34 809 Wijziging van de Wet bescherming persoonsgegevens naar aanleiding van de uitspraak van het Hof van Justitie van de Europese Unie van 6 oktober 2015 (C-362/14) inzake de Veiligehavenbeginselen

Nr. 6 NOTA NAAR AANLEIDING VAN HET VERSLAG

Ontvangen 22 februari 2018

1. Inleiding

De leden van de VVD-fractie hebben met belangstelling kennisgenomen van de wijziging van de Wet bescherming persoonsgegevens (hierna: Wbp) naar aanleiding van de uitspraak van het Hof van Justitie van de Europese Unie (hierna: het HvJEU) van 6 oktober 2015 (C362/14) inzake de Veiligehavenbeginselen (hierna: het wetsvoorstel). Zij constateren dat het wetsvoorstel een gevolg is van de Europese jurisprudentie rondom Facebook en de heer Maximilian Schrems. Met enige zorg lezen deze leden dat zowel de Afdeling advisering van de Raad van State (hierna: de Afdeling) als de Autoriteit Persoonsgegevens (hierna: AP) veel kritische opmerkingen hebben gemaakt bij het wetsvoorstel. Deze leden hebben enkele vragen.

De leden van de CDA-fractie hebben kennisgenomen van onderhavig wetsvoorstel. Deze leden zien de noodzaak nationale regelgeving in lijn te brengen met de uitspraak van het HvJEU. De genoemde leden willen de regering nog enkele vragen voorleggen.

De leden van de D66-fractie hebben met interesse kennisgenomen van het wetsvoorstel en hebben nog enkele vragen.

De leden van de GroenLinks-fractie hebben met grote belangstelling kennisgenomen van de voorgestelde wijzigingen om de Wbp in overeenstemming te brengen met de Safe Harbour-uitspraak van het HvJEU. Deze leden hebben nog enkele vragen.

De leden van de SP-fractie hebben met interesse kennisgenomen van het wetsvoorstel. Deze wetswijziging is tot stand gekomen omdat het HvJEU heeft vastgesteld dat het grondrecht op privacy en het grondrecht op een effectieve rechtsvoorziening zijn geschonden door een EU-beschikking waarmee de doorgifte van persoonsgegevens van EU-burgers naar de Verenigde Staten werd gefaciliteerd. Deze leden zien dit als een teken dat de privacy van burgers niet genoeg is meegewogen bij de totstandkoming van het besluit en bovendien dat de nationale toezichthouders over onvoldoende bevoegdheden beschikken om hierop te controleren. De grondrechten van EU-burgers behoren altijd voorrang te hebben op de commerciële belangen van multinationals. Voornoemde leden hopen dat de mogelijkheden om recht te halen voor de burgers via de AP met deze wetswijziging worden versterkt, maar hebben hier nog wel enkele opmerkingen en vragen over.

Met interesse heb ik kennisgenomen van de vragen die door de leden van de fracties van de VVD, het CDA, D66, GroenLinks en de SP zijn gesteld over het hierboven genoemde wetsvoorstel. Ik dank deze leden voor hun inbreng. Ten behoeve van de leesbaarheid van deze nota heb ik de vragen genummerd en beantwoord in de volgorde waarin ze zijn gesteld.

Met onderhavig wetsvoorstel wordt een wijziging voorgesteld in de Wbp. De Wbp zal echter naar verwachting op relatief korte termijn worden ingetrokken, namelijk op het moment dat de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG) in werking treedt (beoogde datum van inwerkingtreding: 25 mei 2018). In het wetsvoorstel tot vaststelling van de UAVG¹ is een identieke bepaling opgenomen als in onderhavig wetsvoorstel, zodat ook na intrekking van de Wbp de «Schrems-voorziening» gecontinueerd zal worden (artikel 20 UAVG). Vanwege het feit dat beide wetstrajecten inmiddels in tijd praktisch samenlopen en een wijziging van de Wbp vooruitlopend op de inwerkingtreding van de UAVG niet langer zinvol is, zal ik – na inhoudelijke beantwoording van de vragen van uw Kamer – de ministerraad voorstellen over te gaan tot intrekking van onderhavig wetsvoorstel. De verdere inhoudelijke behandeling van het «Schrems-artikel» uit dit wetsvoorstel kan dan plaatsvinden in het kader de parlementaire behandeling van de UAVG, waarbij uiteraard ook de voorliggende nota naar aanleiding van het verslag betrokken kan worden. Gemakshalve is dan ook bij de onderstaande beantwoording telkens uitgegaan van het rechtsbeschermingsrecht zoals dat na 25 mei 2018 zal gelden en niet meer van het regime van de Wbp.

2. Strekking van het wetsvoorstel

Vraag 1 (VVD)

De leden van de VVD-fractie vragen bij hoeveel derde landen de Europese Commissie op grond van artikel 25, zesde lid, van de Privacyrichtlijn 95/46 heeft geconstateerd dat het land waarborgen voor een passend beschermingsniveau biedt qua gegevensbescherming. Klopt het dat dit aantal landen beperkt is?

De Europese Commissie heeft toereikendheidsbesluiten (in de AVG aangeduid met «adequaatheidsbesluiten») genomen ten aanzien van twaalf landen: Andorra, Argentinië, Canada, de Faeröer, Guernsey, Israël, Jersey, het eiland Man, Nieuw-Zeeland, Uruguay, de Verenigde Staten en Zwitserland.² Het adequaatheidsbesluit voor de Verenigde Staten («Privacy Shield») geldt alleen voor zover ontvangende partijen zich hebben verplicht zich te houden aan de daarin vastgelegde principes.

Vraag 2 (VVD)

Is de conclusie dan gerechtvaardigd dat het wetsvoorstel een aparte rechtsgang creëert voor de Autoriteit Persoonsgegevens (hierna: AP) om een klacht inzake de ongeldigheid van een besluit op grond van bovenstaand artikel aan de rechter voor te leggen, terwijl deze rechtsgang in de praktijk zelden tot nooit zal worden gebruikt?

Inderdaad is de verwachting gerechtvaardigd dat de rechtsgang slechts in zeer incidentele gevallen zal worden gebruikt. Het is niettemin noodzakelijk deze procedure in de wet op te nemen, omdat de uitspraak van het HvJEU in de zaak Schrems hiertoe dwingt.³

Vraag 3 (CDA)

De leden van de CDA-fractie lezen dat de regering ervoor gekozen heeft met artikel 78a Wbp de Afdeling bestuursrechtspraak van de Raad van State (ABRvS) niet exclusief bevoegd te maken om prejudiciële vragen te stellen over de geldigheid van besluiten van de Europese Commissie inzake gegevensbescherming. Deze leden vragen of dit niet voor gewenste overzichtelijkheid zou kunnen zorgen. Het hoger beroep in dergelijke handhavingszaken is immers ook aan de ABRvS opgedragen.

Artikel 267 EU-werkingsverdrag laat het niet toe om lagere nationale rechters uit te sluiten van het recht prejudicieel te verwijzen naar het HvJEU. Het wetsvoorstel beoogt uitsluitend de AP de mogelijkheid te bieden zelfstandig een vraag omtrent de rechtsgeldigheid van een adequaatheidsbesluit van de Europese Commissie aan de Afdeling bestuursrechtspraak van de Raad van State voor te leggen, die vervolgens hierover prejudiciële vragen kan stellen aan het HvJEU. Die mogelijkheid heeft de AP thans niet, maar behoort zij volgens de uitspraak van het HvJEU in de zaak Schrems wel te hebben.

Vraag 4 (CDA)

De genoemde leden vragen hoe de verplichting van de toezichthouder om in volledige onafhankelijkheid op verzoek van een betrokkene onderzoekte doen naar de doorgifte van persoonsgegevens zich verhoudt tot de «standard contractual clauses»?

Deze leden doelen kennelijk op artikel 46, tweede lid, onder d, AVG, waarin een toezichthoudende autoriteit de bevoegdheid krijgt standaardbepalingen inzake gegevensbescherming vast te stellen. De door een toezichthoudende autoriteit vastgestelde standaardbepalingen behoeven de goedkeuring van de Europese Commissie. Het ligt in de lijn der verwachtingen dat de AP geen gegronde redenen zal hebben om te twijfelen aan de rechtsgeldigheid van een dergelijk goedkeuringsbesluit van de Europese Commissie, voor zover het standaardbepalingen betreft die de AP zelf heeft vastgesteld. Dit neemt niet weg dat een betrokkene de rechtsgeldigheid van een goedkeuringsbesluit voor de rechter kan aanvechten en op die wijze alsnog kan bewerkstelligen dat er prejudiciële vragen worden gesteld aan het HvJEU.

Vraag 5 (GroenLinks)

De leden van de GroenLinks-fractie constateren dat gestreefd moet worden naar maximale bescherming van persoonsgegevens in de analoge en de digitale context. De Hofuitspraak in de zaak-Schrems laat zien dat niet volstaan kan worden met een formele vaststelling dat persoonsgegevens in derde landen in veilige handen zijn, maar dat dit daadwerkelijk moet kunnen worden vastgesteld. Uit de veelheid van beschikbare persoonsgegevens die vandaag de dag worden verstuurd,gedeeld en bewerkt komen immers patronen, profielen en algoritmes naarvoren die meer over betrokkenen zeggen dan de betrokkenen zelf ooit voor mogelijk hadden kunnen houden. Alle reden dus om te waarborgen dat de regie over gebruik van persoonsgegevens blijft liggen bij betrokkenen zelf. Dat wordt mede bereikt door toezicht te houden op doorgifte van persoonsgegevens aan derde landen. De aan het woord zijnde leden vragen of bij de concrete toepassing van de op grond van dit wetsvoorstel geïntroduceerde bevoegdheid het initiatief niet al te veel bij de consument blijft liggen. Hij of zij moet zich immers beklagen over de onrechtmatigheid van de doorgifte van persoonsgegevens naar een land ten aanzien waarvan de Europese Commissie op grond van artikel 25, zesde lid, van de richtlijn, een toereikendheidsbesluit heeft genomen. Dat vergt naar het oordeel van deze leden een onderzoeksinspanning die van weinig consumenten verwacht mag worden.

De regering onderschrijft het belang dat betrokkenen de regie over het gebruik van hun persoonsgegevens hebben of kunnen hernemen. Het indienen van een klacht door betrokkene op grond van artikel 77 AVG is zeer laagdrempelig en vergt in het geheel geen (onderzoeks-)inspanning. Op grond van artikel 77 AVG heeft immers «iedere betrokkene het recht een klacht in te dienen bij een toezichthoudende autoriteit (…) indien hij van mening is dat de verwerking van hem betreffende persoonsgegevens inbreuk maakt op deze verordening». Op grond van artikel 80 AVG is het ook mogelijk dat betrokkene kortgezegd een belangenorganisatie de opdracht geeft om namens hem een klacht in te dienen op grond van artikel 77. Een dergelijke organisatie kan dat, tot slot, ook uit eigen beweging doen, tenzij betrokkene daartegen bezwaar heeft (artikel 37 UAVG).

Vraag 6 (GroenLinks)

Op welke wijze houdt de regering toezicht op het gebruik van persoonsgegevens door derde landen en kan de regering ook uit eigen beweging een toereikendheidsbesluit bij het HvJEU ter discussie stellen of is dit bij uitsluiting voorbehouden aan de nationale rechter en/of de AP?

De Europese Commissie houdt doorlopend toezicht op ontwikkelingen in derde landen en kan een adequaatheidsbesluit intrekken, schorsen of wijzigen (artikel 45 AVG). De regering kan tegen handelingen van EU-instellingen, zoals een adequaatheidsbesluit, genomen door de Europese Commissie, binnen twee maanden na bekendmaking een beroep tot nietigverklaring instellen bij het HvJEU (artikel 263 VWEU).

Vraag 7 (SP)

De leden van de SP-fractie constateren dat het wetsvoorstel voorziet in de mogelijkheid voor de AP om na een klacht en na zelf onderzoek te hebben gedaan waaruit gegronde redenen blijken dat het toereikendheidsbesluit onvoldoende waarborgen biedt, via de ABRvS een oordeel van het HvJEU over een toereikendheidsbesluit te verkrijgen. Deze leden vragen waarom er zoveel drempels worden opgelegd voor de AP. Waarom voorziet het wetsvoorstel bijvoorbeeld niet in de mogelijkheid voor de AP hierover uit eigen beweging een verzoek in te dienen?

Er geldt voor de AP slechts één drempel: dat zij een klacht over de rechtmatigheid van een adequaatheidsbesluit heeft ontvangen en gegronde redenen heeft om te twijfelen over de rechtmatigheid van dat besluit. Uit overwegingen 64 en 65 van het Schrems-arrest volgt dat de toezichthouder dan beroepsgangen moet hebben om de twijfel over de geldigheid van het adequaatheidsbesluit voor te leggen aan de nationale rechter, waarna deze, als hij de twijfel deelt, daarover een prejudiciële vraag stelt aan het HvJEU. Als de toezichthouder een klacht echter ongegrond acht, is het de indiener zelf die in beroep kan gaan bij de nationale rechter.

Vraag 8 (SP)

Kan de AP door deze wetswijziging ook een verzoek indienen om de geldigheid van andere privacygerelateerde EU-besluiten te beoordelen?

Ja, de AP dan dat doen bij een door de Europese Commissie genomen besluit tot het vaststellen of goedkeuren van standaardbepalingen inzake gegevensbescherming als bedoeld in artikel 46, tweede lid, onderdelen c en d, AVG. Zij worden ook wel aangeduid als standaardcontractbepalingen, standard contractual clauses of SCC’s. De voorgestelde verzoekschriftprocedure bestrijkt aldus alle besluiten die door EU-instellingen – in dit geval is dat de Commissie – kunnen worden genomen over het passend niveau van gegevensbescherming bij doorgifte naar derde landen voor zover er een klacht op is gebaseerd van een betrokkene of een belangenorganisatie (zie vraag 5).

Vraag 9 (SP)

Hoe toetst de ABRvS of er gegronde redenen voor onvoldoende waarborgen zijn aangedragen door de AP?

Volgens het Schrems-arrest moet een verzoek om een adequaatheidsbesluit te toetsen «in wezen zo worden opgevat dat daarmee de verenigbaarheid van die beschikking met het recht op een privéleven en de grondrechten en fundamentele vrijheden van personen aan de orde wordt gesteld» en moet «met name aan de Verdragen, de algemene rechtsbeginselen en de grondrechten worden getoetst» (overwegingen 59 en 60). Voor de rechtmatigheid van een adequaatheidsbesluit is «vereist dat naar behoren met redenen omkleed door [de Europese Commissie] wordt vastgesteld dat het derde land in kwestie, op grond van zijn nationale wetgeving of zijn internationale verbintenissen, daadwerkelijk waarborgen biedt voor een niveau van bescherming van de grondrechten dat in grote lijnen overeenkomt met dat binnen de rechtsorde van de Unie» (overweging 96). In artikel 45, tweede lid, AVG is dit inmiddels verder uitgewerkt.

Vraag 10 (SP)

Waarom is de ABRvS niet verplicht om prejudiciële vragen te stellen bij het HvJEU wanneer de AP een verzoek indient?

Indien een vraag over de geldigheid van handelingen van instellingen, organen of instanties van de EU wordt opgeworpen voor nationale rechterlijke instanties, kan deze instantie, indien zij een beslissing op dit punt noodzakelijk acht voor het wijzen van haar vonnis, krachtens artikel 267 VWEU het HvJEU verzoeken over deze vraag een uitspraak te doen. De ABRvS is, als hoogste nationale rechter, op grond van artikel 267 VWEU verplicht hierover prejudiciële vragen te stellen aan het HvJEU. Omdat deze verplichting rechtstreeks uit het VWEU voortvloeit, is het niet toegestaan dit in nationale wetgeving te regelen.

Overigens vloeit uit vaste jurisprudentie voort dat een nationale rechter zelf niet de bevoegdheid heeft om een richtlijn, verordening of EU-besluit ongeldig te verklaren. Die bevoegdheid komt namelijk exclusief toe aan het Hof van Justitie van de EU. Wil de nationale rechter een beroep op ongeldigheid echter verwerpen, dan is hij daartoe wel zelf bevoegd.

Vraag 11 (SP)

De aan het woord zijnde leden benadrukken dat mensen boven multinationals moeten gaan en dat persoonsgegevens van burgers overal goed moeten worden beschermd. Daarom vragen deze leden welke onderzoeksbevoegdheden de AP heeft om de privacy-waarborgen buiten Nederland en buiten Europa te onderzoeken. Wat gebeurt er als een bedrijf daar niet aan wil meewerken? Welke handhavingsbevoegdheden heeft de AP buiten Nederland en buiten Europa nadat een toereikendheidsbesluit ongeldig is verklaard?

Toezichthouders kunnen hun bevoegdheden in beginsel niet buiten het grondgebied van de EU uitoefenen. Zoals overweging 116 bij de AVG erkent, kan het voor toezichthouders met betrekking tot activiteiten in het buitenland onmogelijk blijken om klachten te behandelen of onderzoek te verrichten. Daarom verplicht artikel 50 AVG toezichthouders en de Europese Commissie tot internationale samenwerking, onder meer door middel van internationaal wederzijdse bijstand bij de handhaving van de privacywetgeving. Als een adequaatheidsbesluit ongeldig is verklaard, is doorgifte van persoonsgegevens naar het desbetreffende derde land verboden en kan de AP handhavend optreden tegen Nederlandse bedrijven als deze toch gegevens doorgeven. Dit is alleen anders als doorgifte op een andere grond is toegestaan, zoals passende waarborgen (artikelen 46 en 47 AVG) of in specifieke situaties (artikel 49 AVG).

Vraag 12 (SP)

Wat gebeurt er wanneer een toereikendheidsbesluit geldig wordt geacht, maar de AP evenwel in een individueel geval een overtreding hiervan heeft geconstateerd? Welke bevoegdheden heeft de AP dan om hier tegen op te treden?

Iedere doorgifte van persoonsgegevens is een verwerking in de zin van de AVG. Als er sprake is van doorgifte aan een land dat geacht wordt een adequaat beschermingsniveau te hebben, kan er vanzelfsprekend alsnog sprake zijn van een andere overtreding van de AVG in een individueel geval (bijvoorbeeld omdat er geen grondslag is voor de verwerking of anderszins). In dat geval kan de AP al haar bevoegdheden uitoefenen en bijvoorbeeld het Nederlandse bedrijf gelasten om de gegevensstromen naar de ontvanger in het derde land op te schorten (artikel 58, tweede lid, onder j, AVG). Als een dergelijke last niet wordt nageleefd, dan kan de AP een (aanzienlijke) bestuurlijk boete opleggen.

Vraag 13 (SP)

In de memorie van toelichting wordt aangegeven dat alternatieve procedures om aan het Schrems-arrest te voldoen worden beoordeeld door te bekijken of (1) ze geen afbreuk doen aan het primaat van de AP als handhavende instantie, (2) het bestaande systeem zoveel mogelijk instand wordt gelaten en (3) verzoeken van de AP door één rechter worden beoordeeld. De genoemde leden vinden niet dat deze overwegingen recht doen aan het Schrems-arrest, waaruit voortvloeit dat de overdracht van privacygegevens door internationaal opererende bedrijven beter moet worden gecontroleerd. Bij de beoordeling van alternatieve procedures om hierop te controleren moet wat deze leden betreft doorslaggevend zijn of de privacy van burgers er mee op vooruit gaat. Deze leden vragen of de onrechtmatigheidsactie bij de civiele rechter, zoals aangedragen door de AP, vanuit dit perspectief geen betere kans op handhaving van privacyregelgeving biedt. Graag vernemen deze leden hierop een reflectie.

In het wetsvoorstel is er niet voor gekozen om de AP ook bevoegdheden te verlenen in een civiele procedure. De AP is als bestuursorgaan normaal gesproken ingebed in het bestuursrecht en daarom is ervoor gekozen om, ter implementatie van het Schrems-arrest, de AP de bevoegdheid te verlenen de (hoogste) bestuursrechter te verzoeken om prejudiciële vragen te stellen. Het creëren van een nieuwe bevoegdheid voor de AP om ook in civielrechtelijke zin op te kunnen treden tegen de vermeende overtreder (de partij die stelt dat hij bij de doorgifte van persoonsgegevens aan een derde land in overeenstemming met een relevant EU-besluit handelt) zal in de ogen van de regering geen betere bescherming van betrokkenen bieden. Het gaat erom dat de hoogste Europese rechter relatief snel geconsulteerd kan worden zodat er snel uitsluitsel kan komen over de vraag of het adequaatheidsbesluit al dan niet stand kan houden.

3. Korte inhoud hofuitspraak

Vraag 14 (CDA)

De leden van de CDA-fractie constateren dat de uitspraak van het HvJEU inhoudt dat toezichthouders op het gebied van gegevensbescherming zelfstandig een nationale rechter moeten kunnen benaderen indien een belanghebbende een klacht indient over de onrechtmatigheid van de doorgifte van zijn persoonsgegevens naar een land buiten de EU. De toezichthouders moeten ook zelfstandig een gang naar de rechter kunnen maken indien zij vermoeden dat er sprake is van onrechtmatigheid in de doorgifte van persoonsgegevens naar een land buiten de EU. De nationale rechter moet, indien zij deze vermoedens delen, prejudiciële vragenstellen aan het HvJEU. Indien de toezichthouder een klacht van een belanghebbende afwijst, moet er een beroep of bezwaarmogelijkheid zijn voor de belanghebbende. Deze leden vragen de regering of er tijdelijke maatregelen zijn genomen met betrekking tot de doorgifte van persoonsgegevens.

Er is inmiddels een nieuw adequaatheidsbesluit genomen voor de VS («Privacy Shield»). Tijdelijke maatregelen zijn daarom niet meer aan de orde.

4. Adviezen

Vraag 15 (VVD)

De leden van de VVD-fractie constateren dat de AP bezwaar heeft geuit tegen het wetsvoorstel en de regering heeft geadviseerd dit niet aldus in te dienen. Gebeurt het vaak dat de AP of haar rechtsvoorganger het College Bescherming Persoonsgegevens zo negatief over wetsvoorstellenoordeelt? Kan de regering aangeven bij welke voorstellen dit de afgelopen jaren is gebeurd? Hoe heeft de regering gereageerd op deze negatieve adviezen? Zijn de wetsvoorstellen in die gevallen aangepast naar aanleiding van het advies van de privacy-waakhond?

De AP geeft sinds 2009 in haar wetgevingsadviezen ook een dictum mee. De dicta zijn vergelijkbaar met die van de Afdeling bestuursrechtspraak van de Raad van State en kunnen uiteenlopen van dictum 1 (geen opmerkingen) tot 6 (zeer negatief). De dicta 4 tot en met 6 gelden als negatief. Rijksbreed kwam dictum «4» sinds 2009 iets minder dan 60 keer voor blijkens de op de site van de AP gepubliceerde wetgevingsadviezen en dictum «5» iets minder dan 30 keer. Het meest negatieve dictum «6» komt niet voor. Sinds 2009 zijn in totaal honderden wetgevingsadviezen uitgebracht.

De regering is wettelijk verplicht om de AP te consulteren en neemt de wetgevingsadviezen van de AP altijd zeer serieus. Zij worden ook altijd meegezonden naar de Afdeling advisering van de Raad van State, zodat de Afdeling advisering de adviezen van de AP bij haar advisering kan betrekken. Bij wetsvoorstellen die een grote component gegevensverwerkingen of risico’s voor de privacy meebrengen wordt vaak ook al in de voorbereidende fase met de AP overlegd. Regelmatig worden wetsvoorstellen (op punten) ook aangepast naar aanleiding van de wetgevingsadviezen. In de memorie van toelichting wordt bij ieder wetsvoorstel aandacht besteed aan de inhoud van door verschillende instanties uitgebrachte adviezen en wordt ook aangegeven wat daarmee al dan niet mee is gedaan.

Vraag 16 (CDA)

De leden van de CDA-fractie constateren dat de AP en ABRvS kritische kanttekeningen plaatsen bij het wetsvoorstel waarbij de AP zelfs aan heeft gegeven negatief te adviseren. Het weegt zwaar voor genoemde leden dat de toezichthouder belast met (een deel) van de handhaving van de systematiek in het wetsvoorstel, aangeeft zich niet of onvoldoende te kunnen vinden in de gekozen oplossing. Is er na het verschijnen van het advies contact en overleg geweest met de AP? Zo ja, wat is het resultaat hiervan?

Mede in het licht van de adviezen van de Raad voor de rechtspraak en de Afdeling bestuursrechtspraak van de Raad van State is besloten hierover niet opnieuw in overleg te treden met de AP. Voor de inhoudelijke keuze om niet mee te gaan in de wens van de AP om tevens een civielrechtelijke ingang voor hen te creëren, wordt verwezen naar het antwoord op vraag 13.

Vraag 17 (CDA)

Eén van de punten die de AP aandraagt is de keuze voor de verzoekschriftprocedure bij de hoogste bestuursrechter en het gebrek aan alternatieven buiten het bestuursrecht. Deze leden lezen dat de regering hiervoor heeft gekozen op basis van drie uitgangspunten. Waar komen deze drie uitgangspunten uit voort?

Het eerste uitgangspunt was geen afbreuk te doen aan het (besluitvormings)primaat van de AP als handhavende instantie op gegevensbeschermingsterrein. Dit hangt samen met de onafhankelijkheid van de AP.

Het tweede uitgangspunt houdt in dat het bestaande systeem inzake prejudiciële vragen zoveel mogelijk ongewijzigd wordt gelaten. Dit vloeit voort uit het principe dat bij implementatie zoveel mogelijk wordt aangesloten bij instrumenten waarin de bestaande regelgeving reeds voorziet (zie ook: Aanwijzing 9.7 van de Aanwijzingen voor de regelgeving).

Het derde uitgangspunt betreft de wens om verzoeken van de AP – indien zij in het kader van een handhavingsbesluit inzake doorgifte van persoonsgegevens naar een derde land twijfelt over de geldigheid van een voor doorgifte relevant besluit van de Europese Commissie – door één en dezelfde rechter (en niet door verschillende rechtbanken) te laten behandelen en beslissen. De wens van de AP was aanleiding voor dit uitgangspunt.

5. Uitvoerings- en financiële gevolgen

Vraag 18 (CDA)

De leden van de CDA-fractie begrijpen uit de memorie van toelichting dat de regering geen gevolgen voor de werklast van de AP of die van de ABRvS voorziet. Deze leden constateren dat dit wetsvoorstel nieuwe procedures en bevoegdheden schept voor zowel de AP als de ABRvS. Zij vragen de regering nader te preciseren waarom dit geen gevolgen voor de werklast van de AP en die van de ABRvS zou hebben.

Deze veronderstelling is gebaseerd op de verwachting dat het zal gaan om slechts een enkel incidenteel geval (zie antwoorden 1 en 2).

6. Artikelsgewijs

Vraag 19 (VVD)

De leden van de VVD-fractie vragen of het klopt dat het woord «Unie» is weggevallen in artikel 78a, lid 7 van het wetsvoorstel.

Deze constatering is terecht en in artikel 20 van de UAVG is dit gecorrigeerd.

Vraag 20 (D66)

De leden van de D66-fractie lezen in artikel 58, vijfde lid, van de Algemene verordening gegevensbescherming (AVG) en Artikel 47, vijfde lid, van de Richtlijn gegevensbescherming opsporing en vervolging, dat de lidstaat erin moet voorzien dat elke toezichthoudende autoriteit de bevoegdheid heeft om inbreuken van de verordening of richtlijn bij rechterlijke autoriteiten te brengen. In het nieuwe artikel 78a van de Wbp is ervoor gekozen deze toegang te verschaffen voor de AP door middel van een verzoekschriftprocedure. Is de verzoekschriftprocedure volgens de regering een voldoende instrument om een eigen rechtsgang te bieden voor de AP bij de rechter? Kan de regering tevens toelichten waarom er niet gekozen is voor de mogelijkheid voor toegang tot de rechter door middel van alternatieve instrumenten?

De regering heeft verschillende alternatieven overwogen. De uitgangspunten, genoemd in het antwoord op vraag 17, rechtvaardigen echter naar het oordeel van de regering een keuze voor een verzoekschriftprocedure zoals in dit wetsvoorstel en in artikel 20 UAVG is opgenomen, waarbij de AP, hangende een handhavingsbesluit inzake doorgifte van persoonsgegevens aan een derde land, aan de Afdeling bestuursrechtspraak kan vragen om prejudiciële vragen te stellen aan het HvJEU over de geldigheid van een voor de desbetreffende doorgifte relevant besluit van de Europese Commissie. Voor een nadere toelichting op deze keuze en een overzicht van de overwogen alternatieven wordt verwezen naar bladzijde 7–8 van de memorie van toelichting.

Vraag 21 (D66)

De genoemde leden lezen dat er in dit wetsvoorstel afwijkende regelingen worden opgenomen met betrekking tot de procedurele aspecten van de prejudiciële procedure. Acht de regering afwijking van de bestaande praktijk geregeld in de Algemene wet bestuursrecht noodzakelijk in het nieuwe artikel 78a van de Wbp? Zo ja, waarom?

Het gaat hier niet zozeer om een afwijking van de bestaande praktijk van de Awb, maar om een nieuwe procedure waarin de Nederlandse wetgeving thans nog niet voorziet. Dat is ook de reden waarom de bestaande procedure in de Awb niet onverkort kan worden gevolgd.

Deze nota naar aanleiding van het verslag wordt mede ingediend namens de Minister van Binnenlandse Zaken en Koninkrijksrelaties.

De Minister voor Rechtsbescherming, S. Dekker

---

1 Kamerstukken 34 851.

2 http://ec.europa.eu/justice/data-protection/international-transfers/adequacy/index_en.htm

3 HvJEU 6 oktober 2015, C-362/14, ECLI:EU:C:2015:650.