36 455 (R2188) Goedkeuring van het op 28 januari 1981 te Straatsburg tot stand gekomen Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens (Trb. 1988, 7); van het op 10 oktober 2018 te Straatsburg tot stand gekomen Protocol tot wijziging van het Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens (Trb. 2018, 201 en Trb. 2023, 54)

Nr. 9 VERSLAG VAN DE STATEN VAN CURAÇAO

Vastgesteld 17 oktober 2024

De in de Staten van Curaçao aanwezige fracties van de MFK, PNP, PAR, MAN, KEM, TPK, onafhankelijk lid mevrouw Z. Jesus-Leito en onafhankelijk lid mevrouw C. Djaoen-Genaro hebben kennisgenomen van het onderhavige voorstel van rijkswet en hebben de volgende op- en aanmerkingen.

Op 1 oktober 2024, in een Centrale Commissievergadering hebben de fracties uit de Staten van Curaçao zich officieel uitgelaten over hun standpunten inzake het voorstel van rijkswet houdende goedkeuring van het op 28 januari 1981 te Straatsburg tot stand gekomen Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens.

Hieronder volgt een uiteenzetting van die standpunten met de daarbij gemaakte op- en aanmerkingen per fractie.

Op- en aanmerkingen vanuit de fracties

De PNP-fractie merkt het volgende op. Het gaat hier om een belangrijke en waardevolle voorstel van rijkswet. Gelet op de internationale ontwikkelingen is het voor het land Curaçao belangrijk te weten wat met dit protocol wordt geregeld. Het onderhavige voorstel van rijkswet houdt de goedkeuring in van het Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens (Trb. 2018, 201 en Trb. 2023, 54). Dit verdrag geldt voor alle landen van het Koninkrijk en is internationaal aanvaard. Het protocol bevat een substantieel aantal wijzigingen van het verdrag. Het verdrag is in het verleden tot stand gekomen in het kader van ontwikkelingen op het gebied van digitale technologie, zoals het veelvuldige gebruik van computers en internet. Inmiddels is dit verdrag verouderd en past het niet meer bij de tijd. Dit komt door de snelle ontwikkelingen, met name op het gebied van grensoverschrijdende verwerking van gegevens, technologie en communicatie. Het protocol heeft tot doel de eerder door het Koninkrijk getekende verdragen te moderniseren. Met dit voorstel worden de persoonsgegevens in overeenstemming gebracht met de Algemene Verordening Gegevensbescherming (AVG) van de Europese Unie. Het protocol wordt aldus integraal gewijzigd. Deze wijziging geldt voor alle landen van het Koninkrijk.

In het bestaande verdrag hebben de lidstaten nog altijd de mogelijkheid bepaalde sectoren of activiteiten uit te sluiten. Deze mogelijkheid wordt met dit protocol afgeschaft. Reden te meer voor de regering van Curaçao om extra oplettend te zijn en mogelijk een voorbehoud te maken ten aanzien van bepaalde onderwerpen. Het gaat hier immers om persoonsgegevens, waaronder de voornaam, achternaam, geslacht en andere gegevens die betrekking hebben op een persoon. De bescherming van bijzondere persoonsgegevens wordt door dit protocol versterkt. Met dit protocol worden een aantal nieuwe rechten ingevoerd. Enerzijds worden de rechten van de gegevenshouders versterkt, anderzijds legt het protocol verplichtingen op aan gegevensverwerkers om zeer nauwkeurig om te gaan met gegevensverwerking. Het toezicht op en de bewaking van de persoonsgegevens wordt op grond van het verdrag uitgevoerd door de Autoriteit Persoonsgegevens.

De fractie stelt eerst enkele algemene vragen en gaat vervolgens in op de implicaties van het protocol:

• Waarom is ratificatie van dit protocol nu nodig? Wat zijn de concrete problemen die dit protocol oplost in de Curaçaose context? Zijn er actuele voorbeelden van problemen met de geautomatiseerde verwerking van persoonsgegevens die door dit protocol worden aangepakt?

• Welke impact heeft dit protocol op de autonomie van Curaçao in het reguleren van gegevensbescherming? Beperkt dit protocol de mogelijkheden voor Curaçao om eigen, specifieke regels te stellen die beter aansluiten bij de lokale context?

• Zijn er voldoende waarborgen ingebouwd om te voorkomen dat dit protocol leidt tot onevenredige beperkingen van de grondrechten van burgers, met name het recht op privacy? Hoe wordt de balans bewaakt tussen gegevensbescherming en andere belangen, zoals nationale veiligheid of economische groei?

Hoe verhoudt dit protocol zich tot de Algemene Verordening Gegevensbescherming (AVG) van de Europese Unie, die ook van toepassing is op Curaçao? Leidt dit protocol tot conflicten of overlappingen met de AVG? Zo ja, hoe worden deze opgelost? Het protocol introduceert het concept van «geautomatiseerde besluitvorming», inclusief profiling. Welke specifieke maatregelen worden genomen om te voorkomen dat burgers in Curaçao onevenredig worden benadeeld door geautomatiseerde besluiten? Hoe wordt inzicht en controle door burgers gegarandeerd over dit soort besluitvorming? Het protocol stelt eisen aan de beveiliging van persoonsgegevens. Zijn deze eisen voldoende streng, gezien de toenemende dreiging van cyberaanvallen en datalekken? Welke concrete maatregelen worden genomen om de veiligheid van persoonsgegevens in Curaçao te waarborgen?

Hoe wordt de handhaving van dit protocol gewaarborgd? Welke instanties zijn verantwoordelijk voor toezicht en handhaving? Beschikken deze instanties over voldoende middelen en bevoegdheden om effectief op te treden? Welke concrete stappen worden ondernomen om dit protocol te implementeren in de nationale wetgeving van Curaçao? Wat is het tijdspad voor deze implementatie? Hoe wordt de bevolking van Curaçao geïnformeerd over de inhoud en de gevolgen van dit protocol? Zijn er voorlichtingscampagnes gepland? Welke middelen worden beschikbaar gesteld om burgers te ondersteunen bij het uitoefenen van hun rechten onder dit protocol? Bijvoorbeeld, hoe kunnen burgers een klacht indienen bij een datalek?

Het komt erop neer dat het protocol draait om de bescherming van persoonsgegevens en het privéleven («privacy») van burgers. Hoe wordt in dit digitale tijdperk omgegaan met gegevens van personen, en hoe wordt hun zekerheid bevorderd? Het land moet voorbereid zijn op het toezicht en de handhaving daarvan. Het hebben van een «Facebook-account» bevestigt en accepteert dat de gebruiker de algemene bepalingen van Facebook aanvaardt, waarbij alle persoonlijke gegevens worden vrijgegeven.

De fractie merkt op dat de behandeling van dit voorstel van rijkswet betrekking heeft op de goedkeuring van bestaande verdragen. Er zijn twee (2) artikelen die goedgekeurd moeten worden. Het eerste artikel heeft betrekking op het verdrag uit 1981, betreffende de bescherming van de geautomatiseerde verwerking van persoonsgegevens, dat moet worden goedgekeurd voor Aruba, Curaçao en Sint-Maarten. Het tweede artikel heeft betrekking op de wijzigingen die op 10 oktober 2018 hebben plaatsgevonden in het protocol bij het verdrag betreffende de bescherming van personen in verband met de geautomatiseerde verwerking van persoonsgegevens. Dit laatste geldt voor het hele Koninkrijk. De behandeling van dit voorstel van rijkswet in de Staten van Curaçao heeft betrekking op de goedkeuring van de hiervoor genoemde artikelen.

De fractie haalt aan dat het hier om mensenrechten gaat. Wat zijn mensenrechten? Een voorbeeld hiervan is de vrijheid van godsdienst. Iedereen heeft het recht op vrijheid van godsdienst en vrijheid van meningsuiting. Dit betekent dat mensen volgens religieuze voorschriften mogen leven, hun religieuze opvattingen mogen uitdragen en kritiek mogen uiten zonder toestemming van de regering. De vrijheid van meningsuiting is echter niet onbeperkt en kan in sommige gevallen als onrechtmatig worden gekwalificeerd. Een ander voorbeeld is het discriminatieverbod. Dit zijn fundamentele mensenrechten. De bescherming van persoonsgegevens is nu ook een fundamenteel mensenrecht geworden. Mensenrechten zijn echter geen vaststaand gegeven, ze blijven in ontwikkeling. In de toekomst is het bijvoorbeeld mogelijk dat ook dieren beschermd worden tegen consumptie.

De goedkeuring van het voorstel van rijkswet, wat houdt dat in? Dit is een ondergrens. Elk land is vrij om het vereiste niveau van bescherming van persoonsgegevens te waarborgen. Wat gebeurt er met persoonsgegevens? Het in handen krijgen van iemands mobiele telefoon levert alle informatie van de eigenaar op. Hoe wordt deze persoon beschermd? Bescherming van persoonsgegevens is een fundamenteel mensenrecht. Bijvoorbeeld, iemand die zich heeft vergist. Hoe kan deze persoon vergeten worden? Met de huidige technologieën gaan zijn persoonsgegevens de wereld rond. De fractie geeft een voorbeeld uit de screeningswet voor kandidaat-ministers op Curaçao. Sommige kandidaten die jaren geleden in opspraak waren geraakt, dachten dat zij de toetsing zouden passeren. Later bleek dit niet het geval te zijn. De vraag is: hoe worden de gegevens van deze personen beschermd? De gegevens van deze personen zijn overal terug te vinden. De fractie merkt op dat de beste manier om persoonlijke gegevens te beschermen is door het gebruik van bepaalde applicaties (Apps) te vermijden.

De MFK-fractie deelt mee dat, voorafgaand aan de behandeling van dit voorstel van rijkswet in de centrale commissie, de commissie Bestuur, Planning en Dienstverlening (BPD) van de Staten heeft vergaderd met de ambtenaren van Aruba, Sint-Maarten en Nederland, die belast zijn met dit voorstel. De behandeling is vervolgens voortgezet in het tripartiete overleg tussen de delegaties van Aruba, Curaçao en Sint Maarten. Dit voorstel van rijkswet heeft betrekking op de bescherming van persoonsgegevens van burgers, een onderwerp dat van groot belang is voor de maatschappij. Niet iedereen is zich bewust van de bescherming van persoonsgegevens. Een voorbeeld hiervan is het internationale datalek van persoonsgegevens en informatie. Vaak weet de persoon zelf niet dat er sprake is van een datalek. Dit gebeurt vaak via verschillende internationale platforms. Datalekken komen onder meer voor bij het gebruik van Facebook en TikTok. TikTok ligt onder vuur in de Amerikaanse Senaat. De Senaat heeft ingestemd met een algeheel verbod op TikTok, in verband met de nationale veiligheid. Dit platform heeft directe toegang tot alle informatie en persoonsgegevens, en de vraag is of de Chinese overheid toegang heeft tot de data van de Amerikaanse regering.

De fractie erkent het belang van dit voorstel van rijkswet. Het is duidelijk dat verschillende platforms algoritmes toepassen om gebruikers te volgen en hun interesses te leren kennen. Veel gebruikers hebben het gevoel dat ze via hun mobiele telefoon worden gevolgd door de applicaties. Deze ontwikkelingen hebben aan de ene kant voordelen voor de gebruiker, maar kunnen ook argwaan wekken. Onder deze omstandigheden is het belangrijk dat de gebruiker zoveel mogelijk wordt beschermd. Uiteraard zijn alle burgers vrij om alles te doen, zolang ze een ander niet schaden.

Tijdens de technische briefing heeft de commissie met de desbetreffende ambtenaren gesproken over dit onderwerp, onder meer over hoe in de praktijk met data moet worden omgegaan. Wat is de beste manier om de regeling en de bescherming van persoonsgegevens uit te voeren? Dit is in principe niet mogelijk zonder een bewustwordingscampagne. Er is een autoriteit (RAAK) ingesteld die zorgdraagt voor de bescherming en het toezicht op data. Volgens de fractie is het voorstel van rijkswet belangrijk, maar dit moet gepaard gaan met een nationale cyberveiligheidswet. De fractie stemt in met de goedkeuring van het onderhavige voorstel van rijkswet, maar vraagt zich af, wat daarna volgt.

Hoe zal de regering van Curaçao hiermee verder omgaan, na goedkeuring van dit voorstel van rijkswet? De bescherming van persoonsgegevens van burgers werkt niet zonder een nationale cyberveiligheidswet. Een voorbeeld hiervan is hacking. De veiligheidsdienst kan volgens de fractie, via hacking, de beschikking krijgen over allerlei datagegevens die later in een opsporingsonderzoek tegen een verdachte gebruikt kunnen worden.

De fractie merkt op dat dit verdrag niet door alle landen is geratificeerd. Ook Curaçao heeft dit verdrag nooit geratificeerd. Wat betekent dit voor Curaçao? Wat moet het land Curaçao verder doen?

Verder krijgen de ontwikkelingen op het gebied van AI wereldwijd steeds meer aandacht. Veel smartphones gebruiken AI. Bijvoorbeeld, de smartphone wordt ontgrendeld door gezichtsherkenning. Dit zijn functies (features) die de gebruiker helpen. Enkele voorbeelden hiervan zijn Siri, Bixby, Google Assistent en Alexa. Het is duidelijk dat deze platforms internationaal proberen om meer over de gebruiker te weten te komen. Door het gebruik van AI-algoritmes kan de smartphone leren hoe de gebruiker zijn of haar apparaat gebruikt. Volgens de fractie bestaat er vooralsnog geen internationale wet die AI-algoritmes (platforms) reguleert. De vraag is of Curaçao dit in de nationale regeling kan vastleggen, vooral in het kader van het gebruik van AI. Het Justitieel Vierlandenoverleg (JVO) heeft in 2022 steun en financiële hulp toegezegd voor de uitvoering van dit onderwerp. Deze steun geldt voor Curaçao, maar ook voor Aruba en Sint-Maarten. De fractie vraagt hoe het daarmee staat.

De MAN-fractie merkt op dat het voorstel van rijkswet ook betrekking heeft op informatie en vormen van informatie voor militaire- en veiligheidsdoeleinden. Dit betekent dat deze diensten bevoegdheden hebben over gegevens die als persoonsgegevens kunnen worden gekwalificeerd. De fractie heeft met name vragen en opmerkingen richting de regering van Curaçao. De Raad van State heeft aangegeven dat de Caribische landen momenteel geen wetten hebben op het niveau van deze verdragen. Wat is de positie van de regering van Curaçao met betrekking tot wetswijzigingen over persoonsgegevens, om deze op het niveau van verdragen vast te stellen? De Autoriteit Persoonsgegevens heeft in haar brief van 21 februari 2021 aangegeven dat er binnen het Koninkrijk concordantie moet zijn wat betreft wetten en de uitwisseling van informatie in strafrechtelijke onderzoeken en door veiligheidsdiensten. Op dit moment worden gegevens via rechtshulpverzoeken uitgewisseld. Wat is het oordeel van de regering hierover, met name over de uitwisseling van informatie in strafrechtelijke onderzoeken en door veiligheidsdiensten? Wat is het oordeel van de regering over concordantie met andere partners binnen het Koninkrijk op basis van het onderhavige voorstel van rijkswet?

Curaçao heeft een autoriteit ingesteld om toezicht te houden op en controle uit te oefenen over de manier waarop wordt omgegaan met persoonsgegevens. Betekent het goedkeuren van dit verdrag dat Curaçao haar wetten en regelingen moet aanpassen om uitvoering te kunnen geven aan de normen van dit verdrag? Wat is de visie en het beleid van de regering met betrekking tot de verwerking en bescherming van persoonsgegevens op basis van dit voorstel van rijkswet? Dit heeft volgens de fractie ook invloed op de destijds ingestelde autoriteit.

Dit verslag geldt als een Eindverslag.

Aldus vastgesteld in de vergadering van de Centrale Commissie van de 1^e oktober 2024.

De Rapporteur, Ch.M. America-Francisca