32 554 Wijziging van de Wet politiegegevens en van de Wet justitiële en strafvorderlijke gegevens in verband met de implementatie van het kaderbesluit van de Raad van de Europese Unie 2008/977/JBZ over de bescherming van persoonsgegevens die worden verwerkt in het kader van de politiële en justitiële samenwerking in strafzaken en de implementatie van het Besluit van de Raad 2009/371/JBZ van 6 april 2009 tot oprichting van de Europese politiedienst (Europol)

Nr. 3 MEMORIE VAN TOELICHTING

ALGEMEEN

I. Inleiding

Met dit wetsvoorstel worden de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens aangepast. Dit houdt verband met de implementatie (uiterlijk op 27 november 2010) van het kaderbesluit 2008/977/JBZ van de Raad van de Europese Unie van 27 november 2008 over de bescherming van persoonsgegevens die worden verwerkt in het kader van de politiële en justitiële samenwerking in strafzaken (PbEU L 350/60; hierna: het kaderbesluit dataprotectie of het kaderbesluit). Het kaderbesluit dataprotectie geeft regels over de verwerking van persoonsgegevens in het kader van de politiële en justitiële samenwerking in strafzaken.

Met het bij of krachtens de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens bepaalde wordt reeds op hoofdlijnen voldaan aan de verplichtingen van het kaderbesluit dataprotectie (zie paragraaf VIII). Dat ligt ook voor de hand omdat de Nederlandse wetgeving is gebaseerd op dezelfde beginselen en principes op het gebied van de bescherming van persoonsgegevens als die welke ten grondslag liggen aan de regels van het kaderbesluit. Niettemin zijn er op enkele onderdelen aanpassingen nodig van de Nederlandse wetgeving. Het betreft onder andere de waarborgen bij verdere verwerking van gegevens voor andere doelen, bij doorgifte van gegevens aan derde landen en het recht op kennisneming. In paragraaf IX wordt dit besproken.

Tevens wordt voorgesteld enkele andere wijzigingen in de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens aan te brengen, die zeer nauw samenhangen met de regels over de verwerking van persoonsgegevens in het kader van de politiële en justitiële samenwerking in strafzaken. Dit betreft de verstrekking van politiegegevens aan Europol, ter implementatie van het Besluit van de Raad 2009/371/JBZ van 6 april 2009 tot oprichting van de Europese politiedienst (Europol) en de verstrekking van politiegegevens aan Eurojust.

Mede namens mijn ambtgenoten van Binnenlandse Zaken en Koninkrijksrelaties en van Defensie, licht ik het wetsvoorstel ter implementatie van het kaderbesluit dataprotectie in deze memorie van toelichting toe.

II. De reikwijdte van het kaderbesluit dataprotectie

Het kaderbesluit geeft regels over de bescherming van persoonsgegevens die worden verwerkt in het kader van de politiële en justitiële samenwerking in strafzaken. De onderhandelingen over dit kaderbesluit, die in 2005 zijn aangevangen, hebben betrekkelijk veel tijd gekost. De Raad heeft zich tussentijds enkele malen gebogen over de reikwijdte van het kaderbesluit. Op dit aspect zal hieronder nog nader worden ingegaan.

Vooropgesteld moet worden dat het kaderbesluit dataprotectie geen zelfstandige bevoegdheden bevat voor de uitwisseling van persoonsgegevens tussen de lidstaten. In afzonderlijke rechtsinstrumenten kunnen afspraken worden opgenomen over de gevallen waarin, en de voorwaarden waaronder, persoonsgegevens door de lidstaten onderling moeten worden of kunnen worden verstrekt. Voorheen werden dergelijke rechtsinstrumenten vastgesteld op basis van Titel VI (derde pijler) van het verdrag betreffende de Europese Unie, zoals dat gold tot aan de inwerkingtreding van het verdrag van Lissabon (hierna ook te noemen: VEU oud). Een belangrijk voorbeeld hiervan is de Overeenkomst, door de Raad vastgesteld overeenkomstig artikel 34 van het Verdrag betreffende de Europese Unie, betreffende de wederzijdse rechtshulp in strafzaken tussen de lidstaten van de Europese Unie (Trb. 2000, 96). Een ander belangrijk voorbeeld is het kaderbesluit 2006/960/JBZ van de Raad van de Europese Unie van 18 december 2006 betreffende de vereenvoudiging van de uitwisseling van informatie en inlichtingen tussen de rechtshandhavingsdiensten van de lidstaten van de Europese Unie (PbEU L 386), waarin is geregeld dat door het verstrekken van informatie en inlichtingen aan de bevoegde rechtshandhavingsautoriteiten van een andere lidstaat geen striktere voorwaarden worden toegepast dan de op nationaal niveau toepasselijke voorwaarden voor het verstrekken van en het verzoeken om informatie en inlichtingen (artikel 3, derde lid). Een ander voorbeeld van een Raadsbesluit dat een verplichting tot verstrekking van gegevens bevat is het besluit 2008/615/JBZ van de Raad van de Europese Unie van 23 juni 2008 over de verbetering van de grensoverschrijdende samenwerking, in het bijzonder bij de bestrijding van terrorisme en grensoverschrijdende criminaliteit (PbEU L 210). Met dit besluit is het Verdrag van Prüm omgezet in een bindend rechtsinstrument voor de Europese Unie. Dit besluit voorziet in de verplichting voor de partijen om bepaalde categorieën gegevens ter beschikking te stellen voor geautomatiseerde raadpleging, onder meer door middel van de vergelijking van gegevens. De geautomatiseerde bevraging van gegevens betreft kentekens van voertuigen; de geautomatiseerde gegevensvergelijking betreft DNA-profielen en dactyloscopische gegevens (vingerafdrukken). Indien bij de gegevensvergelijking bepaalde gegevens overeenkomen is het nationale recht, met inbegrip van de rechtshulpvoorschriften, van toepassing op de verstrekking van nadere informatie.

Met ingang van 1 december 2009 is het Verdrag van Lissabon in werking getreden, dat voorziet in aanpassing van het institutionele kader van de Europese Unie. Titel V van het verdrag betreffende de werking van de Europese Unie heeft betrekking op de ruimte van vrijheid, veiligheid en recht. Hoofdstuk 4 geeft regels over de justitiële samenwerking in strafzaken en hoofdstuk 5 geeft regels over de politiële samenwerking. In deze hoofdstukken wordt aan het Europees Parlement en de Raad de mogelijkheid geboden om maatregelen, verordeningen of voorschriften vast te stellen. Zo biedt artikel 87 van dit verdrag het Europees Parlement en de Raad de mogelijkheid om volgens de gewone wetgevingsprocedure maatregelen vast te stellen voor de verzameling, verwerking, analyse en uitwisseling van relevante informatie.

Het kaderbesluit dataprotectie geeft waarborgen voor de bescherming van persoonsgegevens, die van toepassing zijn in het geval dat persoonsgegevens tussen de lidstaten onderling worden verstrekt of door de lidstaten worden verstrekt aan autoriteiten of informatiesystemen die krachtens de hoofdstukken 4 en 5 van Titel V van het verdrag betreffende de werking van de Europese Unie zijn ingesteld. Aldus bevat het kaderbesluit de nodige verplichtingen voor de autoriteiten die zijn belast met opsporing en vervolging en bevat het de nodige waarborgen voor een zorgvuldige gegevensverwerking. Deze waarborgen hebben betrekking op aspecten als de doeleinden met het oog waarop de gegevens verwerkt mogen worden (doelbinding), de rechten van de betrokkene en het toezicht op de gegevensverwerking. Met het oog op de «waarborgfunctie» van het kaderbesluit dataprotectie zijn enkele keuzes gemaakt ten aanzien van de implementatie. In paragraaf VI zal nader op deze uitgangspunten worden ingegaan.

Net als het kaderbesluit bevat de Nederlandse wetgeving op het gebied van de verwerking van persoonsgegevens ten behoeve van de opsporing en de vervolging van strafbare feiten geen zelfstandige bevoegdheden tot het verzamelen van persoonsgegevens. De Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens bevatten de nodige waarborgen voor een rechtmatige en zorgvuldige gegevensverwerking maar geven geen zelfstandige bevoegdheden voor het verzamelen van die gegevens.

Nu het kaderbesluit geen zelfstandige bevoegdheden op het gebied van het verzamelen van persoonsgegevens bevat, stelt het kaderbesluit evenmin regels over de bevoegdheden tot het verzamelen van die gegevens op nationaal niveau. Deze bevoegdheden betreffen de verantwoordelijkheid van de lidstaten zelf, hun soevereiniteit op dit terrein blijft onverkort van kracht. In Nederland zijn bevoegdheden tot het inwinnen van informatie door ambtenaren van politie en officieren van justitie ten behoeve van de opsporing en vervolging van strafbare feiten terug te vinden in het Wetboek van Strafvordering, in bijzondere wetten en in de Politiewet 1993.

Tot nu toe geldt er in de Europese Unie geen gemeenschappelijk kader voor de bescherming van persoonsgegevens die tussen de lidstaten worden uitgewisseld met het oog op de opsporing en vervolging van strafbare feiten. De huidige situatie binnen de Europese Unie is beschreven in een brief aan de Tweede Kamer(Kamerstukken II 2006/07, 23 490, nr. 444). Op dit moment zijn er op dit gebied uiteenlopende afspraken en overeenkomsten van kracht, de belangrijkste is de Schengen Uitvoeringsovereenkomst. Titel VI van dat Verdrag bevat speciale bepalingen inzake de bescherming van persoonsgegevens, Dit betreft echter een betrekkelijk gefragmenteerde regeling, waarin bijvoorbeeld aspecten als het recht op kennisneming of de uitoefening van onafhankelijk toezicht op de gegevensverwerking als zodanig niet is geregeld. Ook in andere EU-rechtsinstrumenten zijn regels op het gebied van de gegevensbescherming terug te vinden. Daarbij wordt een belangrijke rol toebedeeld aan de afspraken in het kader van de Raad van Europa, als een soort van kenbron voor de beoordeling van het niveau van gegevensbescherming, en aan het nationale recht van de lidstaten zelf (Verdrag van de Raad van Europa van 28 januari 1981 tot bescherming van het individu in verband met de geautomatiseerde registratie van persoonsgegevens, Aanbeveling nr. R(87)15 van het Comité van Ministers van de Raad van Europa van 17 september 1987 tot regeling van het gebruik van persoonsgegevens op politieel gebied en Aanvullend protocol van 8 november 2001 (Trb. 2003, 122 en 165).

De uitwisseling van persoonsgegevens tussen de rechtshandhavingdiensten binnen de Unie is echter een belangrijke voorwaarde om de Unie als ruimte van vrijheid, veiligheid en recht – waarbij aan de binnengrenzen geen persoonscontroles worden verricht – goed te kunnen laten functioneren. Gemeenschappelijke regels voor de bescherming van de gegevens die tussen de opsporings- en vervolgingsdiensten worden uitgewisseld mogen dan eigenlijk niet langer ontbreken. Dit klemt temeer tegen de achtergrond van de intensivering van de gegevensuitwisseling op dat terrein binnen de Unie. Om hieraan richting te geven heeft de Raad met het Haags Programma het zogenaamde beschikbaarheidsbeginsel aanvaard voor de verdere ontwikkeling van de Europese Unie als een enkele ruimte van vrijheid, veiligheid en rechtvaardigheid¹. Het feit dat informatie de grens over gaat mag niet langer bepalend zijn voor de beschikbaarheid van de gegevens. De gegevens van de politiediensten in de lidstaten moeten gelijkelijk beschikbaar zijn voor de politiediensten in de andere lidstaten. Anders is de effectieve grensoverschrijdende criminaliteitsbestrijding niet goed te realiseren.

Gelet op het voorgaande bevat het kaderbesluit dataprotectie een samenhangend geheel van regels op het gebied van de verwerking en uitwisseling van persoonsgegevens. De regels van het kaderbesluit zijn specifieker omschreven dan de meer algemene beginselen van de Raad van Europa en vormen een meer uitgebreid geheel dan de afspraken die tot nu toe binnen de Europese Unie golden.

III. De inhoud van het kaderbesluit

Het kaderbesluit bevat regels over de verwerking van gegevens in de lidstaten, de doorgifte van gegevens die van een andere lidstaat zijn verkregen, de rechtswaarborgen voor de betrokkene en de uitoefening van toezicht op de gegevensverwerking. Dit betreft het volgende:

De verwerking van gegevens in de lidstaten

In artikel 3 van het kaderbesluit is de doelbinding geregeld. Persoonsgegevens mogen alleen worden verzameld voor specifieke, uitdrukkelijke en rechtmatige doeleinden en alleen worden verwerkt voor het doel waarvoor zij zijn verzameld. De verwerking van gegevens moet rechtmatig, adequaat, terzake dienen en niet excessief zijn in verhouding tot het doel waarvoor zij worden verzameld. Verdere verwerking voor een ander doel is toegestaan mits deze verwerking niet onverenigbaar is met het doel waarvoor de gegevens zijn verzameld, de bevoegde autoriteiten bevoegd zijn om die gegevens te verwerken en de verwerking noodzakelijk en proportioneel is.

De verwerking van persoonsgegevens over raciale of etnische afkomst, politieke opvattingen, godsdienstige of levensbeschouwelijke overtuiging, lidmaatschap van een vakvereniging of de gezondheid of het seksleven is uitsluitend geoorloofd wanneer dit strikt noodzakelijk is en in de nationale wetgeving adequate garanties worden gebonden (artikel 6).

Passende termijnen worden vastgesteld voor het wissen van persoonsgegevens of een periodieke toetsing op de noodzaak van opslag (artikel 5).

Persoonsgegevens moeten worden gecorrigeerd als ze niet correct zijn (artikel 4) en de bevoegde autoriteiten moeten ervoor zorgen dat persoonsgegevens die onjuist, onvolledig of niet actueel zijn, niet worden verstrekt of beschikbaar gesteld. Indien wordt vastgesteld dat onjuiste gegevens zijn verstrekt moet dit onmiddellijk aan de ontvanger worden medegedeeld. De gegevens moeten onmiddellijk worden gecorrigeerd, gewist of afgeschermd (artikel 8).

Iedere verstrekking van persoonsgegevens moet worden vastgelegd, ten behoeve op de rechtmatigheid van de gegevensverwerking (artikel 10).

De doorgifte van gegevens

In artikel 11 van het kaderbesluit zijn de doelen neergelegd met het oog waarop de gegevens, die van een andere lidstaat zijn verkregen, verder mogen worden verwerkt. De persoonsgegevens mogen alleen verder worden verwerkt voor de preventie, het onderzoek, de opsporing of de vervolging van andere strafbare feiten of de tenuitvoerlegging van andere straffen dan die waarvoor de gegevens waren verstrekt of beschikbaar gesteld. De gegevens mogen tevens verder worden verwerkt voor andere gerechtelijke of administratieve procedures die rechtstreeks verband houden met de preventie, het onderzoek, de opsporing of de vervolging terzake van strafbare feiten en de tenuitvoerlegging van straffen en voor de voorkoming van een onmiddellijke en ernstige bedreiging van de openbare veiligheid. Tenslotte is verdere verwerking voor een ander doel mogelijk na voorafgaande toestemming van de verstrekkende lidstaat of met instemming van de betrokkene. Indien in de verstrekkende lidstaat voor de uitwisseling van gegevens tussen de bevoegde autoriteiten specifieke beperkingen gelden, moeten die door de ontvanger in acht worden genomen (artikel 12).

De persoonsgegevens die van een andere lidstaat zijn verkregen, kunnen onder bepaalde voorwaarden worden doorgegeven aan derde landen of internationale organen. Essentieel is dat de doorgifte noodzakelijk is voor de preventie, de opsporing of de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, dat de lidstaat waarvan de gegevens afkomstig zijn heeft ingestemd met de doorgifte en dat het betrokken derde land of internationale orgaan een toereikend niveau van gegevensbescherming waarborgt. Onder bepaalde omstandigheden kunnen gegevens worden doorgegeven zonder voorafgaande instemming of zonder dat sprake is van een toereikend beschermingsniveau (artikel 13).

De persoonsgegevens die van een andere lidstaat zijn verkregen kunnen onder bepaalde voorwaarden worden doorgegeven aan particuliere instanties. Vereist is dat de lidstaat waarvan de gegevens afkomstig zijn heeft ingestemd met de doorgifte, dat geen gerechtvaardigde belangen van de betrokkene zich tegen doorgifte verzetten en dat de doorgifte in bijzondere gevallen essentieel is voor bepaalde, nader omschreven doeleinden (artikel 14).

De rechtswaarborgen voor de betrokkene

De betrokkene moet, overeenkomstig het nationale recht van de betreffende lidstaat, worden geïnformeerd over het verzamelen en verwerken van persoonsgegevens (artikel 16). De betrokkene heeft het recht op kennisneming van de gegevensverwerking, van de gegevens die op hem betrekking hebben en van de ontvangers van die gegevens (artikel 17). Het recht op kennisneming kan op bepaalde gronden worden geweigerd, de weigering wordt schriftelijk toegelicht en gemotiveerd. De betrokkene kan bij een rechterlijke instantie beroep aantekenen.

De betrokkene heeft tevens het recht op het corrigeren, wissen of afschermen van gegevens. Indien de verantwoordelijk dit weigert dan moet die weigering schriftelijk worden medegedeeld en kan betrokkene hiertegen beroep instellen bij de rechter (artikel 18).

De bevoegde autoriteiten dienen passende technische en organisatorische maatregelen te treffen om persoonsgegevens te beveiligen tegen alle vormen van onrechtmatige verwerking. Deze maatregelen zijn in het kaderbesluit uitgewerkt (artikel 22).

De uitoefening van het toezicht

In de lidstaat moet een autoriteit worden belast met advisering en toezicht over de toepassing van de krachtens het kaderbesluit vastgestelde voorschriften. De toezichthoudende autoriteit beschikt over onderzoeksbevoegdheden, effectieve bevoegdheden om in te grijpen en de bevoegdheid om in rechte op te treden ingeval van inbreuken op de krachtens het kaderbesluit vastgestelde nationale bepalingen (artikel 25). Eenieder kan bij elke toezichthoudende autoriteit een vordering indienen met betrekking tot de bescherming van zijn rechten en vrijheden in verband met de verwerking van persoonsgegevens. De nationale toezichthoudende autoriteit wordt geraadpleegd voordat persoonsgegevens die in een nieuw bestand zullen worden opgenomen, worden verwerkt wanneer het gaat om gevoelige persoonsgegevens of wanneer de aard van de verwerking specifieke risico’s met zich meebrengt voor het recht op bescherming van de persoonlijke levenssfeer (artikel 23).

Evaluatie

Het kaderbesluit voorziet in een evaluatie. Voor 27 november 2014 zal de Commissie verslag uitbrengen over de naleving van het kaderbesluit door de lidstaten. Daarbij zal de Commissie in het bijzonder onderzoek doen naar de gevolgen van de bepaling over het toepassingsgebied van het kaderbesluit.

IV. Het toepassingsgebied van het kaderbesluit

Het kaderbesluit dataprotectie is vastgesteld op grond van Titel VI van het VEU oud, dat tot 1 december 2009 van kracht was. De rechtsgrondslag op basis van de toenmalige derde pijler brengt met zich dat het kaderbesluit alleen van toepassing is op gegevens die door de bevoegde autoriteiten worden verzameld of verwerkt met het oog op preventie, onderzoek, opsporing en vervolging van strafbare feiten en de tenuitvoerlegging van straffen. Het toepassingsgebied van het kaderbesluit is beperkt tot de verwerking van persoonsgegevens die worden verstrekt of beschikbaar gesteld tussen de lidstaten. Omdat tevoren niet goed is vast te stellen in hoeverre politiële of justitiële gegevens die in een lidstaat worden verwerkt, vervolgens aan andere lidstaten verstrekt zullen worden, betekent dit in essentie dat het kaderbesluit van toepassing is op alle gegevens die in een lidstaat worden verzameld of verwerkt met het oog op preventie, onderzoek, opsporing en vervolging van strafbare feiten en de tenuitvoerlegging van straffen. Dit is dan ook het uitgangspunt voor de implementatie van de verplichtingen van het kaderbesluit in de Nederlandse wetgeving.

Het kaderbesluit is ook van toepassing op de gegevens die, met het oog op preventie, onderzoek, opsporing en vervolging van strafbare feiten en de tenuitvoerlegging van straffen, door de lidstaten worden verstrekt aan autoriteiten of informatiesystemen die op grond van Titel VI van het VEU oud zijn ingesteld. Dit betreft organisaties als Europol en Eurojust. Tenslotte is het kaderbesluit van toepassing op de gegevens die met dat doel door de vorenbedoelde autoriteiten of informatiesystemen aan de bevoegde autoriteiten van de lidstaten worden verstrekt.

Het kaderbesluit is niet van toepassing op de inlichtingen- en veiligheidsdiensten. De activiteiten van deze diensten vallen buiten de reikwijdte van het Verdrag betreffende de Europese Unie.

V. De verhouding met regels in bestaande EU-overeenkomsten en bilaterale afspraken

In verschillende rechtsinstrumenten op grond van VEU oud zijn specifieke bepalingen opgenomen over de bescherming van persoonsgegevens die op grond van die besluiten worden uitgewisseld of anderszins verwerkt. In sommige gevallen vormen die bepalingen een volledig en samenhangend pakket van regels, dat alle belangrijke aspecten van de gegevensbescherming bestrijkt (beginselen betreffende de gegevenskwaliteit, regels inzake gegevensbeveiliging, regeling van de rechten van en waarborgen voor de betrokkene, organisatie van het toezicht en de aansprakelijkheid). Dit betreft de volgende rechtsinstrumenten:

In het besluit 2009/371/JBZ van de Raad van de Europese Unie van 6 april 2009 tot oprichting van de Europese politiedienst, dat de Europolovereenkomst met ingang van 1 januari 2010 vervangt, worden in de Hoofdstukken III, IV en V (artikelen 17 tot en met 35) specifieke regels gegeven over de verwerking van informatie (PbEU L 121/49)). Dit omvat het niveau van gegevensbescherming, het gebruik van de van de lidstaten verkregen gegevens door Europol, de verstrekking van gegevens aan derde landen, het recht van toegang, de correctie en verwijdering van gegevens, bewaartermijnen, de oprichting van een nationaal en van een gemeenschappelijk toezichthoudend orgaan en de beveiliging van de gegevensverwerking.

In het besluit 2002/187/JBZ van de Raad van de Europese Unie van 28 februari 2002 betreffende de oprichting van Eurojust teneinde de strijd tegen ernstige vormen van criminaliteit te versterken (PbEU L 63/1) zijn specifieke bepalingen opgenomen over de verwerking van persoonsgegevens. Deze bepalingen hebben betrekking op het niveau van gegevensbescherming, de gegevens die verwerkt kunnen worden, de aanwijzing van een functionaris voor de gegevensbescherming, het recht op toegang tot persoonsgegevens, verbetering en verwijdering van gegevens, de bewaartermijn van persoonsgegevens, de beveiliging van gegevens en de oprichting van een onafhankelijk gemeenschappelijk controleorgaan, de aansprakelijkheid voor ongeoorloofde of onjuiste verwerking van gegevens, geheimhouding en de uitwisseling van informatie met de partners. Inmiddels is het besluit aangevuld met een besluit 2009/426/JBZ van de Raad van de Europese Unie van 16 december 2008 inzake het versterken van Eurojust en tot wijziging van het besluit 2002/187/JBZ van de Raad van de Europese Unie betreffende de oprichting van Eurojust teneinde de strijd tegen ernstige vormen van criminaliteit te versterken (PbEU L 2009, 138/14).

In de Schengen Uitvoeringsovereenkomst worden in Titel VI (artikelen 126 tot en met 130) specifieke regels gegeven over de bescherming van persoonsgegevens. Deze regels hebben betrekking op de doelbinding, de controle op de juistheid van de persoonsgegevens, de vastlegging van de verstrekking en de ontvangst van gegevens (protocollering), het niveau van de gegevensbescherming rond de verstrekte gegevens en de uitoefening van onafhankelijk toezicht op de naleving van de overeengekomen voorschriften.

In het kaderbesluit dataprotectie is vastgelegd dat deze gegevensbeschermingsbepalingen, met name die welke de werking van Europol, Eurojust en het Schengen Informatie Systeem (SIS) betreffen en die welke rechtstreekse toegang voor de autoriteiten van de lidstaten tot bepaalde gegevenssystemen van andere lidstaten invoeren, in dit kaderbesluit onverlet worden gelaten (overweging no. 39). Hetzelfde geldt voor de gegevensbeschermingsvoorschriften betreffende geautomatiseerde overdracht tussen de lidstaten van DNA-profielen, dactyloscopische gegevens en gegevens uit de nationale kentekenregisters op grond van het kaderbesluit tot omzetting van het Verdrag van Prüm in een rechtsinstrument op basis van de derde pijler, dat hierna aan de orde komt.

Ook in andere besluiten op grond van het VEU oud worden aan de lidstaat die van een andere lidstaat informatie ontvangt die persoonsgegevens omvat, specifieke voorwaarden opgelegd ten aanzien van het doel waarvoor de gegevens gebruikt mogen worden. In de besluiten wordt voor andere gegevensbeschermingsmaatregelen echter verwezen naar het eerdergenoemde Verdrag van Europa van 1981 of naar het nationale recht. Zo bevat het eerdergenoemde besluit 2008/615/JBZ van de Raad van de Europese Unie van 23 juni 2008, ter omzetting van het Verdrag van Prüm, een specifieke bepaling over de bescherming van persoonsgegevens (artikel 28). De ontvangende lidstaat mag de verkregen persoonsgegevens uitsluitend verwerken voor de doeleinden waarvoor deze op grond van dat besluit zijn verstrekt, het gebruik voor andere doeleinden is alleen toegestaan na voorafgaande toestemming van de verstrekkende lidstaat. Eenzelfde bepaling is terug te vinden in het Zweeds kaderbesluit (artikel 8, derde lid).

In het kaderbesluit dataprotectie is vastgelegd dat, voor zover de betreffende bepalingen van die besluiten meer beperkend zijn dan de overeenkomstige bepalingen van het kaderbesluit dataprotectie, de eerstgenoemde bepalingen onverlet worden gelaten (overweging no. 40). Voor alle andere aspecten moeten de in het kaderbesluit dataprotectie vastgelegde voorschriften worden toegepast.

Het kaderbesluit laat de bestaande bilaterale afspraken tussen de lidstaten en derde landen omtrent de doorgifte van gegevens die van een andere lidstaat zijn verkregen, onverlet (artikel 26). Voor toekomstige afspraken zal echter rekening moeten worden gehouden met dit kaderbesluit.

VI. Uitgangspunten voor de implementatie van het kaderbesluit dataprotectie

Bij de implementatie van het kaderbesluit dataprotectie is uitgegaan van een zoveel mogelijk extensieve werking van de regels van het kaderbesluit voor de verwerking en verstrekking van de persoonsgegevens die onder de reikwijdte van het kaderbesluit vallen. Hiermee wordt in de eerste plaats bedoeld dat de regels van het kaderbesluit ook gelden voor de gegevens die uitsluitend op nationaal niveau worden verwerkt. Dit betreft bijvoorbeeld het recht op kennisneming van de betrokkene. Voor de reikwijdte van dit recht zal het niet van belang zijn in hoeverre de gegevens daadwerkelijk aan de bevoegde autoriteit van een andere lidstaat zijn verstrekt. Zoals hiervoor is opgemerkt, is het namelijk tevoren niet in te schatten of politiegegevens of justitiële en strafvorderlijke gegevens in een later stadium aan de bevoegde autoriteit van een andere lidstaat verstrekt zullen worden. Beperking van de implementatie van het kaderbesluit tot de gegevens die daadwerkelijk uitgewisseld worden is dan wat gekunsteld en in de praktijk ook niet goed uitvoerbaar. Het kaderbesluit laat de lidstaten de ruimte tot deze wijze van implementeren; het bevat minimumnormen.

In de tweede plaats is bij de implementatie van het kaderbesluit zo weinig mogelijk onderscheid gemaakt tussen de verstrekking van gegevens binnen de Europese Unie en de verstrekking van gegevens aan landen buiten de Europese Unie. Essentiële elementen van het kaderbesluit, zoals de verplichting de kwaliteit van de gegevens te controleren voordat deze worden verstrekt en het vereiste van een toereikend beschermingsniveau voor de voorgenomen gegevensverwerking, gelden ook voor de gegevensverstrekking aan andere landen dan die van de Europese Unie. Dit is in het belang van zowel de rechtszekerheid van de betrokkenen als van een goede uitvoering van de voorschriften door politie en justitie. Het valt bijvoorbeeld niet goed in te zien waarom de doorgifte van gegevens door een andere lidstaat aan een derde land, die van een Nederlandse opsporings- of vervolgingsinstantie zijn verkregen, zou moeten voldoen aan het criterium van het toereikend beschermingsniveau, zoals het kaderbesluit voorschrijft, terwijl dat criterium niet van toepassing zou zijn op de rechtstreekse verstrekking van de betreffende gegevens aan dat derde land. Op dit punt ligt een algemene gelding in de rede. Ditzelfde geldt voor de verplichtingen tot controle van de te verstrekken en de ontvangen gegevens. Het zou vreemd zijn als een dergelijk voorschrift, dat uit het kaderbesluit voortvloeit, uitsluitend zou gelden voor gegevensverstrekkingen binnen de Unie. Overigens wordt dit nader uitgewerkt bij algemene maatregel van bestuur.

Bij de doelbinding daarentegen is wel gekozen voor een limitatieve uitleg; de doelbinding voor gegevensverstrekkingen binnen de Europese Unie is namelijk ruimer dan die voor verstrekkingen aan andere landen. De ruimere reikwijdte voor gegevensverstrekkingen binnen de Unie wordt door het kaderbesluit voorgeschreven, voor de gegevensverstrekkingen buiten de Unie ligt een ruimere uitleg niet voor de hand omdat het «acquis» van het kaderbesluit op het gebied van de gegevensbescherming voor die landen niet geldt. Dus: daar waar mogelijk is gekozen voor een extensieve interpretatie van de bepalingen van het kaderbesluit dataprotectie, waar nodig is gekozen voor een limitatieve interpretatie van die bepalingen.

Voordat nader op de inhoud van het wetsvoorstel wordt ingegaan wordt hieronder een schets gegeven van de huidige wetgeving op het gebied van de verwerking van persoonsgegevens ten behoeve van de opsporing en vervolging van strafbare feiten.

VII. De Nederlandse wetgeving op het gebied van de verwerking van persoonsgegevens ten behoeve van de opsporing en vervolging van strafbare feiten en de wijze waarop daarin reeds rekening wordt gehouden met de uitwisseling van gegevens met andere landen.

De Wet politiegegevens, die op 1 januari 2008 in werking is getreden (Staatsblad 2007, 300), geeft regels over de verwerking van persoonsgegevens met het oog op de uitvoering van de politietaak. Met het Besluit politiegegevens bijzondere opsporingsdiensten is de Wet politiegegevens volledig van toepassing op de verwerking van persoonsgegevens door de bijzondere opsporingsdiensten. De politietaak, als bedoeld in de artikelen 2 en 6 van de Politiewet 1993, omvat de opsporing van strafbare feiten, de handhaving van de openbare orde en de hulpverlening. Daaronder vallen regels over de verstrekking van politiegegevens aan buitenlandse opsporingsinstanties. Daarbij is voorzien in de mogelijkheid tot verstrekking van politiegegevens aan Europol en Interpol. Tevens is de verstrekking van politiegegevens geregeld die verband houdt met de samenwerking met een internationaal strafgerecht. Politiegegevens mogen alleen worden verstrekt als bij de ontvangende instantie voldoende waarborgen aanwezig zijn voor een juist gebruik van de verstrekte gegevens en voor de bescherming van de persoonlijke levenssfeer. In het Besluit politiegegevens worden nadere regels gesteld over de verstrekking en de te stellen voorwaarden aan het gebruik van de gegevens door de ontvangende politieautoriteiten (paragraaf 5). In de nadere uitwerking in dit besluit is rekening gehouden met de uitwisseling van politiegegevens tussen de lidstaten van de Europese Unie. Dit betreft in de eerste plaats de implementatie van het eerdergenoemde Zweeds kaderbesluit, tot vereenvoudiging van de gegevensuitwisseling tussen de lidstaten. Dit kaderbesluit gaat uit van het beginsel dat de lidstaten zullen waarborgen dat voor de verstrekking van informatie en criminele inlichtingen aan de bevoegde autoriteiten van de andere lidstaten geen striktere regels zullen gelden dan die welke op nationaal niveau van toepassing zijn (artikel 5:2 BPG). Dit betreft in de tweede plaats de implementatie van het eerdergenoemde Besluit van de Raad tot omzetting van het Verdrag van Prüm in een bindend rechtsinstrument voor de Europese Unie, dat voorziet in de verplichting voor de partijen om bepaalde categorieën gegevens ter beschikking te stellen voor geautomatiseerde raadpleging, onder meer door middel van de vergelijking van gegevens (art. 5:3 BPG). Deze rechtsinstrumenten zijn in paragraaf II aan de orde gekomen.

De Wet justitiële en strafvorderlijke gegevens (WJSG), die op 1 april 2004 in werking is getreden, geeft regels over de verwerking van justitiële gegevens en van strafvorderlijke gegevens. Justitiële gegevens zijn de in het Besluit justitiële gegevens omschreven gegevens inzake de toepassing van het strafrecht of de strafvordering (artikel 1, onderdeel a, WJSG). Strafvorderlijke gegevens zijn gegevens die zijn verkregen in het kader van een strafvorderlijk onderzoek en die het openbaar ministerie in een strafdossier of langs geautomatiseerde weg verwerkt (artikel 1, onderdeel b, WJSG).

In Titel 2 van de wet worden regels gegeven over de verwerking en het verstrekken van justitiële gegevens. Onze Minister van Justitie verwerkt in de justitiële documentatie justitiële gegevens ten behoeve van een goede strafrechtspleging (art. 2, eerste lid, WJSG). Ten behoeve van de rechtspleging worden justitiële gegevens verstrekt aan Nederlandse rechterlijke ambtenaren en rechterlijke ambtenaren van Aruba en de Nederlandse Antillen (artikel 8, eerste lid, WJSG). De verstrekking van justitiële gegevens aan het buitenland is nader geregeld in artikel 30a van het Besluit justitiële gegevens (BJG). Ter uitvoering van een op een verdrag gegrond verzoek kunnen justitiële gegevens door tussenkomst van de officier van justitie aan de bevoegde buitenlandse autoriteiten worden verstrekt ten behoeve van strafrechtelijke doeleinden (artikel 30a BJG).

In Titel 2A van de wet worden regels gesteld over de verwerking en het verstrekken van strafvorderlijke gegevens. Het College van procureurs-generaal is verantwoordelijke voor het verwerken van strafvorderlijke gegevens (artikel 39a, eerste lid, WJSG). Voor zover dit noodzakelijk is met het oog op een zwaarwegend algemeen belang, kan het College van procureurs-generaal strafvorderlijke gegevens verstrekken aan Nederlandse rechterlijke ambtenaren, rechterlijke ambtenaren van Aruba en de Nederlandse Antillen en rechterlijke ambtenaren in het buitenland (artikel 39e, eerste lid, WJSG). Ook kunnen strafvorderlijke gegevens met het oog op een zwaarwegend algemeen belang worden verstrekt aan andere autoriteiten in het buitenland en instanties die ingevolge het internationaal recht een taak hebben in het kader van de strafrechtspleging (artikel 39e, eerste lid, onderdeel j, WJSG). Het College van procureurs-generaal is tevens bevoegd in de gevallen waarin strafvorderlijke gegevens kunnen worden verstrekt, justitiële gegevens door te verstrekken voor zover dit met het oog op een zwaarwegend algemeen belang noodzakelijk is (art. 8a, eerst lid, WJSG).

Het kaderbesluit dataprotectie voorziet in de mogelijkheid om persoonsgegevens, die door een andere lidstaat zijn verstrekt ten behoeve van de opsporing van strafbare feiten, verder te verwerken ten behoeve van de vervolging van dat strafbare feit of van andere strafbare feiten. Hiermee wordt de doelbinding, die aan de Nederlandse wetgeving ten grondslag ligt, verruimd. Uitgangspunt van de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens is dat politiegegevens of strafvorderlijke gegevens aan het buitenland kunnen worden verstrekt ten behoeve de opsporing van strafbare feiten respectievelijk de vervolging van strafbare feiten. De verdere verwerking voor een ander doel is dan afhankelijk van voorafgaande instemming (artikel 5:1, tweede lid, BPG). Op dit punt vormt het kaderbesluit een verruiming in vergelijking met de geldende regels. Deze verruiming sluit echter goed aan bij de behoeften van de praktijk. Ook voor de verwerking van politiegegevens of strafvorderlijke gegevens uitsluitend op nationaal niveau geldt dat de Wet politiegegevens voorziet in uitgebreide mogelijkheden voor de verdere verwerking van politiegegevens ten behoeve van de vervolging strafbare feiten. Ditzelfde geldt voor de Wet justitiële en strafvorderlijke gegevens voor de verdere verwerking van justitiële- of strafvorderlijke gegevens ten behoeve van de opsporing van strafbare feiten.

VIII. De implementatie van de inhoud van het kaderbesluit

Met de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens, en de daarop gebaseerde besluiten, wordt grotendeels voldaan aan de verplichtingen van het kaderbesluit dataprotectie. Dat ligt ook voor de hand, omdat de Nederlandse wetgeving is gebaseerd op dezelfde beginselen en principes op het gebied van de bescherming van persoonsgegevens als die welke ten grondslag liggen aan de regels van het kaderbesluit.

Over de wijze waarop de verplichtingen uit het kaderbesluit reeds zijn opgenomen in de Nederlandse wetgeving kan het volgende worden opgemerkt:

Artikel 3 (Beginsel van rechtmatigheid, evenredigheid en doelbinding)

De WPG bevat een bepaling over de verwerking van politiegegevens voor de bij of krachtens deze wet geformuleerde doeleinden. De verwerking moet rechtmatig, toereikend, terzake dienend en niet bovenmatig zijn (artikel 3, eerste en tweede lid, WPG). Voor wat betreft de doelbinding bevat de WPG bepalingen over de verwerking van politiegegevens met het oog op doelen binnen de politietaak (artikelen 8, eerste lid, 9, eerste lid, 10, eerste lid, 12, eerste lid, en 13, eerste lid, WPG).

De WJSG koppelt de gegevensverwerking aan specifieke doelen op het gebied van de strafrechtspleging (artikelen 2, eerste lid, 39b eerste lid en 40, eerste lid, WJSG). De verwerking van strafvorderlijke gegevens dient, gelet op de doeleinden waarvoor zij worden verwerkt, toereikend, terzake dienend en niet bovenmatig te zijn (artikel 39c WJSG).

De WPG kent bepalingen over de verdere verwerking van politiegegevens voor andere doelen (artikelen 17 tot en met 22, WPG).

De WJSG kent eveneens bepalingen over de verdere verwerking van justitiële of strafvorderlijke gegevens voor andere doelen (artikelen 9, 13, 14, 15, 39e, 39f en 39g, WJSG).

Artikel 4 (Correctie, uitwissing en afscherming)

De WPG kent een bepaling over de verbetering, vernietiging of aanvulling van politiegegevens als blijkt dat deze onjuist of onvolledig zijn (artikel 4, eerste lid, WPG). Daarnaast kent de WPG een bepaling over de verbetering, aanvulling, verwijdering of afscherming van politiegegevens, op verzoek van de betrokkene (artikel 28, eerste lid, WPG).

De WJSG kent een bepaling over de verbetering, verwijdering, aanvulling of afscherming van persoonsgegevens als blijkt dat deze onjuist of onvolledig zijn (artikelen 3, 39c en 40, derde lid, WJSG). Daarnaast kent de WJSG een bepaling over verbetering, aanvulling, verwijdering of afscherming van persoonsgegevens, op verzoek van de betrokkene (artikel 22, eerste lid, 39m en 46, eerste lid, WJSG).

Artikel 5 (Vastlegging van termijnen voor wissen en toetsing)

De WPG kent termijnen voor het wissen van persoonsgegevens of een periodieke toetsing van de noodzaak van opslag ervan (artikelen 8, zesde lid, 9, vierde lid, 10 zesde lid, 12, zesde lid en 13, vierde lid, WPG).

Ditzelfde geldt voor de WJSG (artikelen 4, 5, 6, 39d en 41, WJSG).

Artikel 6 (Verwerking van bijzondere gegevenscategorieën)

Op grond van de WPG is de verwerking van gevoelige politiegegevens (godsdienst, levensovertuiging, seksuele leven e.d.) slechts toegestaan in aanvulling op de verwerking van andere politiegegevens en voor zover dit voor het doel van de verwerking onvermijdelijk is (artikel 5 WPG).

Artikel 7 (Geautomatiseerde individuele besluiten)

De WPG en de WJSG kennen geen bepalingen over een besluit dat voor de betrokkene een nadelig rechtsgevolg heeft en dat uitsluitend op een geautomatiseerde gegevensverwerking berust die bestemd is om bepaalde aspecten van zijn persoonlijkheid te beoordelen. Aan dergelijke bepalingen bestaat geen behoefte, omdat dit de verwerking van politiegegevens en justitiële en strafvorderlijke gegevens niet aan de orde is.

Artikel 8 (Controle van de kwaliteit van de verstrekte of beschikbaar gestelde gegevens)

De WPG en de WJSG kennen geen bepalingen over de controle van de te verstrekken of beschikbaar te stellen gegevens door de verstrekker of de mededeling van de ontvanger aan de verstrekker dat onjuiste gegevens zijn verstrekt. Hierin zal worden voorzien in het Besluit politiegegevens en het Besluit justitiële gegevens.

Artikel 9 (Termijnen)

De WPG en de WJSG kennen geen bepalingen over de mogelijkheid voor de verstrekkende autoriteit om termijnen aan te geven voor het bewaren van de verstrekte of beschikbaar gestelde gegevens door de ontvanger. Hierin zal worden voorzien in het Besluit politiegegevens en het Besluit justitiële gegevens.

Artikel 10 (Vastlegging en documentatie)

De WPG kent een bepaling over de vastlegging van gegevens over de verstrekking van politiegegevens (artikel 33, eerste lid, WPG).

In de WJSG is bepaald dat elke verstrekking van persoonsgegevens wordt vastgelegd en tenminste gedurende een jaar bewaard (artikelen 19, eerste lid, 39j, 44, eerste lid, WJSG).

Artikel 11 (Verwerking van persoonsgegevens die zijn ontvangen van of ter beschikking gesteld door een andere lidstaat)

De WPG bindt de verwerking van verstrekte politiegegevens aan de goede uitvoering van de politietaak in Nederland of in het desbetreffende land (artikel 17, derde lid, WPG). De WPG kent geen bepaling over de verdere verwerking van verstrekte politiegegevens voor andere doelen.

De WJSG bindt de verstrekking van justitiële gegevens aan het buitenland aan strafrechtelijke doeleinden (artikelen 8, zesde lid en 30a, BPG). De verstrekking van strafvorderlijke gegevens is mogelijk aan rechterlijke autoriteiten in het buitenland die een taak hebben in het kader van de strafrechtspleging (artikel 39e, eerste lid, onderdeel j, WJSG).

Artikel 12 (Naleving van nationale beperkingen op de verwerking)

De WPG en de WJSG kennen geen bepalingen over de mogelijkheid tot het melden van specifieke beperkingen op de verwerking van verstrekte gegevens, en de verplichting van de ontvanger om erop toe te zien dat deze beperkingen in acht worden genomen. Hierin zal worden voorzien in het Besluit politiegegevens en het Besluit justitiële gegevens.

Artikel 13 (Doorgifte aan bevoegde instanties in derde landen of aan internationale organen)

De WPG en de WJSG kennen geen bepalingen over de doorgifte van persoonsgegevens die door de bevoegde autoriteit van een andere lidstaat zijn verstrekt of beschikbaar gesteld, aan een derde land of internationaal orgaan. Hierin zal worden voorzien in het Besluit politiegegevens en het Besluit justitiële gegevens.

Artikel 14 (Doorgifte aan particuliere instanties in de lidstaten)

De WPG en de WJSG kennen geen bepalingen over de doorgifte van persoonsgegevens aan particuliere instanties in het buitenland. Hierin zal worden voorzien in het Besluit politiegegevens en het Besluit justitiële gegevens.

Artikel 15 (Het op verzoek informeren van de bevoegde autoriteit)

Het Besluit politiegegevens kent een bepaling over het op verzoek informeren van de bevoegde autoriteit (artikel 5:1, zevende lid, BPG). De WJSG kent een dergelijke bepaling niet. Hierin zal worden voorzien in het Besluit justitiële gegevens.

Artikel 16 (Informatie voor de betrokkene)

De WPG en de WJSG kennen geen verplichting tot het informeren van de betrokkene over het verzamelen en verwerken van persoonsgegevens door de bevoegde autoriteiten.

Artikel 17 (Recht van toegang)

De WPG en de WJSG kennen een recht op kennisneming voor de betrokkene (artikel 25 WPG en artikelen 18, 39i en 43, WJSG).

Artikel 18 (Recht om gegevens te laten corrigeren, wissen of afschermen)

De WPG en de WJSG kennen een recht om gegevens te laten corrigeren, wissen of afschermen (artikel 28 WPG en artikelen 22, 39m en 46, WJSG).

Artikel 19 (Recht op schadevergoeding)

De WPG en de WJSG kennen bepalingen over het recht van de benadeelde op schadevergoeding, door middel van een verwijzing naar de artikelen 49 en 50 van de WBP (artikel 4, zesde lid, WPG en 7, tweede lid, 30c, eerste lid, en 40, derde lid, WJSG).

Het Nederlandse recht kent geen bepalingen ter beperking van de aansprakelijkheid van politie en justitie om zich tegenover de benadeelde erop te beroepen dat de door een andere lidstaat verstrekte gegevens onjuist waren. Dit is in overeenstemming met de verplichting van het kaderbesluit.

Artikel 20 (Beroepsmogelijkheden)

De WPG en de WJSG kennen de mogelijkheid voor betrokkene om, ingeval van schending van de rechten die het nationale recht hem garandeert, beroep in te stellen bij de rechter (artikelen 29, eerste lid, WPG en art. 23, eerste lid, 39n, eerste lid en 47, eerste lid, WJSG) .

Artikel 21 (Vertrouwelijkheid van de verwerking)

De WPG kent de verplichting voor de verantwoordelijke om ambtenaren van politie te autoriseren voor de verwerking van politiegegevens. Politie gegevens worden slechts verwerkt door personen die daartoe door de verantwoordelijke zijn geautoriseerd en voorzover de autorisatie strekt (artikel 6, tweede en derde lid, WPG).

De WJSG kent geen bepalingen over de toegang tot justitiële en strafvorderlijke gegevens. Het wetsvoorstel voorziet hierin (artikel II, onderdeel C).

Artikel 22 (Beveiliging van de verwerking)

De WPG en de WJSG kennen een verplichting voor de verantwoordelijke tot het treffen van passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen (artikelen 4, derde lid, WPG en 7, eerste lid, 39c en 40, derde lid, WJSG).

Artikel 23 (Voorafgaand overleg)

De WPG en de WJSG kennen geen bepalingen over het raadplegen van toezichthoudende autoriteiten voordat bijzondere categorieën persoonsgegevens worden verwerkt of de aard van de verwerking specifieke risico’s met zich meebrengt voor de bescherming van de persoonlijke levenssfeer. Het wetsvoorstel voorziet hierin (artikelen I, onderdeel J, en II, onderdeel H).

Artikel 24 (Sancties)

De WBP en de WJSG kennen bepalingen over doeltreffende, evenredige en afschrikwekkende sancties ingeval van inbreuk op de bij of krachtens de WPG en de WJSG vastgestelde voorschriften. Deze sancties hebben betrekking op de mogelijkheid tot schadevergoeding voor de benadeelde, een rechterlijk verbod op een gedraging of een bevel tot herstel van de gevolgen van die gedraging (artikelen 4, zesde lid, WPG en 7, tweede lid, 30c, eerste lid, en 40, derde lid, WJSG). Daarnaast kan de toezichthoudende autoriteit sancties oplegen om de naleving van het bij of krachtens de wet bepaalde te verzekeren. Hierop wordt bij artikel 25 nader ingegaan.

Artikel 25 (Nationale toezichthoudende autoriteiten)

Het College bescherming persoonsgegevens is belast met het toezicht op de verwerking van politiegegevens en van justitiële en strafvorderlijke gegevens. Het College verricht zijn taak in volstrekte onafhankelijkheid en beschikt over de bevoegdheid tot het ambtshalve instellen van een onderzoek (artikelen 35, tweede lid, WPG en 27, tweede lid, WJSG). Ten behoeve van de uitoefening van toezicht kan een woning zonder toestemming van de bewoner worden betreden en kan bestuursdwang worden toegepast voor wat betreft de verplichting tot medewerking.

Bij het toezicht op de verwerking van politiegegevens kan het CBP – in geval van de niet naleving van de protocolplicht – een bestuurlijke boete opleggen.

Het College kan ambtshalve of op verzoek van een belanghebbende een onderzoek instellen naar de wijze waarop ten aanzien van gegevensverwerking toepassing wordt gegeven aan het bepaalde bij of krachtens de WPG of de WJSG.

IX. De inhoud van het wetsvoorstel op hoofdlijnen

Hierboven is aangegeven dat met de reeds geldende wetten grotendeels wordt voldaan aan de verplichtingen van het kaderbesluit dataprotectie. Niettemin zijn op enkele onderdelen aanpassingen nodig van de Nederlandse wetgeving.

De noodzaak tot aanpassing van de Nederlandse wetgeving vloeit voor een belangrijk deel voort uit de reikwijdte van het kaderbesluit, het kaderbesluit geeft namelijk een regelgevend kader voor de uitwisseling van gegevens tussen de lidstaten van de Europese Unie. In de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens zijn de regels echter georiënteerd op de gegevensuitwisseling met andere landen. In beginsel wordt daarbij geen onderscheid gemaakt in de uitwisseling van gegevens binnen of buiten de Europese Unie. Weliswaar zijn er in het Besluit politiegegevens afzonderlijke artikelen opgenomen over de verstrekking van gegevens binnen de Europese Unie (artikelen 5:2 tot en met 5:5 BPG) maar deze zijn het gevolg van de implementatie van afzonderlijke kaderbesluiten van de Raad van de Europese Unie.

De noodzaak tot aanpassing van de Nederlandse wetgeving vloeit tevens voort uit de redactie van de artikelen van het kaderbesluit. Die wijkt soms af van de redactie van de artikelen van de Wet politiegegevens of de Wet justitiële en strafvorderlijke gegevens. Door nauw aan te sluiten bij de redactie van het kaderbesluit kan helderheid worden geboden over de inhoud van de rechten en verplichtingen. Van die gelegenheid is tevens gebruik gemaakt om de terminologie van de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens onderling op onderdelen op elkaar aan te laten sluiten. Dit betreft onder meer de weigeringsgronden bij de uitoefening van het recht op kennisneming, de verstrekking van justitiële en strafvorderlijke gegevens aan de bevoegde autoriteiten in het buitenland of aan internationale organen en de verstrekking van justitiële en strafvorderlijke gegevens ten behoeve van wetenschappelijk onderzoek en statistiek.

De belangrijkste aanpassingen van de Nederlandse wetgeving, die voortvloeien uit het kaderbesluit dataprotectie, vinden deels in de algemene maatregelen van bestuur, deels op het niveau van de wet plaats. De wijzigingen van de wet betreffen de volgende punten:

De verenigbaarheid van de verdere verwerking

Het kaderbesluit schrijft voor dat persoonsgegevens alleen mogen worden verzameld voor specifieke, uitdrukkelijke en rechtmatige doeleinden en alleen worden verwerkt voor het doel waarvoor zij zijn verzameld (artikel 3, eerste lid). De Wet politiegegevens kent reeds een soortgelijke bepaling (artikel 3 WPG). Het kaderbesluit schrijft tevens voor dat verdere verwerking voor een ander doel is toegestaan mits deze verwerking niet onverenigbaar is met het doel waarvoor de gegevens zijn verzameld. Een dergelijk criterium is niet expliciet opgenomen in de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens. Met de opneming van dit criterium aan de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens wordt gewaarborgd dat de gegevens verder worden verwerkt voor doeleinden, die verenigbaar zijn met het doel waarvoor de gegevens zijn verzameld.

De verwerking van gevoelige persoonsgegevens

De Wet justitiële en strafvorderlijke gegevens kent geen bepaling over de verwerking van gevoelige persoonsgegevens (gegevens over godsdienst, of levensovertuiging, ras, politieke gezindheid, gezondheid, seksuele leven e.d.). Het is echter voorstelbaar dat in het kader van een strafzaak persoonsgegevens worden verwerkt over iemands geloof of over iemands seksuele leven. Daarvoor kan worden gedacht aan de vervolging van een persoon vanwege het deelnemen aan terroristische activiteiten waarbij de geloofsovertuiging een rol speelt. Ook kan worden gedacht aan vormen van criminaliteit (afpersing, beroving) jegens slachtoffers in verband met hun seksuele geaardheid. Dit kan dan niet alleen aan de orde zijn bij de verwerking van strafvorderlijke gegevens maar ook bij de verwerking van gegevens in persoonsdossiers. Het is dan ook nodig om een dergelijke bepaling op te nemen in de Wet justitiële en strafvorderlijke gegevens. Daarvoor kan worden aangesloten bij de bepaling van de Wet politiegegevens (artikel 5 WPG).

De doorgifte van gegevens aan derde landen

Het kaderbesluit schrijft voor dat persoonsgegevens, die van een andere lidstaat zijn ontvangen, aan een derde land of internationale organen mogen worden doorgegeven, onder meer wanneer het betrokken derde land of internationale orgaan een toereikend beschermingsniveau voor de voorgenomen gegevensverstrekking waarborgt (artikel 13, eerste lid). In afwijking daarvan kunnen persoonsgegevens onder bepaalde voorwaarden worden doorgegeven (artikel 13, derde lid). Tot nu toe gaat de Wet politiegegevens uit van het criterium van voldoende waarborgen voor een juist gebruik van de verstrekte gegevens en voor de bescherming van de persoonlijke levenssfeer (artikel 17, vijfde lid, WPG). Met het overnemen van het begrippenkader van het kaderbesluit wordt helderheid geboden over de voorwaarden waaronder politiegegevens aan een ander land verstrekt kunnen worden. Daarbij wordt geen onderscheid gemaakt tussen verstrekkingen binnen en buiten de Europese Unie.

Tot nu toe kent de Wet justitiële en strafvorderlijke gegevens in het geheel geen regels voor de verstrekking van justitiële en strafvorderlijke gegevens aan de bevoegde autoriteiten in een ander land. Op dit punt moet de Wet justitiële en strafvorderlijke gegevens worden aangepast. De regeling van die wet is identiek aan die van de Wet politiegegevens.

Het recht op kennisneming

Het kaderbesluit schrijft voor dat de betrokkene gerechtigd is antwoord te krijgen op de vraag of de hem betreffende gegevens zijn verstrekt of beschikbaar gesteld, informatie over de ontvangers of categorieën van ontvangers aan wie de gegevens zijn verstrekt, alsook een opgave te krijgen van de gegevens die verwerking ondergaan (artikel 17, eerste lid). In de Wet politiegegevens is het recht op kennisneming tot nu toe echter beperkt tot de vraag of en zo ja, welke politiegegevens over de betreffende persoon zijn vastgelegd (artikel 25, eerste lid, WPG). Ditzelfde geldt voor de Wet justitiële en strafvorderlijke gegevens (artikel 18, eerste lid en 39i, eerste lid, WJSG). Het kaderbesluit noodzaakt dus tot verruiming van het recht op kennisneming.

De positie van de toezichthoudende autoriteiten

Het kaderbesluit dataprotectie schrijft voor dat de bevoegde nationale toezichthoudende autoriteiten worden geraadpleegd voordat persoonsgegevens, die in een nieuw bestand zullen worden opgenomen, worden verwerkt wanneer het gaat om gevoelige gegevens of in het kader van een verwerking die wegens de schaal waarop zij wordt toegepast of uit hun aard specifieke risico’s voor de bescherming van de persoonlijke levenssfeer met zich meebrengt. Tot nu toe bepaalt de Wet politiegegevens dat het College bescherming persoonsgegevens om advies wordt gevraagd over voorstellen van wet en ontwerpen van algemene maatregelen van bestuur die geheel of voor een belangrijk deel betrekking hebben op de verwerking van persoonsgegevens (artikel 35, tweede lid, WPG jo. 51, tweede lid, WBP). De Wet justitiële en strafvorderlijke gegevens kent een soortgelijke bepaling (art. 27, tweede lid en artikel 51 WJSG jo. artikel 51, tweede lid, WBP). Het kaderbesluit noodzaakt tot aanvulling van het adviesrecht van het College bescherming persoonsgegevens.

Daarnaast noodzaakt het kaderbesluit tot aanvulling van de wettelijke bevoegdheden van het College bescherming persoonsgegevens. Op grond van de Wet politiegegevens is het CBP bevoegd tot toepassing van bestuursdwang tot handhaving van de bij of krachtens de wet gestelde verplichtingen. Een dergelijke bevoegdheid heeft het CBP niet bij het toezicht op de naleving van het bij of krachtens de Wet justitiële en strafvorderlijke gegevens bepaalde. Het kaderbesluit noodzaakt tot aanvulling van de bevoegdheden van het CBP op dit gebied. Verder kent de Wet politiegegevens aan het CBP de bevoegdheid toe een bestuurlijke boete op te leggen, als niet wordt voldaan aan het hetgeen is bepaald bij of krachtens artikel 32 Wpg. Dit betreft de verplichting tot vastlegging van bepaalde informatie, de schriftelijke melding van een gemeenschappelijke verwerking aan het CBP of de bewaring van gegevens in verband met het verrichten van de audits. Naar aanleiding van het kaderbesluit wordt voorgesteld aan het CBP de bevoegdheid tot oplegging van een bestuurlijke boete toe te delen, ten behoeve van het toezicht op de naleving van de verplichting tot bewaring van gegevens over de verstrekking van justitiële en strafvorderlijke gegevens aan derden.

Verder noodzaakt het kaderbesluit dataprotectie tot aanpassing van het Besluit politiegegevens en het Besluit justitiële en strafvorderlijke gegevens. De belangrijkste aanpassingen betreffen de doeleinden waarvoor de verstrekte gegevens in de ontvangende lidstaat verder kunnen worden verwerkt, het stellen van specifieke beperkingen aan de verdere verwerking in een andere lidstaat, de doorgifte van gegevens door de ontvangende lidstaat aan derde landen en de doorgifte van gegevens door de ontvangende lidstaat aan particuliere instanties.

Tenslotte bevat het kaderbesluit regels over gegevensverwerkingen die in Nederland niet worden toegepast. Dit geldt bijvoorbeeld voor een besluiten dat een nadelig rechtsgevolg heeft voor de betrokkene en dat uitsluitend op een geautomatiseerde gegevensverwerking berust (artikel 7 van het kaderbesluit). De betreffende regels behoeven dan niet te worden geïmplementeerd in de Nederlandse wet- en regelgeving.

X. Overige onderwerpen van dit wetsvoorstel

In dit wetsvoorstel worden tevens enkele andere wijzigingen voorgesteld inzake de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens. Deze wijzigingen hangen zeer nauw samen hangen met de regels van het kaderbesluit dataprotectie over de verwerking van persoonsgegevens in het kader van de politiële en de justitiële samenwerking in strafzaken. Dit betreft in de eerste plaats de verstrekking van gegevens aan Eurojust en Europol. Hierboven is melding gemaakt van het raadsbesluit van 28 februari 2002, betreffende de oprichting van Eurojust. Zoals hierboven is opgemerkt, heeft de Raad inmiddels besloten dit kaderbesluit aan te passen om Eurojust operationeler te kunnen laten worden en de status van de nationale leden meer te harmoniseren (zie voetnoot 9). Mede naar aanleiding van dit raadsbesluit wordt voorgesteld de mogelijkheid tot verstrekking van politiegegevens aan Eurojust expliciet op te nemen in de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens. Met het Besluit van de Raad van 6 april 2009 tot oprichting van de Europese Politiedienst (Europol) (2009/371/JBZ) is de inhoud van de Europolovereenkomst omgezet in een Besluit op grond van artikel 34 van het Verdrag van de Europese Unie. Dit geeft aanleiding tot redactionele aanpassing van de bepaling over de verstrekking van politiegegevens aan Europol, in het Besluit politiegegevens.

XI. Adviezen²

Over het wetsvoorstel is advies uitgebracht door het College bescherming persoonsgegevens, het College van procureurs-generaal, het Korpsbeheerdersberaad i.o., de Raad van Korpschefs i.o., de Nederlandse Orde van Advocaten en de Koninklijke marechaussee.

Naar aanleiding van de adviezen zijn de artikelen vernummerd. Waar verwezen wordt naar artikelen, wordt gedoeld op de nieuwe nummering. In sommige gevallen is de oude nummering tussen haken vermeld.

Het College bescherming persoonsgegevens (CBP) stelt vast dat in het wetsvoorstel het markeren van politiegegevens respectievelijk justitiële of strafvorderlijke gegevens wordt geregeld. In het kaderbesluit dataprotectie is het markeren van gegevens gebruikt in de definitie van enerzijds afschermen (markeren met als doel de verwerking van gegevens in de toekomst te beperken) en anderzijds kenmerken (markeren van opgeslagen gegevens zonder de bedoeling om hun toekomstige verwerking te beperken). Het markeren is aan de orde als niet kan worden vastgesteld of het gegeven al dan niet juist is. Door het markeren toe te voegen aan de artikelen over het verbeteren, aanvullen, verwijderen of afschermen van gegevens (artikel 28 WPG, artikel 22, eerste lid, WJSG en artikel 39m WJSG) is markeren alleen mogelijk indien de gegevens feitelijk onjuist, onvolledig of niet ter zaken dienend zijn. Het CBP adviseert het wetsvoorstel nader te bezien op de gehanteerde terminologie waar het markeren dan wel kenmerken van gegevens betreft. Aan dit advies is gevolg gegeven, in die zin dat de tekst van het voorgestelde artikel I, onderdeel H (artikel 28, tweede lid, WPG) en artikel II, onderdelen G en N (artikelen 22, eerste lid en 39m, eerste lid, WJSG) zijn aangepast. Met de nieuwe redactie wordt duidelijk tot uitdrukking gebracht dat de mogelijkheid van het markeren aan de orde is in de gevallen waarin de juistheid van de gegevens niet kan worden aangetoond. Daarnaast is de toelichting bij deze artikelen aangevuld.

Het College wijst er verder op dat in de wijziging van artikel 6, zevende lid, WPG (was: artikel I, onderdeel C) waarmee werd beoogd een omissie in de wet te herstellen, reeds is voorzien met het door de Eerste Kamer aanvaarde wetsvoorstel 31391. Aan het advies van het College is gevolg gegeven: dit artikel is geschrapt, onder vernummering van de andere artikelen.

Met betrekking rond artikel I, onderdeel F (was: artikel I, onderdeel E) en artikel II, onderdelen F en L acht het College de termijn van drie jaar voor de bewaring van gegevens ten behoeve van de uitoefening van het recht op kennisneming te kort. Dit klemt temeer in het licht van de wijziging van de bepaling over de protocolplicht (art. 32 WPG) waarbij er volgens het College vanuit wordt gegaan dat gegevens ten behoeve van de audit korter bewaard worden dan drie jaar. Dit is voor het CBP echter niet vanzelfsprekend. Het College adviseert in de memorie van toelichting te motiveren in hoeverre invulling is dan wel wordt gegeven aan deze bepaling. In reactie op dit advies wordt opgemerkt dat de verantwoordelijke is gehouden eenmaal in de vier jaren de uitvoering van de bij of krachtens de wet gegeven regels door een privacyaudit te controleren (art. 6:5, eerste lid, BPG). De gegevens over de verstrekking van politiegegevens aan derden moeten door de verantwoordelijke worden bewaard tot dat de audit heeft plaatsgevonden (artikel 32, derde lid, WPG). Niet uitgesloten is echter dat de auditcyclus zodanig uitkomt dat de audit heeft plaatsgevonden voordat de termijn, waarbinnen de betrokkene kan verzoeken om informatie over de verstrekking van gegevens aan derden, is verlopen. Daarom wordt voorgesteld in artikel 32, derde lid, van de Wet politiegegevens te bepalen dat de gegevens in een dergelijk geval vier jaar beschikbaar blijven, teneinde te kunnen voldoen aan een verzoek van een persoon tot kennisneming of correctie van de over hem verwerkte gegevens. Op de opmerkingen van het CBP op de bewaartermijn in verband met het recht van betrokkene op kennisneming wordt nader ingegaan in de toelichting op artikel I, onderdeel F (artikel 25, eerste lid, WPG).

Inzake de adviestaak van artikel I, onderdeel J en artikel II, onderdeel H van het wetsvoorstel, die is gebaseerd op artikel 23 van het kaderbesluit dataprotectie, stelt het CBP vast dat het er een taak bij krijgt. Het CBP heeft in 2007 besloten binnen het takenpakket meer nadruk te willen leggen op handhaving in plaats van advisering. Indachtig deze koerswijziging zal bij de vormgeving van de nieuwe adviestaak aansluiting worden geacht bij het thans reeds bestaande instrument van de zienswijze. Het CBP adviseert haar visie op de nieuwe gecreëerde adviestaak op te nemen in de memorie van toelichting. In de reactie op het rapport van de commissie Brouwer-Korf en de evaluatie van de Wet bescherming persoonsgegevens heeft het kabinet aangegeven begrip te hebben voor de afwegingen van het CBP over de invulling van het takenpakket (Kamerstukken II, 2009/10, 31 051, nr. 5, blz. 24/26). In de toelichting bij artikel I, onderdeel J (artikel 35, vierde lid, WPG) is nader ingegaan op de opmerkingen van het CBP over de eigen adviesrol.

Het CBP signaleert enkele discrepanties tussen het conceptwetsvoorstel, de Wet politiegegevens en de concept-Onderlinge regeling tussen Curaçao, Sint Maarten en Nederland betreffende de verwerking van politiegegevens. Dit betreft het recht op schadevergoeding, de bevoegdheid van de toezichthouder om in rechte op te reden en de indiening van een vordering met betrekking tot de bescherming van rechten en vrijheden in verband met de verwerking van persoonsgegevens. Het CBP adviseert het wetsvoorstel en de memorie van toelichting op deze punten aan te vullen. In reactie op dit advies wordt opgemerkt dat de concept-Onderlinge regeling tussen Curaçao, Sint Maarten en Nederland betreffende de verwerking van politiegegevens beoogt een toereikend beschermingsniveau te bieden voor de politiegegevens die tussen de landen worden uitgewisseld. De afspraken in deze onderlinge regeling zorgen ervoor dat de landen er onderling op kunnen vertrouwen dat de verwerking van «hun» politiegegevens na doorgifte naar een ander land aan bepaalde (minimum)voorwaarden voldoet. De normen van de concept-Onderlinge regeling hebben een meer abstract karakter en kunnen inhoudelijk afwijken van die van de Wet politiegegevens. Dit geldt bijvoorbeeld voor de vordering met betrekking tot de bescherming van rechten en vrijheden in verband met de verwerking van persoonsgegevens. Verder is het recht op schadevergoeding – anders dan het CBP kennelijk veronderstelt – wel in de Wet politiegegevens geregeld. Daarvoor kan worden verwezen naar artikel 4, zesde lid, WPG. Op het punt van de bevoegdheid van de toezichthouder om in rechte op te treden zijn de concept-Onderlinge regeling tussen Curaçao, Sint Maarten en Nederland betreffende de verwerking van politiegegevens en dit wetsvoorstel met elkaar in overeenstemming gebracht. Overigens verplicht het kaderbesluit dataprotectie de lidstaten niet tot toedeling van de bevoegdheid aan de nationale toezichthoudende autoriteit om in rechte op te treden in geval van inbreuken op de krachtens het kaderbesluit vastgestelde nationale bepalingen. Volstaan kan worden met de bevoegdheid om een dergelijke inbreuk onder de aandacht te brengen van de justitiële autoriteiten (artikel 25, eerste lid, onderdeel c).

Tenslotte heeft het CBP een aantal tekstuele opmerkingen gemaakt. Deze zijn alle overgenomen.

Het College van procureurs-generaal kan over het algemeen instemmen met het voorliggende wetsvoorstel en heeft slechts een aantal punten die om verduidelijking vragen en een aantal redactionele opmerkingen.

Het College wijst erop dat in artikel 11 van het kaderbesluit dataprotectie de doelbinding van gegevensverstrekkingen binnen de lidstaten van de Europese Unie wordt verruimd. Tegelijkertijd moet worden vastgesteld dat een strikter doelbindingsprincipe blijft gelden voor de gegevensuitwisseling op basis van specifieke rechtsinstrumenten van de Unie. Het College adviseert in de memorie van toelichting een paragraaf op te nemen waarin de verhouding tussen beide gegevensverwerkingen nader wordt uitgelegd. In reactie op dit advies kan worden opgemerkt dat in paragraaf V van de memorie van toelichting wordt ingegaan op de verhouding tussen gegevensverwerking op grond van het kaderbesluit of op grond van bestaande EU-overeenkomsten. Naar aanleiding van het advies van het College is de tekst van paragraaf V aangevuld. Overigens moet nog worden opgemerkt dat – anders dan het College kennelijk veronderstelt – de doelbinding van het kaderbesluit dataprotectie in de weg staat aan de verdere verwerking van persoonsgegevens, die van een andere lidstaat zijn ontvangen, voor algemene analysedoeleinden. Op grond van artikel 11 van het kaderbesluit kunnen de ontvangen gegevens ook verder worden verwerkt voor andere gerechtelijke of administratieve procedures die rechtstreeks verband houden met de opsporing of vervolging van strafbare feiten. Dit kan een opsporingsonderzoek of strafvervolging naar een ander strafbaar feit betreffen. De gegevens kunnen dan wel worden gebruikt voor het opstellen van een misdaadanalyse rond dat strafbare feit.

Het College van procureurs-generaal is voorts van mening dat met de voorgestelde aanpassing van artikel 28 WPG in artikel I, onderdeel H (was: artikel I, onderdeel G) geen correcte uitwerking aan het kaderbesluit wordt gegeven, omdat het in het kaderbesluit gaat om de markering van een feit waarvan niet kan worden vastgesteld of dit juist was. In zijn advies heeft het CBP hier eveneens op gewezen. Het College van procureurs-generaal vraagt zich af of Nederland er verstandig aan doet dit element over te nemen, omdat niet duidelijk is wie op grond van welke informatie kan beslissen over de juistheid van een gegeven. Het College meent dat de markering als onwerkbaar moet worden beschouwd en adviseert de mogelijkheid van het markeren van gegevens te schrappen. In reactie op dit advies kan worden opgemerkt dat het in de praktijk heel wel mogelijk is dat verschil van inzicht bestaat tussen de betrokkene en de verantwoordelijke over de juistheid van de verwerkte gegevens. In een dergelijk geval staat voor de betrokkene beroep op de rechter open (artikel 29 WPG). In afwachting van de definitieve beslissing van de rechter dienen de gegevens door de verantwoordelijke te worden voorzien van een kenmerk zodat het voor de personen die met deze gegevens in aanraking komen duidelijk is dat de juistheid van de gegevens betwist wordt. Schrapping van de mogelijkheid van markering, zoals door het College voorgesteld, impliceert dat de verplichtingen van het kaderbesluit niet volledig worden geïmplementeerd. Op dit punt is het advies van het College van procureurs-generaal niet gevolgd. Wel is de redactie van de betreffende bepaling aangepast zodat het doel van het markeren correct is omschreven.

Het College acht het niet denkbeeldig dat de wijziging van artikel 25, eerste lid, WPG in artikel I, onderdeel F (was: artikel I, onderdeel E), inhoudende dat de verantwoordelijke gehouden is inlichtingen te verstrekken over de ontvanger of categorieën van ontvangers aan wie persoonsgegevens zijn verstrekt, een keten van inzageverzoeken zal genereren. Het College acht het dan ook te vroeg om te stellen dat deze aanvulling waarschijnlijk tot weinig extra werklast voor de politie zal leiden, het ligt volgens het College eerder voor de hand om aan te nemen dat de werklast voor de politie wel zal toenemen. Om een mogelijke verzwaring van de werklast van de politie te voorkomen stelt het College voor de weigeringsgrond van het voorkomen van belemmering van gerechtelijke procedures, van artikel 17 van het kaderbesluit, in artikel 27 van de Wet politiegegevens op te nemen. Deze weigeringsgrond komt ook voor in het voorgestelde artikel 39l van de Wet justitiële en strafvorderlijke gegevens (artikel II, onderdeel M). Meer in het algemeen bepleit het College de weigeringsgronden van het kaderbesluit integraal over te nemen. In reactie op dit advies moet worden opgemerkt dat de weigeringsgronden van het kaderbesluit betrekking hebben op zowel de opsporing als de vervolging van strafbare feiten. In het wetsvoorstel wordt voorgesteld de weigeringsgrond van het belemmeren van gerechtelijke procedures op te nemen in artikel 39l WJSG omdat deze bepaling betrekking heeft op de mogelijkheid tot kennisneming van strafvorderlijke gegevens. Het valt vooralsnog echter niet goed in te zien wat de betekenis van een dergelijke weigeringsgrond kan zijn bij een verzoek tot kennisneming van politiegegevens. Daarom zal toevoeging van deze grond aan artikel 27 van de Wet politiegegevens voor de praktijk weinig toegevoegde waarde hebben. Op de opmerking van het over de mogelijke consequenties van de aanvulling van artikel 25 van de Wet politiegegevens voor de werklast van de politie zal hieronder, in de paragraaf over de consequenties van het wetsvoorstel voor de praktijk en financiële gevolgen, nader worden ingegaan.

Voorts wijst het College van procureurs-generaal erop dat het kaderbesluit niet duidelijk is over de vraag wat moet worden verstaan onder een derde-land, zoals genoemd in artikel 13 van het kaderbesluit. Het College adviseert het begrip derde-land te laten vervallen en uitsluitend onderscheid te maken tussen verstrekking of doorgifte van persoonsgegevens aan EU-landen en verstrekking of doorgifte van persoonsgegevens aan niet EU-landen. Verder vraagt het College aandacht voor de situatie waarin gegevens, die van een andere lidstaat zijn verkregen, worden verwerkt tot nieuwe informatie. De vraag is aan de orde of die andere lidstaat toestemming moet geven voor de doorgifte van de gegevens aan een derde land. In reactie op dit advies moet worden opgemerkt dat in de toelichting bij het voorgestelde artikel 5:9 van het ontwerpbesluit houdende aanpassing van het Besluit politiegegevens en het Besluit justitiële en strafvorderlijke gegevens in verband met de implementatie van het Kaderbesluit 2008/977/JBZ van de Raad van de Europese Unie van 27 november 2008 over de bescherming van persoonsgegevens die worden verwerkt in het kader van de politiële en justitiële samenwerking in strafzaken (PbEU L 350) en het Besluit 2009/371/JBZ van de Raad van 6 april tot oprichting van de Europese politiedienst (hierna ook te noemen: het ontwerpbesluit ter implementatie van het kaderbesluit dataprotectie) reeds is vastgesteld dat het kaderbesluit niet duidelijk is over de vraag of het begrip derde landen ook andere lidstaten omvat. Voor wat betreft artikel 13 van het kaderbesluit wordt er vooralsnog vanuit gegaan dat dit artikel ook geldt voor de doorgifte van gegevens aan andere lidstaten. Dit is toegelicht in de nota van toelichting bij het ontwerpbesluit ter implementatie van het kaderbesluit dataprotectie. Als de gegevens, die van een andere lidstaat zijn verkregen, worden verwerkt tot nieuwe informatie dan is uitsluitend toestemming van die andere lidstaat vereist als het gaat om doorgifte van gegevens die van die lidstaat zijn verkregen. Dit veronderstelt wel dat de gegevens binnen de gegevenshuishouding van politie of justitie als zodanig te herkennen zijn. In de informatiesystemen moeten de gegevens die van een ander land zijn verkregen worden voorzien van een kenmerk of oormerk. Dit vloeit reeds voort uit het principe van de doelbinding, dat aan een dergelijke verstrekking ten grondslag ligt. Overigens kan worden opgemerkt dat het door het College voorgestelde onderscheid tussen EU-lidstaten en niet EU-lidstaten minder aantrekkelijk is met het oog op de implementatie. In het Besluit politiegegevens wordt de verstrekking van persoonsgegevens aan EU-lidstaten behandeld als een nadere uitwerking van de verstrekking van persoonsgegevens aan het buitenland.

Tenslotte heeft het College een aantal redactionele opmerkingen ingebracht. Deze hebben betrekking op de voorgestelde wijziging van artikel 17 WPG in artikel I, onderdeel E (was: artikel I, onderdeel D), van artikel 25 WPG in artikel I, onderdeel F (was: artikel I, onderdeel E), van artikel 3, tweede lid, WJSG in artikel II, onderdeel B, en van artikel 39i WJSG in artikel II, onderdeel K, van het wetsvoorstel. Aan deze opmerkingen is zoveel mogelijk gevolg gegeven. De verlenging van de reactietermijn tot zes weken ligt minder voor de hand omdat deze termijn samenhangt met de specifieke organisatiestructuur van de Nederlandse politie, die er in de praktijk eenvoudig toe kan leiden dat een verzoek tot kennisneming van politiegegevens meerdere verantwoordelijken aangaat. Wel is de reactietermijn van vier weken verlengd tot zes weken en is de mogelijkheid tot verdaging van de termijn met vier weken opgenomen in de voorgestelde wijziging van artikel 39i WJSG. Daarmee zijn de reactietermijnen voor de verstrekking van strafvorderlijke gegevens in overeenstemming gebracht met die voor de verstrekking van politiegegevens. Met deze verlenging wordt het openbaar ministerie meer ruimte geboden om deze verzoeken af te handelen, omdat in grote strafzaken veel gegevens gecontroleerd zullen moeten worden en eveneens afstemming noodzakelijk kan zijn met de betrokken politiekorpsen omtrent de kennisneming van de in het betreffende onderzoek verwerkte politiegegevens.

In hun advies wijzen de politieberaden er op dat in de wijziging van artikel 17 WPG in artikel I, onderdeel E (was: artikel I, onderdeel D) van het wetsvoorstel de verwijzing naar Interpol ten onrechte is weggevallen. In reactie hierop kan worden opgemerkt dat Interpol kan worden aangemerkt als een internationaal orgaan, als bedoeld in artikel 17, tweede lid, van de Wet politiegegevens. Dit is in de memorie van toelichting verhelderd.

In de voorgestelde wijziging van artikel 25, eerste lid, WPG in artikel I, onderdeel F, van het wetsvoorstel (was: artikel I, onderdeel E) achten de politieberaden het wenselijk in artikel 25 WPG toe te voegen de woorden «of hebben ondergaan», zodat buiten twijfel is gesteld dat het recht op kennisneming in elk geval ook betrekking heeft op gegevens die voorafgaand aan het verzoek zijn verwerkt, maar waarvan gesteld zou kunnen worden dat ze (nog) niet zijn vastgelegd. Daarbij wijzen de politieberaden erop dat de verruiming van het recht op kennisneming consequenties zal hebben voor de werklast. Naar aanleiding van dit advies is de tekst van artikel 25, eerste lid, WPG toegesneden op de tekst van het kaderbesluit (artikel 17, eerste lid, onderdeel a). Het kaderbesluit rept van «gegevens die verwerking ondergaan», daaruit kan worden afgeleid dat het recht op kennisneming in beginsel is beperkt tot de gegevens die op het moment van het verzoek verwerkt worden, de formulering van het recht op informatie over de ontvangers aan wie de gegevens zijn verstrekt impliceert echter dat het in dat geval juist gaat om gegevens die in een eerder stadium werden verwerkt c.q. verstrekt. Voor de reactie op de mogelijke toeneming van de werklast wordt verwezen naar de paragraaf over de consequenties van het wetsvoorstel voor de praktijk.

Met betrekking tot de wijziging van artikel 35, vierde lid, WPG in artikel I, onderdeel J, van het wetsvoorstel (was: artikel I, onderdeel I) wijzen de politieberaden erop dat de redactie van het voorgestelde artikel 35, vierde lid, onderdeel b, WPG en de memorie van toelichting thans teveel ruimte laten voor de suggestie dat hiermee wordt teruggekeerd naar de dagen van de (voormalige) Wet politieregisters, met de voorafgaande, zogenaamde hoorprocedure bij het CBP. Naar aanleiding van dit advies moet worden opgemerkt dat de oude Wet politieregisters, die inmiddels is vervangen door de Wet politiegegevens, voorzag in verplichtingen tot het voorafgaande horen van het CBP bij opneming van bepaalde bepalingen in de reglementen (art. 6, vierde lid en art. 21, derde lid, Wpolr oud). Niet goed valt in te zien waarom de procedure van de zienswijze op dit punt zou strekken tot een terugkeer naar de dagen van de oude Wet politieregisters. De uitbreiding van de verplichting tot het voorafgaand horen van het CBP heeft uitsluitend betrekking op gevallen waarin de aard van de verwerking, in het bijzonder met gebruikmaking van nieuwe technologieën, mechanismen of procedures, anderszins specifieke risico’s met zich meebrengt voor het recht op bescherming van de persoonlijke levenssfeer.

Tenslotte wijzen de politieberaden op enkele tekstuele omissies of onduidelijkheden in de considerans, artikel I, onderdeel C, onderdeel G en onderdeel I, van het wetsvoorstel. Deze opmerkingen zijn overgenomen. In artikel I, onderdeel C (artikel 3, derde lid, WPG) is de zinsnede dat politiegegevens slechts worden verwerkt voor zover dit noodzakelijk is voor de bij of krachtens deze wet geformuleerde doeleinden, abusievelijk weggevallen. Deze omissie is hersteld.

De Nederlandse Orde van Advocaten (hierna: de Orde) wijst erop dat artikel 8, eerste lid van het kaderbesluit dataprotectie verplichtingen bevat voor de bevoegde autoriteiten om gegevens te controleren voordat deze worden verstrekt of beschikbaar gesteld. Deze bepaling bevat volgens de Orde echter ook positieve verplichtingen die niet allemaal in de voorgestelde tekst van de Wet politiegegevens zijn terug te vinden. Het belang van deze verplichtingen acht de Orde dermate groot dat het aanbeveling verdient artikel 8 van het kaderbesluit integraal in de Wet politiegegevens op te nemen. In reactie op dit advies kan worden gewezen op het ontwerpbesluit ter implementatie van het kaderbesluit dataprotectie. In artikel I, onderdeel C en onderdeel E en artikel II, onderdeel F en onderdeel G, van het ontwerpbesluit zijn de verplichtingen, die uit artikel 8 van het kaderbesluit voortvloeien, expliciet vastgelegd. Dit lijkt afdoende; een aanvullende regeling bij wet past niet goed in de systematiek van de Wet politiegegevens en heeft materieel weinig toegevoegde waarde.

De Orde wijst er voorts op dat in de voorgestelde wijziging van artikel 3, derde lid, van de Wet politiegegevens in artikel I, onderdeel C, de zinsnede «voor zover deze wet daar uitdrukkelijk in voorziet» is weggevallen en pleit ervoor deze zinsnede te handhaven. Zoals ook is opgemerkt in reactie op het advies van de politie, betreft dit een omissie. Dit is hersteld.

De Orde wijst voorts op de voorgestelde wijziging van artikel 17, vijfde lid, WPG in artikel I, onderdeel E (was: artikel I, onderdeel D), dat de verstrekking van politiegegevens aan een ander land of internationaal orgaan bindt aan het toereikend beschermingsniveau van de voorgenomen gegevensverwerking. De Orde acht het vanuit oogpunt van rechtsbescherming ongewenst als Nederland in dit opzicht lagere normen met betrekking tot die ontoereikendheid zou aanleggen dan andere lidstaten en doet een klemmend beroep op de Minister ervoor te zorgen dat Nederland bij de geringste twijfel aan de toereikendheid geen gegevens verstrekt. Om dezelfde reden dringt de Orde erop aan uiterst terughoudend te zijn met de uitzonderingsmogelijkheid om, in die gevallen waarin geen sprake is van een toereikend niveau, toch tot gegevensverstrekking over te gaan. Daarbij wijst de Orde erop dat de toestemming van de lidstaat waarvan de gegevens afkomstig zijn ten onrechte niet is opgenomen in artikel 17 van de wet. De Orde adviseert dit alsnog te doen. Naar aanleiding van dit advies kan worden opgemerkt dat het risico van «forum shopping» alleen dan aan de orde is bij het voornemen tot doorgifte van gegevens, die van een andere lidstaat zijn verkregen, aan een derde land. Het toepassingsbereik van het kaderbesluit dataprotectie is beperkt tot gegevens die tussen de lidstaten worden uitgewisseld met het oog op de opsporing en vervolging van strafbare feiten. Doorgifte van die gegevens aan een derde land is afhankelijk van de instemming van de lidstaat waarvan de gegevens afkomstig zijn. Het instemmingsvereiste wordt vastgelegd in het het ontwerpbesluit ter implementatie van het kaderbesluit dataprotectie. Dit betekent dat Nederland ten alle tijde de eigen normen voor de verstrekking van gegevens aan het buitenland zal kunnen handhaven in het geval doorgifte van die gegevens door een andere lidstaat aan de orde is. Uiteraard zullen deze normen zeer zorgvuldig toegepast moeten worden en zal over de toepassing verantwoording afgelegd moeten kunnen worden aan het College bescherming persoonsgegevens, dat is belast met het toezicht op de wijze waarop aan het bij of krachtens de Wet politiegegevens gestelde uitvoering wordt gegeven. Het ligt minder voor de hand om de doorgifte afhankelijk te stellen van de toestemming van de betrokkene, zoals de Orde bepleit, omdat hiermee een extra eis zou worden gesteld die niet in overeenstemming is met de verplichtingen die uit het kaderbesluit voortvloeien. Wel ligt het in de rede dat de belangen van de betrokkene worden meegewogen in de beslissing tot doorgifte van de gegevens. Op dit punt is de toelichting bij artikel I, onderdeel E (was: onderdeel C), van het wetsvoorstel aangevuld.

De NOvA stelt voorts de bewaartermijn van drie jaar voor de informatie over de ontvangers of de categorieën van ontvangers aan wie gegevens zijn verstrekt, aan de orde. De adviescommissie ziet geen reden voor de beperking van die termijn tot drie jaar en adviseert deze beperking te schrappen. Dit advies is niet overgenomen. In de toelichting op de voorgestelde wijziging van artikel 25 WPG in artikel I, onderdeel F (was: artikel I, onderdeel E) wordt hier nader op in gegaan.

Tenslotte heeft de NOvA enkele redactionele opmerkingen ingebracht. Hieraan is gevolg gegeven.

De Koninklijke marechaussee heeft bericht dat de inhoud van het wetsvoorstel geen aanleiding geeft tot opmerkingen.

Met het eerdergenoemde Verdrag van Lissabon zijn het Verdrag betreffende de Europese Unie en het Verdrag tot oprichting van de Europese Gemeenschap vervangen door het Verdrag betreffende de Europese Unie en het Verdrag betreffende de werking van de Europese Unie. Dit noodzaakt tot aanpassing van de tekst van de artikelen en van de memorie van toelichting waarin verwezen werd naar het VEU oud. Dit betreft artikel I, onderdeel E (artikel 17 vierde lid, WPG) en artikel II, onderdeel D (artikel 8, zesde lid, van de WJSG) en onderdeel J (artikel 39e, vijfde lid, WJSG) van het wetsvoorstel. In de artikelen is de verwijzing naar artikel 34, tweede lid, van het oude verdrag betreffende de Europese Unie vervangen door een verwijzing naar maatregelen, verordeningen of voorschriften op grond van hoofdstuk 4 of hoofdstuk 5 van Titel V van het Verdrag betreffende de werking van de Europese Unie. De toelichting is op dit punt verhelderd.

XII. De consequenties van het wetsvoorstel voor de praktijk, financiële gevolgen en administratieve lasten.

Zoals eerder is opgemerkt wordt met de bestaande Nederlandse wetgeving reeds op hoofdlijnen voldaan aan de verplichtingen die voortvloeien uit het kaderbesluit dataprotectie. Naar verwachting zal het wetsvoorstel geen ingrijpende gevolgen hebben voor de praktijk. De gevolgen voor de werklast kunnen worden teruggevoerd op de volgende twee omstandigheden.

Dit betreft in de eerste plaats de verruiming van de mogelijkheden tot verstrekking van gegevens aan de andere lidstaten. Dit is aan de orde bij de verstrekking van justitiële en strafvorderlijke gegevens aan de bevoegde autoriteiten in een ander land; op dat gebied kende de Wet justitiële en strafvorderlijke gegevens tot nu toe geen specifieke regels. De invloed hiervan op de werklast van het openbaar ministerie is niet goed te kwantificeren, en lijkt ook overigens niet van een dermate ingrijpende aard dat de hieruit voortvloeiende kosten niet kunnen worden gedekt uit het reguliere budget van het openbaar ministerie.

Dit betreft in de tweede plaats de verruiming van de rechten van de persoon over wie gegevens worden verwerkt. Dit is aan de orde bij het markeren van gegevens en bij het verstrekken van inlichtingen over de vraag of een persoon betreffende gegevens gedurende een periode van drie jaar voorafgaande aan het verzoek zijn verstrekt. Het markeren van gegevens vereist de ontwikkeling van een nieuwe functionaliteit, de kosten die hieraan zijn verbonden zullen waarschijnlijk beperkt zijn en deel kunnen uitmaken van het reguliere beheerbudget. Het recht op de verstrekking van inlichtingen over de gegevensverstrekking aan derden was voorheen in de Wet politiegegevens niet voorzien. In de Wet justitiële en strafvorderlijke gegevens was dit recht van de betrokken persoon wel voorzien, maar gebonden aan een periode van één jaar. Uit deze verruiming zullen kosten voortvloeien, op het gebied van de personele lasten of op het gebied van de informatiehuishouding. Met de afhandeling van de verzoeken tot kennisneming van de verstrekking van gegevens aan derden zal enige personele capaciteit kunnen zijn gemoeid. Vooralsnog lijkt dit echter niet zodanig omvangrijk dat hiervoor aparte voorzieningen getroffen zouden moeten worden. Ditzelfde geldt voor de aanpassing van de informatiehuishouding binnen politie en justitie, zodat de informatie over de verstrekking van de gegevens aan derden gedurende een periode van drie jaar beschikbaar wordt gehouden. In hun adviezen hebben het openbaar ministerie en de politieberaden opgemerkt dat, anders dan in de memorie van toelichting werd gesteld, het voor de hand ligt aan te nemen dat de werklast voor de politie wel zal toenemen. In reactie hierop kan worden opgemerkt dat de personele lasten die uit de afhandeling van de verzoeken tot kennisneming van de verstrekking van gegevens aan derden kunnen voortvloeien, mede gelet op de omvang van de politieorganisatie en het daarmee verbonden budget, niet onoverkomelijk lijken. Dit kan binnen de bestaande budgettaire kaders worden opgevangen. Voor wat betreft de termijn voor de bewaring van de informatie over de verstrekking van gegevens aan derden geldt dat politie en openbaar ministerie reeds zijn gehouden deze informatie te bewaren. Voor de politie vloeit dit voort uit de protocolplicht (artikel 32 WPG), voor het openbaar ministerie vloeit dit voort uit het bestaande recht tot kennisneming van de verstrekking van strafvorderlijke gegevens (art. 39j WJSG). Extra kosten zullen zijn verbonden aan het installeren van meer digitale opslagcapaciteit. In het licht van de bestaande budgetten voor de automatisering bij politie en openbaar ministerie lijkt het aangewezen een eventuele aanpassing van de systemen in verband met de bewaartermijnen te betrekken in lopende of komende automatiseringstrajecten. Ook deze kosten zullen worden opgevangen binnen de eigen begrotingen van de betreffende departementen.

Het wetsvoorstel geeft regels voor de verwerking van persoonsgegevens door de instanties die zijn belast met de opsporing en vervolging van strafbare feiten. Onderdeel hiervan vormt het recht op kennisneming voor de betrokkene, dat wordt verruimd in verband met de verstrekking van gegevens aan derden. Het wetsvoorstel heeft echter geen gevolgen voor de administratieve lasten van burgers en bedrijven.

ARTIKELSGEWIJS

Artikel I, onderdeel A

Artikel 1

Onderdeel 1

Het kaderbesluit bevat een definitie van het begrip persoonsgegevens, deze is gelijk aan die van de Richtlijn 95/46/EG³. Voor de definitie van het begrip persoonsgegeven in deze wet wordt verwezen naar de definitie van het begrip persoonsgegeven in de Wbp, zoals dat is omschreven in artikel 1, onderdeel a, van de Wbp. Daarmee wordt verduidelijkt dat de reikwijdte van het begrip persoonsgegeven in deze wetten gelijk is. Op grond van de richtlijnen wordt als identificeerbare persoon beschouwd een persoon die direct of indirect kan worden geïdentificeerd, in het bijzonder aan de hand van een identificatienummer of van een of meer elementen die kenmerkend zijn voor zijn of haar fysieke, fysiologische, psychische, economische, culturele of sociale identiteit.

Onderdeel 2

In artikel 2 van het kaderbesluit dataprotectie wordt een aantal definities gegeven. Het merendeel daarvan is reeds terug te vinden in artikel 1 van de Wet politiegegevens (definities). Dit met uitzondering van de definities van persoonsgegeven, ontvanger en toestemming van de betrokkene. Voorgesteld wordt daarvoor te verwijzen naar de betreffende definities van de Wet bescherming persoonsgegevens (artikel 1, onderdelen a, h en i, WBP), die vrijwel gelijkluidend zijn aan de begripsomschrijvingen van het kaderbesluit.

De Wet politiegegevens bevat tot nu toe geen definitie van het afschermen van gegevens. Dit begrip wordt in de wet echter wel gehanteerd (artikel 18 WPG). Het kaderbesluit dataprotectie bevat een definitie van het afschermen van gegevens (artikel 1, onderdeel c), de implementatie van het kaderbesluit strekt tot opneming van deze definitie in de wet.

De Wet politiegegevens bevat tot nu toe evenmin een begripsomschrijving van het markeren van gegevens. Dit is aan de orde indien de juistheid van persoonsgegevens door de betrokkene wordt betwist en niet kan worden vastgesteld of het gegeven al dan niet juist is. Het kaderbesluit schrijft voor dat een gegeven in dat geval kan worden gemarkeerd (artikel 18, tweede lid). Voorgesteld wordt de Wet politiegegevens op dit punt aan te passen (artikel I, onderdeel H). Daartoe is het nodig een omschrijving van het begrip markeren op te nemen in de Wet politiegegevens.

Het kaderbesluit bevat de verplichting voor de lidstaten om de nationale toezichthoudende autoriteiten te raadplegen voordat persoongegevens, die in een nieuw bestand worden opgenomen, worden verwerkt (artikel 23). Voorgesteld wordt om de definitie van bestand in artikel 2, derde lid, op te nemen in de definities van dit artikel.

Artikel I, onderdeel B

Hierboven is aangegeven dat de definitie van bestand wordt verplaatst naar artikel 1 (definities). Daarmee komt het derde lid van artikel 2 te vervallen.

Artikel I, onderdeel C

Artikel 3, derde lid

In dit lid is vastgelegd dat politiegegevens uitsluitend voor een ander doel kunnen worden verwerkt dan waarvoor zij zijn verkregen voor zover deze wet daar uitdrukkelijk in voorziet, de verdere verwerking noodzakelijk is en in verhouding staat tot dat doel en niet onverenigbaar is met het doel waarvoor de gegevens zijn verzameld. De aanpassing van dit lid vloeit voort uit artikel 3, tweede lid, van het kaderbesluit dat vereist dat de verdere verwerking van de gegevens, die worden verwerkt met het oog op de preventie, het onderzoek, de opsporing en de vervolging terzake van strafbare feiten of de tenuitvoerlegging van straffen, voor een ander doel is toegestaan mits deze verwerking niet onverenigbaar is met het doel waarvoor de gegevens zijn verzameld, deze verwerking noodzakelijk is en in verhouding staat tot dat doel (artikel 3, tweede lid, onderdelen a en c). Daarnaast is vereist dat de bevoegde autoriteiten bevoegd zijn om die gegevens te verwerken conform de toepasselijke rechtsvoorschriften (artikel 3, tweede lid, onderdeel b). Met de verplichting van de Wet politiegegevens dat de verantwoordelijke een systeem van autorisaties onderhoudt, wordt hieraan reeds voldaan (artikel 6, eerste lid, WPG).

Het vereiste dat de verdere verwerking niet onverenigbaar is met het doel waarvoor de gegevens zijn verzameld geldt voor iedere vorm van verdere verwerking, dus zowel de beschikbaarstelling van gegevens binnen de politie, de Koninklijke marechaussee of een bijzondere opsporingsdienst, op grond van paragraaf 2 van de wet, als voor de verstrekking van politiegegevens aan andere personen of instanties, op grond van paragraaf 3 van de wet. In paragraaf 2 van de wet zijn de verschillende doelen, met het oog waarop de gegevens met het oog op de uitvoering van de politietaak verzameld kunnen worden, onderscheiden. Dit betreft de uitvoering van de dagelijkse politietaak (artikel 8 WPG), het onderzoek in verband met de handhaving van de rechtsorde in een bepaald geval (artikel 9 WPG), het verkrijgen van inzicht in de betrokkenheid van personen bij bepaalde ernstige schendingen van de rechtsorde (artikel 10 WPG), de controle op en het beheer van een informant (artikel 12 WPG) of de ondersteuning van de politietaak (artikel 13 WPG). Met deze doeleinden is niet onverenigbaar dat de verzamelde gegevens verder worden verwerkt met het oog op doelen die nauw samenhangen met de strafrechtspleging. Daarbij kan worden gedacht aan de reclassering of de hulp aan slachtoffers van misdrijven. Met deze doeleinden is evenmin onverenigbaar de verdere verwerking ten behoeve van de handhaving van de rechtsorde. Dit omvat doelen als de preventie, de opsporing en de vervolging van strafbare feiten. Tenslotte is de verdere verwerking mogelijk met het oog op doelen die nauw samenhangen met de handhaving van de rechtsorde. Daarbij kan worden gedacht aan de verdere verwerking met het oog op de staatsveiligheid en de handhaving van de democratische rechtsorde, de screening van personen voor het verlenen van opdrachten, subsidies of vergunningen of voor de aanbeveling of voordracht van personen, het nemen van een beslissing over een verblijfstitel van een persoon of het toezicht op de naleving van bepaalde regelgeving. De toepassing van het noodzakelijkheidsvereiste impliceert dat de aard en de betrouwbaarheid van de te verstrekken politiegegevens in de afweging wordt betrokken. Bij politiegegevens over de betrokkenheid van personen bij ernstige strafbare feiten, zonder dat een verdenking is vastgesteld (CIE-gegevens), die ook binnen de politie zeer beperkt toegankelijk zijn, zal een zorgvuldige afweging moeten plaatsvinden, waarbij ook de aard van de te verstrekken gegevens en het doel van de verdere verwerking door de belanghebbende persoon of instantie wordt betrokken. Daarbij zijn ook de vereisten van de noodzakelijkheid en de proportionaliteit aan de orde.

Het vereiste van de verenigbaarheid van de verdere gegevensverwerking komt deels reeds tot uitdrukking in de criteria die neergelegd zijn in de wettelijke bepalingen over de verstrekking van politiegegevens aan derden. Op grond van artikel 18 van de wet is een dergelijke verstrekking mogelijk in geval van een zwaarwegend algemeen belang. Het belang van de verstrekking dient een belang van meer dan gewone maatschappelijke betekenis te betreffen. Bij die afweging zijn eveneens de eisen van noodzakelijkheid, proportionaliteit en subsidiariteit aan de orde. De betreffende personen en instanties zijn aangewezen in het Besluit politiegegevens. De verstrekking van politiegegevens aan deze personen en instanties voldoet aan de bovenbeschreven criteria en is niet onverenigbaar met het doel waarvoor de gegevens zijn verzameld. Op grond van artikelen 19 en 20 van de wet kan de verantwoordelijke in incidentele gevallen dan wel in het kader van een samenwerkingsverband met het oog op een zwaarwegend algemeen belang beslissen tot het verstrekken van politiegegevens aan personen en instanties voor bepaalde doeleinden. Die doeleinden vormen onderdeel van de politietaak, of hangen zeer nauw samen met de uitvoering daarvan, zodat ook langs die weg het vereiste van de verenigbaarheid van de verdere gegevensverwerking gewaarborgd is.

Artikel I, onderdeel D

In artikel 4, derde lid, van de Wet politiegegevens is bepaald dat de verantwoordelijke passende technische en organisatorische maatregelen treft om politiegegevens te beveiligen tegen verlies of enige vorm van onrechtmatige verwerking. Deze tekst sluit echter niet volledig aan bij die van artikel 22, eerste lid, van het kaderbesluit. De tekst van het kaderbesluit wijkt iets af op het punt van de aard van de risico’s (onbedoelde of onrechtmatige vernietiging, wijziging, ongeoorloofde mededeling of toegang) en de aard van de mogelijke gegevensoverdracht (verzending via een netwerk of beschikbaarstelling via directe geautomatiseerde toegang). Voorgesteld wordt om artikel 4, derde lid, van de Wet politiegegevens aan te vullen, overeenkomstig de tekst van het kaderbesluit.

Binnen de Nederlandse politie is een stelsel voor informatiebeveiliging uitgewerkt, op basis van de Regeling informatiebeveiliging politie. Hiervoor kan worden verwezen naar de memorie van toelichting bij de Wet politiegegevens (Kamerstukken II, 2005/06, 30 327, nr. 3, blz. 32). Het is dan ook niet te verwachten dat deze bepaling aanleiding zal geven tot aanvullende maatregelen ter beveiliging van politiegegevens.

Artikel I, onderdeel E

Artikel 17

Onderdeel 1

In het tweede lid is vastgelegd dat politiegegevens kunnen worden verstrekt aan een internationaal orgaan of aan een internationaal strafgerecht voor zover dit voortvloeit uit een verdrag. Daarbij kan worden gedacht aan de verstrekking van politiegegevens aan Interpol of aan het Internationaal Strafhof. Dit betreft een tekstuele verheldering, de verplichting tot verstrekking kan rechtstreeks voortvloeien uit een verdrag, de ratificatieprocedure garandeert een nauwe betrokkenheid van het parlement (artikel 91, eerste lid, GW).

Onderdeel 2

In het vierde lid wordt, ter implementatie van het kaderbesluit dataprotectie, de mogelijkheid tot verstrekking van politiegegevens aan andere lidstaten van de Europese Unie of aan een orgaan dat krachtens hoofdstuk 4 of hoofdstuk 5 van titel V van het Verdrag betreffende de werking van de Europese Unie is ingesteld geregeld. Het kaderbesluit dataprotectie geeft regels voor de bescherming van persoonsgegevens die worden of zijn verstrekt of beschikbaar gesteld tussen de lidstaten van de Europese Unie, die door de lidstaten worden of zijn verstrekt of beschikbaar gesteld aan autoriteiten of informatiesystemen die krachtens titel VI van het VEU oud zijn ingesteld of die door die organen aan de bevoegde autoriteiten van de lidstaten worden of zijn verstrekt of beschikbaar gesteld, met het oog op de preventie, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen (artikel 1, tweede lid). Zoals in het algemeen deel is vermeld, bevat het kaderbesluit dataprotectie geen verplichtingen voor de lidstaten of de krachtens titel VI VEU oud opgerichte autoriteiten of informatiesystemen tot uitwisseling van persoonsgegevens in bepaalde gevallen of onder bepaalde voorwaarden, maar dergelijke verplichtingen kunnen wel voortvloeien uit de afzonderlijke rechtsinstrumenten op basis van titel VI VEU oud. De lidstaten kunnen de verkregen gegevens verder verwerken ten behoeve van andere doeleinden, de regels van het kaderbesluit over de mogelijkheden tot verdere verwerking zijn uitgewerkt in het Besluit politiegegevens. Als autoriteiten die krachtens titel VI VEU oud zijn ingesteld en die zijn belast met de preventie, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen kunnen Europol en Eurojust worden aangemerkt. Deze organen beschikken over een eigen informatiesysteem. Op grond van het eerdergenoemde Raadsbesluit tot oprichting van de Europese politiedienst voorzien de nationale eenheden van de lidstaten Europol uit eigen beweging van de informatie en inlichtingen die Europol nodig heeft om zijn taken te vervullen (artikel 8, vierde lid, onderdeel a). In bepaalde gevallen is een nationale eenheid niet verplicht informatie en inlichtingen te verstrekken. De uit het Raadsbesluit voortvloeiende verplichtingen tot gegevensverstrekking zijn reeds uitgewerkt in het Besluit politiegegevens (artikel 5:5 BPG). Op grond van het eerdergenoemde Raadsbesluit 2009/426/JBZ verstrekken de lidstaten gegevens aan Eurojust voor zover dat nodig is voor de vervulling van de doelstelling en taken van die organisatie. Dit is uitgewerkt in artikel 5:6 van het Besluit politiegegevens.

In dit lid is tevens de mogelijkheid tot verstrekking van politiegegevens aan Interpol geregeld.

Onderdeel 3

Vijfde lid

Het kaderbesluit dataprotectie biedt de mogelijkheid tot doorgifte van politiegegevens, die van een andere lidstaat zijn verkregen, aan een derde land. Daarvoor is onder meer vereist dat het betreffende derde land een toereikend beschermingsniveau voor de voorgenomen gegevensbescherming garandeert. Dit criterium is eveneens terug te vinden in artikel 25, eerste lid, van de richtlijn nr. 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 over de bescherming van personen met betrekking tot de verwerking van persoonsgegevens en over het vrije verkeer van deze gegevens ( PbEG L 281/31). Daar dit criterium geldt voor politiegegevens uit Nederland die via een andere lidstaat aan een derde land worden verstrekt, ligt het in de rede dit criterium eveneens toe te passen op de rechtstreekse verstrekking van die gegevens vanuit Nederland aan een derde land. Anders dan bij de richtlijn is in het kaderbesluit echter niet voorzien in een procedure op het niveau van de Unie ter vaststelling van het niveau van gegevensbescherming. Een dergelijke procedure is niet goed toegesneden op de behoeften van politie en justitie omdat deze is gebaseerd op een diepgaand onderzoek van de wet- en regelgeving in de betrokken landen ten behoeve van formele besluitvorming door de Commissie. Voor politie en justitie is het echter van cruciaal belang om in concrete strafzaken op korte termijn gegevens te kunnen uitwisselen met de bevoegde autoriteiten in andere landen ten behoeve van de opsporing of vervolging. Overigens voorziet ook de richtlijn in de nodige mogelijkheden om gegevens uit te wisselen in de gevallen waarin niet is vastgesteld dat een derde land over een passend niveau van gegevensbescherming beschikt. Dit neemt niet weg dat, daar waar op grond van de richtlijn is vastgesteld dat een bepaald land over een passend niveau van gegevensbescherming beschikt, dit betrokken kan worden in de afweging over de uitwisseling van politiële of strafvorderlijke gegevens. Of het beschermingsniveau in andere gevallen toereikend is wordt beoordeeld met inachtneming van alle omstandigheden die op de doorgifte van gegevens van invloed zijn. In het bijzonder wordt rekening gehouden met de aard van de gegevens, met het doel en met de duur van de voorgenomen verwerking of verwerkingen, het land van herkomst en het land of het internationale orgaan van eindbestemming van de gegevens, de algemene en sectorale rechtsregels die in het betreffende land of internationale orgaan gelden, alsmede de beroepscodes en de veiligheidsmaatregelen die in het land of het orgaan van toepassing zijn. Aldus biedt dit criterium enige flexibiliteit in de toepassing, doordat een afweging kan worden gemaakt op basis van de aard van de te verstrekken gegevens in relatie tot de verdere verwerking van die gegevens in het derde land en de voorschriften op het gebied van gegevensbescherming die op de verdere verwerking van toepassing zijn.

Onderdeel 4

Zesde lid

De belangen van de opsporing van strafbare feiten lopen niet altijd parallel aan de belangen van gegevensbescherming. Het zal in de praktijk voor kunnen komen dat opsporingsonderzoek wordt verricht naar personen die betrokken zijn bij ernstige vormen van criminaliteit en die opereren vanuit landen die in andere werelddelen gelegen zijn, zoals Afrika, Azië of Zuid-Amerika. Dan zal er vanwege de tijdsdruk niet altijd voldoende gelegenheid zijn om na te gaan of een land in zijn algemeenheid een toereikend beschermingsniveau biedt. Uiteraard kan hiervoor worden aangesloten bij het oordeel van de Commissie inzake het gegevensbeschermingsniveau van derde landen, op basis van de eerdergenoemde Privacyrichtlijn van de eerste pijler. Een onderzoek van de Commissie daarnaar heeft echter geen betrekking op de gegevensverwerking ten behoeve van de opsporing of vervolging van strafbare feiten. Ook is het niet uitgesloten dat contacten moeten worden gelegd met landen die nog niet aan een dergelijk onderzoek van de Commissie onderworpen zijn geweest.

In dit lid wordt de mogelijkheid geboden om, in die gevallen waarin niet kan worden vastgesteld dat er sprake is van een toereikend beschermingsniveau in het betreffende derde land, toch politiegegevens uit te wisselen. Dit kan noodzakelijk zijn ten behoeve van gerechtvaardigde specifieke belangen van betrokkene, bijvoorbeeld ingeval van detentie van een persoon in het buitenland waarbij wordt onderhandeld over vrijlating of overbrenging van die persoon naar Nederland. In een dergelijk geval vereist het kaderbesluit niet dat de betrokken persoon instemt met de overdracht van de gegevens. De formulering van deze grond in het kaderbesluit strekt er echter toe dat zonder een dergelijke toestemming de overdracht van gegevens ten behoeve van dit doel slechts in uitzonderingsgevallen mogelijk zal zijn. De doorgifte kan ook noodzakelijk zijn ten behoeve van een dringend zwaarwegend algemeen belang. Het criterium van het zwaarwegend algemeen belang is van toepassing op de verstrekking van politiegegevens aan derden, met het criterium van het dringend zwaarwegend algemeen belang wordt tot uitdrukking gebracht dat de verstrekking dringend noodzakelijk is en een zwaarwegend algemeen belang dient. Omdat onverminderd geldt dat verstrekking aan derde landen noodzakelijk is met het oog op de preventie, het onderzoek, de opsporing of de vervolging van strafbare feiten en de tenuitvoerlegging van straffen (artikel 13, eerste lid, onderdeel a) dient het dringend zwaarwegend algemeen belang uit die doeleinden voort te vloeien. Van een dringend zwaarwegend algemeen belang in deze zin kan dan sprake zijn bij de voorkoming van een aanslag of de opsporing van een ontvoerde persoon of de opheldering van een ernstig strafbaar feit, waarbij het van groot belang is dat de daders worden aangehouden. Uiteraard dient er in een dergelijk geval een zorgvuldige afweging plaats te vinden tussen het belang van de bescherming van persoonsgegevens en het belang van opsporing en vervolging. Tenslotte is verstrekking mogelijk indien het derde land of internationaal orgaan passende garanties biedt voor een zorgvuldige gegevensverwerking in het concrete geval. Hierbij kan worden gedacht aan afspraken over het gebruik van de verstrekte gegevens voor een beperkt en nauwkeurig omlijnd doel en de onmiddellijke verwijdering of vernietiging van de gegevens zodra het doel vervuld is.

Onderdeel 5

Zevende lid

In het Besluit politiegegevens worden nadere regels opgenomen over de verstrekking aan en de ontvangst van gegevens van andere landen (of: lidstaten). Deze regels hebben betrekking op de verdere verwerking van de gegevens, de controle op de juistheid van de gegevens en het informeren van de verstrekkende instantie over het met de verstrekte gegevens behaalde resultaat. Verder worden nadere regels gesteld over de verstrekking van politiegegevens aan Europol en Eurojust, de doorgifte van politiegegevens aan derde landen en de doorgifte van gegevens aan personen of instanties met een particuliere taak. Voor de doorgifte aan derde landen wordt uitgegaan van het criterium van het toereikend niveau van gegevensbescherming. In afwijking daarvan kunnen politiegegevens onder bepaalde omstandigheden worden doorgegeven, in het Besluit politiegegevens worden hierover nadere regels gesteld.

Artikel I, onderdeel F

Artikel 25

Het recht op kennisneming is vastgelegd in artikel 25 van de Wet politiegegevens. Dit recht is terug te voeren op het ook in internationale verdragen vastgelegde beginsel dat degene, over wie persoonsgegevens worden verwerkt door de politie, in de gelegenheid wordt gesteld tot kennisneming van die gegevens, mede het oog op de uitoefening van zijn recht tot correctie van die gegevens.

Eerste lid

Tot nu toe strekt de formulering van het recht op kennisneming in artikel 25 van de wet tot een verplichting van de verantwoordelijke tot de mededeling aan de betrokkene of, en zo ja welke, deze persoon betreffende politiegegevens zijn vastgelegd.

De formulering van het recht van toegang in artikel 17 van het kaderbesluit is ruimer, in die zin dat de betrokkene gerechtigd is antwoord te krijgen op de vraag of de hem betreffende gegevens zijn verstrekt of beschikbaar gesteld en informatie te krijgen over de ontvangers of categorieën van ontvangers aan wie de gegevens zijn verstrekt. De formulering van het kaderbesluit noopt tot aanvulling van artikel 25, eerste lid, van de wet. De voorgestelde formulering voor artikel 25 van de wet noodzaakt ertoe dat de verantwoordelijke gehouden is te melden in hoeverre gegevens verwerking ondergaan. Voor dit laatste kan worden gedacht aan gegevens die nog niet zijn vastgelegd, maar die wel zijn betrokken in een vorm van verwerking, zoals het raadplegen of vergelijken van gegevens. Verder is de verantwoordelijke gehouden inlichtingen te verstrekken over de vraag of deze persoon betreffende politiegegevens zijn verstrekt en over de ontvangers of categorieën van ontvangers aan wie de gegevens zijn verstrekt. De wet verplicht reeds tot de schriftelijke vastlegging van de verstrekking van politiegegevens (artikel 32, eerste lid, WPG). Dit met het oog op correctie van gegevens. In de praktijk zal deze aanvulling waarschijnlijk dan ook tot weinig extra werklast voor de politie leiden.

Hieronder, bij artikel II, onderdeel F, wordt nader ingegaan op de consequenties van de jurisprudentie van het Hof van Justitie van de Europese Gemeenschappen op de regeling van de bewaring van gegevens over de verstrekking van justitiële gegevens. Naar aanleiding van het arrest C-553/07 (Rijkeboer) wordt voorgesteld de termijn voor de bewaring van die gegevens in de Wet justitiële en strafvorderlijke gegevens te verhogen van één naar vier jaar. De Wet politiegegevens kende tot nu toe geen mogelijkheid tot kennisneming van de verstrekking van gegevens. Hierboven, in het algemeen deel, is voorgesteld om naar aanleiding van de formulering van het kaderbesluit de Wet politiegegevens op dit punt aan te vullen. Met het oog op de uitvoerbaarheid ligt het in de rede om voor de bewaring van gegevens over de verstrekking van politiegegevens te kiezen voor een bewaartermijn van vier jaar. Dit wordt bij artikel II, onderdeel F, nader toegelicht.

Artikel I, onderdeel G

Artikel 27, eerste lid

Het recht op kennisneming is geen absoluut recht, het kan worden beperkt als dit in een democratische samenleving noodzakelijk is in onder meer het belang van de bestrijding van strafbare feiten. Het kaderbesluit biedt de lidstaten de mogelijkheid om wettelijke maatregelen te treffen ter beperking van het recht op toegang voor de betrokkene (artikel 17, tweede lid). De in het kaderbesluit toegestane weigeringsgronden omvatten de in artikel 27 van de Wet politiegegevens opgenomen weigeringsgronden. Op grond van de ervaringen met de geldende regeling lijkt aanvulling van dit artikel niet noodzakelijk. Niettemin is ervoor gekozen onderdeel b aan te vullen met het criterium van de bescherming van de betrokkene. Daarmee wordt zeker gesteld dat kennisneming kan worden geweigerd ter bescherming van de betrokkene, bijvoorbeeld de personalia van een informant die gekoppeld zijn aan een code met behulp waarvan de informatie rond die informant wordt vastgelegd. Dit criterium is terug te vinden in artikel 13, eerste lid, onderdeel g van de richtlijn nr. 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 en is eveneens opgenomen in artikel 39l van de Wet justitiële en strafvorderlijke gegevens en in artikel 43, onderdeel e, van de Wet bescherming persoonsgegevens, zodat de weigeringsgronden van deze wetten onderling beter op elkaar zijn afgestemd.

De Wet politiegegevens biedt de mogelijkheid om een verzoek tot kennisneming af te wijzen voor zover het onthouden van kennisneming noodzakelijk is in het belang van de goede uitvoering van de politietaak (art. 27, eerste lid, WPG). De weigeringsgronden van het kaderbesluit en de goede uitvoering van de politietaak overlappen elkaar grotendeels. Het begrip goede uitvoering van de politietaak betreft evenwel een breder begrip. De politietaak, bedoeld in de artikelen 2 en 6, eerste lid, PW 1993, omvat de strafrechtelijke handhaving van de rechtsorde, de handhaving van de openbare orde en de verlening van hulp aan hen die deze behoeven. De strafrechtelijke handhaving van de rechtsorde omvat de opsporing van strafbare feiten. Het kaderbesluit is van toepassing op persoonsgegevens die worden verwerkt met het oog op de preventie of de opsporing van strafbare feiten. De andere onderdelen van de politietaak – de handhaving van de openbare orde en de hulpverleningstaak – vallen niet onder de reikwijdte va het kaderbesluit. Dit houdt verband met de rechtsgrondslag van het kaderbesluit (artikelen 30, 31 en 34, tweede lid, VEU oud).

Het kaderbesluit is ook van toepassing op persoonsgegevens die worden verwerkt met het oog op de vervolging ter zake van strafbare feiten of de tenuitvoerlegging van straffen. Het kaderbesluit bevat specifieke weigeringsgronden om te voorkomen dat de gegevensverwerking voor die doelen aan onevenredige risico’s wordt bloot gesteld. Deze weigeringsgronden zijn echter niet van belang voor de verwerking van politiegegevens, zodat de weigeringsgronden in de Wet politiegegevens beperkter zijn dan die in het kaderbesluit.

In het kaderbesluit is voorgeschreven dat iedere weigering of beperking van de toegang schriftelijk aan de betrokkene wordt toegelicht. Tevens worden de feitelijke of juridische redenen voor het besluit medegedeeld (artikel 17, derde lid). Ook wordt aan de betrokkene medegedeeld dat hij bij de bevoegde nationale toezichthoudende autoriteit of een rechterlijke instantie beroep kan aantekenen. Het schriftelijkheidsvereiste is thans reeds in de wet vastgelegd (artikel 27, tweede lid, WPG). Uit artikel 29 van de wet vloeit voort dat een beslissing op een verzoek tot kennisneming geldt als een besluit in de zin van de Algemene wet bestuursrecht (Awb). Op grond van de Awb dient een besluit te berusten op een deugdelijke motivering, die bij de bekendmaking van het besluit wordt vermeld (art. 3:46 en 3:47 Awb). Bij de bekendmaking en de mededeling van het besluit moet melding worden gemaakt van de mogelijkheid tot bezwaar of beroep (art. 3:45 Awb).

Artikel I, onderdeel H

Artikel 28

Onderdeel 1

Dit betreft een tekstuele aanpassing.

Onderdeel 2

Eerste lid

Op grond van de regeling in het kaderbesluit heeft de betrokkene het recht om gegevens te laten corrigeren, wissen of afschermen. Dit recht is niet afhankelijk van een voorafgaand verzoek tot kennisneming van de gegevens. De formulering van artikel 18, eerste lid, van het kaderbesluit noopt tot aanpassing van het eerste lid van artikel 28 van de wet. De koppeling tussen de uitoefening van het echt op kennisneming en het recht op correctie komt te vervallen.

Daarnaast wordt dit lid aangevuld in verband met de door het kaderbesluit geboden mogelijkheid van het markeren van gegevens, indien de gegevens feitelijk onjuist, voor het doel van de verwerking onvolledig of niet terzake dienend zijn dan wel in strijd met een wettelijk voorschrift worden verwerkt. Het markeren van gegevens is het voorzien van een kenmerk aan politiegegevens, zonder dat de mogelijkheid tot verwerking van die gegevens wordt beperkt. Het kaderbesluit biedt de mogelijkheid tot het markeren van gegevens indien de juistheid van een persoonsgegeven door de betrokkene wordt betwist en niet kan worden vastgesteld of het gegeven al dan niet juist is (artikel 18, tweede lid). Dit kan aan de orde zijn gevallen waarin de verantwoordelijke meent dat de gegevens wel juist zijn terwijl dit door de betrokkene wordt betwist. In een dergelijk geval dient dit door de verantwoordelijke kenbaar te worden gemaakt doordat de gegevens worden voorzien van een kenmerk.

Het kaderbesluit schrijft voor dat, indien de verantwoordelijke correctie, wissen of afscherming weigert, die weigering schriftelijk moet worden meegedeeld en betrokkene in kennis moet worden gesteld van de in het nationale recht bestaande mogelijkheden om klacht in te dienen of beroep in te stellen bij de rechter (artikel 18, eerste lid). De verplichting van de verantwoordelijke tot het in kennis stellen van betrokkene van deze mogelijkheden vloeit reeds voort uit artikel 3:45 Awb.

Derde lid

Dit betreft een meer technische wijziging. De verantwoordelijke dient ervoor zorg te dragen dat ook een beslissing tot markering zo spoedig mogelijk wordt uitgevoerd.

Artikel I, onderdeel I

Het bovenstaande impliceert tevens aanpassing van de termijn van de vastlegging (of protocollering) van de verstrekking van politiegegevens. Door aan artikel 32, eerste lid, onderdeel d, van de wet een verwijzing toe te voegen naar artikel 25, eerste lid, van de wet wordt gewaarborgd dat de gegevens daadwerkelijk beschikbaar zijn ingeval het recht op kennisneming wordt uitgeoefend.

Artikel I, onderdeel J

Artikel 35, vierde lid

In dit lid is het adviesrecht van het College bescherming persoonsgegevens neergelegd. De inhoud van onderdeel a is niet gewijzigd. De inhoud van onderdeel b is nieuw. In het algemeen deel van de memorie van toelichting is reeds nader ingegaan op de door het kaderbesluit voorgeschreven verplichting om de bevoegde nationale toezichthoudende autoriteiten te raadplegen voordat persoonsgegevens worden verwerkt wanneer het gaat om gevoelige gegevens of in het kader van een verwerking die wegens de schaal waarop zij wordt toegepast of uit hun aard specifieke risico’s voor de bescherming van de persoonlijke levenssfeer met zich meebrengt. Vereist is dat de gegevens in een nieuw bestand worden opgenomen. Met dit vereiste wordt tot uitdrukking gebracht dat de adviesplicht van de nationale toezichthoudende autoriteit niet (zozeer) aan de orde is bij de toepassing van strafvorderlijke bevoegdheden in het kader van een opsporingsonderzoek, waarbij sprake is van ernstige aantasting van de persoonlijke levenssfeer van personen, zoals bij het aftappen van telecommunicatie of het inzetten van een infiltrant. De adviesplicht is in de eerste plaats gericht op het opnemen van gevoelige persoonsgegevens in de betreffende databank. Een voorbeeld betreft het inrichten van een verwijsindex voor gevallen van eerwraak of van huiselijk geweld. De adviesplicht is daarnaast gericht op verwerkingen waarbij de aard van de verwerking, in het bijzonder met gebruikmaking van nieuwe technologieën, mechanismen of procedures, anderszins specifieke risico’s met zich meebrengt voor de fundamentele rechten en vrijheden van de betrokkene, in het bijzonder zijn recht op bescherming van de persoonlijke levenssfeer. Hiervoor kan worden gedacht aan het onderzoek van DNA-profielen van grote aantallen personen of bevolkingsgroepen. In deze gevallen dient het College bescherming persoonsgegevens te worden geraadpleegd voorafgaand aan de voorgenomen gegevensverwerking.

In zijn advies over het wetsvoorstel heeft het CBP aangegeven dat, indachtig de in 2007 door het CBP ingezette koerswijziging, bij de vormgeving van de nieuwe adviestaak aansluiting zal worden gezocht bij het thans reeds bestaande instrument van de zienswijze. Conform staand beleid kan om een zienswijze worden verzocht wanneer er sprake is van een rechtsvraag die te maken heeft met nieuwe technologie of andere ontwikkelingen en deze een groot (potentieel) maatschappelijk en/of economisch belang heeft. Het verzoek moet deugdelijk feitelijk onderbouwd zijn en het moet gemotiveerd aangeven om welke rechtsvraag het gaat en wat de betrokken belangen zijn. Voor de uitwerking van de criteria voor het verzoek om een zienswijze wordt verwezen naar het gelijknamige document op de website van het CBP (www.cbpweb.nl).

Artikel II, onderdeel A

Artikel 1

Onderdelen 1 en 2

Met de aanpassing van de definitie van de begrippen justitiële en strafvorderlijke gegevens wordt aangesloten op het begrip persoonsgegeven in de Wbp, zoals dat is omschreven in artikel 1, onderdeel a, van de Wbp. Daarmee wordt verduidelijkt dat de reikwijdte van het begrip persoonsgegeven in deze wetten gelijk is. Voor de toelichting op dit onderdeel kan overigens worden verwezen naar artikel I, onderdeel A.

Onderdeel 3

In artikel 2 van het kaderbesluit dataprotectie wordt een aantal definities gegeven. Een aantal was voorheen reeds opgenomen in artikel 1 van de Wet justitiële en strafvorderlijke gegevens. Voor de andere definities van het kaderbesluit geldt dat de wet aangevuld moet worden. Dit geldt voor de definities van persoonsgegeven, verwerking van persoonsgegevens, verantwoordelijke, betrokkene, ontvanger, verstrekken van persoonsgegevens en toestemming van de betrokkene. Voorgesteld wordt daarvoor te verwijzen naar de betreffende definities van de Wet bescherming persoonsgegevens (artikel 1, onderdelen a, b, d, f, h, n en i, WBP), die gelijkluidend zijn aan de begripsomschrijvingen van het kaderbesluit.

Onderdeel 4

In aansluiting op de Wet politiegegevens en de Wet bescherming persoonsgegevens wordt voorgesteld een definitie van bewerker op te nemen. Dit met het oog op de regeling van de taken en verantwoordelijkheden van de bewerker in de Wet justitiële en strafvorderlijke gegevens. Voorts wordt voorgesteld een omschrijving van het afschermen en het markeren van gegevens op te nemen, hiervoor kan worden verwezen naar de toelichting op artikel I, onderdeel A, onder 2, onderdelen n en o.

Onderdeel 5

Bij de omschrijving van de begrippen is gestreefd naar een nauwe aansluiting bij de definities van de Wet politiegegevens. Daarom wordt voorgesteld tevens een afzonderlijke begripsomschrijving op te nemen van het College bescherming persoonsgegevens.

Artikel II, onderdeel B

Artikel 3

Tweede lid

Met dit lid wordt de verwerking van justitiële gegevens gebonden aan de bij of krachtens de wet gestelde doeleinden. De Wet politiegegevens bevat een soortgelijke bepaling (art. 3, eerste lid, WPG). Justitiële gegevens worden verwerkt ten behoeve van een goede strafrechtspleging (art. 2, eerste lid, WJSG). Verstrekking van de gegevens is mogelijk aan de in de wet genoemde personen en instanties (art. 8 WJSG). Daarnaast kunnen justitiële gegevens worden verstrekt aan bij algemene maatregel van bestuur aangewezen personen en instanties die met een publieke taak zijn belast (art. 9 WJSG). De betreffende personen en instanties zijn in het Besluit justitiële gegevens aangewezen (hoofdstuk 3)

Derde lid

Voor de toelichting op dit lid kan worden verwezen naar de toelichting op artikel I, onderdeel C. Aanvullend kan worden opgemerkt dat de justitiële gegevens worden verwerkt met het oog op een goede strafrechtspleging. Met dit doel is niet onverenigbaar dat justitiële gegevens aan derden worden verstrekt, met het oog op doelen die samenhangen met de rechtshandhaving of met de preventie van criminaliteit. Voorbeelden daarvan zijn de screening ten behoeve van het nemen van een beslissing over het verlenen of intrekken van een verblijfstitel of de afgifte van een reisdocument, het verlenen van vergunningen of ten behoeve van het aannemen of ontslag van personeel of de aanbeveling of voordracht van personen. De personen en instanties aan wie justitie gegevens kunnen worden verstrekt zijn opgesomd in het Besluit justitiële gegevens.

Tenslotte kan nog worden opgemerkt dat het vereiste van de verenigbaarheid van de verdere verwerking eveneens van toepassing is op de verwerking van strafvorderlijke gegevens. Op grond van artikel 39c, eerste lid, van de wet, is artikel 3 van de wet van overeenkomstige toepassing op de verwerking van strafvorderlijke gegevens door het College van procureurs-generaal.

Vierde lid

Dit lid verplicht de verantwoordelijke de nodige maatregelen te treffen opdat de gegevens worden verwijderd en vernietigd zodra zij niet langer noodzakelijk zijn voor het doel waarvoor ze zijn verwerkt. De wet geeft de termijnen voor de verwerking van justitiële gegevens (artt. 4 tot en met 6 WJSG), waarna de gegevens uit de justitiële documentatie worden verwijderd. Ditzelfde geldt voor strafvorderlijke gegevens (art. 39d WJSG) en voor de persoonsdossiers (art. 41 WJSG).

Artikel II, onderdeel C

Artikel 7

Eerste lid

Voor de toelichting op dit lid kan worden verwezen naar artikel I, onderdeel D.

Tweede lid

De richtlijn dataprotectie gaat ervan uit dat persoonsgegevens kunnen worden verwerkt door een lichaam dat ten behoeve van de voor de verwerking verantwoordelijke werkt (artikel 2, onderdeel e). Dit betreft de figuur van de bewerker die ook is geregeld in de Wet bescherming persoonsgegevens (art. 14 WBP) en de Wet politiegegevens (art. 4, zesde lid, WPG). De bewerker neemt geen beslissingen over de verwerking van persoonsgegevens, dient zich te houden aan hetgeen de verantwoordelijke hem opdraagt ten aanzien van technische en organisatorische maatregelen ter beveiliging van persoonsgegevens (art. 14 WBP) en is in beginsel aansprakelijk voor eventuele schade die is ontstaan uit zijn werkzaamheden (art. 49 WBP). Met de toepassing van de artikelen 14 en 49 van de Wet bescherming persoonsgegevens wordt tevens voldaan aan de vereisten van het kaderbesluit dataprotectie (art. 22, derde en vierde lid).

Artikel II, onderdeel D

Artikel 8

Met het vierde lid wordt de mogelijkheid geboden tot verstrekking van justitiële gegevens aan rechterlijke ambtenaren dan wel andere autoriteiten in het buitenland ten behoeve van de strafrechtspleging.

Met het vijfde lid wordt de mogelijkheid geboden tot verstrekking van justitiële gegevens aan de bevoegde autoriteit van een andere lidstaat van de Europese Unie of aan een orgaan van de Europese Unie dat is belast met de ondersteuning en versterking van de wetshandhavingsdiensten van de lidstaten bij de voorkoming, bestrijding, onderzoek en vervolging van zware criminaliteit en dat bij algemene maatregel van bestuur is aangewezen. Hiervoor kan worden gedacht aan Europol of Eurojust. Zoals in het algemeen deel van deze toelichting reeds is opgemerkt, voorziet het kaderbesluit niet in zelfstandige verplichtingen tot het verstrekken van gegevens aan andere lidstaten. Een verplichting daartoe kan echter wel onderdeel vormen van een rechtsinstrument op basis van Titel V VEU oud. Over de uitwisseling van gegevens uit het strafregister tussen de EU-lidstaten is onlangs vastgesteld het kaderbesluit 2009/315/JBZ van de Raad van de Europese Unie van 26 februari 2009 betreffende de organisatie en inhoud van uitwisseling van gegevens uit het strafregister tussen de lidstaten (PbEU L 93/23). Dit kaderbesluit voorziet in de verplichting tussen de lidstaten om de andere lidstaten zo spoedig mogelijk in kennis te stellen van de op haar grondgebied uitgesproken veroordelingen jegens onderdanen van die andere lidstaten, zoals zij in het strafregister zijn vermeld (art. 4, tweede lid). Indien voor een strafrechtelijke procedure jegens een persoon of voor een ander doel gegevens uit het strafregister van een lidstaat zijn vereist, kan een centrale autoriteit van die lidstaat zich tot de centrale autoriteit van een andere lidstaat wensen met het verzoek om gegevens en desbetreffende informatie uit het strafregister (artikel 6, eerste lid). Mede met het oog op de verplichtingen van het kaderbesluit dataprotectie is het aangewezen om een expliciete rechtsgrondslag voor de verstrekking van justitiële gegevens aan andere landen in de wet op te nemen. Voorheen was dit geregeld in artikel 8, zesde lid, van de wet, dat de mogelijkheid bood bij algemene maatregel van bestuur te bepalen welke gegevens ingevolge het internationale recht worden verstrekt aan andere rechterlijke ambtenaren dan bedoeld in het eerste lid.

Het kaderbesluit dataprotectie geeft tevens regels over de waarborgen voor de verstrekking van justitiële gegevens aan andere EU-lidstaten. Voorgesteld wordt deze regels integraal te laten gelden voor de verstrekking van justitiële gegevens aan het buitenland. Dit betreft de in het zevende lid vastgelegde vereiste van het toereikend beschermingsniveau voor de voorgenomen gegevensverwerking.

In het achtste lid is de mogelijkheid opgenomen om, onder bepaalde voorwaarden, van dit vereiste af te wijken. De mogelijkheid tot afwijking geldt uitsluitend de verstrekking van justitiële gegevens aan landen of organen die niet tot de Europese Unie behoren. Voor de lidstaten en de organen van de Unie wordt van een toereikend beschermingsniveau uitgegaan omdat tenminste de regels van het kaderbesluit dataprotectie van toepassing zijn op de gegevensverwerking in de andere lidstaten. Voor Europol en Eurojust gelden specifieke regels die minstens een gelijk hoog niveau van gegevensbescherming waarborgen als het niveau dat voortvloeit uit het kaderbesluit dataprotectie. Voor de toelichting op deze bepaling kan overigens worden verwezen naar de toelichting op artikel I, onderdeel E.

Artikel II, onderdeel E

Artikel 18

Eerste lid

Het kaderbesluit dataprotectie schrijft voor dat de betrokkene gerechtigd is antwoord te krijgen op de vraag of de hem betreffende gegevens zijn verstrekt of beschikbaar gesteld, informatie te krijgen over de ontvangers of categorieën van ontvangers aan die de gegevens zijn verstrekt alsook een opgave te krijgen van de gegevens die verwerking ondergaan (artikel 17, eerste lid). In dit lid wordt de verstrekking van informatie geregeld over de gegevens die verwerking ondergaan. De verstrekking van inlichtingen over de verstrekking van gegevens is geregeld in artikel 19 van de wet. Aanvullend kan worden opgemerkt dat de wet reeds voorziet in de verplichting voor Onze Minister van Justitie om een ieder mede te delen of en zo ja welke deze persoon betreffende gegevens in de justitiële documentatie zijn vastgelegd (artikel 18, eerste lid, WJSG) en in de verplichting een ieder mede te delen of hem betreffende gegevens in het jaar voorafgaande aan het verzoek overeenkomstig de artikelen 9, 13 en 14 van de wet zijn verstrekt (artikel 19, tweede lid, WJSG). De thans voorgestelde uitbreiding ter implementatie van het kaderbesluit dataprotectie heeft derhalve betrekking op een opgave van de gegevens die verwerking ondergaan en de verstrekking van inlichtingen over de ontvangers of categorieën van ontvangers aan wie de gegevens zijn verstrekt. Omdat de wet reeds verplicht tot schriftelijke vastlegging van de verstrekking van justitiële gegevens (artikel 19, eerste lid, WJSG) zal deze aanvulling in de praktijk waarschijnlijk tot weinig extra werklast voor de politie leiden.

Tweede lid

De verplichting om geen mededelingen in schriftelijke vorm te doen is geschrapt, omdat deze in strijd is met het voorschrift van de het kaderbesluit dat een afwijzing schriftelijk plaatsvindt. Overigens kan voor de toelichting op dit lid worden verwezen naar de toelichting op artikel I, onderdeel E.

Artikel II, onderdeel F

Artikel 19

In het eerste lid is de vastlegging en bewaring van gegevens geregeld, ten behoeve van de mededelingsplicht van de verantwoordelijke rond de verstrekking van justitiële gegevens. Voorheen was de vastlegging en bewaring beperkt tot de gegevens die overeenkomstig de artikelen 9, 13 en 14 van de wet zijn verstrekt. Het kaderbesluit maakt in dit opzicht echter geen onderscheid en noodzaakt aldus tot een ruimere formulering van deze verplichting. Tevens bevat het kaderbesluit geen termijn voor de bewaring van de gegevens over de verstrekking van gegevens aan derden, het kaderbesluit geeft de betrokkene het recht om informatie te krijgen over de ontvangers of categorieën van ontvangers aan wie de gegevens zijn verstrekt (artikel 17, eerste lid, onderdeel a).

Op 7 mei 2009 wees het Hof van Justitie van de Europese Gemeenschappen arrest in een uit Nederland afkomstige prejudiciële zaak (C-553/07), hierna ook te noemen: de zaak Rijkeboer. Dit arrest heeft betrekking op de verstrekking van persoonsgegevens door gemeenten op grond van de Wet gemeentelijke basisadministratie persoonsgegevens (Wet GBA). Op grond van artikel 103 Wet GBA heeft het college van burgemeester en wethouders de verplichting aan de betrokkene desgevraagd mee te delen welke hem betreffende persoonsgegevens in het jaar voorafgaande aan het verzoek aan welke afnemers of derden zijn verstrekt. Rijkeboer verzocht het college van B&W van Rotterdam op opgave te doen van alle over hem verstrekte informatie uit de GBA aan derden in de twee jaren daarvoor. Het college van B&W wees dit verzoek slechts gedeeltelijk toe door hem informatie te verstrekken over de periode van één jaar daarvoor. Dit vanwege de opzet van het geautomatiseerde systeem, waaruit gegevens ouder dan een jaar automatisch worden verwijderd.

Op verzoek van de Afdeling bestuursrechtspraak van de Raad van State heeft het Hof zich gebogen over de verhouding tussen de bewaartermijn van een jaar en het in de artikelen 12 en 13 van de eerdergenoemde EU-privacyrichtlijn neergelegde recht op inzage en correctie. Aan het Hof is de vraag voorgelegd of ingevolge richtlijn 95/46/EG (privacyrichtlijn) het recht van een persoon op toegang tot informatie over ontvangers of categorieën van ontvangers van hem betreffende persoonsgegevens en over de inhoud van de meegedeelde gegevens kan worden beperkt tot de periode van één jaar voorafgaand aan zijn verzoek om toegang. Het Europese Hof overwoog (rechtsoverwegingen 64 tot en met 70) dat lidstaten de bevoegdheid hebben dergelijke termijnen vast te stellen, mits deze een juist evenwicht vormen tussen de mogelijkheden die betrokkenen moeten hebben om hun inzage- en correctierechten volledig uit te kunnen oefenen en de lasten die op de verantwoordelijken rusten om alle informatie te bewaren. Het Hof toonde zich kritisch over de termijn van een jaar omdat die termijn naar het oordeel van het Hof erg kort is in vergelijking met de bewaartermijn die geldt voor de onderliggende gegevens.

In het licht van het oordeel van het Hof over de bewaartermijn van een jaar voor gegevens over de verstrekking van GBA-gegevens aan afnemers en derden wordt voorgesteld om de bewaartermijn voor de vastlegging van de verstrekking van justitiële en strafvorderlijke gegevens die aan derden worden verstrekt, te verlengen van één tot vier jaar met het oog op een goed evenwicht tussen het belang van de betrokkene om het recht op kennisneming te kunnen uitoefenen en de last die de verplichting tot bewaring inhoudt voor de verantwoordelijke. Eenzelfde termijn zou aangehouden kunnen worden voor politiegegevens, zodat voor de WJSG en de WPG dezelfde termijnen gelden.

In het advies naar aanleiding van dit wetsvoorstel heeft de NOvA de aanvankelijk voorgestelde bewaartermijn van drie jaar voor de informatie over de ontvangers of de categorieën van ontvangers aan wie gegevens zijn verstrekt, aan de orde gesteld. De adviescommissie zag geen reden voor een dergelijke beperking en wees op de maximale bewaartermijnen voor politiegegevens in de WPG. Naar het oordeel van de Orde viel niet in te zien dat de lasten onevenredig zouden stijgen indien het de betrokkene mogelijk gemaakt wordt ook geïnformeerd te worden over verstrekkingen die langer dan drie jaar voorafgaand aan zijn verzoek hebben plaatsgevonden. De NOvA adviseerde dan ook de beperking van drie jaren te schrappen. Het College bescherming persoonsgegevens wees erop dat het Europese Hof van Justitie in zijn uitspraak van 7 mei 2009 geen termijn noemt voor de bewaring van gegevens omtrent verstrekkingen en ook anderszins uit deze uitspraak geen termijn kan worden afgeleid. Het CBP adviseerde in de memorie van toelichting de termijn van drie jaar nader te motiveren.

Tot nu toe kent de Wet politiegegevens geen recht voor de betrokkene tot kennisneming van de verstrekking van politiegegevens aan derden. De Wet justitiële en strafvorderlijke gegevens kent aan de betrokkene wel een dergelijk recht toe, maar dit is beperkt tot een periode van een jaar. Daartoe dient iedere verstrekking van gegevens tenminste één jaar te worden bewaard. Nu het Europese Hof geen bewaartermijn geeft, maar de lidstaten op dit punt een zekere beoordelingsmarge toekent, wordt het volgende overwogen met betrekking tot deze .

In het arrest overwoog het Europese Hof van Justitie dat artikel 12, sub a, van de Richtlijn bepaalt dat de lidstaten de betrokkene een recht op toegang verlenen tot zijn persoonsgegevens en tot de informatie over de ontvangers en de categorieën van ontvangers van die gegevens, zonder daarbij een termijn te vermelden (O. 34). Om uit te maken of dit artikel een beperking van de bewaartermijn in de tijd toestaat moet dit artikel naar het oordeel van het Hof worden uitgelegd in het licht van de strekking ervan gezien tegen de achtergrond van de doelstellingen van de richtlijn (O. 45). Het recht op toegang tot de bewaarde gegevens is noodzakelijk opdat de betrokkene de in artikel 12, sub b en c, van de richtlijn bedoelde rechten kan uitoefenen, te weten het recht om van de voor de verwerking verantwoordelijke gedaan te krijgen dat deze zijn gegevens rectificeert, uitwist of afschermt, of derden aan wie de gegevens zijn meegedeeld, van die rectificatie, uitwissing of afscherming in kennis stelt, tenzij zulks onmogelijk blijkt of onevenredig veel moeite kost (sub c) (O. 51). Om dit recht doeltreffend te kunnen uitoefenen dient dit recht noodzakelijkerwijs voor het verleden te gelden (O. 54). Het Hof heeft erkend dat de lidstaten bij de uitvoering van de richtlijn in velerlei opzichten over manoeuvreerruimte beschikten, voor de uitvoering van artikel 12, sub a, van de richtlijn is deze ruimte echter niet onbeperkt (O. 56). De vaststelling van een termijn moet de betrokkene in staat stellen om de verschillende bij de richtlijn voorziene en in het arrest weergegeven rechten uit te oefenen (O. 57). Zonder daarom doorslaggevend te zijn kan de bewaringsduur van de basisgegevens een nuttige parameter vormen (O. 58). Wanneer de bewaringstermijn voor de basisgegevens zeer lang is, kan het belang van de betrokkene om gebruik te maken van de mogelijkheden om de verantwoordelijke in te schakelen of zich tot de rechter te wenden, afnemen (O. 59). Wanneer bijvoorbeeld dergelijke gegevens aan een groot aantal ontvangers worden verstrekt of zeer frequent aan een kleiner aantal ontvangers wordt medegedeeld, kan de verplichting om informatie over de ontvangers of de categorieën ontvangers en over de inhoud van de verstrekte gegevens gedurende een zo lange tijd te bewaren een buitensporige last vormen voor de verantwoordelijke (O. 59). In artikel 12, sub c, van de richtlijn wordt een uitdrukkelijk voorbehoud gemaakt bij deze verplichtingen, namelijk wanneer zulks onmogelijk blijkt of onevenredig veel moeite kost. Nu ook volgens andere passages van de richtlijn rekening kan worden gehouden met het onevenredige karakter van een aantal maatregelen, kunnen de lidstaten behalve het belang van de betrokkene om zijn rechten uit te oefenen, ook andere parameters in aanmerking nemen, met name de nationaalrechtelijke bepalingen inzake de termijn voor het instellen van een vordering, het meer of minder gevoelige karakter van de basisgegevens, de bewaringsduur van de gegevens en het aantal betroken ontvangers (O. 63). Het staat bijgevolg aan de lidstaten om een termijn vast te stellen die een juist evenwicht vormt tussen, enerzijds, het belang van de betrokkene bij bescherming van zijn persoonlijke levenssfeer, met name door uitoefening van het recht op rectificatie, uitwisseling en afscherming van de gegevens wanneer dit niet conform de richtlijn zijn verwerkt, alsmede van het recht om verzet aan te kenen en om zich tot de rechter te wenden, en, anderzijds, de last die de verplichtingen tot bewaring van deze informatie inhoudt voor de voor de verwerking verantwoordelijke (O. 64). In het onderhavige geval vormt een termijn van een jaar over de ontvanger of categorieën ontvangers van informatie en over de inhoud van de verstrekte gegevens, terwijl de basisgegevens veel langer worden verwerkt, geen juist evenwicht tussen het belang en de verplichting in kwestie, tenzij wordt aangetoond dat een langere bewaring van deze informatie een buitensporige last zou vormen voor de voor de verwerking verantwoordelijke (O. 66).

Naar aanleiding van de uitspraak van het Europese Hof van Justitie in het Rijkeboer-arrest kan het volgende worden opgemerkt. In de privacyrichtlijn is het recht voor de betrokkene vastgelegd om informatie te krijgen over de ontvangers of categorieën van ontvangers aan wie de gegevens worden verstrekt, evenals het recht op rectificatie, uitwissing of afscherming van de gegevens (art. 12, eerste lid, onderdeel a en onderdeel b). Deze rechten voor de betrokkene zijn ook terug te vinden in de het kaderbesluit dataprotectie (artikel 17, eerste lid, onderdeel a, en 18, eerste lid). In de richtlijn is aanvullend aan de betrokkene jegens de verantwoordelijke het recht toegedeeld tot kennisgeving van elke rectificatie, uitwissing of afscherming aan derden aan wie de gegevens zijn verstrekt, tenzij zulks onmogelijk blijkt of onevenredig veel moeite kost. In het kaderbesluit dataprotectie is dit recht voor de betrokkene niet terug te vinden. Dit betekent dat er op grond van het kaderbesluit geen verplichting bestaat tot kennisgeving aan derden van de verbetering, uitwissing of afscherming van gegevens.

In de Wet justitiële en strafvorderlijke gegevens is vastgelegd dat elke verstrekking van justitiële gegevens wordt vastgelegd en tenminste een jaar wordt bewaard (art. 19, eerste lid, WJSG). Indien justitiële gegevens zijn verbeterd, aangevuld, verwijderd of afgeschermd dan wordt aan de personen of instanties, aan wie de gegevens in het jaar voorafgaand aan net verzoek en in de sinds dat verzoek verstreken periode de betrokken gegevens zijn verstrekt, zo spoedig mogelijk mededeling gedaan van deze verbetering, aanvulling, verwijdering of afscherming, tenzij dit onmogelijk blijkt of een onevenredige inspanning kost.

De Wet politiegegevens kent een verplichting tot schriftelijke vastlegging van de verstrekking van politiegegevens aan derden. Deze gegevens worden bewaard tenminste tot de datum waarop een audit van de gegevensverwerking heeft plaatsgevonden (art. 32, derde lid, WPG). Indien politiegegevens zijn verbeterd, aangevuld, verwijderd of afgeschermd, dat worden aan de personen en instanties, aan wie in het jaar voorafgaand aan het verzoek en de sinds dat verzoek verstreken periode, zo spoedig mededeling gedaan van deze verbetering, aanvulling, verwijdering of afscherming, tenzij dit onmogelijk blijkt of een onevenredige inspanning kost.

Om vast te stellen in hoeverre de betrokkene zijn rechten kan uitoefenen, kunnen de bewaartermijnen voor de gegevens in ogenschouw genomen worden. GBA-gegevens worden eeuwig bewaard. Voor politiegegevens en justitiële/strafvorderlijke gegevens liggen deze termijnen aanzienlijk lager. Politiegegevens die worden verwerkt met het oog op de uitvoering van de dagelijkse politietaak worden gedurende een periode van vijf jaar verwerkt en daarna verwijderd (art. 8 WPG). Politiegegevens die worden verwerkt met het oog op een onderzoek in verband met de handhaving van de rechtsorde in een bepaald geval worden verwijderd zodra deze niet meer noodzakelijk zijn voor het doel van het onderzoek (art. 9, vierde lid, WPG). Daarna worden de gegevens vijf jaar bewaard met het oog op de afhandeling van klachten en de verantwoording van verrichtingen en vervolgens vernietigd (art. 14, eerste lid, WPG). Justitiële gegevens over misdrijven worden na dertig respectievelijk twintig jaar vernietigd nadat een einduitspraak is gedaan in verband met een misdrijf waarop naar de wettelijke omschrijving een gevangenisstraf van meer dan zes jaar respectievelijk van minder dan zes jaar is gesteld (art. 4, eerste lid, WJSG). In bepaalde gevallen worden justitiële en strafvorderlijke gegevens langer dan dertig jaar bewaard, soms tot tachtig jaar als het gaat om justitiële gegevens van verdachten van ernstige zedenmisdrijven. Het gaat hier om gegevens met een gevoelig karakter, deze geven inzicht in de gevallen waarin personen in aanraking zijn gekomen met politie en justitie. Om die reden kan worden aangenomen dat betrokkene belang kan hebben bij een termijn van een zekere duur voor de verbetering van dergelijke gegevens, indien deze niet juist blijken. Het aantal ontvangers van politiegegevens en van justitiële c.q. strafvorderlijke gegevens is voor een belangrijk deel vastgelegd bij of krachtens de wet. In het Besluit politiegegevens en het Besluit justitiële gegevens zijn de personen en instanties opgesomd, aan wie in bepaalde gevallen politiegegevens of justitiële gegevens worden verstrekt. Daarnaast geldt voor politiegegevens en voor strafvorderlijke gegevens dat in verband met een zwaarwegend algemeen belang kan worden besloten tot verstrekking van politiegegevens of van strafvorderlijke gegevens aan derden ten behoeve van bepaalde doelen in verband met de politietaak of de strafrechtspleging. Verlenging van de bewaartermijn zal op zich geen aanleiding behoeven te geven tot een aanzienlijke verzwaring van de werklast, voorzover het gaat om aanpassing van de informatiesystemen bij politie en justitie. Op grond van de ervaringen tot nu toe is het echter niet waarschijnlijk dat betrokkenen veelvuldig gebruik zullen maken van het recht om over een langere termijn informatie te kunnen verkrijgen over de verstrekking van politiegegevens of van justitiële of strafvorderlijke gegevens aan derden. In het arrest Rijkeboer ging het om een periode van twee jaar voorafgaand aan het verzoek,

De rechtmatigheid van de verwerking van politiegegevens, inclusief de verstrekking van politiegegevens aan derden, wordt periodiek getoetst voor middel van audits.Om de betrokkene in de gelegenheid te stellen zijn rechten tot verbetering van de over hem verwerkte gegevens geldend te maken, ook in de richting van derden, kan voor de bewaring van gegevens over de verstrekking van persoonsgegevens aan derden voor de Wet justitiële en strafvorderlijke gegevens worden aangesloten bij de geldende termijn voor de bewaring van politiegegevens. Dit is de termijn voor de privacy audits. Eenmaal in de vier jaar wordt de uitvoering van de bij of krachtens de Wet politiegegevens gegeven regels gecontroleerd door middel van privacy audits. Voorgesteld wordt voor de bewaring van gegevens over de verstrekking van persoonsgegevens aan derden bij deze termijn aan sluiten, zodat voor zowel politiegegevens als voor justitiële en strafvorderlijke gegevens een bewaartermijn van vier jaar geldt. Na inwerkingtreding van deze wijziging kan ervaring worden opgedaan met een langere bewaartermijn en kan worden nagegaan of dit tot onevenredige lasten voor de uitvoeringsinstanties leidt.

Op grond van het kaderbesluit is de verantwoordelijke gehouden aan een persoon inlichtingen te verstrekken over de vraag of de hem betreffende politiegegevens zijn verstrekt en over de ontvangers of categorieën van ontvangers aan wie de gegevens zijn verstrekt. Voor de toelichting op het tweede lid kan worden verwezen naar de toelichting op artikel I, onderdeel H.

Artikel II, onderdeel G

Artikel 22

Voor de toelichting op dit artikel kan worden verwezen naar de toelichting op artikel I, onderdeel H.

Artikel II, onderdeel H

Artikel 27

Tweede lid

Het kaderbesluit bepaalt dat de lidstaten passende maatregelen nemen om de volledige toepassing van het kaderbesluit te garanderen en in het bijzonder doeltreffende, evenredige en afschrikwekkende sancties vaststellen, die worden opgelegd in geval van inbreuk op de krachtens dit kaderbesluit vastgestelde voorschriften (art. 24 kaderbesluit). Voorgesteld wordt om de bevoegdheden van het CBP uit te breiden. In dit lid wordt de bevoegdheid tot het toepassen van bestuursdwang opgenomen, in lijn met de bevoegdheden van het CBP op grond van de WPG (art. 35, tweede lid, WPG) en de WBP (art. 65 WBP). Op de toepassing van de bevoegdheid tot bestuurdwang is de Algemene wet bestuursrecht van toepassing. Daarnaast wordt voorgesteld aan het CBP de bevoegdheid tot het opleggen van een bestuurlijke boete toe te delen. Dit is in het vierde lid geregeld.

Derde lid

Voor de toelichting op het derde lid kan worden verwezen naar de toelichting op artikel I, onderdeel J.

Vierde lid

De Wet politiegegevens kent aan het CBP de bevoegdheid toe een bestuurlijke boete op te leggen, als niet wordt voldaan aan het hetgeen is bepaald bij of krachtens artikel 32 Wpg. Dit betreft de verplichting tot vastlegging van bepaalde informatie, de schriftelijke melding van een gemeenschappelijke verwerking aan het CBP of de bewaring van gegevens in verband met het verrichten van de audits. Voorgesteld wordt ook de bevoegdheid van de bestuurlijke boete aan het CBP toe te delen, voor zover het gaat om de verplichting van de verantwoordelijke tot het bewaren van gegevens over de verstrekking van persoonsgegevens aan derden (artt. 19, eerste lid, 39j, eerste lid, en 44, eerste lid, WJSG). Aldus worden de toezichthoudende autoriteit effectieve bevoegdheden geboden om in te grijpen indien de situatie op het gebied van de naleving van de verplichtingen door de verantwoordelijke daartoe aanleiding geeft. Tegen de bestuursdwang, dwangsom en boetebeschikkingen staan conform de Awb bezwaar en beroep open bij de bestuursrechter.

Artikel II, onderdeel I

In een nieuw derde lid bij artikel 39c wordt de verwerking van gevoelige persoonsgegevens geregeld. Dit zijn persoonsgegevens over iemands godsdienst of levensovertuiging, ras, politieke gezindheid, gezondheid, seksuele leven, alsmede persoonsgegevens betreffende het lidmaatschap van een vakvereniging. Het kaderbesluit bepaalt dat de verwerking van deze gegevens uitsluitend geoorloofd is wanneer dit strikt noodzakelijk is en in de nationale wetgeving adequate garanties worden geboden.

Tot nu toe is in de wet geen bepaling opgenomen over de verwerking van gevoelige persoonsgegevens. De Wet politiegegevens bevat wel een dergelijke bepaling (art. 5 WPG). Het is wenselijk om ook in de WJSG een bepaling op te nemen over de verwerking van gevoelige gegevens. Het is immers heel wel denkbaar dat dergelijke gegevens in een strafdossier worden opgenomen. Bijvoorbeeld als het gaat om criminaliteit jegens personen in verband met hun seksuele achtergrond of terroristische activiteiten die worden gemotiveerd vanwege de geloofsovertuiging van de betrokken daders. Ook kan het voorkomen dat het ras van een persoon een rol speelt in de beoordeling van de uitkomsten van een DNA-onderzoek. Voor de voorgestelde bepaling is nauw aangesloten bij die van de Wet politiegegevens. De verwerking van gevoelige persoonsgegevens is slechts toegestaan als dit voor het doel van de verwerking onvermijdelijk is. Daarmee wordt invulling gegeven aan het vereiste van het kaderbesluit, dat de verwerking strikt noodzakelijk is. Daarnaast vereist het kaderbesluit dat in de nationale wetgeving adequate garanties worden geboden. De wet bevat deze garanties, in de vorm van een strikte doelbinding, een streng criterium voor de verwerking van de gegevens (onvermijdelijk), de toegang tot de gegevens (de toegang is voorbehouden aan personen die onder het beheer van de Minister ressorteren) en de rechtswaarborgen van de betrokkene. De betrokkene kan bij het College van procureurs-generaal verzet aantekenen wegens bijzondere persoonlijke omstandigheden (art. 39q). De beslissing op het verzet geldt als een beschikking in de zin van artikel 1:3 van de Awb, waartegen bezwaar en beroep mogelijk is. Daarnaast kan de belanghebbende zich tot het CBP wenden met het verzoek te bemiddelen of te adviseren in zijn geschil met de verantwoordelijke (art. 47 Wbp).

Artikel II, onderdeel J

Artikel 39e

Onderdeel 1

Vanwege de systematiek wordt het eerste lid aangepast. De verstrekking van strafvorderlijke gegevens aan rechterlijke ambtenaren in het buitenland wordt afzonderlijk geregeld in het vierde lid. Overigens blijft de tekst van dit lid ongewijzigd.

Onderdeel 2

De voorgestelde aanpassing van het derde lid hangt samen met de keuze voor opneming van een afzonderlijke bepaling voor de verstrekking van strafvorderlijke gegevens aan rechterlijke ambtenaren in het buitenland.

Voor de toelichting op het vierde lid kan worden verwezen naar de toelichting op artikel I, onderdeel E. Aanvullend kan worden opgemerkt dat de Wet justitiële en strafvorderlijke gegevens voorheen reeds de mogelijkheid bood tot verstrekking van strafvorderlijke gegevens aan rechterlijke ambtenaren in het buitenland (artikel 39e, eerste lid, onderdeel a). Vereist is dat de verstrekking noodzakelijk is met het oog op een zwaarwegend algemeen belang. Mede met het oog op het kaderbesluit dataprotectie wordt voorgesteld in het derde lid de verstrekking van strafvorderlijke gegevens aan rechterlijke ambtenaren en aan een internationaal orgaan in het buitenland ten behoeve van de strafrechtspleging afzonderlijk te regelen. Daarbij is nauw aangesloten bij de regeling van de Wet politiegegevens (artikel 17 WPG).

Voor de toelichting op het vijfde lid kan eveneens worden verwezen naar de toelichting op artikel I, onderdeel E. Aanvullend kan worden opgemerkt dat, anders dan bij de verstrekking aan het buitenland, de mogelijkheid tot verstrekking niet is beperkt tot rechterlijke ambtenaren in een andere lidstaat. Een dergelijke beperking zou niet in lijn zijn met de regels van het kaderbesluit dataprotectie. Strafvorderlijke gegevens kunnen dus ook worden verstrekt aan opsporingsambtenaren in een andere lidstaat, voor zover dit voortvloeit uit een besluit op grond van de derde pijler. Het criterium van het zwaarwegend algemeen belang geldt hier evenmin; de noodzaak tot verstrekking kan voortvloeien uit de afzonderlijke afspraken die in de derde pijler tussen de lidstaten worden gemaakt. Ingeval een dergelijke afspraak op het niveau van de Unie wordt gemaakt, dan geeft het kaderbesluit dataprotectie regels voor de verdere verwerking van de gegevens, behoudens wanneer in die afspraken zelf hierover meer specifieke regels zijn opgenomen.

Onderdeel 3

Voor de verstrekking van strafvorderlijke gegevens aan het buitenland geldt, net als voor de verstrekking van politiegegevens of van justitiële gegevens, het vereiste van het toereikend beschermingsniveau. In afwijking daarvan kunnen strafvorderlijke gegevens worden doorgegeven als het betreffende land of internationale orgaan passende garanties biedt voor een zorgvuldige gegevensverwerking in het concrete geval. Dit is toegelicht bij artikel I, onderdeel E.

Artikel II, onderdeel K

Artikel 39i

Voor de toelichting op het eerste lid kan worden verwezen naar de toelichting op artikel I, onderdeel F en artikel II, onderdeel E. Datgene dat bij artikel II, onderdeel E, is opgemerkt over de reeds geldende verplichtingen van Onze Minister van Justitie inzake de verstrekking van informatie geldt eveneens voor de verstrekking van informatie door het College van procureurs-generaal. Voorgesteld wordt de reactietermijn van vier weken te verlengen tot zes weken, met de mogelijkheid de beslissing te verdagen voor ten hoogste vier weken. Hiermee wordt de reactietermijn in overeenstemming gebracht met die voor de kennisneming van politiegegevens. Dit is geregeld in de Wet politiegegevens (artikel 25, eerste lid, WPG). Ook bij strafvorderlijke gegevens bestaat behoefte aan een langere reactietermijn. In omvangrijke strafzaken zullen veel gegevens gecontroleerd moeten worden. Daarnaast kan het nodig zijn de voorgenomen beslissing af te stemmen met de betrokken politiekorpsen omdat de betreffende gegevens niet alleen in het kader van de strafzaak zijn verwerkt maar tevens in het kader van het opsporingsonderzoek van de politie.

In het tweede lid wordt geregeld dat artikel 18, tweede en derde lid, van overeenkomstige toepassing zijn. Voorheen was alleen artikel 18, derde lid, van overeenkomstige toepassing. Het tweede lid van dit artikel betreft het voorschrift dat de gehele of gedeeltelijk afwijzing schriftelijk plaatsvindt. Aan de betrokkene moet worden medegedeeld dat hij tegen de beslissing beroep kan instellen, op grond van artikel 29, eerste lid, van de wet. Voor de toelichting op dit lid kan overigens worden verwezen naar de toelichting op artikel I, onderdeel F.

Artikel II, onderdeel L

Artikel 39j

Eerste lid

De wijziging van dit lid betreft de verlenging van de bewaartermijn voor de vastlegging van een verstrekking van strafvorderlijke gegevens aan derden. Voor de toelichting op de verlenging van de bewaartermijn van één tot vier jaar kan worden verwezen naar de toelichting op artikel I, onderdeel F en artikel II, onderdeel F.

Tweede lid

Voor de toelichting op dit lid kan worden verwezen naar artikel I, onderdeel F.

Artikel II, onderdeel M

Artikel 39l

Zoals bij de toelichting bij artikel I, onderdeel G, is opgemerkt biedt het kaderbesluit dataprotectie de lidstaten de mogelijkheid om wettelijke maatregelen te treffen ter beperking van het recht op toegang voor de betrokkene (artikel 17, tweede lid). De in het kaderbesluit toegestane weigeringsgronden omvatten de in artikel 39l van de Wet justitiële en strafvorderlijke gegevens opgenomen weigeringsgronden. Dit met uitzondering van het toezicht op de naleving van wettelijke voorschriften die zijn gesteld ten behoeve van de belangen met betrekking tot het voorkomen, opsporen en vervolgen van strafbare feiten. Daarom is deze weigeringsgrond geschrapt. Toegevoegd is de voorkoming en belemmering van gerechtelijke procedures. Daarmee is zeker gesteld dat het recht op kennisneming niet kan worden aangewend met de vooropgezette bedoeling om een gerechtelijke procedure te frustreren. Dit zou aan de orde kunnen zijn als een verzoek tot kennisneming geen ander doel dient dan kennis te kunnen nemen van processtukken, terwijl een daartoe strekkend verzoek, op grond van artikel 30 van het Wetboek van Strafvordering, door de officier van justitie of de rechter-commissaris in het belang van het onderzoek is afgewezen.

Artikel II, onderdeel N

Artikel 39m, eerste lid

Voor de toelichting op dit lid kan worden verwezen naar de toelichting op artikel I, onderdeel H.

Artikel II, onderdeel O

Voor de toelichting op dit lid kan worden verwezen naar artikel II, onderdeel I.

Artikel II, onderdeel P

Voor de toelichting op dit lid kan worden verwezen naar artikel II, onderdeel F.

Artikel III

Het kaderbesluit dataprotectie moet uiterlijk op 27 november 2010 zijn omgezet in de nationale wetgeving (artikel 29, eerste lid). Het streven is dit wetsvoorstel voor die datum in werking te laten treden.

De minister van Veiligheid en Justitie,

I. W. Opstelten

BIJLAGE Transponeringstabel voor het kaderbesluit 2008/977/JBZ van de Raad van de Europese Unie van 27 november 2008 over de bescherming van persoonsgegevens die worden verwerkt in het kader van de politiële en justitiële samenwerking in strafzaken

Kaderbesluit 2008/977/JBZ	Wet politiegegevens (WPG) Besluit politiegegevens (BPG)	Wet justitiële en strafvorderlijke gegevens (WJSG) Besluit justitiële en strafvorderlijke gegevens (BJSG)	Beleidsruimte
Artikel 1, 1^e lid	Behoeft geen implementatie	Idem	–
Artikel 1, 2^e lid	Betreft dit wetsvoorstel (par. VIII en IV)	Idem	Geen
Artikel 1, 3^e lid	Artikel 2, eerste lid, WPG	Artikel 1, onderdeel b, WJSG Artikel 2, eerste lid, en artikel 1, onderdeel e, WJSG	Geen
Artikel 1, 4^e lid	Behoeft uit zijn aard geen implementatie	Idem	Geen
Artikel 1, 5^e lid	Behoeft uit zijn aard geen implementatie	Idem	NL biedt in WPG/WJSG extra waarborgen
Artikel 2	Behoeft geen implementatie omdat wordt verwezen naar het nationale recht	Idem
Onderdeel a	Artikel 1, onderdeel a, WPG	Artikel 1, onderdeel g, WJSG	Geen
Onderdeel b	Artikel 1, onderdeel c, WPG	Artikel 1, onderdeel g, WJSG	Geen
Onderdeel c	Nieuw artikel 1, onderdeel n	Nieuw artikel 1, onderdeel h	–
Onderdeel d	Artikel 2, 3^e lid, WPG	Artikel 1, onderdeel e, WJSG	Geen
Onderdeel e	Artikel 1, onderdeel i, WPG	Nieuw artikel 1, onderdeel g, WJSG	Geen
Onderdeel f	Nieuw artikel 1, onderdeel m, WPG	Nieuw artikel 1, onderdeel g, WJSG	Geen
Onderdeel g	Nieuw artikel 1, onderdeel m, WPG	Artikel 1, onderdeel g, WJSG	Geen
Onderdeel h	Behoeft geen implementatie (verwijzing naar nationaal recht)	Idem	–
Onderdeel i	Artikel 1, onderdeel f, WPG	Artikel 1, onderdeel g, WJSG	Geen
Onderdeel j	Nieuw artikel 1, onderdeel o, WPG	Nieuw artikel 1, onderdeel i, WJSG	Geen
Onderdeel k	Behoeft geen implementatie (bepaling wordt niet toegepast)	Behoeft geen implementatie (bepaling wordt niet toegepast)	–
Artikel 3, 1^e lid	Artikel 3 WPG	Artikel 3, 39b en 39c WJSG	Geen
Artikel 3, 2^e lid	Nieuw artikel 3, 3^e lid, WPG	Nieuw artikel 3, 3^e lid, 39b en 39c WJSG	Geen
Artikel 4, 1^e lid	Artikel 4, 1^e lid, WPG	Artikel 3 en 39c, 1^e lid, WJSG	Geen
Artikel 4, 2^e lid	Artikel 4, 2^e lid, WPG	Artikel 4 en 39d WJSG	Geen
Artikel 4, 3^e lid	Artikel 28 WPG	Artikel 22 en 39m WJSG	Geen
Artikel 4, 4^e lid	Idem	Idem	Geen
Artikel 5	Artikel 8, 9, 10, 12 en 13 WPG Artikel 4, 33 en 35 WPG	Artikel 4 t/m 6 en 39d WJSG Artikel 27, 39c, 39r, en 51 WJSG	Aangesloten bij termijnen WPG/WJSG
Artikel 6	Artikel 5 WPG	Nieuw artikel 39c en artikel 44 WJSG	Geen / –
Artikel 7	Behoeft geen implementatie (bepaling wordt niet toegepast)	Behoeft geen implementatie (bepaling wordt niet toegepast)	Ja
Artikel 8, 1^e lid	Nieuw artikel 5:1, 7^e lid en 5:2, 1^e lid, BPG	Nieuw artikel 30b, 2^e en 30c, 1^e lid, BJSG	Geen
Artikel 8, 2^e lid	Nieuw artikel 5:1, 7^e lid, BPG	Nieuw artikel 30b, 2^e lid, BJSG	Geen
Artikel 9, 1^e lid	Nieuw artikel 5:3, 4^e lid, BPG	Nieuw artikel 30i, 2^e lid, BJSG	Nieuwe bepalingen voorgesteld
Artikel 9, 2^e lid	Behoeft geen implementatie, omdat deze bepaling verwijst naar het nationale recht	Idem	–
Artikel 10, 1^e lid	Nieuw artikel 25, 1^e lid, j.o. 32, derde lid, WPG	Nieuw artikel 19, 1^e lid en 39j, 1^e lid, WJSG	Geen
Artikel 10, 2^e lid	Artikel 35, 2e lid, WPG	Artikel 27, 2^e lid, WJSG	–
Artikel 11	Nieuw artikel 5:3, 3^e lid, BPG	Nieuw artikel 30i, 1^e lid, BJSG	Geen
Artikel 12, 1^e lid	Nieuw artikel 5:2, 2^e lid, BPG	Nieuw artikel 30c, tweede lid, en 39j, 3^e lid, BJSG	Geen
Artikel 12, 2^e lid	Behoeft geen implementatie, omdat deze bepaling verwijst naar het nationaal recht	Idem	–
Artikel 13, 1^e lid	Nieuw artikel 17, 5^e lid, WPG j.o. artikel 5:9, 1^e lid, BPG	Nieuw artikel 8, 7^e lid, WJSG j.o. artikel 30k, 1^e lid, BJSG	Geen
Artikel 13, 2^e lid	Nieuw Artikel 5:9, 2^e lid, BPG	Nieuw Artikel 30k, 2^e lid, BJSG	Geen
Artikel 13, 3^e lid	Nieuw artikel 17, 6^e lid, WPG	Nieuw artikel 8, 8^e lid, WJSG	Geen
Artikel 13, 4^e lid	Nieuw artikel 17, 5^e lid, WPG	Nieuw artikel 8, 8^e lid, WJSG	Geen
Artikel 14, 1^e lid	Nieuw artikel 5:10, 1^e lid, BPG	Nieuw artikel 30l, 1^e lid, BJSG	Geen
Artikel 14, 2^e lid	Nieuw artikel 5:10, 2^e lid, BPG	Nieuw artikel 30l, 2^e lid, BJSG	Geen
Artikel 15	Nieuw artikel 5:2, 3^e lid, BPG	Nieuw artikel 30c, 3^e lid, BJSG	Geen
Artikel 16, 1^e lid	Behoeft geen implementatie omdat deze bepaling verwijst naar het nationaal recht	Idem	Art. 126bb Sv voorziet in notificatie betr.
Artikel 16, 2^e lid	Behoeft geen implementatie omdat de WPG geen algemene informatieverplichting kent	Behoeft geen implementatie omdat de WJSG geen algemene informatieverplichting kent	–
Artikel 17, 1^e lid	Nieuw artikel 25, 1^e lid, WPG	Nieuw artikel 18, 1^e lid, 19, 1^e lid, 39i, 1^e lid en 39j, tweede lid, WJSG	Geen
Artikel 17, 2^e lid,	Nieuw artikel 27, 1^e lid, WPG	Nieuw artikel 39l WJSG	Weigeringsgronden toegesneden op aard gegevens
Artikel 17, 3^e lid	Artikel 27, 2^e lid, WPG	Nieuw artikel 18, 2^e en 39i, 2^e lid WJSG	Geen
Artikel 18, 1^e lid	Artikel 28 en 29,1^e lid, WPG	Artikelen 22, 23, 1^e lid, 39m en 39n, 1^e lid, WJSG	Geen
Artikel 18, 2^e lid	Nieuw artikel 28, 1^e lid, WPG	Nieuw artikel 22, 1^e lid, WJSG	Geen
Artikel 19, 1^e lid	Artikel 4, 6^e lid, WPG	Artikel 7, 2^e lid, 39c, en 40, derde lid, WJSG	Geen
Artikel 19, 2^e lid	Behoeft geen implementatie (nationaal recht voorziet niet in uitzondering aansprakelijkheid)	Idem	Geen
Artikel 20	Artikel 29, 1^e lid, WPG	Artikel 23, 1^e lid en 39n, 1^e lid, WJSG	Geen
Artikel 21, 1^e lid	Artikel 6, 3^e, 4^een 5^e lid, WPG	Nieuw artikel 7, tweede lid, WJSG	–
Artikel 21, 2^e lid	Artikel 4, 6^e lid, WPG	Artikel 1, onderdeel g, en 7, tweede lid, WJSG	Geen
Artikel 22, 1^e lid	Artikel 4, 3^e lid, WPG	Artikel 7 en 39c, 1^e lid, en 40, derde lid WJSG	Geen
Artikel 22, 2^e lid	Artikel 4, derde lid, WPG	Artikel 7 en 39c, 1^e lid, en 40, derde lid, WJSG	Geen
Artikel 22, 3^e lid	Artikel 4, 6^e lid, WPG	Artikel 1, onderdeel g, 7, tweede lid, en 40, derde lid, WJSG	Geen
Artikel 22, vierde lid	Artikel 4, zesde lid, WPG	Nieuw artikel 7, tweede lid, WJSG	Ja
Artikel 23	Nieuw artikel 35, 4^e lid, WPG	Nieuw artikel 27, 3^e lid, WJSG	Geen
Artikel 24	Artikel 35, 2^e en 3^e lid, WPG	Artikel 27, 2^e lid en 39r WJSG	Geen
Artikel 25, 1^e lid	Artikel 35, 1^e lid, WPG	Artikel 27, 1^e en 39r WJSG	Geen
Artikel 25, 2^e lid	Artikel 35, 2^e lid, WPG	Artikel 27, 2^e en 39r, WJSG Nieuw artikel 27, vierde lid, WJSG	Geen
Artikel 25, 3^e lid	Artikel 35, 2^e lid, WPG	Artikel 27, 2^e lid, WJSG	Geen
Artikel 25, 4^e lid	Artikel 2:5 Awb	Idem	Geen
Artikel 26	Behoeft geen implementatie	Behoeft geen implementatie	–
Artikel 27, 1^e lid	Behoeft uit zijn aard geen implementatie	Idem	–
Artikel 27, 2^e lid	Behoeft uit zijn aard geen implementatie	Idem	–
Artikel 28	Behoeft uit zijn aard geen implementatie	Idem	–
Artikel 29, 1^e lid	Behoeft uit zijn aard geen implementatie	Idem	–
Artikel 29, 2^e lid	Behoeft uit zijn aard geen implementatie	Idem	–
Artikel 30	Behoeft uit zijn aard geen implementatie	Idem	–

---

1 Haags Programma – Versterking van vrijheid, veiligheid en recht in de Europese Unie (Pb C53 en o.m. Kamerstukken II 2004/05, 21 501-20, nr. 263).

2 Ter inzage gelegd bij het Centraal Informatiepunt Tweede Kamer.

3 Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens.