Act) verenigbaar is met de normen van het Europese recht, inclusief het Handvest voor de Grondrechten. De verenigbaarheid met het Handvest en het WVEU zou moeten worden beoordeeld in het licht van het totale arrangement dat is bereikt met het Parapluverdrag. De rechten op toegang, correctie en rectificatie in de artikelen 16 en 17 van het verdrag worden toegekend aan ieder individu. Dit geldt ook voor het recht op administrative redress van artikel 18. Het feit dat het recht op judicial redress van artikel 19, eerste lid, van het Parapluverdrag zich niet uitstrekt tot niet-EU burgers betekent niet dat deze personen uitgesloten zijn van elke mogelijkheid om een rechtsgang te volgen teneinde hun rechten af te dwingen. Artikel 19, derde lid, bevestigt dit. Er zijn mogelijkheden, ook voor niet-EU burgers, om een rechtsgang overeenkomstig het recht van de VS te benutten op grond van andere VS-wetgeving, bijvoorbeeld de Administrative Procedure ACT, de Freedom of Information Act of de Electronic Communications Privacy Act.

Het geheel van deze elementen rechtvaardigt volgens de Commissie de conclusie dat het totale raamwerk verenigbaar is met de normen van het primaire EU-recht. Het feit dat een aanvullende toegangsweg voor legal redress is gecreëerd in artikel 19, die alleen openstaat voor EU-burgers, doet niets af aan deze conclusie. Een uitbreiding van dit recht tot alle personen in de EU was in de onderhandelingen niet haalbaar. Het bereikte resultaat is niettemin een substantiële verbetering ten opzichte van de huidige situatie. Verder attendeert de Commissie erop dat de uitbreiding van de Judicial Redress Act open staat voor alle derde landen die aan bepaalde voorwaarden voldoen, niet alleen voor de EU. Burgers van dergelijke staten die in de Unie verblijven zullen ook het recht krijgen om het judicial redressrecht op basis van de US Privacy Act te gebruiken.

Volgens de Commissie is de effectiviteit van de bepalingen over judicial redress verzekerd door de inwerkingtreding van de Judicial Redress Act. De effectiviteit zal ook verzekerd worden door de rechtsmiddelen die geboden worden in deze Act in geval van schending van de toepasselijke regels in de vorm van een «injunctive relief» (gerechtelijk bevel) of financiële schadevergoeding. Verder zal de effectiviteit van judicial redress nauwgezet gemonitord worden door de Commissie. Artikel 23 van het Parapluverdrag voorziet hierin.

De EDPS meent dat bulkoverdracht van bijzondere persoonsgegevens nooit mag plaatshebben en beveelt daarom aan dat deze moet worden uitgesloten van de reikwijdte van het Parapluverdrag.

De Commissie stelt dat de EDPS op dit punt miskent dat het Parapluverdrag geen juridische basis biedt voor gegevensoverdracht. De functie van dit verdrag is het voorzien in een basisniveau voor bescherming voor alle soorten overdrachten op grond van overeenkomsten die dat toestaan.

De lidstaten hebben op Coreperniveau goede nota genomen van deze argumentatie van de Commissie en is tevens onderkend dat niet op voorhand volledig kan worden verzekerd dat het Europese Hof van Justitie ten aanzien de verenigbaarheid met het Handvest hetzelfde oordeel zal hebben als de Commissie. De lidstaten hebben in het Coreper verder vastgesteld dat het voorgestelde verdrag een aanzienlijke vooruitgang betekent voor de bescherming van persoonsgegevens in vergelijking met de huidige situatie en dat het eventuele heropenen van onderhandelingen met de VS geen reëel vooruitzicht biedt op nog verdere verbetering van het beschermingsniveau, met name door uitbreiding van de werkingssfeer van de Judicial Redress Act tot alle individuen die verblijven in de EU.

De Raad heeft dan ook op Coreperniveau ingestemd met het Commissievoorstel, in licht gewijzigde vorm.

Standpunt Nederland

De Nederlandse regering steunt het bereikte resultaat en sluit zich aan bij het oordeel van de andere lidstaten en de Commissie. De afronding van de onderhandelingen is een belangrijke, positieve stap in de samenwerkingsrelatie tussen de EU en de VS op het terrein van de strafrechtelijke rechtshandhaving en de daarbij behorende waarborgen. Het verdrag biedt een belangrijke vooruitgang ten opzichte van de huidige situatie op het gebied van gegevensbescherming in de samenwerking tussen de EU en de VS op het gebied van strafrechtelijke rechtshandhaving⁷. Het resultaat van de onderhandelingen is het best bereikbare onder de huidige omstandigheden

Bevoegdheden en ratificatie

Op grond van de inhoud van het Parapluverdrag is beoordeeld of de Unie exclusief bevoegd is om het verdrag te sluiten of dat de lidstaten mede-bevoegd zijn het verdrag te sluiten. Op basis van de tekst van het Parapluverdrag zijn de Commissie en de Raad van oordeel dat de Europese Unie in dezen exclusief bevoegd is. Dit omdat sluiting van het verdrag gemeenschappelijke regels kan aantasten of de strekking daarvan kan wijzigen (artikel 3, tweede lid, VWEU). Dit betekent dat de ratificatie van het verdrag alleen op Europees niveau dient te geschieden en dat er geen goedkeuring benodigd is van de nationale parlementen. Het verdrag betreft alleen gegevensbescherming en geeft geen grondslag voor overdracht van persoonsgegevens in het kader van politie- en justitiesamenwerking. Bevoegdheden van lidstaten op deze terreinen van samenwerking zijn dan ook niet in het geding. Artikel 37 van de nieuwe Politierichtlijn⁸ geeft regels voor lidstaten die overeenkomsten sluiten met een derde land inzake een doorgifte van persoonsgegevens. Als dit in de toekomst de VS betreft, dan moet de VS in passende waarborgen voorzien. Het feit dat normen zijn vastgelegd in het Parapluverdrag zal sterk meewegen in de beoordeling of in passende waarborgen wordt voorzien. De normen van het Parapluverdrag vormen in ieder geval een minimumniveau voor gegevensbescherming voor toekomstige afspraken met de VS op het terrein van strafrechtelijke rechtshandhaving.

Slot

De documenten ten aanzien van de ondertekening van het Parapluverdrag zijn toegankelijk via EU-extranet. Dit betreft de volgende documenten van de Europese Commissie:

• COM(2016) 238 final 2016/0127 (NLE). Dit is het voorstel voor een besluit van de Raad betreffende de ondertekening van de overeenkomst, ingeleid door een uitgebreide toelichting van de overeenkomst.

• COM(2016) 238 final ANNEX 1 (NLE). Dit is de tekst van het verdrag.

Naar aanleiding van overleg tussen de lidstaten en met de Commissie is een aantal overwegingen (preambule) bij de voorgestelde besluiten aangepast. Inmiddels zijn de gewijzigde teksten beschikbaar. De teksten die door het Coreper zijn aanvaard en voor de Raad op de agenda staan zijn te vinden onder de volgende nummers: 8633/16, 8505/16 en 8557/16.

Volledigheidshalve wijs ik erop dat de Europese Commissie de stand van zaken van het Parapluverdrag ook heeft opgenomen in haar «Mededeling Trans-Atlantische gegevensstromen: herstel van vertrouwen door solide waarborgen» van 29 februari 2016⁹. De mededeling betreft inzake het Parapluverdrag geen nieuwe voorstellen. Een BNC-fiche ten aanzien van deze mededeling zal u binnenkort worden toegestuurd.

Een vergelijkbare brief stuur ik aan de Voorzitter van de Eerste Kamer der Staten-Generaal.

De Minister van Veiligheid en Justitie, G.A. van der Steur

---

1 Kamerstuk 32 761, nr. 87.

2 Kamerstuk 32 317, nr. 394, blz. 10.

3 Overeenkomst tussen de Verenigde Staten van Amerika en de Europese Unie inzake het gebruik en de doorgifte van persoonsgegevens van passagiers aan het Amerikaanse Ministerie van Binnenlandse Veiligheid.

4 Overeenkomst tussen de Europese Unie en de Verenigde Staten van Amerika inzake de verwerking en doorgifte van gegevens betreffende het financiële berichtenverkeer van de Europese Unie naar de Verenigde Staten ten behoeve van het programma voor het traceren van terrorismefinanciering.

5 Kamerstuk 33 603.

6 Opinion 1/2016. Te raadplegen via de website https://secure.edps.europa.eu/EDPSWEB/.

7 Het standpunt van de regering ten aanzien van de Mededeling uit 2013 («Mededeling herstel vertrouwen EU-VS gegevensstromen»), waarin ook het streven naar het Parapluverdrag aan de orde komt, is op hoofdlijnen neergelegd in het BNC Fiche nr. 6, van 17 januari 2014 (Kamerstuk 22 112, nr. 1775).

8 Richtlijn 2016/680 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van Kaderbesluit 2008/977/JBZ van de Raad. PbEU, 4 mei 2016, L 119/89.

9 Nr. Commissiedocument: COM (2016) 117 final.