34 211 EU-voorstel: Strategie voor een digitale eengemaakte markt¹

L VERSLAG VAN EEN NADER SCHRIFTELIJK OVERLEG

Vastgesteld 25 juni 2018

De leden van de vaste commissie voor Justitie en Veiligheid² (voorheen Veiligheid en Justitie) hebben kennisgenomen van de brief van de voormalig Minister van Economische Zaken van 20 september 2017³, waarbij hij een reactie gaf op enkele nadere vragen over het richtlijnvoorstel betreffende bepaalde aspecten van overeenkomsten voor de levering van digitale inhoud⁴ (hierna: richtlijnvoorstel). Naar aanleiding hiervan is op 6 oktober 2017 een brief gestuurd aan de Minister.

De Minister van Economische Zaken en Klimaat heeft op 25 oktober 2017 een uitstelbrief gestuurd.

De Staatssecretaris van Economische Zaken heeft op 25 juni 2018 gereageerd op de brief van 6 oktober 2017.

De commissie brengt bijgaand verslag uit van het gevoerde nader schriftelijk overleg.

De griffier van de vaste commissie voor Justitie en Veiligheid, Van Dooren

BRIEF VAN DE VOORZITTER VAN DE VASTE COMMISSIE VOOR VEILIGHEID EN JUSTITIE

Aan de Minister van Economische Zaken

Den Haag, 6 oktober 2017

De leden van de vaste commissie voor Veiligheid en Justitie hebben met belangstelling kennisgenomen van uw brief van 20 september 2017⁵, waarbij u een reactie geeft op enkele nadere vragen over het richtlijnvoorstel betreffende bepaalde aspecten van overeenkomsten voor de levering van digitale inhoud⁶ (hierna: richtlijnvoorstel). De leden van de VVD-fractie danken u hartelijk voor uw brief en hebben nog de navolgende vragen. De fractieleden van de SP sluiten zich graag aan bij de vragen van de VVD-fractieleden.

Eerder vroegen de VVD-fractieleden nog eens te reflecteren op welke wijze het richtlijnvoorstel en/of de Europese Algemene Verordening Gegevensbescherming (hierna: AVG) erin voorziet dat persoonsgegevens «terugkomen» bij de consument of worden vernietigd als de overeenkomst wordt ontbonden of vernietigd. Het richtlijnvoorstel voorziet er immers in dat consumenten niet alleen met geldmiddelen betalen voor geleverde digitale inhoud, maar ook met hun persoonsgegevens.

Consequenties voor de nakoming van de verbintenis tot ongedaanmaking en vordering uit onverschuldigde betaling

Het valt de leden van de VVD-fractie op dat u de vraag zo heeft opgevat als een vraag naar de consequenties van ontbinding of vernietiging van een overeenkomst voor de grondslag van de gegevensverwerking bij de leverancier als een consument zijn persoonsgegevens heeft verstrekt aan de leverancier. Daar zit echter nog een vraag voor, namelijk de vraag naar de consequenties van ontbinding of vernietiging van een overeenkomst voor de nakoming van de verbintenis tot ongedaanmaking, dan wel de voldoening van de vordering uit onverschuldigde betaling. Als een overeenkomst wordt ontbonden, onstaat er immers een verbintenis tot ongedaanmaking van de geleverde prestaties. Bij ongedaanmaking gaat het om een poging tot benadering van de oude toestand. Het is de bedoeling zoveel mogelijk de toestand te herstellen zoals die bestond voordat de ontbinding plaatsvond. Als een overeenkomst wordt vernietigd, wordt de overeenkomst geacht nimmer te hebben bestaan en is de geleverde prestatie zonder rechtsgrond verricht.

Op zichzelf hoeft het niet heel gecompliceerd te zijn om persoonsgegevens «terug te geven».⁷ Echter, het is zeer aannemelijk dat de leverancier de persoonsgegevens na ontvangst heeft verrijkt met andere gegevens, onderdeel heeft gemaakt van zogenaamde «big data analyses», of heeft verstrekt aan derde partijen die datzelfde op hun beurt ook hebben gedaan. Hoe kan die verbintenis tot ongedaanmaking dan nog worden nagekomen? Moet deze dan alsnog worden gewaardeerd op geld? De persoonsgegevens hadden immers waarde. Deze waarde heeft de leverancier meestal verzilverd, terwijl het om de hiervoor beschreven reden niet meer mogelijk zal zijn om dat terug te draaien en de persoonsgegevens zelf te retourneren. Graag uw onderbouwde reactie op de hier genoemde vragen.

Consequenties voor de grondslag van de gegevensverwerking; toestemming

De vraag die u (wel) beantwoordt in uw brief, betreft zoals gezegd de grondslag van de gegevensverwerking van de leverancier op het moment dat de consument heeft betaald met persoonsgegevens en de overeenkomst wordt ontbonden of vernietigd. Nu schrijft u in uw brief dat als de consument toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens, hij ervan mag uitgaan dat wanneer de consument de overeenkomst ontbindt, hij daarmee ook zijn toestemming intrekt voor de verwerking van zijn persoonsgegevens. Op welke juridische grondslag baseert u deze stelling? Waarom mag de consument daarvan uitgaan? De ontbinding brengt in tegenstelling tot de vernietiging, toch niet met zich dat de grondslag voor de gegevensverwerking komt te vervallen? Waarom gaat u ervan uit dat de toestemming dan wordt ingetrokken? Dat kan in de praktijk mogelijk een juiste veronderstelling zijn, maar is juridisch gezien niet vanzelfsprekend. Als het al terecht is te veronderstellen dat de toestemming wordt ingetrokken, dan moet de consument daar wel wat voor doen. Hij zal zelf actief de toestemming moeten intrekken. Dat kan niet stilzwijgend. Althans, de VVD-fractieleden nemen niet aan dat daar waar een toestemming uitdrukkelijk moet worden gegeven op grond van artikel 7 van de AVG, deze stilzwijgend kan worden ingetrokken. Een veronderstelling van intrekking zoals u die omschrijft, zal dan onvoldoende zijn om consequenties aan te kunnen verbinden. Graag uw onderbouwde reactie op deze vragen en constatering.

Daarnaast, en bovendien, brengt vernietiging van de overeenkomst, in tegenstelling tot ontbinding, wel mee dat de gegeven toestemming komt te vervallen. Vernietiging heeft immers wel terugwerkende kracht. De toestemming heeft dan nooit bestaan. Het komen te vervallen van de grondslag «toestemming» is iets anders dan intrekking van toestemming. De genoemde veronderstelling van intrekking is dan toch niet meer relevant en nodig? Graag uw reactie.

Consequenties voor de grondslag van de gegevensverwerking; uitvoeren van een overeenkomst

Dan nog een opmerking over de gevolgen van ontbinding of vernietiging van een overeenkomst op het moment dat de grondslag «het uitvoeren van een overeenkomst» was. Het ontbinden van een overeenkomst heeft, zoals bekend verondersteld, geen terugwerkende kracht en de grondslag van de uitvoering van een overeenkomst als een rechtmatigheidsgrondslag voor de verwerking van persoonsgegevens komt dan ook niet te vervallen. Wel zijn de gegevens niet langer nodig voor het doel waarvoor ze verstrekt waren, en zullen ze om die reden moeten worden gewist. Maar dat is een andere reden dan die van de intrekking van de toestemming. Graag uw nadere toelichting.

Het valt voorts op dat u ook verder alleen ingaat op de consequenties van de ontbinding van een overeenkomst en niet op de vernietiging van een overeenkomst. De leden van de VVD-fractie verzoeken u ook op deze grond in te gaan. Bent u het ermee eens dat als de overeenkomst wordt vernietigd, daarmee de rechtmatigheidsgrondslag komt te vervallen en de leverancier om die reden de gegevens zal moeten vernietigen? De overeenkomst wordt immers geacht nooit bestaan te hebben. Graag uw reactie.

Samenvattend, de leden van de VVD-fractie verzoeken u uw juridische onderbouwing van de beantwoording van de genoemde gestelde vragen nog eens onder de loep te nemen en een expliciet antwoord op de hierboven geformuleerde en toegelichte vragen te geven.

De leden van de vaste commissie voor Veiligheid en Justitie zien uw reactie met belangstelling tegemoet en ontvangen deze graag uiterlijk 3 november 2017.

Voorzitter van de vaste commissie voor Veiligheid en Justitie A.W. Duthler

BRIEF VAN DE MINISTER VAN ECONOMISCHE ZAKEN

Aan de Voorzitter van de Eerste Kamer der Staten-Generaal

Den Haag, 25 oktober 2018

Hierbij meld ik u dat de beantwoording van de nadere vragen gesteld aan de Minister van Economische Zaken en de Minister van Veiligheid en Justitie over levering van digitale inhoud (kenmerk 159002.17u) niet binnen de gestelde termijn naar uw Kamer kan worden verzonden. De reden hiervoor is de noodzaak tot nader interdepartementaal overleg. De beantwoording zal op zo kort mogelijke termijn alsnog aan uw Kamer toegezonden worden.

De Minister van Economische Zaken, H.G.J. Kamp

BRIEF VAN DE STAATSSECRETARIS VAN ECONOMISCHE ZAKEN EN KLIMAAT

Aan de Voorzitter van de Eerste Kamer der Staten-Generaal

Den Haag, 25 juni 2018

Hierbij beantwoord ik, mede namens de Minister voor Rechtsbescherming, de nadere vragen die de vaste commissie voor Justitie en Veiligheid bij brief van 6 oktober 2017 (kenmerk 159002.17u) gesteld heeft naar aanleiding van mijn eerdere beantwoording van vragen van uw Kamer over het richtlijnvoorstel betreffende bepaalde aspecten van overeenkomsten voor de levering van digitale inhoud en diensten.

Voordat ik de vragen beantwoord, merk ik in algemene zin op dat het richtlijn-voorstel betrekking heeft op de levering van digitale inhoud en diensten aan consumenten. Het voorstel is van toepassing wanneer de levering geschiedt in ruil voor een geldelijke vergoeding of in ruil voor persoonsgegevens.

Volledigheidshalve merk ik op dat de onderhandelingen met het Europees parlement over het richtlijnvoorstel gaande zijn. Bij de beantwoording van de vragen ga ik uit van de tekst van het richtlijnvoorstel waarover de lidstaten medio 2017 in de algemene oriëntatie overeenstemming hebben bereikt.

De leden van de VVD-fractie en de SP-fractie stellen vragen over de gevolgen van (1) de intrekking van toestemming voor de verwerking van persoonsgegevens, (2) ontbinding en (3) vernietiging van de overeenkomst. Dit onderscheid hanteer ik ook bij de beantwoording van hun vragen.

1. Intrekking van toestemming

Allereerst wil ik opmerken dat de nadere uitleg en concrete invulling van het bepaalde in de AVG is voorbehouden aan de toezichthoudende autoriteiten van de verschillende lidstaten, verenigd in het Europees Comité voor Gegevensbescherming (hierna: het Comité). Namens Nederland heeft de Autoriteit Persoonsgegevens hierin zitting. In dit verband wijs ik op richtlijnen die de voorloper van het Comité afgelopen april heeft vastgesteld over de verstrekking en intrekking van toestemming.

De leden van de VVD- en SP-fracties vragen op welke grondslag de stelling uit mijn brief van 20 september 2017 is gebaseerd dat de consument de toestemming voor de verwerking van zijn persoonsgegevens intrekt als hij de overeenkomst ontbindt.

Toestemming dient te worden gegeven door middel van een duidelijke actieve handeling, waaruit blijkt dat de betrokkene vrijelijk, specifiek, geïnformeerd en ondubbelzinnig met de verwerking van zijn persoonsgegevens instemt (art. 7, eerste lid, AVG, zie hierover nader overweging 32 bij de AVG). De leden merken op dat de toestemming voor de verwerking van persoonsgegevens niet stilzwijgend kan worden ingetrokken. Om zijn toestemming in te trekken, moet de consument iets doen, menen zij. Dat onderschrijf ik.

De consument kan de toestemming voor de verwerking van zijn persoonsgegevens te allen tijde intrekken, ook buiten gevallen van beëindiging van een overeenkomst (art. 7, derde lid, Algemene Verordening Gegevensbescherming (hierna: AVG)).

De intrekking van toestemming is vormvrij en dient net zo eenvoudig te zijn als de verstrekking ervan. De inbreng van de consument in de overeenkomst kan bestaan uit de toestemming om zijn persoonsgegevens te verwerken. Als hij de overeenkomst ontbindt, geeft hij daarmee aan dat hij de wederzijdse inbreng in de overeenkomst wil beëindigen. Daaraan inherent is de intrekking van de toestemming voor de verwerking van zijn persoonsgegevens die zijn inbreng in de overeenkomst vormde. Separate intrekking van de toestemming is daarom niet noodzakelijk bij ontbinding van de overeenkomst.

De leden van de VVD- en SP-fracties merken verder op dat vernietiging van de overeenkomst meebrengt dat de toestemming komt te vervallen. De intrekking van de toestemming zou dan niet meer nodig zijn. Als de inbreng van de consument in de overeenkomst bestaat uit de toestemming om zijn persoonsgegevens te verwerken, is bij de vernietiging van de overeenkomst separate intrekking van de toestemming inderdaad niet nodig omdat bij vernietiging achteraf bezien nooit toestemming is verleend. Daarmee heeft er nooit een grondslag voor de verwerking van de persoonsgegevens bestaan.

2. Gevolgen van ontbinding van de overeenkomst

De leden van de VVD- en SP-fractie vragen naar de gevolgen van ontbinding van een overeenkomst voor de nakoming van de zogenoemde verbintenis tot ongedaanmaking.

In de praktijk betekent dit dat partijen moeten teruggeven wat zij hebben ontvangen. Als de levering van digitale inhoud of diensten in ruil voor de verstrekking van persoonsgegevens geschiedt, houdt dit kort gezegd in dat de verkoper de persoonsgegevens en de consument de digitale inhoud of dienst moet teruggeven.

a. Toestemming als verwerkingsgrondslag

Het richtlijnvoorstel bepaalt dat, als de consument persoonsgegevens heeft verstrekt, de verkoper bij ontbinding van de overeenkomst moet voldoen aan de verplichtingen uit de AVG (art. 13 bis, tweede lid, van het richtlijnvoorstel). In de praktijk betekent dit dat de verkoper de verwerking van de persoonsgegevens moet stopzetten. Dit geldt ook voor derden die de persoonsgegevens via de verkoper van de digitale inhoud of dienst hebben ontvangen. Op grond van de AVG mogen persoonsgegevens niet langer worden bewaard dan noodzakelijk is voor het doel waarvoor ze worden verwerkt. Daaruit volgt dat de verkoper en derden de persoonsgegevens na intrekking van de toestemming moeten wissen. Deze verplichting geldt ook als de persoonsgegevens zijn «verrijkt» met andere gegevens, zoals de leden dat duiden.

De verplichtingen van de verkoper en derden ontstaan doordat de consument de toestemming voor de verwerking van zijn persoonsgegevens intrekt als hij de overeenkomst ontbindt (zie par. 1). De nadere uitleg en concrete invulling van deze verplichtingen op grond van de AVG is voorbehouden aan de toezichthoudende autoriteiten van de verschillende lidstaten, verenigd in het Comité.

De verkoper en derden mogen vanaf de ontbinding van de overeenkomst dus geen waarde meer halen uit de persoonsgegevens van de consument. Voorafgaand aan de ontbinding kunnen zij de waarde van de persoonsgegevens echter al hebben «verzilverd», zoals de leden van de VVD- en SP-fracties dat noemen. Hetzelfde geldt overigens voor de consument: hij heeft tot de ontbinding gebruik kunnen maken van de digitale inhoud of dienst. Op de consument rust de verplichting om de digitale inhoud of dienst vanaf de ontbinding niet meer te gebruiken (art. 13 ter, eerste lid). Het voorstel staat toe dat de verkoper verder gebruik daadwerkelijk aan de consument ontzegt (art. 13 bis, vierde lid).

De leden van de VVD- en SP-fracties vragen of de persoonsgegevens bij ontbinding alsnog op geld moeten worden gewaardeerd. De verkoper en derden hoeven bij ontbinding de persoonsgegevens niet op geld te waarderen en dat bedrag aan de consument te betalen, evenmin als de consument dan met geld zou moeten betalen voor het gebruik van de digitale inhoud en dienst voorafgaand aan de ontbinding.

b. De uitvoering van de overeenkomst als verwerkingsgrondslag

De leden van de VVD- en SP-fracties halen de situatie aan van ontbinding van een overeenkomst waarbij persoonsgegevens worden verwerkt omdat de verkoper de overeenkomst anders niet kan uitvoeren. Ook voor die gevallen bepaalt het richtlijnvoorstel dat, als de consument persoonsgegevens heeft verstrekt, de verkoper bij ontbinding van de overeenkomst moet voldoen aan de verplichtingen uit de AVG (art. 13 bis, tweede lid, van het richtlijnvoorstel).

Met deze leden ben ik het eens dat de persoonsgegevens in deze gevallen niet meer mogen worden verwerkt omdat de verwerking niet meer nodig is voor het uitvoeren van de overeenkomst, die immers is ontbonden. De verwerking voorafgaand aan de ontbinding is rechtmatig: die gegevensverwerking was noodzakelijk voor het uitvoeren van de overeenkomst. De toestemming voor de verwerking was niet de inbreng van de consument in de overeenkomst. De verwerking heeft bij de grondslag «uitvoering van de overeenkomst» slechts een faciliterend karakter: de verwerking diende om de overeenkomst te kunnen uitvoeren. Dit in tegenstelling tot het geval waarin de grondslag toestemming is, waarbij de consument zijn persoonsgegevens verstrekt in ruil voor de levering van digitale inhoud of een digitale dienst.

3. Gevolgen van vernietiging van de overeenkomst

Voorts vragen de leden van de VVD- en SP-fracties naar de gevolgen van vernietiging van een overeenkomst voor de voldoening van de zogenoemde vordering uit onverschuldigde betaling.

Bij de vernietiging van een overeenkomst wordt de overeenkomst geacht nooit te hebben bestaan. Zoals de leden van de VVD- en SP-fracties terecht aangeven, moeten partijen proberen de toestand te benaderen van vóór het sluiten van de overeenkomst. Als de levering van digitale inhoud of een dienst is geschied in ruil voor de verstrekking van persoonsgegevens betekent dit – net als bij ontbinding – dat de verkoper de persoonsgegevens en de consument de digitale inhoud of dienst moet teruggeven.

Het richtlijnvoorstel laat vernietiging van overeenkomsten en de gevolgen daarvan over aan het recht van de lidstaten. Ik ben het met de leden eens dat de grondslagen «toestemming» en «uitvoering van de overeenkomst» bij vernietiging van de overeenkomst nooit hebben bestaan. In de praktijk betekent dit dat de verplichtingen voor de verkoper bij vernietiging van de overeenkomst worden ingekleed met de verplichtingen uit de AVG. Dit houdt in dat de verkoper en derden de verwerking van de persoonsgegevens moeten stopzetten en de persoonsgegevens moeten wissen. De verwerking was dan achteraf bezien van meet af aan onrechtmatig. Dit zou alleen anders zijn in de uitzonderlijke situatie dat er een andere geldige grondslag voor de verwerking van de persoonsgegevens zou zijn. In gevallen van onrechtmatige verwerking is ter beoordeling aan de Autoriteit Persoonsgegevens welke gevolgen zij hieraan eventueel verbindt, naast de civielrechtelijke gevolgen van de vernietiging van de overeenkomst voor de partijen.

Ook vóór de vernietiging van een overeenkomst kunnen de verkoper en derden de waarde van de persoonsgegevens al hebben «verzilverd». Hetzelfde geldt voor de consument. Hij heeft tot de vernietiging gebruik kunnen maken van de digitale inhoud of dienst. Per geval moet worden beoordeeld of partijen nog andere verplichtingen hebben naast de verplichting om de verwerking van persoonsgegevens stop te zetten en deze te wissen en de verplichting om de digitale inhoud of dienst terug te geven, of in elk geval niet meer te gebruiken.

De Staatssecretaris van Economische Zaken en Klimaat, M.C.G. Keijzer

---

1 Zie dossier E150042 en E150043 op www.europapoort.nl.

2 Samenstelling:

Engels (D66), vac. (SP), Van Bijsterveld (CDA) (vicevoorzitter), Duthler (VVD) (voorzitter), Ten Hoeve (OSF), Koffeman (PvdD), Strik (GL), Knip (VVD), Backer (D66), Schouwenaar (VVD), Van Strien (PVV), Kok (PVV), Gerkens (SP), Vlietstra (PvdA), Lokin-Sassen (CDA), Bredenoord (D66), Dercksen (PVV), D.J.H. van Dijk (SGP), Van Rij (CDA), Rombouts (CDA), Van de Ven (VVD), Wezel (SP), Bikker (CU), Baay-Timmerman (50PLUS) Van Zandbrink (PvdA), Aardema (PVV), Fiers (PvdA)

3 Kamerstukken I 2017/18, 34 211, K.

4 COM(2015)634; zie voor de behandeling in de Eerste Kamer dossier E150042 op www.europapoort.nl.

5 Kamerstukken I 2017/18, 34 211, K.

6 COM(2015)634; zie voor de behandeling in de Eerste Kamer dossier E150042 op www.europapoort.nl.

7 De vraag is natuurlijk wel welke waarde dat heeft voor de consument. Maar dat terzijde.