32 761 Verwerking en bescherming persoonsgegevens

Nr. 54 BRIEF VAN DE STAATSSECRETARIS VAN VEILIGHEID EN JUSTITIE

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 23 oktober 2013

In het algemeen overleg van 7 maart 2012 (Kamerstuk 32 761, nr. 27) heb ik toegezegd u periodiek op de hoogte te houden van de stand van zaken over de onderhandelingen in Brussel over de Algemene verordening gegevensbescherming en de richtlijn gegevensbescherming opsporing en vervolging.

In deze brief doe ik verslag van de onderhandelingen in de maanden juli en september 2013. De onderhandelingen betroffen uitsluitend de Algemene verordening gegevensbescherming. Het Litouwse voorzitterschap heeft ervoor gekozen om pas in oktober 2013 het werk aan de richtlijn te hervatten. Het voorzitterschap stelt zich als einddoel het bereiken van een politiek akkoord in de Raad aan het slot van het voorzitterschap. Het voorzitterschap beoogt om begin oktober 2013 een inhoudelijk debat te wijden aan het ingewikkeldste gedeelte van de verordening, de handhaving in grensoverschrijdende zaken. Uw Kamer is over de voorbereiding en de resultaten van de JBZ-Raad van oktober op de gebruikelijke wijze geïnformeerd.

Raadswerkgroep 3 en 4 juli 2013

Op deze raadswerkgroep wordt de behandeling van hoofdstuk V – gegevensdoorgiften naar derde landen – voortgezet in de stand waarin het Ierse voorzitterschap het dossier heeft overgedragen. Verder vindt ter voorbereiding van de informele Raad in Vilnius een tweede behandeling plaats van alle bepalingen met betrekking tot het toezicht op de naleving, institutionele aspecten van het toezicht en de samenwerking tussen de toezichthouders in de EU bij zaken met grensoverschrijdende aspecten. Het Voorzitterschap stelt zich tot doel op dit hoogst ingewikkelde onderwerp beslissingen te nemen.

Artikel 44 bevat het belangrijke artikel inzake de voorwaarden waaronder overdracht van gegevens aan derde landen geoorloofd is, buiten de gevallen waarin daarvoor op grond van de artikelen 41, 42 en 43 een grondslag is gegeven. Nederland heeft een uitgebreide interventie gepleegd. Er is een parlementair voorbehoud gemaakt, roept Nederland in herinnering en dat voorbehoud slaat in het bijzonder op artikel 44.

Allereerst handhaaft Nederland het algemene studievoorbehoud op deze bepaling. Er zijn verbeteringen maar aan essentiële problemen is nog onvoldoende aandacht geschonken. Overweging 87 verwijst naar het belang van bilaterale en multilaterale verdragen, die de Unie en de lidstaten kunnen sluiten ten behoeve van uitwisseling van gegevens voor douane- en belastingdoeleinden. Nederland is het daarmee zeer eens. Dat belang zou wat Nederland betreft in art. 44, lid 1, onder d, geëxpliciteerd moeten worden door toevoeging van: «or an agreement under international law». Overweging 90 beschrijft adequaat het bestaande probleem bij de doorgifte van gegevens uit de private sector naar de overheden van derde landen op grond van interne wetgeving of rechterlijke bevelen van die landen.

De vraag is of de tekst van de overweging ook goed is uitgewerkt in de artikelen van de verordening. Artikel 44, lid 1, onder d, van de verordening verwijst naar een zwaarwegend algemeen belang dat in de wetgeving van de Unie of de lidstaten moet zijn aangewezen. Nederland heeft bij de eerste behandeling van deze bepaling al aangegeven dat de erkenning van dit belang op zichzelf niet volstaat om doorgifte te rechtvaardigen. Het is noodzakelijk dit belang zodanig vorm te geven dat de wetgevers van de lidstaten hetzij in een wet, hetzij in een ander algemeen verbindend voorschrift, hetzij in een vergunningstelsel een doorgifte van gegevens buiten de EU kunnen verbieden. Omdat het gaat om een verbod, moet dat expliciet zijn geregeld in de verordening.

Nederland wil de oorspronkelijke tekst van artikel 44, lid 5, laten staan. Nederland doet een tekstvoorstel dat de strekking heeft dat de Uniewetgever of de nationale wetgever om redenen van nationaal belang verwerkingen kan aanwijzen waaruit geen gegevens naar derde landen mogen worden doorgegeven. Nederland beoogt op deze basis belangrijke databases, zoals bijvoorbeeld die voor paspoorten, rijbewijzen, vreemdelingendocumenten, de GBA etc. te beschermen.

Wat betreft artikel 44, lid 1, onder e, acht Nederland een goede regeling van doorgifte van gegevens in de context van de rechtsgeschillen beslist noodzakelijk. Het bedrijfsleven heeft echter aandacht gevestigd op de noodzaak van het treffen van een breder kader. Ook zonder dat er sprake is van geschillen moeten soms gegevens worden overgedragen aan buitenlandse markttoezichthouders. Ook het belang van civiele e-discovery-procedures die dwingen tot overdracht van gegevens moet niet worden onderschat. Lid 1, onder g, kan wat Nederland betreft blijven bestaan. Dat geldt ook voor lid 2. Doorgifte van volledige registers naar een derde land is disproportioneel.

Bij artikel 44, lid 6a, wijst Nederland op het belang van de vele belastingverdragen met derde landen die voorzien in de doorgifte van persoonsgegevens. Heronderhandelen van deze verdragen omdat zij niet langer voldoen aan de verordening is, ondanks art. 351 VWEU, niet altijd een uitvoerbare opgave. Bovendien verlangt ook het internationale recht rechtszekerheid.

Artikel 44, lid 7, wil Nederland schrappen. Dit is essentieel. De Commissie kan niet in een gedelegeerde handeling vaststellen wat een lidstaat als zwaarwegend algemeen belang mag aanmerken.

Wat betreft artikel 45 – een algemene bepaling gericht op de bevordering van internationale samenwerking – houdt Nederland vast aan zijn bezwaar tegen het daarin gemaakte onderscheid tussen verschillende groepen landen. Gegevensverwerking is wereldomvattend, er moet dan ook met alle landen worden samengewerkt.

De behandeling van de hoofdstukken VI en VII begint met het consistentiemechanisme. Dat is de bijzondere samenwerking tussen alle toezichthouders in de EU dat de eenvormige toepassing en handhaving van de verordening moet verzekeren.

Artikel 57 bevat de doeleinden van dit mechanisme. Nederland hecht veel belang aan evenwicht tussen de Commissie, het mechanisme en European Data Protection Board (EDPB). Er moet een juiste onderlinge verhouding zijn tussen de bevoegdheden van de instanties. Voorop blijft staan dat de onafhankelijkheid van EDPB gewaarborgd wordt. De noodzaak daartoe volgt uit de jurisprudentie van het Hof van Justitie van de EU. In artikel 57, lid 3, zijn de zaken opgesomd die aan dit mechanisme moeten worden voorgelegd. Daarover wil Nederland nader met het College bescherming persoonsgegevens (Cbp) overleggen. Daarom plaatst Nederland een studievoorbehoud bij artikel 57, lid 3.

De artikelen 58 tot en met 62 bevatten de procedures van het mechanisme en de werking van de EDPB. Vanwege de samenhang met artikel 57 maakt Nederland hier een studievoorbehoud. Nederland wijst opnieuw op de noodzaak in de verordening een regeling te treffen voor het betrekken van belanghebbende bij dit proces. De bestaande Artikel 29 Werkgroep doet dit niet en dit doet afbreuk aan het gezag van de adviezen.

Artikel 63 regelt de uitvoerbaarheid van beslissingen van toezichthouders in de hele EU. Nederland meent dat afgezien van de principiële vraag of lidstaten accepteren dat een toezichthouder uit een andere lidstaat ook voor hun grondgebied bindende beslissingen neemt, hier ook de vraag naar de verhouding met het nationaal bestuursrecht aan de orde komt. Vraag is of die verhouding wel voldoende is doordacht.

De artikelen 46 en 47 betreffen de instelling en de onafhankelijkheidswaarborgen voor de toezichthouders. Nederland blijft ongelukkig met artikel 47, lid 5: een verplichting tot financiering van de toezichthouder, onder eindcontrole van de Europese Commissie. Het spreekt wat Nederland betreft voor zich dat elke lidstaat gehouden is de toezichthouder op redelijke en evenredige wijze in staat te stellen zijn taken en bevoegdheden onder de verordening en nationaal recht uit te kunnen oefenen. Nederland komt die verplichting na. Maar redelijkheid en evenwichtigheid staat onder de huidige omstandigheden ook in het teken van de dringende noodzaak overheidsuitgaven terug te dringen. Dit is te meer van belang nu dit artikellid met het grondwettelijk vastgelegd budgetrecht interfereert. Het parlement bepaalt uiteindelijk wat passend is in de zin van artikel 47, lid 5. En die redelijkheid en onevenwichtigheid mag ook niet gebaseerd zijn op de gedachte dat voor de handhavingstaak van de toezichthouder uitgegaan moet worden van een 100% handhavingsniveau. Dat is niet realistisch en vanuit een effectieve en efficiënte besteding van overheidsmiddelen ook niet wenselijk. Nederland doet een voorstel tot aanpassing. Artikel 47, lid 7, geeft Nederland ook aanleiding tot zorg. Het betreft de verplichting de toezichthouder een geheel afzonderlijke begroting te geven. Nederland begrijpt de zin van de verplichting wel, en heeft daar ook geen principieel bezwaar tegen. Het is echter onverenigbaar met de Comptabiliteitswet 2001. In begrotingstechnisch opzicht moet het Cbp deel van het begrotingshoofdstuk Veiligheid en Justitie blijven.

De artikelen 48 tot en met 50 bevatten enige institutionele bepalingen voor toezichthouders. Artikel 48, lid 2, vraagt specifieke deskundigheid op het gebied van gegevensbescherming. Die is in de praktijk slechts zelden beschikbaar. Een onafhankelijke houding is natuurlijk wel van groot belang. Nederland heeft daarom dezelfde criteria bij de benoeming van leden in de nationale toezichthouder als voor de rechtelijke macht en het OM. Bij artikel 49, lid 1, onder d, stelt Nederland dat de maximale benoemingtermijn zou kunnen zijn: 5 jaar met een eenmalige verlenging van vijf jaar in plaats van een onbeperkte verlengingsmogelijkheid of een benoeming voor het leven. NL plaatst een studievoorbehoud bij het schrappen van artikel 49, lid 1, onder g. Daarin waren de gronden voor ontslag van leden van de toezichthouder geregeld. Nederland kan instemmen met de artikelen 49 en 50.

Artikel 51 bevat de hoofdregels van de bevoegdheidstoedeling van de toezichthouder. Lid 1 bevat een hoofdregel die Nederland verstandig lijkt. De toezichthouder is exclusief bevoegd voor alle zaken die zich uitsluitend uitstrekken tot het eigen grondgebied. Lid 2 bevat de «main establishment rule» als uitzondering op die hoofdregel. Bij zaken met een grensoverschrijdend effect is de toezichthouder van het land waar de hoofdvestiging van het bedrijf zich bevindt bevoegd, maar deze moet samenwerken met andere betrokken toezichthouders. De vraag is, welke vorm van samenwerking bedoeld is, of welke verhouding er bestaat tussen de betrokken toezichthouders. Nederland heeft zijn voorkeur uitgesproken voor het aanwijzen van een «lead authority». Toezichthouders moeten in elk geval verplicht samenwerken wanneer er een maatregel met beoogd rechtsgevolg voor een verantwoordelijke of bewerker wordt voorbereid. In beginsel kan alleen de toepassing van een bevoegdheid, gebaseerd op een expliciete wettelijke grondslag en niet de uitoefening van een algemeen geformuleerde taak leiden tot de beïnvloeding van de rechtspositie van een belanghebbende. De vraag is wanneer daarvan sprake is, want het onderscheid tussen taken (artikel 52) en bevoegdheden (artikel 53) in de verordening is niet scherp genoeg. Lid 2a waarin de samenwerkingsplicht is geregeld geeft ook aanleiding tot vragen. Aangezien elke belanghebbende op grond van artikel 73 van de verordening het recht heeft bij elke toezichthouder in de EU een klacht in te dienen, ongeacht of er enig aanknopingspunt is tussen de klacht en het recht van het land van de toezichthouder tot wie de belanghebbende zich wendt, wordt dit een ingewikkeld geheel. Er moeten beslisregels over de toeleiding van een geschil naar een bepaalde rechtsmacht komen. Het is heel goed voorstelbaar dat de EDPB voor dit soort competentieconflicten beslisregels ontwikkelt. Met betrekking tot lid 2b waarin geregeld is dat in alle zaken waarin het de toepassing van het gegevensbeschermingsrecht door bestuursorganen en publiekrechtelijke lichamen betreft, is het een goed uitgangspunt dit exclusief aan de toezichthouder van het betreffende land over te laten.

Artikel 52 bevat de taken van de toezichthouder. Er is nu sprake van een zeer uitgebreid takenpakket in artikel 52, vindt Nederland. De toezichthouder moet die ook nog «ten minste» uitvoeren. Hoofdzaak blijft dat de toezichthouder onafhankelijk is, en daarom zelf moet kunnen uitmaken wat hij doet en met welke prioriteit hij dat aanpakt. Dat is ook «complete independence» in de zin van artikel 47. Verder moet worden voorkomen dat bij burgers een onjuiste indruk wordt gewekt. Geen enkele toezichthouder is redelijkerwijs in staat om alle opgesomde taken uit te voeren. Er kan geen sprake zijn van 100% handhaving. En dat wordt moeilijker naarmate ook toezichthouders minder te besteden hebben in een tijd van budgettaire beperkingen. Lid 1, onderdelen aa, ab, ac, e, ga en gb, zijn taken die zich lenen voor een «kunnen», niet een «moeten». Bij lid 1, onderdeel f, moet goed naar de formulering worden gekeken. In Nederland adviseert het Cbp over voorstellen van wet en lagere regelgeving, maar is het aan het Cbp overgelaten of er meer moet worden gedaan dan alleen wetgevingsadvies. Nederland maakt verder nog enkele technische opmerkingen.

Raadswerkgroep 22 en 23 juli 2013

Op deze raadswerkgroep worden eerst nieuwe voorstellen besproken voor de artikelen 83a, 83b en 83c. Het betreft bijzondere regels voor de verwerking van persoonsgegevens ten behoeve van historische, statistische en wetenschappelijke doeleinden.

Nederland steunt de splitsing van artikel 83 in drie afzonderlijke artikelen. Zo wordt meer nuancering en maatwerk mogelijk. Ook verwelkomt Nederland dat beperkingen van de rechten van de betrokkene die bij deze verwerkingen onvermijdelijk zijn expliciet in de verordening zelf worden geregeld. Wat betreft verwerking voor wetenschappelijk onderzoek behoudt Nederland zich de mogelijkheid voor daarop terug te komen. Deze sector is in Nederland nog niet geconsulteerd. Ten aanzien van archiefdoeleinden is het de vraag of het verwerken van persoonsgegevens voor archiefdoeleinden een afzonderlijke behandeling in de verordening vereist, of dat met het bredere begrip «historische doeleinden» kan worden volstaan. Al met al ziet Nederland graag dat dit verstrekkende voorstel nog een keer terugkomt in oktober of november, in een raadswerkgroep of een Friends of the Presidency.

Bij art. 83a, lid 1, valt op dat de verwerking van persoonsgegevens voor historische doeleinden gelijkgesteld wordt met de verwerking voor archiefdoeleinden. De vraag is of dat een terechte gelijkstelling is. Het bijhouden van archieven dient ook andere doelen. Bij archieven die door bestuursorganen worden bijgehouden is ook sprake van een verwerking van gegevens die direct gerelateerd is aan de uitoefening van wettelijk geregelde bevoegdheden en algemene bestuurstaken. Dan gaat het om de mogelijkheid verantwoording te kunnen afleggen aan het parlement, de rechter, de Rekenkamer etc. Bij het vormen van archieven voor de publieke sector kan er worden teruggegrepen op een wettelijke verplichting tot het vormen van archieven op grond van artikel 6, lid 1, onder e. Voor de private sector gaat het om een eigen doeleinde dat men zelf zal kunnen formuleren op grond van art. 6, lid 1, onder f. Wat Nederland daarnaast in artikel 83, lid 1, opvalt is dat verwerking van persoonsgegevens voor historische doeleinden, in archieven, uitsluitend wordt gekoppeld aan overheidsdiensten en overheidsinstellingen, en niet aan de private sector. Nederland wijst op het grote belang van archieven van kerkelijke en private instellingen voor het onderzoek naar seksueel misbruik. Bij artikel 83a, lid 2, vraagt Nederland zich af hoe de daarin geregelde beperkende voorwaarde bij kennisneming van gegevens uit archieven (gebruik van deze gegevens alleen voor historische doeleinden) zich verhoudt tot artikel 15 (recht op inzage) van de betrokkene.

Nederland kon zich geheel vinden in de wijzigingen van de verordening die al in juni 2012 op voorspraak van de raadswerkgroep statistiek zijn ingediend. Nederland constateert dat deze voorstellen gedeeltelijk zijn overgenomen in de voorstellen. De voor statistische verwerkingen beperkende voorwaarden die oorspronkelijk in artikel 83, lid 1, waren opgenomen zijn vervallen. Wat artikel 83b, lid 1, betreft, meent Nederland dat bij verwerking voor statistische doeleinden uiteraard in passende waarborgen moet worden voorzien. Voorkomen dient te worden dat de gegevens voor een ander doel worden gebruikt of worden gebruikt ter ondersteuning van maatregelen of beslissingen jegens een individueel persoon. Dat ook het gebruik van pseudonieme data in deze context altijd een passende waarborg kan zijn gaat Nederland te ver. Een nadere toelichting is hier op zijn plaats, temeer daar dit voorstel niet afkomstig is van de deskundigen op statistisch gebied. De door de deskundigen bepleite uitzonderingsmogelijkheid op het recht op correctie en het recht van verzet van betrokkene zijn niet overgenomen. Nederland krijgt geen antwoord op de vraag waarom dat niet is gebeurd. Daarvoor is wel alle reden, want indien het recht op inzage niet kan worden uitgeoefend, valt het recht van correctie of verzet moeilijk uit te oefenen.

Nederland maakt een studievoorbehoud bij artikel 83c. Het artikel roept verschillende vragen op die met de sector moeten worden besproken. De beperkingen op de mogelijkheden voor het verwerken van gegevens voor wetenschappelijke doeleinden in artikel 83c, lid 1, lijken te impliceren dat er onvoldoende waarborgen bestaan voor gegevensverwerking voor wetenschappelijke doeleinden. Dat moet worden toegelicht. In artikel 83c, lid 3, wordt, net als bij verwerkingen voor statistische doeleinden, het pseudonimiseren van persoonsgegevens als voldoende waarborg gezien. Nederland vraagt een nadere toelichting. Bij artikel 83c, lid 4 en 5, wordt, net als bij verwerkingen voor statistische doeleinden, geen mogelijkheid van uitzondering voorzien voor het recht op correctie en het recht van verzet van betrokkene.

Vervolgens wordt de behandeling van Hoofdstuk VI, paragraaf 2 voortgezet met artikel 53.

Artikel 53 bevat de bevoegdheden van de toezichthouder. Het betreft een buitengewoon uitgebreide regeling. Nederland heeft daarbij veel opmerkingen. Nederland handhaaft zijn algemene studievoorbehoud. Het Cbp is verzocht een goede analyse te maken van art. 53, lid 1, om te beoordelen of de bestaande bevoegdheden, het opleggen van een last onder bestuursdwang en/of een dwangsom in voldoende mate zijn afgedekt door artikel 53, lid 1. Uit die analyse volgt dat de voorgestelde bevoegdheidscatalogus nog altijd tekortschiet. Artikel 53, lid 1, onder b, geeft aanleiding tot vragen. In Nederland is de audit alleen een instrument in de Wet politiegegevens. Daar moet de verantwoordelijke periodiek opdracht geven voor het doen uitvoeren van een audit. Dat moet door een onafhankelijke derde gebeuren. Hij mag het niet zelf doen, en de toezichthouder evenmin. De resultaten ervan moeten uiteraard wel beschikbaar worden gesteld aan de toezichthouder. Nederland vraagt zich af op wie de verplichting tot het houden van audits rust. En is die verplichting nodig? Op grond van artikel 53, lid 2 (a), kan de toezichthouder met het inlichtingenrecht ook veel bereiken.

Bij artikel 53, lid 1, (e) vindt Nederland dat waarschuwingen geen rechtsgevolg hebben. Dan hoeft de bevoegdheid waarschuwingen te geven ook niet expliciet te worden geregeld. Gebeurt dat wel dan is dat per definitie conflictopwekkend, omdat de rechter dan nodeloos in handhavingszaken wordt betrokken.

Bij artikel 53, lid 1, (ea) vraagt Nederland zich af of dit bedoeld als een bevoegdheid tot «naming and shaming». Ook dat levert conflicten en schadeclaims op. Nederland meent dit hetzelfde doel bereikt kan worden met de actieve openbaarheidsplicht in de Wet openbaarheid van bestuur.

Bij artikel 53, lid 1, (eb) meent Nederland dat het opleggen van een last aan de verantwoordelijke met behulp van bestuursdwang en een dwangsom moet kunnen worden ondersteund.

Bij artikel 53, lid 1, (g) heeft Nederland een principieel probleem van grondwettelijke aard. De bevoegdheid tot het opleggen van een verbod op verwerking van persoonsgegevens is in zodanig algemene termen vervat dat het in deze vorm conflicteert met de vrijheid van meningsuiting. Dit zal hooguit een concrete verwerking kunnen betreffen, en dan onder de voorwaarde dat een tijdelijk verbod pas kan worden opgelegd nadat een overtreding is vastgesteld. Van definitieve verboden kan geen sprake zijn. Van voorafgaande verboden al helemaal niet. Mogelijk moet dit worden opgelost door een verwijzing naar art. 80.

Bij artikel 53, lid 2, wijst Nederland erop dat het Nederlandse bestuursrecht aanzienlijk meer onderzoeksbevoegdheden kent dan de toegang tot persoonsgegevens of plaatsen die onder controle staan van de verantwoordelijke. Wordt dat niet in de verordening geregeld, dan kunnen die bevoegdheden niet meer worden uitgeoefend. Hier is dus hetzij een verwijzing naar nationaal recht nodig, hetzij een volledige uitwerking van die bevoegdheden in de verordening. Het nieuwe artikel 53, lid 5, lost dat niet in voldoende mate op, want dat artikellid regelt alleen de waarborgen waaronder bevoegdheden worden uitgeoefend. De artikelen 78 en 78a zijn ook niet toereikend, want die beperken zich tot de andere sancties dan de bestuurlijke boete. Deze bevoegdheden moeten bovendien niet alleen jegens de verantwoordelijke of de bewerker, maar ook jegens derden kunnen worden uitgeoefend, omdat gegevens zich ook daar kunnen bevinden, zonder dat die derde de status van verantwoordelijke of bewerker heeft, aldus Nederland.

Artikel 53, lid 3, voorziet in algemeen belangacties die door de toezichthouder worden ingesteld. Nederland ziet geen noodzaak voor deze procedure, die kennelijk ontleend is aan de Common Law-rechtsstelsels.

Artikel 53, lid 4, bevat een maatstaf voor de oplegging van boetes. Die maatstaf hoort in systematisch opzicht thuis in artikel 79. Wel is Nederland voorstander van een dwangsomregeling.

Artikel 53, lid 5, bevat een verwijzing naar de toepasselijkheid van het nationale procesrecht. Nederland is blij met deze handreiking, al zal de precieze reikwijdte ervan nog moeten worden vastgesteld.

In artikel 54 is de jaarverslaggevingsplicht van de toezichthouder vastgesteld. De verplichting om dit verslag rechtstreeks aan het parlement te zenden past niet bij het Nederlandse staatsrecht, aangezien de relatie tussen Staten-Generaal en een onafhankelijke toezichthouder wezenlijk verschilt van een formele verantwoordelijkheidsrelatie. Het is voldoende wanneer het jaarverslag openbaar is. Een toezending van het jaarverslag door de toezichthouder zonder dat daaraan een formele verplichting ten grondslag ligt, is – vanzelfsprekend – wenselijk.

Bij artikel 54a, de samenwerkingsplicht tussen bevoegde toezichthouders bij gevallen van klachten met grensoverschrijdende aspecten, maakt Nederland een studievoorbehoud. Nederland begrijpt de ratio achter deze bepaling wel, maar er is een onlosmakelijke samenhang met artikel 73, en die bepaling heeft met zijn zeer ruime strekking veel vragen opgeroepen. Het gebruik van de term «competent» onder verwijzing naar artikel 51 lijkt te impliceren dat artikel 51 de enige bepaling is die bevoegdheidsregels bevat. De vraag is of dat klopt, en of daarmee verzekerd is dat artikel 73 geen bevoegdheidsregels bevat. Als dat niet zo is, dan moet artikel 73 met een doorzendplicht worden uitgebreid.

Artikel 55 bevat de regeling voor de wederzijdse bijstand tussen toezichthouders. Artikel 55, lid 4 (a), is volgens Nederland van groot belang. Een rechtsplicht tot samenwerking hoeft echter niet onbeperkt te zijn. Onafhankelijke toezichthouders moeten in staat zijn zelf hun prioriteiten te bepalen. Gewaakt moet worden tegen teveel samenwerkingsverzoeken.

Artikel 56 bevat een regeling voor gezamenlijke operaties van toezichthouders. Nederland is daar voorstander van. Er is echter geen behoefte aan een regeling die voorziet in de verplichte toekenning van onderzoeksbevoegdheden aan de ambtelijke ondersteuning van toezichthouders uit andere lidstaten. Het is wel denkbaar dat ambtenaren van andere lidstaten hun Nederlandse collega's informeel vergezellen bij hun werkzaamheden.

In de artikelen 65 en 66 zijn de instelling en onafhankelijke positie van de EDPB geregeld. Nederland herhaalt hier het grote belang bij een goede regeling hiervan. Nederland blijft benadrukken dat de rol van de Europese Commissie in de voorliggende regeling te groot is. Dat doet afbreuk aan de onafhankelijkheid van de EDPB. Nederland acht dit ook misplaatst, omdat de Commissie geen gelegenheid voorbij laat gaan de aandacht te vragen voor een tweetal uitspraken van het Hof van Justitie waarin het Hof de lidstaten wijst op de noodzaak van een volledige onafhankelijkheid van de toezichthouder. Nederland meent dat die uitspraken ook op de Commissie van toepassing zijn.

In artikel 66 waarin de taakuitoefening van de EDPB wordt geregeld, mist Nederland een regeling van de wijze waarop de opinies van de EDPB totstandkomen. Een van de terechte kritiekpunten op de werkwijze van de Artikel 29 Werkgroep is dat de opinies niet in samenspraak of na consultatie van belanghebbenden tot stand komen. Het gebrek aan deze waarborg doet afbreuk aan het gezag van de werkgroep. Het is dan immers gemakkelijk om een opinie als «maar een opinie» aan te merken. In lid 1 mist Nederland de mogelijkheid voor de EDPB om op ontwerp-gedelegeerde en uitvoeringshandelingen te mogen adviseren.

De artikelen 67 tot en met 72 geven Nederland geen aanleiding tot interveniëren.

Raadswerkgroep 9 en 10 september 2013

Het Voorzitterschap stelt op deze werkgroep de hele materie van de hoofdstukken VI en VII (toezicht op de naleving en samenwerking tussen toezichthouders) opnieuw aan de orde aan de hand van herziene tekstvoorstellen. Het Voorzitterschap doet dit met het oog op de JBZ Raad van oktober 2013, waar besluitvorming over dit onderwerp moet plaatsvinden. Nu bij de verslaglegging over de maand juli uitgebreid is stilgestaan bij de vele bepalingen in deze hoofdstukken wordt hieronder alleen ingegaan op de voor Nederland relevante wijzigingen.

In artikel 47, lid 7, is de regeling voor de separate begroting voor de toezichthouder bevredigend opgelost.

De hoofdregels voor de bevoegdheidstoedeling voor toezichthouders bij grensoverschrijdende gevallen (artikelen 51, 54a en 54b) zijn uitgebreid met een regeling voor de aanwijzing van een «lead authority». De lead authority is de toezichthouder van het land waar zich de hoofdvestiging van de verantwoordelijke («main establishment») bevindt. Die moet samenwerken met de toezichthouders van de lidstaten waartoe een geschil of voorgenomen beslissing zich mede uitstrekt. De discussies in de raadswerkgroep concentreren zich op de omvang en de aard van die samenwerking. Zo is het de vraag of die samenwerking beperkt blijft tot bestuurlijke beslissingen (bijvoorbeeld goedkeuring van bindende bedrijfsvoorschriften) of dat ook handhavingszaken (onderzoeken, maar ook sanctie-opleggingen) daarbij horen. Zowel bij bestuurlijke als handhavingszaken is het de vraag of het mogelijk zal zijn één beslissing te nemen, die gelding heeft in alle lidstaten, en die naar één rechtsstelsel kan worden toegeleid, zodat er geen twijfel bestaat over de bevoegdheid van de rechter. Nederland is voorstander van een dergelijk stelsel, ook wel onestopshop of éénloketbenadering genoemd, omdat dit voor het bedrijfsleven evident administratieve lasten en nalevingskosten scheelt.

Echter, erkend moet worden dat dit stelsel moeilijk te verenigen is met een volledig consequent doorvoeren van een ander principe, dat de burger in staat moet zijn om waar hij dat wenst in de EU een klacht bij een toezichthouder in te dienen, zonder dat er sprake hoeft te zijn van een vorm van formele betrokkenheid van de toezichthouder van het land in kwestie. Er zal gekozen moeten worden. Dat is onvermijdelijk. De Nederlandse voorkeur gaat uit naar een doorzendplicht voor toezichthouders van klachten naar de lead authority. Die laatste toezichthouder moet echter wel de toezichthouder van het land van de klacht bij de afdoening van de zaak betrekken. Het blijkt dat bij de vereniging deze eigenlijk onverenigbare hoofdregels de inzichten van de lidstaten zeer uiteenlopen.

Er zal ook een beslissing moeten worden genomen over de wijze van beslechting van geschillen tussen toezichthouders onderling. Nederland is voorstander van een beslissende rol voor de EDPB in dit soort geschillen. Het toekennen van de bevoegdheid tot het nemen van bindende beslissingen aan de EDPB is echter alleen onder strikte voorwaarden mogelijk, zo volgt uit oude jurisprudentie van het Hof van Justitie. Dit probleem moet nog worden opgelost. Ook hier blijken de inzichten zeer uiteen te lopen. Nederland zag gezien het grote belang van deze discussie en de gecompliceerdheid ervan aanleiding alleen op hoofdlijnen te interveniëren, en het College bescherming persoonsgegevens en het bedrijfsleven nader te horen.

Friends of the Presidency 16 september 2013

Op deze vergadering is eerst een tweetal onderwerpen besproken op het gebied van de doorgifte van persoonsgegevens naar derde landen.

Het eerste onderwerp betreft de toekomst van de Safe Harborbeschikking van de Europese Commissie uit 2000. Deze beschikking is naar de vorm een zogenaamde toereikendheidsbeslissing over het niveau van gegevensbescherming in derde landen. Op grond van de beschikking kunnen zonder aanvullende garanties persoonsgegevens worden doorgegeven vanuit de private sector in de Europese Unie naar de private sector in de Verenigde Staten. Naar de inhoud wijkt deze beschikking echter sterk af van beschikkingen die ten aanzien van andere derde landen zijn genomen. In die andere beschikkingen staat een toets van de wetgeving van het desbetreffende land centraal. De Verenigde Staten hebben echter geen privacywetgeving die voor de private sector als geheel geldt. Gemeenschappelijke elementen uit het consumenten- of het vervoersrecht die de privacy van burgers beogen te beschermen konden alleen op basis van beginselen, niet van rechtsregels worden benoemd. De Safe Harborbeschikking is mede daarom gebaseerd op zelfregulering. Artikel 41 van de verordening biedt de rechtsbasis voor toereikendheidsoordelen. Het is de vraag van enkele lidstaten, waaronder ook Nederland, of die rechtsbasis wel voldoende ruimte laat voor een toets van systemen die geheel of gedeeltelijk zijn gebaseerd op zelfregulering. Dit is van groot belang omdat het bedrijfsleven veel waarde hecht aan het behoud van de Safe Harbor-beschikking. De verordening bevat een zogenaamde «grandfather clause». Met die voorziening wordt bereikt dat bij de inwerkingtreding van de verordening alle bestaande toereikendheidsbeslissingen hun geldigheid blijven behouden. Dat geldt dus ook voor de Safe Harborbeschikking. De tekst blijft op zichzelf genomen geldend, maar het is de vraag of artikel 41 wel ruimte laat voor wijziging, verbreding en verdieping van het instrument.

Nederland verzoekt de Commissie opnieuw het laatste evaluatierapport over de Safe Harborbeschikking openbaar te maken. De Commissie zegt dit toe, maar geeft – wederom – niet aan wanneer dit gebeurt.

Nederland is geen voorstander van een voorziening die ook geldende toereikendheidsbesluiten voorziet van een maximale geldigheidsduur. Rechtszekerheid is ook van belang in het internationale recht. Voor nieuwe toereikendheidsbesluiten is dat niet bezwaarlijk.

Het tweede onderwerp betreft de doorgifte van gegevens uit de private sector naar de overheden van derde landen, op grond van de interne wetgeving of een rechterlijk bevel van het desbetreffende derde land. Over dit uiterst gevoelig onderwerp wordt op informele wijze gesproken. Een van de lidstaten werkt de gedachte uit dat dergelijke overdrachten uitsluitend zouden zijn toegestaan krachtens verdrag, of met instemming van de toezichthouder. Nederland begrijpt de noodzaak om het probleem van conflicterende jurisdicties op te lossen. Maar Nederland heeft grote aarzelingen bij de gedachte dat een toezichthouder in staat zou zijn te oordelen tussen de belangen van betrokkenen in de EU en belangen van een derde land, zeker wanneer het veiligheidskwesties betreft. Deze discussie zal worden vervolgd.

Raadswerkgroep 23 en 24 september 2013

Deze raadswerkgroep begint met de voltooiing van de derde behandeling van de Hoofdstukken VI en VII die op 10 september 2013 is begonnen. De artikelen die behandeld worden, 61 tot en met 72, betreffen hoofdzakelijk institutionele en procedurele regelingen van de EDPB. Nederland heeft enkele niet substantiële interventies gemaakt in de lijn van eerder gemaakte opmerkingen over dezelfde materie.

De behandeling van de verordening wordt voortgezet met Hoofdstuk VIII. In dat hoofdstuk vindt de rechtsbescherming en de sanctionering zijn regeling. Ook voor dit hoofdstuk geldt dat het in zijn geheel als eerder is behandeld. De tekst die ter tafel ligt is op onderdelen gewijzigd naar aanleiding van de vorige behandeling. Nederland steunt de algemene lijn van het hele hoofdstuk graag. Op onderdelen blijven er echter vragen. Nederland is voorstander van collectiefbelangacties op het terrein van de gegevensbescherming, maar blijft waarschuwen tegen het gevaar van het ontstaan van een claimcultuur. De regeling van de schadevergoeding wordt deel van het Unierecht, en er is daardoor nog onvoldoende duidelijkheid over de vraag of de Unierechtelijke regeling een aan artikel 49 Wet bescherming persoonsgegevens gelijkwaardige actie biedt. De algemene regeling van de voorwaarden waaronder de boetebevoegdheid kan worden uitgeoefend bevat veel belangrijke verbeteringen. Het voorzitterschap heeft veel gedaan om aan de grote zorgen van Nederland en enkele andere lidstaten over het onacceptabele gebrek aan de meest essentiële bestuursrechtelijke waarborgen bij de oplegging van boetes tegemoet te komen. Nederland heeft er vertrouwen in dat op dit onderdeel van verordening een bevredigende regeling totstandkomt.

Ten aanzien van de sanctiebepalingen zelf blijft Nederland zich uitspreken voor een robuust sanctieregime. Dit onderdeel van de verordening is echter allesbehalve een gelopen race. Veel kleinere lidstaten houden hun fundamentele bezwaren overeind tegen de hoge maximumboetes. Zij achten deze disproportioneel in verhouding tot de schaal van hun economie. Zorgen bestaan er ook over de verenigbaarheid van het sanctieregime met artikel 7 van het Europees Verdrag van de Rechten van de Mens en de fundamentele vrijheden. De verordening bevat bepalingen van zeer abstracte aard die nog allesbehalve uitgekristalliseerd zijn. Het lex certa-beginsel dat aan artikel 7 EVRM ten grondslag ligt, vergt dat een potentiële overtreder een voldoende duidelijk beeld heeft wat hem boven het hoofd hangt wanneer hij de verordening niet naleeft. Gebeurt dat onvoldoende, dan bestaat er een aanmerkelijk risico op gebrekkige handhaving, omdat de rechter dan zal ingrijpen. Dat vergt dat de verordening nader wordt ingevuld. Die opdracht is met een richtlijn beter uit te voeren dan met de verordening, aangezien de nationale wetgever de plicht tot nadere invulling heeft. In de verordening valt die taak toe aan de toezichthouders, die gezamenlijk die invulling vorm moeten geven. De vraag is of alle toezichthouders in de EU daar wel voldoende toe in staat zijn. Het is een evident nadeel van de keuze voor een verordening. Nederland wijst daarom samen met andere lidstaten op de dringende noodzaak de materiële bepalingen van de verordening nauwkeuriger te redigeren.

De Staatssecretaris van Veiligheid en Justitie, F. Teeven