33 662 Wijziging van de Wet bescherming persoonsgegevens en enige andere wetten in verband met de invoering van een meldplicht bij de doorbreking van maatregelen voor de beveiliging van persoonsgegevens alsmede uitbreiding van de bevoegdheid van het College bescherming persoonsgegevens om bij overtreding van het bepaalde bij of krachtens de Wet bescherming persoonsgegevens een bestuurlijke boete op te leggen (meldplicht datalekken en uitbreiding bestuurlijke boetebevoegdheid Cbp)

Nr. 10 ADVIES AFDELING ADVISERING RAAD VAN STATE EN NADER RAPPORT

Hieronder zijn opgenomen het advies van de Afdeling advisering van de Raad van State d.d. 19 februari 2014 en het nader rapport d.d. 18 november 2014, aangeboden aan de Koning door de Staatssecretaris van Veiligheid en Justitie, mede namens de Minister van Binnenlandse Zaken en Koninkrijksrelaties. Het advies van de Afdeling advisering van de Raad van State is cursief afgedrukt.

Bij Kabinetsmissive van 19 december 2013, no. 2013002629, heeft Uwe Majesteit, op voordracht van de Staatssecretaris van Veiligheid en Justitie, bij de Afdeling advisering van de Raad van State ter overweging aanhangig gemaakt de nota van wijziging bij het voorstel van wet tot wijziging van de Wet bescherming persoonsgegevens en de Telecommunicatiewet in verband met de invoering van een meldplicht bij de doorbreking van maatregelen voor de beveiliging van persoonsgegevens (meldplicht datalekken), met toelichting.

In de nota van wijziging wordt de bestuurlijke boete ingevoerd voor een groot aantal bepalingen van de Wet bescherming persoonsgegevens (Wbp) en voor enkele bepalingen in bijzondere wetten die strekken tot bescherming van persoonsgegevens. Daarmee krijgt het College bescherming persoonsgegevens (Cbp) ruimere bevoegdheden om de rechtmatigheid van verwerking van persoonsgegevens af te dwingen.

De Afdeling advisering van de Raad van State maakt opmerkingen over de keuze voor punitieve bestuurlijke handhaving, de concentratie van taken bij het Cbp en de toepassing van het lex certa-beginsel. Zij is van oordeel dat de nota van wijziging in verband daarmee nader dient te worden overwogen

Blijkens de mededeling van de Directeur van Uw kabinet van 19 december 2013, nr. 2013002629, machtigde Uwe Majesteit de Afdeling advisering van de Raad van State (hierna: de Afdeling) haar advies inzake de nota van wijziging bij het voorstel tot wijziging van de Wet bescherming persoonsgegevens en de Telecommunicatiewet in verband met de invoering van een meldplicht bij de doorbreking van maatregelen voor de beveiliging van persoonsgegevens (meldplicht datalekken), met toelichting, rechtstreeks aan mij te doen toekomen. Dit advies, gedateerd 19 februari 2014, nr. W03.13.13.0464/II, bied ik U hierbij, mede namens de Minister van Binnenlandse Zaken en Koninkrijksrelaties, aan.

De Afdeling merkt op dat de nota van wijziging ertoe strekt om de bestuurlijke boete voor een groot aantal bepalingen van de Wet bescherming persoonsgegevens in te voeren en voor enkele bepalingen in bijzondere wetten die strekken tot bescherming van persoonsgegevens. De constatering met betrekking tot bijzondere wetten, deel ik niet. De wijzigingen van de bijzondere wetten die in deze nota van wijziging zijn opgenomen strekken niet tot invoering van een bestuurlijke boete, maar tot verhoging van het bestaande wettelijk boetemaximum (Wet politiegegevens en Wet justitiële en strafvorderlijke gegevens).

1. Achtergrond

Handhaving van de Wbp loopt tot dusverre vooral langs de lijnen van de herstelsancties: het Cbp kan op de verplichtingen, gesteld bij of krachtens de Wbp, een last onder bestuursdwang of een last onder dwangsom opleggen.¹ Een bestuurlijke boete (ten hoogste € 4.500) of een strafsanctie kan alleen worden opgelegd voor een klein aantal specifieke verplichtingen.² Het wetsvoorstel waarop de nota van wijziging betrekking heeft voorziet in een bestuurlijke boete van maximaal € 450.000 voor twee feiten: voor het niet melden van een «datalek» (een nieuwe verplichting in de Wbp)³ en voor het niet meewerken aan toezichthoudende activiteiten van het Cbp.⁴

In de nota van wijziging wordt de boete, zoals voorzien in het wetsvoorstel, verhoogd naar de strafrechtelijke zesde categorie (thans € 810.000).⁵ Deze boete wordt eveneens ingevoerd voor overtreding van een groot aantal al bestaande verplichtingen in de Wbp. In plaats van een boete van de zesde categorie kan ook een boete van ten hoogste 10% van de jaaromzet van de rechtspersoon worden opgelegd.⁶ De boete als percentage van de jaaropbrengst is bedoeld als een hoger maximum; daarmee kan rekening worden gehouden met het vermogen van ondernemingen, dat veelal groter is dan dat van privépersonen.⁷

De invoering van de bestuurlijke boete in de Wbp sluit aan bij mogelijk toekomstige Europese ontwikkelingen. Met de Wbp, tot stand gekomen in 2000, werd uitvoering gegeven aan de privacyrichtlijn van de Europese Unie uit 1995.⁸ De privacyrichtlijn stelde nog geen strikte eisen aan de wijze waarop de lidstaten de regels ter uitvoering van de richtlijn handhaven. Inmiddels heeft de Europese Commissie in 2012 een ontwerp-Algemene verordening gegevensbescherming opgesteld, die de privacyrichtlijn moet gaan vervangen. Met de overgang van een richtlijn naar een verordening wordt ook de handhaving strikter geregeld: de ontwerp-Algemene verordening van de Commissie voorziet in hoge boetes voor de overtreding van een groot aantal materiële bepalingen.⁹ De regering verwacht dat de verordening in 2014 tot stand zal komen en in 2016 in werking zal treden.¹⁰ Met de nota van wijziging wordt toegegroeid naar het handhavingssysteem van de toekomstige verordening, aldus de toelichting.¹¹

De thans voorgestelde invoering van de bestuurlijke boete houdt verband met – zoals de toelichting het verwoordt – een breed nalevingstekort van de Wbp, zoals dat in de tweede evaluatie van de Wbp naar voren komt.¹² In dat licht bezien heeft de Afdeling begrip voor het streven de naleving van de Wbp te versterken. Zij plaatst echter kanttekeningen bij het gekozen middel om dat doel te bereiken.

1. Achtergrond

Het verheugt mij dat de Afdeling begrip heeft voor het streven de naleving van de Wbp te versterken, in reactie op de tweede evaluatie van de Wbp waarin een breed nalevingstekort naar voren komt. De invoering van de bestuurlijke boete sluit aan bij mogelijke toekomstige Europese ontwikkelingen (ontwerp-Algemene verordening gegevensbescherming). De Afdeling plaatst echter kanttekeningen bij het gekozen middel om het doel te bereiken.

2. Keuze voor punitieve bestuursrechtelijke handhaving

a. Bestuursrecht of strafrecht

In de toelichting wordt de voorgestelde uitbreiding van de bevoegdheid tot het opleggen van bestuurlijke boetes getoetst aan de Kabinetsnota over de uitgangspunten bij de keuze voor een sanctiestelsel uit 2008 (Nota sanctiestelsels 2008). Het belangrijkste criterium daarin is de vraag of sprake is van een open of een besloten context. Van een besloten context is volgens de regering sprake als er een gespecialiseerd bestuursorgaan belast is met de uitvoering van zekere wetten en het uit dien hoofde te maken heeft met een afgebakende doelgroep, en als bovendien tussen dat orgaan en de doelgroep verbindingen zijn ter uitvoering van de wet of ten behoeve van het toezicht op de naleving van wettelijke bepalingen. Bij een besloten context heeft bestuursrechtelijke handhaving de voorkeur. Van een open context kan gesproken worden als burgers en bedrijven gebonden zijn aan algemene rechtsregels die – ongeacht de uitoefening van bepaalde activiteiten of de hoedanigheid van de burger of het bedrijf – voor iedereen en altijd gelden. Bij dergelijke normen is er geen met de uitvoering van wetgeving belast gespecialiseerd overheidsorgaan betrokken dat bijvoorbeeld vergunningen afgeeft, noch sprake van reguliere communicatie tussen burger of bedrijf en een overheidsdienst in het verband van de uitvoering van de geldende regels. In de open context is strafrechtelijke handhaving het uitgangspunt.¹³

Volgens de toelichting valt de Wbp onder wetgeving met een open context. De Nota sanctiestelsels 2008 maakt echter – zo vervolgt de toelichting – uitzonderingen op dit uitgangspunt: wanneer sprake is van een hooggespecialiseerd orgaan dat optreedt als handhavende instantie, zoals op het terrein van het mededingingsrecht of het telecommunicatierecht – de nota noemt de Autoriteit Consument en Markt als voorbeeld – kan er niettemin ruimte zijn voor de bestuurlijke boete als handhavingsinstrument.¹⁴ Het Cbp kan volgens de regering als een dergelijke gespecialiseerde handhaver worden aangemerkt. De keuze om de Wbp vooral met bestuursrechtelijke bestraffende sancties te handhaven is daarom in overeenstemming met de Nota sanctiestelsels, aldus de toelichting.

Zoals de Afdeling in eerdere adviezen heeft aangegeven acht zij het criterium «open en besloten context» niet geschikt als uitgangspunt bij de keuze tussen strafrechtelijke dan wel bestuursrechtelijke bestraffing.¹⁵ Zij leidt tot onwenselijke en ongerechtvaardigde uitkomsten. Ook los daarvan echter is de Afdeling van oordeel dat, indien al in aanvulling op de bestaande reparatoire sancties moet worden besloten tot uitbreiding van het sanctie-instrumentarium,¹⁶ de motivering van de nota tekortschiet. In eerdere adviezen heeft de Raad van State voorgesteld, de aard van de overtreding en ernst van de inbreuk als criterium te hanteren.¹⁷ In 2010 is een aanvulling verschenen op de Nota sanctiestelsels 2008, met een aantal algemene afwegingen die de wetgever moet maken bij de keuze tussen sanctiestelsels. Hieruit blijkt dat de wetgever het element van de ernst van het feit dient af te wegen tegen overwegingen die pleiten voor bestuursrechtelijke handhaving (besloten context, gespecialiseerde toezichthouders).¹⁸ Een dergelijke afweging ontbreekt in de toelichting. Daarbij merkt de Afdeling op dat het bij overtreding van de Wbp in voorkomende gevallen kan gaan om ernstige inbreuken op een grondwettelijk en verdragsrechtelijk beschermd grondrecht, te weten het recht op eerbiediging van de persoonlijke levenssfeer. In dat opzicht gaat de vergelijking die in de toelichting wordt gemaakt met het mededingingsrecht en het telecommunicatierecht niet of niet geheel op.

Voorts merkt de Afdeling op dat de keuze voor het ene of andere stelsel van bestraffing tot aanmerkelijke verschillen leidt in rechtspositie en rechtsbescherming van degene jegens wie de handhaving zich richt. Zo bestaat er geen opneming van gegevens omtrent bestraffing in de justitiële documentatie bij veroordeling tot een bestuurlijke boete, terwijl die er wel is bij een strafrechtelijke veroordeling. Voorts loopt de rechtsbescherming van degene jegens wie de handhaving zich richt uiteen door de verschillen die bestaan tussen de strafrechtelijke rechtsgang en de bestuursrechtelijke. Zo moet de strafrechter het feit bewezen verklaren en legt hij de boete zelf op; de bestuursrechter toetst het proces-verbaal van de overtreding en de rechtmatigheid van de door het bestuursorgaan opgelegde boete. Een zorgvuldige afweging van de keuze voor het ene of andere stelsel dient ook deze verschillen in ogenschouw te nemen en in het licht van die verschillen te leiden tot nadere afwegingen. Ten slotte merkt de Afdeling op dat niet gemotiveerd wordt waarom, als het gaat om kleinere feiten, niet voor de (bestuurlijke) strafbeschikking is gekozen.

b. Samenloop met de ontwerp-Algemene verordening

De ruimte voor de wetgever om met het oog op de handhaving tot een eigen afweging te komen, wordt in de nabije toekomst mogelijk beperkt door de ontwerp-Algemene verordening die thans nog in bespreking is. In dat licht bezien acht de Afdeling invoering van een volledig opgetuigd stelsel van bestuurlijke boetes prematuur. Dat geldt te meer nu er tussen het voorliggende voorstel en de Algemene verordening mogelijk aanmerkelijke verschillen zullen bestaan. Gelet op de verschillende ontwerpteksten die op dit moment openbaar of bekend zijn, zal de verordening voor bepaalde feiten mogelijk geen bestuurlijke boete mogelijk maken. Voorts is het gelet op diezelfde ontwerpteksten niet onaannemelijk dat de verordening, anders dan het voorliggende voorstel, afhankelijk van het soort overtreding verschillende boetemaxima zal bevatten. Mede gelet op deze verschillen is de kans dat het wettelijk sanctiestelsel op korte termijn opnieuw en ingrijpend moet worden gewijzigd, aanzienlijk.

c. Conclusie

De Afdeling adviseert de keuze voor handhaving door bestuurlijke boetes in het licht van hetgeen hiervoor onder a en b is opgemerkt, nader te bezien.

Onverminderd het voorgaande merkt de Afdeling het volgende op.

2. Keuze voor punitieve bestuursrechtelijke handhaving

a. Bestuursrecht of strafrecht

Aan de opmerkingen van de Afdeling inzake de keuze tussen strafrechtelijke en bestuursrechtelijke bestraffing is gevolg gegeven, met aanvulling van paragraaf 5.4 van de toelichting. Gelet op het primaat van de bestuursrechtelijke handhaving van de wettelijke voorschriften inzake verwerking van persoonsgegevens, met een centrale verantwoordelijkheid voor het Cbp, kies ik niet voor de (bestuurlijke) strafbeschikking. De (bestuurlijke) strafbeschikking heeft geen meerwaarde naast de bestuurlijke boete en zou het systeem onnodig compliceren.

b. Samenloop met de ontwerp-Algemene verordening

De Afdeling wijst terecht op de samenloop met de ontwerpverordening. Anders dan de huidige privacyrichtlijn gaat deze naar verwachting de handhaving strikter regelen: de ontwerpverordening voorziet in hoge, door de nationale toezichthoudende autoriteiten op te leggen bestuurlijke boetes voor overtreding van een groot aantal materiële bepalingen. Met de nota van wijziging wordt beoogd toe te groeien naar het systeem van de verordening. Het is naar mijn mening, en ook naar de mening van de Tweede Kamer (o.a. motie Recourt c.s. Kamerstukken II 2011/12, 32 761, nr. 35), niet wenselijk om de verordening af te wachten. Naar huidig inzicht is de verwachting dat de verordening in 2015 tot stand zal komen en in 2017 van toepassing wordt.

Daarbij komt dat het instrument van de bestuurlijke boete niet geheel nieuw is voor het Cbp. Het Cbp heeft nu een beperkte bevoegdheid om overtreding van administratieve verplichtingen bestuurlijk te beboeten. Met de nota van wijziging wordt het voor het Cbp mogelijk om ook overtreding van de meer materiële normen met een bestuurlijke boete te bestraffen.

c. Conclusie

Overeenkomstig het advies van de Afdeling is de keuze voor handhaving door bestuurlijke boetes in het licht van hetgeen hiervoor onder a. en b. is opgemerkt nader bezien. Daarbij komt de regering niet tot een andere keuze. Wel is de toelichting aangevuld met nadere overwegingen.

3. Concentratie van taken bij het Cbp

In de toelichting wordt onderkend dat een voorschrift dat door punitieve sancties wordt gehandhaafd voldoende duidelijk, voorzienbaar en kenbaar moet zijn (het lex certa-beginsel).¹⁹ Eveneens wordt onderkend dat de Wbp voor een belangrijk deel bestaat uit algemeen-abstract omschreven voorschriften. De regering meent dat dit het Cbp niet voor onoverkomelijke problemen stelt: verheldering van de normen vindt plaats zowel op Europees niveau (de «Artikel 29»-werkgroep van Europese toezichthouders en de rechtspraak van het Hof van Justitie) als op nationaal niveau (richtsnoeren van het Cbp,²⁰ waarin ook wel wordt verwezen naar NEN- en ISO-normen, en nationale rechtspraak). De toelichting verwijst voorts naar jurisprudentie van het Europees Hof voor de Rechten van de Mens en nationale rechters, waaruit blijkt dat wetgeving die wordt gehandhaafd met een bestuurlijke boete onder omstandigheden noodzakelijkerwijs uit vage normen bestaat. Wel worden in zulke gevallen hoge eisen gesteld aan de motivering van het besluit.²¹

De toelichting verwijst – op zichzelf terecht – naar de mogelijkheid dat vage normen worden geconcretiseerd via de rechtspraak. Uit de evaluatie van de Wbp blijkt echter dat er betrekkelijk weinig wordt geprocedeerd over de toepassing en werking van de Wbp. Dit lijkt verband te houden met het feit dat de te verwachten winst van een procedure niet snel opweegt tegen de kosten (met name kosten voor rechtsbijstand); procedures die uitsluitend betrekking hebben op principiële belangen worden nauwelijks gevoerd.²² Ook rechtspraak van het Hof van Justitie ontbreekt tot dusverre vrijwel volledig.

Het voorgaande betekent dat de concretisering van de vage wettelijke normen in hoofdzaak geschiedt door middel van richtsnoeren en nadere beslissingen²³ van het Cbp. In de huidige omstandigheden kan het onder omstandigheden nuttig zijn dat het Cbp door het uitbrengen van richtsnoeren meer duidelijkheid probeert te bieden over de wijze waarop de Wbp moet worden uitgelegd. Nu het Cbp echter ook bevoegd wordt bestuurlijke boetes op te leggen voor overtreding van een groot aantal verplichtingen in de Wbp, is sprake van een sterkere concentratie van uiteenlopende taken dan voorheen het geval is. Hoewel de richtsnoeren geen algemeen verbindende voorschriften zijn en de opstelling van richtsnoeren niet gebaseerd is op een expliciete wettelijke bevoegdheid komt het in de toekomstige situatie er feitelijk op neer dat althans een deel van de normstelling komt te liggen bij het orgaan dat vervolgens geacht wordt om dezelfde normen via punitieve sancties te handhaven. Aldus komen normstelling en bestraffing in belangrijke mate in één hand te liggen.

De Afdeling is zich er van bewust dat vergelijkbare situaties ook voorkomen bij andere toezichthouders op andere beleidsterreinen. In het onderhavige geval echter betreft het een grondrechtelijke aangelegenheid waarin de wetgever gelet op artikel 10, tweede en derde lid, Grondwet een bijzondere verantwoordelijkheid draagt. Bovendien gaat het, anders dan bij andere toezichthouders, niet om specifieke sectoren maar om de bescherming van persoonsgegevens die in beginsel van belang is voor alle maatschappelijke terreinen.

Tegen deze achtergrond is het naar het oordeel van de Afdeling gewenst om bij de totstandkoming van nadere normstelling in elk geval de betrokkenheid van de voor de wetgeving op dit terrein verantwoordelijke bewindspersoon in de wet te waarborgen. Dit kan door in de Wbp te bepalen dat de Minister aan richtsnoeren van het Cbp die een invulling van de materiële wettelijke normen genoemd in artikel 66, tweede lid, behelzen, zijn goedkeuring dient te verlenen.²⁴ Een andere, verdergaande optie zou zijn om die nadere invulling te laten plaatsvinden bij algemene maatregel van bestuur. De voorgestelde delegatiebepaling (artikel 66, derde lid) zou met het oog daarop zo nodig moeten worden uitgebreid dan wel moeten worden aangevuld met een delegatiebepaling elders in de wet.²⁵

De Afdeling adviseert op het voorgaande in de toelichting in te gaan en het voorstel zo nodig aan te passen.

3. Concentratie van taken bij het Cbp

In paragraaf 5.4 van de toelichting van de nota van wijziging is uiteengezet dat de regering de analyse van de Afdeling inzake de concentratie van taken van het Cbp deelt, en dat zij om die reden ervoor heeft gekozen om

de betrokkenheid van de voor de wetgeving op dit terrein verantwoordelijke bewindspersonen bij de nadere normstelling door de toezichthouder, in de wet te waarborgen. Ik meen dat ministeriële goedkeuring van de door het Cbp op te stellen richtsnoeren – waarin het uitleg geeft aan de materiële (of: open) normen van de Wbp waarvan overtreding in de toekomst met een bestuurlijke boete kan worden bestraft – het meest geschikte middel hiervoor is. Als toetsingsmaatstaf is gekozen voor strijd met het recht of het algemeen belang (zie artikel I, onderdeel Da, het nieuw voorgestelde artikel 67 Wbp).

Ik voel niet voor het opnemen van een (aanvullende) delegatiebepaling om de materiële normen van de Wbp bij algemene maatregel van bestuur nader in te vullen. Artikel 26 van de Wbp bevat reeds een bevoegdheid om voor een bepaalde sector bij algemene maatregel van bestuur nadere regels te stellen inzake de in de artikelen 6 tot en met 11 en 13 geregelde onderwerpen. Deze delegatiegrondslag is tot op heden nog nooit benut. Wel kan worden vermeld dat in de sector van de gezondheidszorg, wordt gewerkt aan een Besluit elektronische gegevensverwerking door zorgaanbieders. Over het desbetreffende besluit is een advies van de Afdeling advisering uitgebracht.

4. Lex certa-beginsel

In de toelichting wordt terecht gewezen op het lex certa-beginsel. Dit beginsel houdt in dat een voorschrift dat door punitieve sancties wordt gehandhaafd, voldoende duidelijk, voorzienbaar en kenbaar moet zijn.²⁶ Deze eis is echter niet absoluut. In de Europese en de nationale rechtspraak wordt aanvaard dat wetgeving die wordt gehandhaafd met een bestuurlijke boete onder omstandigheden uit vage normen bestaat, die in de toepassingspraktijk nader moeten worden ingevuld. In het licht van deze rechtspraak concludeert de regering dat de vage normen als vervat in de Wbp door bestuurlijke boetes kunnen worden gehandhaafd.²⁷

De Afdeling wijst er op dat het in de Wbp over vrijwel de gehele linie gaat om zeer vage normen waarover, zoals eerder opgemerkt, relatief weinig rechtspraak bestaat.²⁸ Onder die omstandigheden zal als gevolg van het voorstel de verantwoordelijke in niet te verwaarlozen aantallen gevallen een aanzienlijke inspanningsverplichting moeten leveren om, met inzet van professionele deskundigheid, te (laten) beoordelen in hoeverre hij in overtreding en in verband daarmee of en hoe hij een bestuurlijke boete kan ontlopen. Eventuele nadere regels, richtsnoeren van het Cbp of gedragscodes zullen dit probleem slechts deels kunnen oplossen, nu het veelal gaat om een afweging van vaag omschreven belangen die pas in het concrete geval betekenis krijgen. De Afdeling acht de mogelijkheid om onder dergelijke omstandigheden zonder meer een bestuurlijke boete op te leggen, ongewenst.

Om aan dit bezwaar tegemoet te komen zou, in lijn met hetgeen de Afdeling eerder heeft aanbevolen,²⁹ in de wet bepaald kunnen worden dat het Cbp bij een vermoeden van een overtreding niet onmiddellijk een bestuurlijke boete kan opleggen, maar eerst een bindende aanwijzing moet geven. Daarin zou de toezichthouder ter concretisering van de wettelijke norm moeten aangeven welke gedraging op grond van de Wbp van de verantwoordelijke wordt verwacht en hem zo mogelijk moeten opdragen om de overtreding geheel of gedeeltelijk te herstellen. Indien de aanwijzing niet binnen een bepaalde termijn wordt opgevolgd, kan vervolgens een boete worden opgelegd. Elders in de Nederlandse wetgeving worden ter uitvoering en handhaving van Europese regels vergelijkbare constructies gehanteerd.³⁰

De Afdeling adviseert op het voorgaande in de toelichting in te gaan en de nota van wijziging zo nodig aan te passen.

4. Lex certa-beginsel

Het advies van de Afdeling om in de wet te bepalen dat het Cbp bij een vermoeden van overtreding niet onmiddellijk een bestuurlijke boete kan opleggen maar eerste een bindende aanwijzing moet geven, is gevolgd. In paragraaf 6.2 van de toelichting is beschreven dat het in verband met het algemeen-abstracte karakter van het merendeel van de normen van de Wbp en het lex certa-beginsel wenselijk wordt geacht om de toezichthouder te verplichten om voordat hij een bestuurlijke boete oplegt in verband met het overtreden van een materiële norm, een bindende aanwijzing te geven. De verplichting lijdt alleen dan uitzondering indien de overtreding opzettelijk is gepleegd. Ook bij het opleggen van een bestuurlijke boete in reactie op het overtreden van de administratief-juridische verplichtingen van de Wbp, kan een bindende aanwijzing achterwege blijven. Het niet naleven van deze verplichtingen is nu reeds bestuurlijk beboetbaar; de kenbaarheid en voorzienbaarheid van deze verplichtingen is voldoende verzekerd.

In verband met de introductie van de verplichting voor het Cbp om in de regel een bindende aanwijzing te geven, alvorens een bestuurlijke boete op te leggen is de algemeen geformuleerde delegatiegrondslag van artikel 66, derde lid, zoals deze was opgenomen in het concept zoals dat aan de Afdeling advisering van de Raad van State is voorgelegd, vervallen. Er is geen reden meer om de uitoefening van de bevoegdheid van het Cbp om een bestuurlijke boete op te leggen, aan algemeen verbindende voorschriften te binden.

Met de introductie van ministeriële goedkeuring van de richtsnoeren waarin de toezichthouder uitleg geeft aan de materiële normen waarvan hij de overtreding met een bestuurlijke boete kan bestraffen en de (verplichte) bindende aanwijzing voorafgaand aan het opleggen van een bestuurlijke boete, is een evenwichtig systeem geschapen, dat zowel rekening houdt met de belangen van de normadressaten als met de belangen van een goede en slagvaardige handhaving door een onafhankelijke toezichthouder.

5. Politiegegevens, justitiële en strafvorderlijke gegevens

Het Cbp krijgt de bevoegdheid boetes op te leggen voor overtreding van een groot aantal voorschriften in de Wbp. Die bevoegdheid krijgt het Cbp niet ten aanzien van sectorale wetgeving waarvoor het is aangewezen als toezichthouder: de Wet basisregistratie personen (die mede strekt tot uitvoering van de privacyrichtlijn), de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens. In de toelichting wordt niet aangegeven waarom dit het geval is.

De Afdeling adviseert de toelichting op dit punt aan te vullen.

5. Gegevens basisregistratie personen, politiegegevens, justitiële en strafvorderlijke gegevens

Overeenkomstig het advies is de toelichting aangevuld met de redenen om nu geen uitbreiding van de bestaande bestuurlijke boetebevoegdheid van het Cbp in de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens voor te stellen en om geen bestuurlijke boetebevoegdheid voor het Cbp in de Wet basisregistratie personen te introduceren.

6. Consultatie

De toelichting vermeldt dat over de nota van wijziging overleg is gevoerd met VNO-NCW en MKB Nederland.³¹ Uit de toelichting blijkt niet wat het standpunt is dat VNO-NCW en MKB Nederland hebben ingenomen en wat de uitkomst van het overleg met deze organisaties is geweest.

De Afdeling adviseert de toelichting aan te vullen.

6. Consultatie

Overeenkomstig het advies is de toelichting aangevuld met het standpunt van VNO-NCW en MKB Nederland en met de uitkomst van het overleg dat bij de voorbereiding van de nota van wijziging met deze organisaties is gevoerd.

7. Redactionele kanttekeningen

De Afdeling verwijst naar de bij dit advies behorende redactionele bijlage.

7. Redactionele kanttekeningen

Aan de redactionele kanttekeningen van de Afdeling is gevolg gegeven.

8. Overige wijzigingen

Van de gelegenheid is gebruik gemaakt om in de nota van wijziging een bepaling op te nemen die het voor het College bescherming persoonsgegevens mogelijk maakt om in het maatschappelijke verkeer een naam te gebruiken die meer aansluit bij Europese ontwikkelingen en die tegelijkertijd een einde maakt aan de verwarring met het Centraal Planbureau (CPB). De benaming «Autoriteit persoonsgegevens» maakt aan de verwarring een einde en markeert zowel voor het Cbp als voor de verantwoordelijken waarop het toezicht houdt dat er een fase is ingetreden waarin we toegroeien naar een in Europees verband verdergaand geharmoniseerd systeem van bescherming van persoonsgegevens (zie artikel I, onderdeel Ca, waarin wordt voorgesteld een vierde lid aan artikel 51 Wbp toe te voegen). Daarnaast is de toelichting op enkele plaatsen geactualiseerd.

De Afdeling advisering van de Raad van State geeft U in overweging goed te vinden dat de nota van wijziging niet wordt gezonden aan de Tweede Kamer der Staten-Generaal dan nadat met het vorenstaande rekening zal zijn gehouden.

De vicepresident van de Raad van State,

J.P.H. Donner

Ik moge U, mede namens de Minister van Binnenlandse Zaken en Koninkrijksrelaties, verzoeken in te stemmen met toezending van de hierbij gevoegde gewijzigde nota van wijziging en de gewijzigde toelichting aan de Tweede Kamer der Staten-Generaal.

De Staatssecretaris van Veiligheid en Justitie, F. Teeven

Redactionele bijlage bij het advies van de Afdeling advisering van de Raad van State betreffende no. W03.13.0464/II

• Artikel I, onderdelen D (tweede), E en F verletteren tot E, F en G.

• In artikel I, onderdeel D (tweede), na «artikel 75» invoegen:, eerste lid,.

• In artikel IVa «de EU-verordening algemene gegevensbescherming» wijzigen in: de algemene verordening gegevensbescherming van de Europese Unie.

• In § 7 van de toelichting de indruk wegnemen dat met een redelijke termijn (bij overschrijding waarvan een schadevergoedingsplicht ontstaat) bedoeld wordt: de termijnbepalingen in de Algemene wet bestuursrecht.

---

1 Artikel 65 Wbp; artikel 5:32 van de Algemene wet bestuursrecht (Awb).

2 Artikelen 4, derde lid, 27, 28 en 79, eerste lid, in verbinding met artikel 66 Wbp, en artikel 75 Wbp.

3 Artikel 34a in verbinding met artikel 66, tweede lid, Wbp in het voorstel van wet tot wijziging van de Wet bescherming persoonsgegevens en de Telecommunicatiewet in verband met de invoering van een meldplicht bij de doorbreking van maatregelen voor de beveiliging van persoonsgegevens (meldplicht datalekken), Kamerstukken II 2012/13, 33 662, nr. 2.

4 Artikel 5:20 Awb in verbinding met artikel 66, tweede lid, Wbp in het voorstel van wet meldplicht datalekken.

5 Voorgesteld artikel 66, tweede lid, Wbp.

6 De nota van wijziging verwijst in artikel IVb naar artikel 23, zevende lid, van het Wetboek van Strafrecht zoals voorgesteld in het voorstel van wet verruiming mogelijkheden bestrijding financieel-economische criminaliteit, Kamerstukken II 2012/13, 33 685, nrs. 1–3.

7 Kamerstukken II 2012/13, 33 685, nr. 3, blz. 10.

8 Richtlijn 95/46/EG van het Europees parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, PbEG 1995 L 281.

9 Artikel 79 van het voorstel voor een verordening van het Europees parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (algemene verordening gegevensbescherming), 25 januari 2012, COM(2012) 11 final. De versie zoals geamendeerd door de Commissie Burgerlijke vrijheden, justitie en binnenlandse zaken van het Europees parlement is van 21 november 2013, nr. A7–0402/2013.

10 Toelichting, § 3.2 (Wijzigingen regelgeving bescherming persoonsgegevens).

11 Toelichting, § 5.3 (Verhouding met voorstel Algemene verordening gegevensbescherming).

12 Toelichting, § 4.1 (Lessen uit de evaluatie Wbp).

13 Kamerstukken II 2008/09, 31 700 VI, nr. 69, blz. 6–9.

14 Toelichting, § 5.4 (Toetsing aan de Nota sanctiestelsels, verhouding tussen bestuursrechtelijke en strafrechtelijke handhaving).

15 Een recent voorbeeld is het advies van 20 januari 2012, W12.11.0274, met betrekking tot het voorstel van wet aanscherping handhaving sanctiebeleid SZW-wetgeving (Kamerstukken II 2011/12, 33 207, nr. 4, opmerking 2b).

16 In de toelichting wordt vermeld dat de bestaande reparatoire sancties – of het dreigen daarmee – vaak wel effectief is. Toelichting, § 4.2 (Relatie tussen meldplicht datalekken en uitbreiding boetebevoegdheid Cbp).

17 Bij voorbeeld het advies over de wijziging van de Wet op de kansspelen in verband met de instelling van de kansspelautoriteit, Kamerstukken II 2009/10, 32 264, nr. 4, blz. 1, punt 4b.

18 Kamerstukken I 2009/10, 32 123 VI, I, blz. 4.

19 Zie hierna § 4.

20 In de toelichting worden genoemd de richtsnoeren over identificatie en verificatie van persoonsgegevens in de private sector en de richtsnoeren over beveiliging van persoonsgegevens (toelichting, § 6.1 (Aard van de normering in de Wbp en lex certa-beginsel).

21 Toelichting, § 6.1 (Aard van de normering in de Wbp en lex certa-beginsel).

22 Gerrit-Jan Zwenne, Anne-Wil Duthler e.a., Eerste fase evaluatie Wet bescherming persoonsgegevens, Kamerstukken II 2006/07, 31 051, nr. 1, bijlage, blz. 86–87. H.B. Winter, P.O. de Jong e.a., Wat niet weet, wat niet deert, Kamerstukken II 2008/09, 31 051, nr. 4, blz. 119.

23 In de toelichting wordt gewezen op de bevoegdheid van het Cbp om op verzoek van belanghebbenden zienswijzen te geven over de toepassing van de wettelijke bepalingen en de toetsing van gedragscodes op conformiteit met de Wbp (artikelen 60 en 25 Wbp). Toelichting, § 6.1 (aard van de normering in de Wbp en lex certa-beginsel).

24 Aangenomen moet worden dat dit niet op gespannen voet staat met de door het EU-recht voorgeschreven onafhankelijkheid van het toezicht (zie Hof van Justitie EU 9 maart 2010 (Commissie tegen Duitsland), C-518/07; 16 oktober 2012 (Commissie tegen Oostenrijk), C-614/10) omdat de goedkeuringsbevoegdheid van de Minister in dit geval niet de taakuitoefening van het Cbp zou betreffen (vergelijk artikel 59a Wbp waarin artikel 21 Kaderwet zelfstandige bestuursorganen op die grond is uitgezonderd) maar uitsluitend de materiële normen van de wet waarvan overtreding ingevolge de nota van wijziging beboetbaar wordt. Ook in andere gevallen die door het EU-recht worden bestreken wordt er van uitgegaan dat het EU-recht nationale overheden niet hun bevoegdheden ontnemen om het beleidskader te formuleren waarbinnen de nationale toezichthouders hun taken moeten uitoefenen. Zie Kamerstukken II 2010/11, 32 814, nr. 4, blz. 7–8.

25 Het voorgestelde artikel 66, derde lid, zoals het thans luidt lijkt als grondslag daarvoor te beperkt omdat de tekst van deze bepaling en de in de toelichting gegeven voorbeelden uitsluitend betrekking hebben op de wijze waarop de boetebevoegdheid wordt uitgeoefend.

26 Zie artikel 16 Grondwet, artikel 15 IVBPR en artikel 7 EVRM. Zie voorts artikel 5:4 Awb.

27 Toelichting, § 6.1 (Aard van de normering in de Wbp en lex certa-beginsel).

28 Dat betreft niet alleen artikel 6 (zoals de toelichting aangeeft; § 6.2 (Met een bestuurlijke boete te sanctioneren bepalingen en wettelijk boetemaximum)) maar veel meer bepalingen uit de Wbp. Zie onder meer (maar niet uitsluitend) de zeer algemene verplichtingen van artikel 7, artikel 8 (met name onderdeel f) en artikel 9, eerste lid.

29 De Afdeling heeft deze aanbeveling eerder gedaan, in haar voorlichting aan de Tweede Kamer der Staten-Generaal over de ontwerp-Algemene verordening gegevensbescherming van de Europese Unie, voorlichting van 28 juni 2012, Kamerstukken II 2011/12, 32 761, nr. 32.

30 Onder meer artikel 60ac, tweede lid, van de Gaswet en artikel 77h, tweede lid, van de Elektriciteitswet. In beide gevallen is de bindende aanwijzing niet een voorwaarde voor het opleggen van een bestuurlijke boete, maar een tussenstap voor het opleggen van een last onder dwangsom; de toezichthouder kan deze tussenstap zetten «indien daarvoor naar haar oordeel aanleiding bestaat, gelet op het voorschrift waarop de overtreding betrekking heeft», maar is daar niet toe verplicht.

31 Toelichting, § 9 (Voorbereiding nota van wijziging; advisering College bescherming persoonsgegevens).