33 662 Wijziging van de Wet bescherming persoonsgegevens en enige andere wetten in verband met de invoering van een meldplicht bij de doorbreking van maatregelen voor de beveiliging van persoonsgegevens alsmede uitbreiding van de bevoegdheid van het College bescherming persoonsgegevens om bij overtreding van het bepaalde bij of krachtens de Wet bescherming persoonsgegevens een bestuurlijke boete op te leggen (meldplicht datalekken en uitbreiding bestuurlijke boetebevoegdheid Cbp)

Nr. 15 BRIEF VAN DE STAATSSECRETARIS VAN VEILIGHEID EN JUSTITIE

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 2 februari 2015

In antwoord op het verzoek van uw Kamer van 28 januari jl, doe ik u bijgaand mijn reactie toekomen, mede namens de Minister van Binnenlandse Zaken en Koninkrijksrelaties, op de brief van de Voorzitter van het College bescherming persoonsgegevens (Cbp) van 15 januari 2015.

Het Cbp geeft aan dat de tweede nota van wijziging (Kamerstuk 33 662, nr. 9) aan het opleggen van een bestuurlijke boete door het Cbp, twee voorwaarden verbindt die er elk voor zich en gezamenlijk toe leiden dat de voorgestelde bevoegdheid niet voldoet aan de wens van de Tweede Kamer om het Cbp van krachtiger instrumenten te voorzien die nodig zijn om daadkrachtig op te treden (motie-Recourt c.s, Kamerstuk 32 761, nr. 40).

De eerste voorwaarde betreft het in beginsel verplicht, voorafgaand aan het opleggen van een bestuurlijke boete, geven van een bindende aanwijzing door het Cbp aan de overtreder, waarin het Cbp gemotiveerd aangeeft in hoeverre gedragingen van de verantwoordelijke in strijd zijn met de Wet bescherming persoonsgegevens (Wbp). Nu het in de Wbp over vrijwel de gehele linie gaat om algemeen geformuleerde normen die pas in concrete situaties, afhankelijk van de context, betekenis krijgen, is het gewenst om op het niveau van de formele wet een in beginsel verplichte tussenstap te creëren. Deze houdt in dat het Cbp zijn zienswijze omtrent een geconstateerde overtreding van de Wbp neerlegt in een (voor bezwaar en beroep vatbaar) besluit. Zo bezien «overbrugt» de bindende aanwijzing, in een concreet geval, het zeer wel denkbare verschil van inzicht tussen Cbp en een of meer partijen of wel of niet sprake is van overtreding van de Wbp. In de praktijk zijn dit niet zelden complexe situaties.

Met de bindende aanwijzing als in beginsel verplichte tussenstap, hebben wij het advies van de Afdeling advisering van de Raad van State opgevolgd. De Afdeling wees in haar advies op de spanning die kan ontstaan met het rechtszekerheidsbeginsel (lex certa-beginsel) dat bij door straffen te handhaven bepalingen zwaar weegt. De Afdeling heeft eerder op de verantwoordelijkheid van de wetgever in deze gewezen in de schriftelijke voorlichting die zij op verzoek van uw Kamer heeft uitgebracht over de in voorbereiding zijnde EU-verordening algemene gegevensbescherming (32 761, nr. 32). Om wille van de slagvaardigheid van de handhaving hebben wij desalniettemin gemeend om op het niveau van de formele wet een uitzondering op de tussenstap van de verplichte bindende aanwijzing te maken. Deze uitzondering stelt het Cbp in staat in voorkomende gevallen meteen een bestuurlijke boete op te leggen. Hiervoor is het criterium van het opzettelijk plegen van de overtreding gebruikt. Dit criterium is in de toelichting vrij summier toegelicht. Ter verduidelijking merken wij op dat onder «opzet» en het «opzettelijk» plegen zoveel mogelijk hetzelfde wordt verstaan als in het strafrecht. Dat impliceert dat onder het opzettelijk overtreden van de voorschriften van de Wbp, ook voorwaardelijk opzet wordt begrepen. Om te beoordelen of van voorwaardelijk opzet sprake is, moet – net als in het strafrecht – aan twee vereisten worden voldaan:

• de dader wist of moest weten wat de gevolgen waren; hij was op de hoogte van de aanmerkelijke kans dat de door hem verwerkte persoonsgegevens niet goed beschermd zouden zijn (weten);

• de dader aanvaardde bewust die kans en wilde zijn gedrag uitvoeren (willen);

Met andere woorden: de dader aanvaardde willens en wetens de aanmerkelijke kans dat zijn handelen een bepaald gevolg zou hebben. In de toelichting is een voorbeeld genoemd (commerciële handel in persoonsgegevens voor financieel gewin) dat de betekenis van het opzet-criterium in artikel 66, derde lid, illustreert. Anders dan in het strafrecht, waar opzet veelal een subjectief bestanddeel van een delictsomschrijving is, is het opzet-criterium in het voorstelde artikel 66, derde lid, in een procedurele bepaling vervat. De toepassing van deze bepaling is niet aan strafrechtelijke bewijsvereisten gebonden maar aan bestuursrechtelijke motiveringseisen.

Het Cbp noemt in zijn brief zelf als voorbeeld dat een verantwoordelijke die medische gegevens «vermarkt», zich om de boete te ontlopen slechts op het standpunt te stellen dat de opzet gericht was op het maken van winst en dat de opzet in het geheel niet gericht was op het willens en weten overtreden van de Wbp. Die opvatting van het Cbp is naar onze mijn mening niet juist. In het geschetste voorbeeld overtreedt de verantwoordelijke wel degelijk willens en wetens de Wbp: het overtreden van de Wbp is het middel om winst te maken. Dat zijn uiteindelijke doel is geld te verdienen, betekent niet dat zijn opzet niet (mede) is gericht op het overtreden van de Wbp.

Wij hopen dat de verduidelijking van het opzet-criterium de vrees bij het Cbp zal wegnemen dat de uitzonderingsbepaling niet werkbaar is vanwege een onhaalbare bewijslast en daarmee een dode letter zou zijn.

Voorzover het Cbp meent dat een in beginsel verplichte tussenstap van de bindende aanwijzing niet aansluit bij de aanstaande EU-verordening, merken wij op dat de Afdeling advisering van de Raad van State er in haar voorlichting over de aanstaande EU-verordening op heeft gewezen dat de onbepaaldheid van de normen ertoe zou kunnen leiden dat de procedure die kan leiden tot het opleggen van een bestuurlijke boete moet worden gepreciseerd. De Afdeling merkte hierbij op dat elders in de Nederlandse wetgeving ter uitvoering en handhaving vergelijkbare constructies worden gehanteerd ter uitvoering van Europese regels. Dat is onder andere het geval in de Wet financieel toezicht (art. 4:24a jo. 1:80) en in de Instellingswet ACM (art. 12i en 12m).

De tweede voorwaarde die het Cbp noemt betreft de verplichte ministeriële goedkeuring van de richtsnoeren die het Cbp vaststelt omtrent de uitleg van de normen die door middel van bestuurlijke boetes worden gehandhaafd. Het Cbp is van mening dat dit onderdeel van de tweede nota van wijziging in strijd is met de onafhankelijkheidseis van artikel 28 van de EU-richtlijn 95/46 en de jurisprudentie daarop. Wij menen dat hier wel degelijk ruimte voor is. Het gaat om de uitleg van materiële normen die door het Cbp met behulp van bestuurlijke boetes (bestraffende sancties) worden gehandhaafd. De goedkeuring betreft niet de taakuitvoering van het Cbp¹, doch uitsluitend de uitleg en interpretatie van de algemeen-abstract geformuleerde normen van de Wbp waarmee de grondrechtelijke bescherming van persoonsgegevens op alle terreinen van het maatschappelijk leven gestalte krijgt. De wetsuitleg wordt gegeven in de vorm van «richtsnoeren».² De ministeriële goedkeuring is gewenst omdat voorkomen moet worden dat (nadere) normstelling en bestraffing bij een en hetzelfde, toezichthoudende orgaan komen te liggen. Uit een oogpunt van checks and balances, is in een beslissende betrokkenheid van de voor de wetgeving verantwoordelijke Ministers voorzien. Ook op dit onderdeel hebben wij het advies van de Afdeling advisering van de Raad van State gevolgd. Wellicht ten overvloede zij opgemerkt dat uit de nota van wijziging geen verplichting voor het Cbp voortvloeit om «richtsnoeren» vast te stellen.

Dat het Cbp ook toezicht houdt op de naleving van de Wbp door deze Ministers, staat niet aan het goedkeuringsvereiste in de weg. Van belang daarbij is dat tegen het onthouden van goedkeuring beroep bij de bestuursrechter openstaat. De gronden voor het onthouden van goedkeuring zijn restrictief geformuleerd. Aangezien het onthouden van goedkeuring een uiterste middel is, is niet op voorhand aan te geven in welke gevallen sprake zal zijn strijd met het recht of het algemeen belang. De goedkeuringsprocedure is niet nader ingevuld, de bepalingen van de Awb zijn toereikend. Bestaande richtsnoeren zullen inderdaad ter goedkeuring moeten worden voorgelegd. Sinds 2007 zijn een zestal richtsnoeren gepubliceerd. Het goedkeuringsvereiste heeft geen betrekking op de opinies van de samenwerkende toezichthouders (Artikel 29-werkgroep).

De Staatssecretaris van Veiligheid en Justitie, F. Teeven

---

1 Het gaat in artikel 67 niet om beleidsregels waarmee het Cbp invulling geeft aan zijn toezichthoudende en handhavende bevoegdheden (vgl. beleidsregels handhaving door het Cbp, Stcrt. 2011, 1916) of om beleidsregels waarmee het Cbp invulling zou geven aan het boete(toemetings)beleid om tot evenredige bestraffing te komen.

2 Op de website van het Cbp zijn de volgende richtsnoeren genoemd: Publicatie van persoonsgegevens op internet (2007), Basisscholen en informatieplicht onderwijskundig rapport (2009), De toepassing van ANPR door de politie (2009), Actieve openbaarmaking van overheidsinformatie op internet (2009), Identificatie en verificatie in de private sector («kopietje paspoort») (2012) en Beveiliging van persoonsgegevens (2013).