34 809 Wijziging van de Wet bescherming persoonsgegevens naar aanleiding van de uitspraak van het Hof van Justitie van de Europese Unie van 6 oktober 2015 (C-362/14) inzake de Veiligehavenbeginselen

Nr. 3 MEMORIE VAN TOELICHTING

I. ALGEMEEN

Strekking van het wetsvoorstel

Dit wetsvoorstel strekt ertoe de Wet bescherming persoonsgegevens (hierna: Wbp) in overeenstemming te brengen met de uitspraak van het Hof van Justitie van de Europese Unie (hierna: HvJEU) van 6 oktober 2015 (C-362/14) inzake de beschikking van de Europese Commissie met betrekking tot de Veiligehavenbeginselen (ook wel: Safe Habour-beschikking). In de brief aan de Voorzitter van de Tweede Kamer van 30 november 2015 (Kamerstukken II 2015/16, 32 317 en 32 761, nr. 363) heeft de Minister van Veiligheid en Justitie u, mede namens de Minister van Binnenlandse Zaken en Koninkrijksrelaties, geïnformeerd over de gevolgen van deze uitspraak voor de doorgifte van persoonsgegevens aan de Verenigde Staten, aan welke oplossingsrichtingen wordt gewerkt en welke gevolgen hij ziet voor de wetgeving op Europees en nationaal niveau. In paragraaf 6.2 van de brief heeft de Minister aangegeven dat de Wbp aanpassing behoeft in verband met de uitleg die het Hof aan de gegevensbeschermingsrichtlijn 95/46¹ (hierna: de richtlijn) geeft, voor zover het de bevoegdheid van de onafhankelijke toezichthoudende autoriteit betreft om, naar aanleiding van een handhavingsverzoek van een burger met betrekking tot de doorgifte van zijn persoonsgegevens naar een land waarvoor de Commissie een toereikendheidsbesluit heeft genomen, een besluit te nemen.

Deze memorie van toelichting wordt mede namens de Minister van Binnenlandse Zaken en Koninkrijksrelaties uitgebracht.

Korte inhoud Hofuitspraak

De uitspraak is gedaan op het verzoek om een prejudiciële beslissing door het Ierse High Court of Justice naar aanleiding van een door de Ierse gegevensbeschermingstoezichthouder afgewezen klacht die was ingediend door de Oostenrijkse student Maximillian Schrems over de rechtmatigheid van de doorgifte van zijn door Facebook verwerkte persoonsgegevens naar de Verenigde Staten. De Ierse toezichthouder (Data Protection Commissioner) had zich onbevoegd verklaard, omdat hij oordeelde dat de Beschikking van de Commissie nr. 2000/520/EG van 26 juli 2000 (PbEG L 215) (Safe Harbour-beschikking), hem de mogelijkheid ontzegde om de klacht op feitelijke juistheid te onderzoeken omdat hij zich moest conformeren aan het oordeel van de Commissie. Daarop heeft Schrems zich tot de rechter gewend en heeft vervolgens het Ierse High Court prejudiciële vragen gesteld aan het HvJEU. Het Hof heeft de Safe Harbour-beschikking – die een belangrijke grondslag vormde voor de doorgifte van persoonsgegevens van de Europese Unie naar de Verenigde Staten – ongeldig verklaard omdat deze onvoldoende waarborgen biedt voor een passend beschermingsniveau van de persoonsgegevens van EU-burgers in de Verenigde Staten.

Inhoud van de aanpassing

Voor zover de uitspraak van het HvJEU aanpassing van de Wbp noodzakelijk maakt, betreft het de uitleg van artikel 28 van de richtlijn, gelezen in samenhang met artikel 8, derde lid, van het Handvest van de Grondrechten in relatie tot de artikelen 25 en 26 van de richtlijn (bepalingen over doorgifte van persoonsgegevens naar derde landen).

Het Hof heeft artikel 28, derde lid, derde gedachtestreepje, van de richtlijn, gelezen in samenhang met artikel 8, derde lid, van het Handvest van de Grondrechten, in rechtsoverweging 65 van het Schrems-arrest zo uitgelegd dat de nationale gegevensbeschermingstoezichthouder de bevoegdheid moet hebben om de nationale rechter te benaderen indien een belanghebbende bij de toezichthouder een klacht indient over de onrechtmatigheid van de doorgifte van zijn persoonsgegevens naar een land ten aanzien waarvan de Commissie op grond van artikel 25, zesde lid, van de richtlijn, een toereikendheidsbesluit heeft genomen, en de belanghebbende daarbij aanvoert dat de desbetreffende beslissing geen passend beschermingsniveau waarborgt en ook de toezichthouder de geldigheid van de Commissiebeschikking in twijfel trekt.

De nationale wetgever moet er in zo’n geval voor zorgen dat de toezichthouder de klacht inzake de ongeldigheid van de Commissiebeschikking aan de nationale rechter kan voorleggen, zodat die laatste, wanneer hij de twijfel ten aanzien van de geldigheid van de Commissiebeschikking deelt, de vraag naar de geldigheid ervan prejudicieel kan verwijzen. De reden hiervoor is dat het in een dergelijke zaak om de geldigheid van een handeling van de Unie gaat en alleen het Hof van Justitie van de Europese Unie bevoegd is om bindende EU-besluiten ongeldig te verklaren. Met het oog daarop zijn nationale rechters verplicht om de behandeling van een zaak waarin zij van oordeel zijn dat een of meer door partijen aangevoerde of, in voorkomend geval, ambtshalve opgeworpen middelen van ongeldigheid van een handeling van de Unie gegrond zijn, de behandeling van de zaak te schorsen en bij prejudiciële verwijzing het Hof te verzoeken om beoordeling van de geldigheid van de handeling (zie HvJEU T&L Sugars en Sidul Açúcares/ Commissie, C-456/13P, EU:C:2015:284, punt 48 en aldaar aangehaalde rechtspraak).

Het Nederlandse recht voorziet op dit moment niet in een dergelijke mogelijkheid voor de nationale gegevensbeschermingstoezichthouder. Dit hangt samen met de wijze waarop artikel 28 van de huidige richtlijn bij de implementatie ervan – nu meer dan vijftien jaar geleden – is geïnterpreteerd en in nationaal recht is omgezet. Toentertijd is niet voorzien dat de handhavende taak van de nationale gegevensbeschermingstoezichthouder inzake gegevensdoorgifte naar derde landen zou kunnen worden bemoeilijkt door kwesties omtrent de geldigheid van daaraan te grondslag liggende Commissiebesluiten.²

Implementatie van de richtlijn in de huidige wetgeving

Artikel 28 van de richtlijn gaat over nationale gegevensbeschermingstoezichthouders en hun bevoegdheden om ambtshalve of op verzoek van een belanghebbende onderzoek te doen naar de verwerking van persoonsgegevens overeenkomstig het bij of krachtens de wet bepaalde. Artikel 24 van de richtlijn verplicht de lidstaten tot het nemen van passende maatregelen om de onverkorte toepassing van de richtlijn te garanderen en met name de sancties vast te stellen die gelden bij inbreuk op de ter uitvoering van deze richtlijn vastgestelde bepalingen.

Artikel 28, vierde lid, van de richtlijn bepaalt onder andere dat «een ieder» in eigen persoon of door middel van een vereniging die als zijn vertegenwoordiger optreedt bij elke toezichthoudende autoriteit een verzoek kan indienen met betrekking tot de bescherming van zijn rechten en vrijheden in verband met de verwerking van zijn persoonsgegevens en dat hij van het gevolg dat daaraan wordt gegeven in kennis wordt gesteld. Artikel 28, vierde lid, is geïmplementeerd in artikel 60 Wbp, jo. artikel 1:2 Awb en artikel 51, eerste lid, van de Wbp.

Deze bepalingen kennen de Autoriteit persoonsgegevens de bevoegdheid toe om ambtshalve of op verzoek van een belanghebbende een onderzoek in te stellen naar de wijze waarop ten aanzien van gegevensverwerking toepassing wordt gegeven aan het bepaalde bij of krachtens de wet. Onder omstandigheden kan ook onderzoek worden gedaan naar het recht van een ander land van de Europese Unie indien dat op de gegevensverwerking van toepassing is. Als belanghebbende in de zin van artikel 1:2, derde lid, Awb kunnen ook rechtspersoonlijkheid bezittende belangenorganisaties worden aangemerkt indien zij krachtens hun doelstellingen en blijkens hun feitelijke werkzaamheden algemene en collectieve belangen behartigen.

Daarnaast schrijft artikel 28, derde lid, voor dat elke lidstaat bepaalt dat één of meer autoriteiten worden belast met het toezicht op de toepassing op zijn grondgebied van de ter uitvoering van de richtlijn door de lidstaten vastgestelde bepalingen, dat deze toezichthoudende autoriteiten de hun opgedragen taken in volledige onafhankelijkheid vervullen en dat zij een aantal nader omschreven bevoegdheden moeten hebben. Artikel 28, derde lid, eerste tot en met derde gedachtestreepje, van de richtlijn noemt met name de volgende bevoegdheden:

• onderzoeksbevoegdheden, zoals het recht op toegang tot gegevens die het voorwerp vormen van een verwerking en het recht alle inlichtingen in te winnen die voor de uitoefening van haar toezichtstaak noodzakelijk zijn;

• effectieve bevoegdheden om in te grijpen, zoals bijvoorbeeld de bevoegdheid om voorafgaand aan de uitvoering van de verwerking advies uit te brengen overeenkomstig artikel 20, en te zorgen voor een passende bekendmaking van deze adviezen of de bevoegdheid om afscherming, uitwissing of vernietiging van gegevens te gelasten, dan wel een verwerking voorlopig of definitief te verbieden of de bevoegdheid tot de voor de verwerking verantwoordelijke een waarschuwing of berisping te richten of de bevoegdheid de nationale parlementen of andere politieke instellingen in te schakelen.

• de bevoegdheid om in rechte op te treden in geval van inbreuken op de ter uitvoering van de richtlijn vastgestelde nationale bepalingen, of om die inbreuken onder de aandacht van het gerecht te brengen.

Voorts bepaalt artikel 28, derde lid, tweede alinea, van de richtlijn dat tegen beslissingen van de toezichthoudende autoriteit beroep bij de rechter kan worden aangetekend. Deze bepaling moet worden gezien in samenhang met artikel 47 van het Handvest van de Grondrechten (zie rechtsoverweging 64 van het Schrems-arrest). In het Nederlandse recht staat tegen besluiten van de Autoriteit persoonsgegevens voor de belanghebbende bezwaar en beroep open (artikel 45 Wbp jo. de toepasselijke Awb-bepalingen). Ook wordt een beslissing op een verzoek van een belanghebbende, gericht tot de Autoriteit, om wegens overtreding van de wettelijke voorschriften inzake verwerking van persoonsgegevens handhavend op te treden, in de rechtspraak aangemerkt als een besluit in de zin van de Awb waartegen op de gebruikelijke bestuursrechtelijke wijze kan worden opgekomen (vgl. Rechtbank Amsterdam 26 maart 2014, ECLI:NL:RBAMS:2014:2313).³ Zoals hiervoor al aan de orde kwam, zal de bestuursrechter – wanneer hij oordeelt over een tegen een handhavingsbesluit van de Autoriteit persoonsgegevens met betrekking tot een gegevensdoorgifte naar een derde land ingesteld beroep – prejudiciële vragen kunnen stellen aan het HvJEU indien hij twijfel heeft over de geldigheid van een onderliggend Commissiebesluit.

Het eerste gedachtestreepje van artikel 28, derde lid, is geïmplementeerd in artikel 61 van de Wbp jo. titel 5.2 van de Algemene wet bestuursrecht (Awb), over toezicht op de naleving en toezichtsbevoegdheden (met o.a. de bevoegdheid om plaatsen, met uitzondering van een woning, te betreden, inlichten en inzage in zakelijke gegevens en bescheiden te vorderen, onderzoek van zaken en vervoermiddelen). Voorts is een algemene medewerkingsplicht geregeld in artikel 5:20, eerste lid, Awb. In artikel 61, tweede lid, Wbp is een aanvullende bevoegdheid opgenomen (bevoegdheid om een woning zonder toestemming van de bewoner te betreden).

Het tweede gedachtestreepje van artikel 28, derde lid, van de richtlijn – dat de nodige keuzemogelijkheden aan de nationale wetgever laat – is geïmplementeerd in de artikelen 31 en 32 Wbp (voorafgaand onderzoek door de AP bij verwerkingen met bijzondere risico’s) en artikel 65 Wbp jo. artikel 5:32 Awb. Laatstgenoemde artikelen betreffen de bevoegdheden van de AP om bij overtreding van de wettelijke voorschriften een herstelsanctie aan de gegevensverwerkende partij op te leggen (een last onder bestuursdwang of een last onder dwangsom).

Het derde gedachtestreepje van artikel 28, derde lid, van de richtlijn regelt dat toezichthouders de bevoegdheid moeten hebben «om in rechte op te treden in geval van inbreuken op ter uitvoering van de richtlijn vastgestelde bepalingen, of om die inbreuken onder de aandacht van het gerecht te brengen». Ook deze bepaling laat de nationale wetgever een keuzevrijheid. In Nederland is deze bepaling niet afzonderlijk geïmplementeerd in de Wbp. Zoals in de eerdergenoemde brief van 20 november 2015 is vermeld is het derde gedachtestreepje zodanig geïnterpreteerd dat de Autoriteit persoonsgegevens via het doen van aangifte bij het openbaar ministerie (een (hulp)officier van justitie) de meest ernstige overtredingen van de Wbp via de strafrechtelijke weg aan de rechter kan voorleggen (vgl. artikelen 161 en 162 van het Wetboek van Strafvordering). Uit een in 2010 door het Europees Grondrechtenagentschap ingesteld onderzoek naar de rol van de nationale gegevensbeschermingstoezichthouders blijkt dat vrijwel alle toezichthouders de bevoegdheid hebben om een zaak te verwijzen naar de politiële of justitiële autoriteiten. Ongeveer de helft geeft aan de zaak rechtstreeks te kunnen aanbrengen bij de justitiële autoriteiten.⁴ Tot op heden werd verondersteld dat hiermee aan de Europeesrechtelijke eisen werd voldaan, maar de uitspraak van het Hof laat zien dat de interpretatie van deze bepaling een belangrijke nuancering verdient, gericht op versterking van de bevoegdheid van de nationale toezichthouders in de context van de doorgifte van persoonsgegevens naar landen buiten de Europese Unie. Dit wetsvoorstel met het nieuw voorgestelde artikel 78a Wbp komt hieraan tegemoet.

Het nieuwe wettelijke EU-kader inzake bescherming persoonsgegevens

Op 27 april 2016 zijn de Algemene verordening gegevensbescherming⁵ (hierna: AVG) en de Richtlijn gegevensbescherming opsporing en vervolging tot stand gekomen.⁶ Beide regelingen bevatten een bepaling die als «rechtsopvolger» van het huidige artikel 28, derde lid, derde gedachtestreepje. kunnen worden gezien. Artikel 58, vijfde lid, AVG bepaalt: «Elke lidstaat bepaalt bij wet dat zijn toezichthoudende autoriteit bevoegd is inbreuken op deze verordening ter kennis van de gerechtelijke autoriteiten te brengen en, waar passend, daartegen een rechtsvordering in te stellen of anderszins in rechte op te treden, teneinde de bepalingen van deze verordening te doen naleven.» Artikel 47, vijfde lid, van de Richtlijn gegevensbescherming opsporing en vervolging bepaalt: «Elke lidstaat voorziet erin bij wet dat elke toezichthoudende autoriteit de bevoegd heeft om inbreuken op deze richtlijn ter kennis van de rechterlijke autoriteiten te brengen en, waar passend, een rechtsvordering in te stellen of anderszins in rechte op te treden teneinde deze richtlijn te doen naleven». Wat opvalt is dat de AVG over «rechterlijke autoriteiten» spreekt en de Richtlijn over «gerechtelijke» autoriteiten. Aangenomen wordt dat geen ander begrip wordt beoogd. In vergelijking met de huidige bepaling staat de bevoegdheid van de nationale toezichthouder om aangifte te doen (van een strafbaar feit) bij de gerechtelijke of rechterlijke autoriteiten voorop.

Het tweede deel van de bepalingen geeft aan dat «waar passend» aan de Autoriteit (ook) de bevoegdheid moet worden toegekend tot het instellen van een rechtsvordering of om anderszins in rechte op te treden teneinde de verordening of de richtlijn te doen naleven. De voorziening die nu in de Wbp wordt voorgesteld (het nieuwe artikel 78a) zal daartoe in de uitvoerings- c.q. implementatiewetgeving met betrekking tot de AVG en de Richtlijn gegevensbescherming opsporing en vervolging als een specifieke invulling van de artikelen 58, vijfde lid, AVG en 47, vijfde lid, Richtlijn gegevensbescherming opsporing en vervolging worden gecontinueerd. Op het punt van de doorgifte van persoonsgegevens naar derde landen kenmerkt de verordening zich door continuïteit ten opzichte van de huidige richtlijn. De verordening spreekt over doorgiften van persoonsgegevens op basis van «adequaatheidsbesluiten» (in plaats van toereikendheidsbesluiten) aan een derde land of een internationale organisatie (artikel 45 AVG). Voor de Richtlijn gegevensbescherming opsporing en vervolging is een doorgifte naar een derde land of internationale organisatie op basis van een adequaatheidsbesluit een nieuw instrument (artikel 36). De procedure van artikel 78a Wbp zal (via «indien-bepalingen») zowel in de Uitvoeringswet AVG als de Implementatiewet voor de strafrechtelijke gegevensbeschermingsrichtlijn worden opgenomen.

Adviezen

Het wetsvoorstel is om advies toegezonden aan de Raad voor de rechtspraak, de Afdeling bestuursrechtspraak van de Raad van State en de Autoriteit persoonsgegevens (hierna ook: AP)⁷. De Afdeling bestuursrechtspraak van de Raad van State en de Autoriteit persoonsgegevens hebben tamelijk uitgebreid gereageerd op het conceptwetsvoorstel. Hun opmerkingen betroffen de keuze voor een bevoegde rechter c.q. de aard van de procedure, de verenigbaarheid met de vereisten van de prejudiciële procedure en het Awb-procesrecht. De AP verbond een negatief dictum aan het advies omdat de voorgestelde procedure wat haar betreft geen effectieve oplossing is om aan het Schrems-arrest te voldoen. Op het eerste en tweede onderwerp gaan wij hieronder in. De procesrechtelijke opmerkingen zijn verwerkt en worden in het artikelsgewijze deel toegelicht. Aan de juridisch-technische opmerking van de Raad voor de rechtspraak is gevolg gegeven. Het voorstel gaf de Raad voor de rechtspraak voor het overige geen aanleiding tot het maken van opmerkingen.

De Afdeling bestuursrechtspraak geeft aan de keuze voor de bestuursrechter als bevoegde rechter te begrijpen. Zij heeft wel opmerkingen over de vormgeving van de procedure. Zo wijst zij erop dat de bevoegdheid tot het stellen van prejudiciële vragen niet exclusief bij de Afdeling bestuursrechtspraak komt te liggen, namelijk voor zover de AP geen twijfel heeft over de geldigheid van het besluit van de Europese Commissie dat aan de gegevensdoorgifte ten grondslag ligt en er «gewoon» een handhavingsbesluit wordt genomen. In dat geval zou in latere procedures alsnog bij de rechtbank twijfel kunnen rijzen over de geldigheid van het betreffende Commissiebesluit. Wij delen deze constatering van de Afdeling, maar merken in reactie hierop op, dat het niet onze bedoeling is om de bevoegdheid tot het stellen van prejudiciële vragen ten aanzien van de bedoelde Commissiebesluiten exclusief bij de Afdeling te leggen. Zoals wij hieronder verduidelijken beogen wij het bestaande systeem zoveel mogelijk ongewijzigd te laten. De suggestie van de Afdeling om haar wel exclusief bevoegd te maken inzake het stellen van prejudiciële vragen ten aanzien van de bedoelde Commissiebesluiten door de beroepen in zaken betreffende handhavingsbesluiten inzake gegevensdoorgiften van de AP bij haar te concentreren dan wel de rechtbank een verwijzingsbevoegdheid te geven om het geding naar haar te verwijzen, gaat ons inziens verder dan uit het Schrems-arrest volgt.

Zowel de AP als de Afdeling bestuursrechtspraak vroegen om aandacht te schenken aan alternatieve procedures om aan het Schrems-arrest te voldoen. De AP suggereert in dat verband de mogelijkheid om de AP de bevoegdheid te geven om een actie uit onrechtmatige daad bij de civiele rechter in te stellen, tegen de vermeende overtreder (de partij die in strijd met wettelijke voorschriften persoonsgegevens doorgeeft of heeft doorgegeven aan een derde land). De Afdeling doet twee suggesties voor een alternatieve procedure. Ten eerste een procedure waarbij de AP de bevoegdheid krijgt om de Afdeling bestuursrechtspraak te verzoeken om voor recht te verklaren dat de doorgifte naar een bepaald land buiten de Europese Unie niet mag worden gebaseerd op het voor dat land geldende toereikendheidsbesluit omdat dat besluit van de Europese Commissie ongeldig is. Ten tweede een procedure, bij de Afdeling bestuursrechtspraak, die vergelijkbaar is met die in artikel 94 van de Vreemdelingenwet 2000 neergelegde procedure die ziet op vreemdelingenbewaring.

Vanzelfsprekend hebben wij bij de voorbereiding van het wetsvoorstel alternatieve procedures in de overwegingen betrokken. Uitgangspunten zijn voor ons geweest:

• a. geen afbreuk te doen aan het (besluitvormings)primaat van de AP als handhavende instantie op gegevensbeschermingsterrein;

• b. het bestaande systeem inzake prejudiciële vragen zoveel mogelijk ongewijzigd te laten, en

• c. de wens om verzoeken van de AP – indien zij in het kader van een handhavingsbesluit inzake doorgifte van persoonsgegevens naar een derde lid, twijfelt over de geldigheid van een voor doorgifte relevant besluit van de Europese Commissie, door één en dezelfde rechter (en niet door verschillende rechtbanken) te laten behandelen en beslissen.

Deze drie uitgangspunten rechtvaardigen ons inziens een keuze voor een verzoekschriftprocedure, zoals in artikel 78a Wbp is vormgegeven, waarbij de AP, hangende een handhavingsbesluit inzake doorgifte van persoonsgegevens aan een derde land, aan de Afdeling bestuursrechtspraak kan vragen om prejudiciële vragen te stellen aan het HvJEU over de geldigheid van een voor de desbetreffende doorgifte relevant besluit van de Europese Commissie.

Een procedure die een actie van de AP uit onrechtmatige daad mogelijk zou maken tegen de vermeende overtreder, lijkt ons niet aan deze uitgangspunten te beantwoorden. Het gaat er ons immers om dat de AP, in overeenstemming met het Schrems-arrest, een (extra) bevoegdheid krijgt om haar (bestuursrechtelijke) handhavende taak beter te kunnen uitoefenen. Uit het Schrems-arrest blijkt dat die taak bemoeilijkt kan worden door stellingen (grieven) van partijen die – in een bij de AP ingediend verzoek om handhaving – de geldigheid van een voor de desbetreffende doorgifte aan een derde land relevante EU-besluit inzake gegevensbescherming, in twijfel trekken. Niet valt in te zien dat het creëren van een – nieuwe – bevoegdheid van de AP om in civielrechtelijke zin op te treden tegen de vermeende overtreder (de partij die stelt dat hij bij de doorgifte van persoonsgegevens aan een derde land, in overeenstemming met een relevant EU-besluit handelt) de oplossing daarvoor zou zijn. Daarmee wordt de handhaving door de AP (deels) verlegd naar het civiele recht, hetgeen een verzwaring van de werklast van de AP zou betekenen en het risico op tegenstrijdige uitspraken zou vergroten.

De Afdeling bestuursrechtspraak suggereerde – bij wijze van alternatief – een procedure waarbij de AP de bevoegdheid krijgt om de Afdeling bestuursrechtspraak te verzoeken om voor recht te verklaren dat de doorgifte van persoonsgegevens naar een bepaald land buiten de Europese Unie niet mag worden gebaseerd op een bepaald toereikendheidsbesluit, omdat dat toereikendheidsbesluit ongeldig is. In het kader van de behandeling van dat verzoek van de AP zou de Afdeling bestuursrechtspraak, indien zij twijfelt over de geldigheid van de toereikendheidsbeslissing, daarover prejudiciële vragen kunnen stellen aan het HvJEU. Deze suggestie, om het verzoek van de Autoriteit persoonsgegevens te richten op de verkrijging van een «verklaring voor recht», hebben wij binnen het kader van artikel 78a (een bij de AP aanhangig handhavingsverzoek) opgevolgd, derhalve niet als zelfstandige procedure zoals de Afdeling lijkt te suggereren.

Ook is de verklaring voor recht in het wetsvoorstel niet toegespitst op een «verbod» om de desbetreffende doorgifte op een bepaald Commissiebesluit te baseren, maar op de geldigverklaring van het desbetreffende Commissiebesluit. Dit lijkt ons logischer vanuit de systematiek van de verhouding tussen de nationale rechter en het HvJEU. Zolang een Commissiebesluit door het HvJEU niet ongeldig is verklaard mogen de lidstaten en hun organen geen maatregelen treffen die met een Commissiebesluit in strijd zijn, zoals handelingen die tot doel hebben om dwingend vast te stellen dat het derde land waarop het besluit beschikking ziet, geen waarborgen voor een passend beschermingsniveau biedt (zie r.o. 52 Schrems-arrest).⁸ Het zesde lid van artikel 78a is erop gericht om de Afdeling een uitspraak te laten doen over de door de AP gevraagde verklaring voor recht. De Afdeling kan de verklaring voor recht – dat het aan haar voorgelegde Commissiebesluit geldig is – uitspreken, al dan niet na prejudiciële verwijzing aan het HvJEU. Voor prejudiciële verwijzing kan reden zijn indien de Afdeling twijfelt over de geldigheid van het voorgelegde besluit (zie de bovenaangehaalde rechtsoverweging uit het Schrems-arrest) en er geen sprake is van gewijzigde omstandigheden waardoor het belang aan de aan haar voorgelegde zaak is komen te ontvallen.⁹ De ongeldigverklaring van het aan haar voorgelegde Commissiebesluit kan zij alleen uitspreken, na prejudiciële verwijzing aan het HvJEU.

Meer in het algemeen geldt dat wij ons bij de vormgeving van de procedure ook hebben laten inspireren door de Duitse Schrems-bepaling zoals deze is opgenomen in het regeringsvoorstel voor uitvoering en implementatie van de AVG en de Gegevensbeschermingsrichtlijn opsporing en vervolging dat inmiddels door de Bondsdag is aangenomen.¹⁰

Met de verklaring voor recht is de voorgestelde procedure naar ons oordeel verenigbaar met de vereisten die het Hof van Justitie stelt aan de bevoegdheid tot het stellen van prejudiciële vragen (vgl. artikel 267 VWEU¹¹). Zowel de Afdeling bestuursrechtspraak als de AP vonden dat het conceptwetsvoorstel, dat bij toe- of afwijzing van een verzoek van de AP om prejudiciële vragen te stellen over de geldigheid van het desbetreffende Commissiebesluit, uitging van een einduitspraak van de Afdeling bestuursrechtspraak, twijfel over de verenigbaarheid met het Unierecht opriep. Door de verzoekschriftprocedure van de AP te richten op het verkrijgen van een «verklaring voor recht» en de partijen die in de handhavingszaak bij de AP tegenover elkaar staan, als partij in de procedure bij de Afdeling aan te merken (vijfde lid), is ons inziens sprake van een daadwerkelijk geding bij de Afdeling bestuursrechtspraak.

De (tweede) suggestie van de Afdeling voor een alternatieve procedure, met daarin een ambtshalve rol voor de AP indien partijen geen bezwaar en beroep instellen tegen een handhavingsbesluit van de AP, lijkt ons in de context van het gegevensbeschermingsrecht minder op z’n plaats. De procedure van artikel 94 Vw2000 betreft de vreemdelingenbewaring waarvoor geldt dat ingevolge het Europese recht (artikel 5, vierde lid, EVRM) in alle gevallen moet zijn verzekerd dat een besluit van de Minister van Veiligheid en Justitie omtrent vrijheidsontneming van een vreemdeling aan de (bestuurs)rechter wordt voorgelegd.

Zoals de AP terecht opmerkte, moet de procedure ook van toepassing zijn op (goedkeurende) besluiten van de Europese Commissie inzake modelcontractbepalingen die een passend niveau van gegevensbescherming verzekeren (artikel 26, vierde lid, richtlijn).

Uitvoerings- en financiële gevolgen

Gelet op het bijzondere karakter en de beperkte reikwijdte van de met dit wetsvoorstel te creëren procedure worden geen gevolgen voor de werklast van de AP of die van de Afdeling bestuursrechtspraak voorzien. Hierbij dient in aanmerking genomen te worden dat de totstandkoming van Commissiebesluiten inzake gegevensbescherming op Europees niveau van waarborgen is voorzien (totstandkoming via de gebruikelijke Comitéprocedure, advisering door gezamenlijke gegevensbeschermingstoezichthouders).¹² Verder houdt de Commissie doorlopend toezicht op de ontwikkelingen in derde landen en internationale organisaties die mogelijk gevolgen hebben voor de bedoelde besluiten (artikel 45 AVG lid 4) en gaat zij zo nodig – indien het derde land of internationale organisatie niet langer een passend beschermingsniveau waarborgt – tot intrekking, schorsing of wijziging van het desbetreffende besluit over. Tegen deze Commissiebesluiten staat – rechtstreeks – vernietigingsberoep open voor o.a. lidstaten, het Europees parlement en natuurlijke of rechtspersonen indien de handeling tot hem gericht is of hem rechtstreeks en individueel raakt (artikel 263 VWEU).¹³

II. ARTIKELSGEWIJS

Artikel I, artikel 78a

Eerste lid

Het nieuw voorgestelde eerste lid van artikel 78a maakt het voor de Autoriteit persoonsgegevens mogelijk om in gevallen waarin het op verzoek van een belanghebbende een onderzoek heeft ingesteld betreffende doorgifte van persoonsgegevens naar een land buiten de Europese Unie en de Autoriteit gegronde redenen heeft om aan te nemen dat een door de Commissie van de Europese Unie genomen toereikendheidsbesluit of een goedkeurend besluit inzake modelcontractbepalingen onvoldoende waarborgen biedt voor een passend beschermingsniveau, bij de Afdeling bestuursrechtspraak van de Raad van State een verzoek in te dienen om voor recht te verklaren dat het desbetreffende Commissiebesluit geldig is. Indien de Afdeling de twijfel over de geldigheid deelt, stelt zij een prejudiciële vraag aan het HvJ EU op grond van artikel 267 VWEU (zesde lid, tweede volzin). Voor deze vormgeving is gekozen omdat de nationale rechter wel bevoegd is om de geldigheid van een Uniehandeling, zoals een Commissiebesluit, te onderzoeken, maar niet bevoegd is om zelf de ongeldigheid van een dergelijke handeling vast te stellen (zie rechtsoverweging 62 van het Schrems-arrest en de daar aangehaalde arresten Foto-Frost, 314/85, EU:C:1987:452, punten 15–20, en IATA en ELFAA, C-344/04, EU:C:2006:10, punt 27). Zoals het HvJEU in rechtsoverweging 65 van het Schrems-arrest overweegt, is de nationale rechter, indien hij de twijfel over de geldigheid van de toereikendheidsbesluit deelt, verplicht om de zaak prejudicieel te verwijzen omdat alleen het HvJEU de geldigheid van een Uniehandeling kan vaststellen.

Het eerste lid bepaalt dat de Autoriteit persoonsgegevens gegronde redenen moet hebben om een dergelijk verzoek aan de Afdeling bestuursrechtspraak te richten. Uit rechtsoverwegingen 64 en 65 van het Schrems-arrest volgt dat de Autoriteit deze weg alleen kan bewandelen indien zij de tegen het desbetreffende Commissiebesluit geuite grieven van de belanghebbende omtrent de ongeldigheid ervan gegrond acht. Indien de Autoriteit de tegen het desbetreffende Commissiebesluit geuite grieven niet gegrond acht, dan dient zij op de gebruikelijke wijze een besluit te nemen op het handhavingsverzoek van de belanghebbende. De Autoriteit is dan niet bevoegd om ingevolge het eerste lid een verzoek aan de Afdeling bestuursrechtspraak te richten. De belanghebbende kan vervolgen op de gebruikelijke wijze opkomen tegen het besluit van de Autoriteit waarbij van de geldigheid van het desbetreffende Commissiebesluit wordt uitgegaan (bezwaar, beroep bij de rechtbank en hoger beroep bij de Afdeling bestuursrechtspraak). Het voorgestelde artikel 78a sluit niet uit dat de rechtbank dan wel de Afdeling in die procedure de vraag naar de geldigheid van het desbetreffende Commissiebesluit alsnog prejudicieel verwijst. Wel is ook in die situatie uiteraard vereist dat de nationale rechter twijfel heeft over de geldigheid van het Commissiebesluit.¹⁴ Het is, voor alle duidelijkheid, niet de bedoeling van artikel 78a om de Afdeling bestuursrechtspraak exclusief bevoegd te maken om prejudiciële vragen te stellen over de geldigheid van Commissiebesluiten inzake gegevensbescherming.

De voorziening van het eerste lid is beperkt tot door de Europese Commissie genomen toereikendheidsbesluiten ex artikel 25, zesde lid, en goedkeurende besluiten inzake modelcontractbepalingen ex artikel 26, vierde lid, van de richtlijn.

Keuze voor Afdeling bestuursrechtspraak Raad van State

Gekozen is voor de Afdeling bestuursrechtspraak nu het hier een zeer specifiek geval betreft dat zich enkel kan voordoen in een zaak die de handhaving van de Wbp betreft. Het hoger beroep in dergelijke handhavingszaken is aan de Afdeling bestuursrechtspraak opgedragen. De Afdeling bestuursrechtspraak beschikt daarmee over de nodige ervaring en expertise in deze zaken. Door het beleggen van de beslissing bij een van de hoogste bestuursrechters is daarnaast geen noodzaak om te voorzien in de mogelijkheid van hoger beroep tegen een tussenuitspraak (vgl. artikel 8:104 Awb). De keuze voor de Afdeling bestuursrechtspraak (en niet voor een bepaalde rechtbank of verschillende rechtbanken) bewerkstelligt dat er snel een uitspraak kan komen van het Hof van Justitie en daarna van de Afdeling, met inachtneming waarvan de Autoriteit persoonsgegevens haar handhavingsbesluit kan nemen.

Keuze voor verzoekschriftprocedure met eigensoortige procedureregels

In artikel 78a is gekozen voor een verzoekschriftprocedure, met als enige verzoeker de Autoriteit persoonsgegevens. Op het punt van de verzoekschriftprocedure is aansluiting gezocht bij titel 8.4 Awb inzake schadevergoeding. Ook in die titel bleek het noodzakelijk om van de gebruikelijke vormgeving van de toegang tot de bestuursrechter – door middel van het instellen van beroep tegen een besluit van het bestuursorgaan – af te wijken en is een verzoekschriftprocedure in het leven geroepen terzake van een veroordeling van het bestuursorgaan tot het vergoeden van schade (artikel 8:88 Awb).

De keuze voor een verzoekschriftprocedure maakt ook specifieke procesrechtelijke regels voor de procedure bij de Afdeling bestuursrechtspraak noodzakelijk. Hierbij is de methode gevolgd die in titel 8:4 Awb is toegepast (een combinatie van eigen procedurele bepalingen en een van overeenkomstige toepassing van bepalingen in hoofdstuk 8 van de Awb, zie hiervoor artikel 8:94 Awb). De Awb kent geen regels over het stellen van prejudiciële vragen aan het HvJEU. Het gevolg geven aan de uitspraak van het HvJEU in de Schrems-zaak brengt onvermijdelijk met zich dat artikel 78a daarover enkele bepalingen bevat.

Tweede en derde lid

Het tweede en derde lid stellen enkele noodzakelijke eisen aan het verzoekschrift van de Autoriteit persoonsgegevens zoals dat bij de Afdeling bestuursrechtspraak wordt ingediend. Een belangrijke eis die het tweede lid, onder b, stelt is dat de Autoriteit de redengeving voor het in twijfel trekken van de geldigheid van de Commissiebeslissing in het verzoekschrift dient te vermelden.

Vierde lid

Het vierde lid regelt de opschortende werking van het indienen van een verzoekschrift door de Autoriteit bij de Afdeling bestuursrechtspraak en de kennisgeving daarvan door de Autoriteit aan de belanghebbende (verzoeker om handhaving) en de partij die voorwerp is van onderzoek door de AP. De termijn voor het op het handhavingsverzoek te nemen besluit wordt opgeschort zolang de verzoekschriftprocedure loopt. De verzoekschriftprocedure komt ten einde door een uitspraak van de Afdeling bestuursrechtspraak over de geldigheid van het desbetreffende Commissiebesluit ingevolge het zesde lid, eerste volzin, al dan niet na prejudiciële verwijzing.

Vijfde lid

Het vijfde lid verklaart de titels 8.1 en 8.2 van de Algemene wet bestuursrecht van overeenkomstige toepassing op de behandeling van het verzoek door de Afdeling bestuursrechtspraak, met uitzondering van de artikelen 8:1 tot en met 8:10, 8:41, de afdelingen 8.2.2a en 8.2.4a en de artikelen 8:70, 8:72 en 8:74. De uitgezonderde artikelen lenen zich niet voor toepassing op deze specifieke verzoekschriftprocedure waarin de Afdeling de geldigheid van een Commissiebesluit inzake gegevensbescherming onderzoekt. Vanwege de bijzondere aard van de procedure bepaalt vijfde lid wie de partijen zijn in het door de AP aangebrachte geding. Dat zijn de belanghebbende die de AP om handhaving heeft verzocht ten aanzien van een concrete gegevensdoorgifte en de verwerkingsverantwoordelijke die voorwerp is van onderzoek door de AP.

De Afdeling kan ook de Autoriteit persoonsgegevens en de Europese Commissie om inbreng vragen in de procedure. Voor de Commissie bestaat deze mogelijkheid in zijn algemeenheid op grond van de beschikking van het Hof van Justitie van 13 juli 1990, Zwartveld, ECLI:EU:C: 1990:440. Op grond van die rechtspraak van het Hof van Justitie zijn de instellingen van de Unie verplicht loyaal samen te werken met de rechterlijke autoriteiten van de lidstaten. Deze algemene mogelijkheid tot het oproepen van de Commissie is niet uitdrukkelijk in de Awb opgenomen.

Zesde lid

Het zesde lid bepaalt dat indien de Afdeling, al dan niet na prejudiciële verwijzing op grond van artikel 276 van het Verdrag inzake de werking van de Europese Unie aan het Hof van Justitie, tot het oordeel komt dat het aan haar voorgelegde Commissiebesluit geldig is, zij dat voor recht verklaart. Komt zij, na prejudiciële verwijzing aan het Hof van Justitie van de Europese Unie, tot het oordeel dat het aan haar voorgelegde besluit ongeldig is, dan wijst zij het verzoek af. Zoals hiervoor is toegelicht kan de Afdeling bestuursrechtspraak ook besluiten het verzoek van de Autoriteit persoonsgegevens af te wijzen, indien sprake is van gewijzigde omstandigheden die maken dat het belang aan de aan de Afdeling voorgelegde zaak is komen te ontvallen.¹⁵ In dat geval zal zij het verzoekschrift van de Autoriteit afwijzen. In alle gevallen geldt dat de Autoriteit persoonsgegevens vervolgens met inachtneming van de uitspraak van de Afdeling een beslissing moeten nemen op het verzoek om handhaving van de belanghebbende (de schorsende werking van het vierde lid komt met de uitspraak van de Afdeling ten einde).

Zevende en achtste lid

De Afdeling kan het verzoek aanhouden als er bij het HvJEU – door een rechter in een andere lidstaat – al een prejudiciële vraag omtrent de geldigheid van het desbetreffende Commissiebesluit aanhangig is gemaakt (zevende lid). Het achtste lid bepaalt dat tegen de beslissing van de Afdeling tot aanhouding geen voorziening openstaat.

Artikel II

Gelet op de aard van de materie, uitvoering van een Hofuitspraak, wordt voorzien in onmiddellijke inwerkingtreding. Hiervoor wordt gebruik gemaakt van de spoedprocedure van artikel 12 van de Wet raadgevend referendum. Als gevolg hiervan hoeft de in die wet geregelde wachttermijn voor inwerkingtreding niet in acht te worden genomen. Het wetsvoorstel blijft wel referendabel.

De Minister van Veiligheid en Justitie, S.A. Blok

---

1 Richtlijn 95/46/EG van het Europees parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PbEU 1995, L 281).

2 In Ierland is een tweede Schrems-zaak aanhangig, tegen de gegevensdoorgifte naar de Verenigde Staten op basis van modelcontractbepalingen (artikel 26, vierde lid, van de richtlijn). Zie: https://www.dataprotection.ie/docs/16-03-2017-Update-on-Litigation-involving-Facebook-and-Maximilian-Schrems/1598.htm

3 In het tegen de uitspraak ingestelde hoger beroep, heeft de ABRvS prejudiciële vragen aan HvJEU gesteld (15 april 2015, ECLI:NL:RVS:2015:1185). De zaak is hangende de behandeling in Luxemburg door de klager ingetrokken.

4 Data Protection in the European Union: the role of National Data Protection Authorities, European Union Agency for Fundamental Rights, 2010, blz. 25.

5 Verordening (EU) nr. 2016/679 van het Europees parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PbEU 2016, L 119).

6 Richtlijn (EU) 2016/680 van het Europees parlement en de Raad van 27 april 2016, Pb L 119/89 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van Kaderbesluit 2008/977/JBZ van de Raad.

7 Ter inzage gelegd bij het Centraal Informatiepunt Tweede Kamer

8 Het Hof vervolgt (r.o. 52): De handelingen van de instellingen van de Unie worden in beginsel immers vermoed rechtmatig te zijn en dus rechtsgevolgen in het leven te roepen, zolang zij niet zijn ingetrokken, in het kader van een beroep tot nietigverklaring nietig zijn verklaard of ten gevolge van een prejudiciële verwijzing of een exceptie van onwettigheid ongeldig zijn verklaard (arrest Commissie/Griekenland, C-475/01, EU:C:2004:585, punt 18 en aldaar aangehaalde rechtspraak).

9 Zie HvJEU 6 oktober 1982, 283/81, Cilfit, punt 10; ECLI:EU:C:1982:335.

10 Zie § 21; https://www.bmi.bund.de/SharedDocs/Downloads/DE/Gesetzestexte/Entwuerfe/entwurf-datenschutz-grundverordnung.pdf?__blob=publicationFile

11 Ingevolge artikel 267 VWEU is het HvJEU bevoegd, bij wijze van prejudiciële beslissing, een uitspraak te doen a. over de uitlegging van de Verdragen, b. over de geldigheid en de uitlegging van de handelingen van de instellingen, de organen of de instanties van de Unie. Indien een vraag te dien aanzien wordt opgeworpen voor een rechterlijke instantie van een der lidstaten, kan deze instantie, indien zij een beslissing op dit punt noodzakelijk acht voor het wijzen van haar vonnis, het Hof verzoeken over deze vraag een uitspraak te doen.

Indien een vraag te dien aanzien wordt opgeworpen in een zaak aanhangig bij een nationale rechterlijke instantie waarvan de beslissingen volgens het nationale recht niet vatbaar zijn voor hoger beroep, is deze instantie gehouden zich tot het Hof te wenden.

12 Zie de brief van de Minister van Veiligheid en Justitie van 29 juni 2016 inzake het EU-VS Privacy Schild (Kamerstukken II 2015/16, 32 317 en 32 761, nr. 425) en artikel 45 AVG lid 3.

13 Er zijn twee vernietigingsberoepen bij het Gerecht van eerste aanleg ingediend tegen het EU-VS Privacy Schild (T-670/16 Digital Rights Ireland/Commissie T-738/16 La Quadrature du Net/Commissie). Interventies van derden (waaronder lidstaten) zijn door het Gerecht aangehouden tot nader order. Men wil eerst een beslissing nemen over de ontvankelijkheid van beide beroepen. Het is goed mogelijk dat beide niet kwalificeren als belanghebbende.

14 En niet het belang aan de aan de rechter voorgelegde zaak is ontvallen vanwege een wijziging in omstandigheden (zie HvJEU 6 oktober 1982, 283/81, Cilfit, punt 10; ECLI:EU:C:1982:335).

15 HvJEU 6 oktober 1982, 283/81, Cilfit, punt 10; ECLI:EU:C:1982:335)