Regeling Gegevensbescherming Militaire Operaties

4 mei 2018

Nummer: BS2018008273

De Staatssecretaris van Defensie

Gelet op artikel 3, derde lid, aanhef en onder a, van de Uitvoeringswet Algemene verordening gegevensbescherming;

Besluit:

Artikel 1 Uitzonderingen

• 1. De artikelen 9, 10, hoofdstuk III, de artikelen 33 tot en met 36 van de Algemene Verordening Gegevensbescherming en de artikelen 22 tot en met 30 van de Uitvoeringswet Algemene verordening gegevensbescherming zijn niet van toepassing op de verwerking van persoonsgegevens ter uitvoering van de in artikel 97 van de Grondwet omschreven taken voor zover dat noodzakelijk is voor de uitvoering van het mandaat en de bescherming van de troepenmacht.

• 2. Persoonsgegevens mogen alleen worden verwerkt ter uitoefening van de in artikel 97 van de Grondwet genoemde taken voor zover de internationaalrechtelijke grondslag voor de operatie ten behoeve waarvan de persoonsgegevens verwerkt worden dat toelaat.

Artikel 2 Verwerking van biometrische en genetische persoonsgegevens

• 1. Biometrische en genetische gegevens mogen alleen verwerkt worden ten behoeve van het vaststellen en de verificatie van de identiteit van een persoon.

• 2. De verwerking van genetische gegevens zoals bedoeld in het eerste lid vindt alleen plaats ten aanzien van personen die verdacht worden van strafbare feiten die ofwel verband houden met een gewapend conflict ofwel gericht zijn tegen de veiligheid van de troepenmacht.

Artikel 3 Doorgifte van persoonsgegevens aan derde landen of internationale organisaties

• 1. Het verstrekken van persoonsgegevens als onderdeel van operationele inlichtingenproducten aan andere deelnemende landen of internationale organisaties binnen de bevelsstructuur van een operatie is toegestaan voor zover dat noodzakelijk is voor de uitvoering van het mandaat en de bescherming van de troepenmacht.

• 2. Het verstrekken van persoonsgegevens anders dan genoemd in het eerste lid aan andere deelnemende landen of internationale organisaties die deelnemen aan dezelfde operatie is toegestaan onder de voorwaarde dat met deze landen of organisaties een regeling overeengekomen is waarin waarborgen gesteld worden ten aanzien van doelbinding, doorgifte, verdere verwerking en bewaartermijn zodat deze beperkt zijn tot de betreffende operatie.

Artikel 4 Verdere verwerking

Een verwerking voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld, die berust op een Unierechtelijke bepaling of een lidstaatrechtelijke bepaling die in een democratische samenleving een noodzakelijke en evenredige maatregel vormt ter waarborging van de in artikel 23, eerste lid AVG bedoelde doelstellingen, is alleen toegestaan indien de internationaalrechtelijke grondslag op grond waarvan de gegevens verkregen zijn dergelijke verdere verwerking toestaat.

Van een verdere verwerking voor een ander doel wordt aantekening gemaakt.

Artikel 5 Bewaartermijn

• 1. Indien persoonsgegevens die verwerkt worden ter uitvoering van een operatie niet langer noodzakelijk zijn voor de uitvoering van het mandaat en de bescherming van de troepenmacht dienen deze vernietigd te worden.

• 2. Persoonsgegevens die verwerkt worden ter uitvoering van een operatie worden na beëindiging van de Nederlandse deelname aan een operatie overgedragen aan de Directie Operaties, met een beschrijving van de documenten (periode, operatie, soort gegevens of documenten). De Directie Operaties beoordeelt in samenspraak met de Directie Juridische Zaken of de gegevens vernietigd of bewaard moeten worden.

Artikel 6 Verwerkingsregister en AVG-coördinator

Er is een register van verwerkingsactiviteiten, als bedoeld in artikel 30 van de Algemene Verordening Gegevensbescherming, voor verwerkingen die vallen onder deze regeling.

De Directie Operaties registreert verwerkingen van persoonsgegevens en wijzigingen ten aanzien van verwerkingen van persoonsgegevens in het register van de verwerkingsactiviteiten.

De Directeur Operaties wijst een AVG-coördinator aan die de uitvoering van de AVG, de Uitvoeringswet AVG en deze regeling en de feitelijke handelingen die daarvoor nodig zijn, coördineert ten aanzien van verwerkingen die onder de reikwijdte van deze regeling vallen.

Artikel 7 Inwerkingtreding

Deze regeling treedt in werking op het tijdstip waarop de Uitvoeringwet AVG in werking treedt.

Artikel 8 Citeertitel

Deze regeling wordt aangehaald als: Regeling Gegevensbescherming Militaire Operaties.

Deze regeling zal met de toelichting in de Staatscourant worden geplaatst.

’s-Gravenhage, 4 mei 2018

De Staatssecretaris van Defensie, B. Visser

TOELICHTING

Algemeen

Met ingang van 25 mei 2018 is de Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/4/EG (algemene verordening gegevensbescherming) (PbEU 2016, L 119) van toepassing. Deze algemene verordening gegevensbescherming (AVG) vormt samen met de Uitvoeringswet AVG het algemene juridische kader met betrekking tot de bescherming van persoonsgegevens in Nederland.

De AVG en de Uitvoeringswet AVG zijn mede van toepassing op de verwerking van persoonsgegevens door de krijgsmacht. Gelet op artikel 3 van de Uitvoeringswet AVG kan de Minister van Defensie daarvan afwijken met het oog op de inzet of het ter beschikking stellen van de krijgsmacht ter uitvoering van de in artikel 97 van de Grondwet omschreven taken. Deze regeling strekt daartoe en regelt nadere voorwaarden waaronder van deze uitzonderingen gebruik gemaakt wordt.

Artikel 1

De omstandigheden waarin de krijgsmacht soms moet functioneren, laten niet altijd toe dat bij inzet in militaire operaties alle bepalingen van de AVG onverkort worden toegepast. Daarom is met deze regeling een aantal uitzonderingen geformuleerd op de toepassing van de AVG en de Uitvoeringswet AVG. Het gaat om bepalingen over de verwerking van bijzondere categorieën van persoonsgegevens, over de verwerking van persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten, over de rechten van betrokkene, over de melding van een datalek en over de gegevensbeschermingseffectbeoordeling.

Reikwijdte uitzonderingen

Aangezien overeenkomstige toepassing van de AVG het uitgangspunt is, zien de uitzonderingen alleen op de taakuitvoering voor zover dat noodzakelijk is voor de vervulling van het mandaat en de bescherming van de (internationale) troepenmacht. Dat is bijvoorbeeld het geval bij de verwerking van persoonsgegevens van lokaal te werven personeel om de veiligheid van de troepenmacht te waarborgen (screening), maar niet bij de verwerking van de persoonsgegevens van ingehuurd lokaal personeel ter uitvoering van een overeenkomst. Verder valt te denken aan verwerking ten behoeve van inlichtingen als voorbeeld waarop deze uitzonderingen van toepassing zijn. De uitzonderingen zijn niet van toepassing op eigen personeel of personeel van andere deelnemende landen aan de operatie of op de bedrijfsvoering.

Inzet van de krijgsmacht in het kader van nationale taken (zoals bijstand, militaire steunverlening in het openbaar belang) vindt plaats onder civiel gezag en valt daarmee buiten de reikwijdte van deze regeling.

Bijzondere persoonsgegevens en rechten van betrokkene

Gezien de doelen waarvoor persoonsgegevens worden verwerkt tijdens militaire operaties is het niet mogelijk te voldoen aan de bepalingen ten aanzien van bijzondere persoonsgegevens en ten aanzien van de rechten van betrokkenen. Te denken valt hierbij aan het verzamelen van operationele inlichtingen, screening van op te leiden of lokaal te werven personen en de verwerking van (bijzondere) persoonsgegevens van vastgenomen personen. Ook hierbij geldt dat de uitzondering noodzakelijk moet zijn, zodat bijvoorbeeld de verwerking van medische gegevens van personen die een medische behandeling ontvangen in de regel niet onder deze uitzonderingen zullen vallen.

Internationaalrechtelijke grondslag

De internationaalrechtelijke grondslag zal in veel gevallen de autorisatie bieden om persoonsgegevens te verwerken. Om rechtmatig te zijn, mag de verwerking van persoonsgegevens die autorisatie niet overschrijden. Wanneer bijvoorbeeld een Veiligheidsraadresolutie militair ingrijpen autoriseert voor een bepaald doel, dan moet de verwerking van persoonsgegevens ook beperkt blijven tot het doel waarvoor de autorisatie gegeven is. De mogelijkheden voor de verwerking van persoonsgegevens in operaties die worden uitgevoerd met instemming van een gastland, worden mede bepaald door het nationale recht van het gastland en hetgeen het gastland daaromtrent toestaat.

Artikel 2

Biometrische en genetische gegevens zijn bijzondere categorieën persoonsgegevens. Aangezien ook de verwerking van biometrische en genetische gegevens zijn grondslag moet vinden in de internationaalrechtelijke grondslag voor de operatie, kan van dergelijke verwerking alleen sprake zijn voor zover dat noodzakelijk is voor de uitvoering van het mandaat en de bescherming van de troepenmacht. Daarbij valt te denken aan het verwerken van biometrische gegevens die zijn verkregen van geïmproviseerde explosieven. Ook het gericht vergelijken van personen met een zogenaamde (biometrische) watchlist is in dit verband mogelijk indien de verwerkte persoonsgegevens bij het ontbreken van een match niet opgeslagen of direct verwijderd worden, omdat het bewaren van die gegevens niet noodzakelijk en een verdere verwerking van die gegevens niet verenigbaar is voor het doel (vergelijken) waarvoor ze zijn verkregen.

De verwerking van genetische gegevens is een vergaande inbreuk op de persoonlijke levenssfeer en is daarom alleen toegestaan voor het vaststellen en de verificatie van de identiteit van een persoon en beperkt tot personen die verdacht worden van strafbare feiten die ofwel verband houden met een gewapend conflict ofwel gericht zijn tegen de veiligheid van de troepenmacht.

Artikel 3

lid 1. Operationele inlichtingenproducten zijn documenten met gewaardeerde informatie over de omgeving en de capaciteiten en intenties van actoren in het operatiegebied om dreigingen en mogelijkheden te onderkennen ten behoeve van het operationele besluitvormingsproces. In deze inlichtingenproducten zijn vaak persoonsgegevens opgenomen. Het delen van deze operationele inlichtingenproducten tussen deelnemende landen aan een operatie dan wel met een internationale organisatie die de operatie uitvoert is essentieel voor het veilig en succesvol kunnen uitvoeren van de operatie. Over het algemeen is de hoeveelheid persoonsgegevens in deze producten beperkt.

lid 2. Het delen van persoonsgegevens met andere deelnemende landen aan een operatie of internationale organisaties, bijvoorbeeld door toegang te verlenen tot lokale databases met persoonsgegevens van nagetrokken personen of biometrische gegevens, levert een meerwaarde op voor de effectiviteit van de operatie. Waar het eerste lid persoonsgegevens betreft die onderdeel zijn van de context van de beoordeling van de operationele situatie, gaat het in het tweede lid om verzamelingen van – vaak grote hoeveelheden – persoonsgegevens. Hoewel het delen van deze gegevens van belang is voor de effectiviteit van de operatie, rechtvaardigt het verstrekken van deze gegevens vanwege de aard en omvang aanvullende waarborgen. Gelet op de relatief korte duur van militaire operaties en de wisselende samenstelling van de deelnemende landen enerzijds en het belang van de waarborgen anderzijds zullen deze waarborgen bijvoorbeeld bij Memoranda of Understanding moeten worden vastgelegd.

Artikel 4

Aangezien een nationaalrechtelijke grondslag zoals een Unierechtelijke of een nationaalrechtelijke bepaling de internationaalrechtelijke grondslag voor de verwerking van persoonsgegevens niet kan verruimen, is een verdere verwerking die berust op een Unierechtelijke of een nationaalrechtelijke bepaling alleen mogelijk indien de internationaalrechtelijke grondslag dat toestaat.

Hiervan zal bij VN-gemandateerde operaties in de regel geen sprake zijn, omdat een autorisatie van de Veiligheidsraad alleen voor een specifiek doel gegeven wordt die geen rechtsbasis biedt voor verdere verwerking voor andere – nationale – doeleinden. Verdere verwerking voor een ander doel is bijvoorbeeld wel mogelijk bij operaties die met instemming van het gastland worden uitgevoerd op hun grondgebied. De mogelijkheden voor de verwerking van persoonsgegevens in operaties die worden uitgevoerd met instemming van een gastland, worden mede bepaald door het nationale recht van het gastland en hetgeen het gastland daaromtrent toestaat. Het maken van aantekening van verdere verwerking voor een ander doel dient ter interne verantwoording in de omstandigheid dat de informatieplicht aan betrokkene niet van toepassing is.

Artikel 5

Zolang Nederland deelneemt aan een operatie, kunnen de persoonsgegevens die ter uitvoering van die operatie verzameld zijn, bewaard worden, tenzij direct duidelijk is dat het bewaren van deze gegevens niet langer noodzakelijk is voor het doel waarvoor ze worden verwerkt. Na beëindiging van de Nederlandse deelname zal in de regel de internationaalrechtelijke grondslag voor de verwerking van deze gegevens door de krijgsmacht vervallen, alsmede het doel waarvoor de persoonsgegevens werden verwerkt. Hierop zijn echter uitzonderingen. Het doel van de verwerking kan in de weg staan aan vernietiging van de persoonsgegevens na beëindiging van de Nederlandse deelname. Dit kan bijvoorbeeld het geval zijn bij persoonsgegevens van vastgenomen personen. Ook het feit dat deelname aan dezelfde operatie in de nabije toekomst is voorzien, kan bijvoorbeeld in de weg staan aan het vernietigen van de persoonsgegevens. Voor zover dat nog niet gebeurd is tijdens de uitvoering van de operatie kunnen gegevens gedeeld worden met andere deelnemende landen, mits voldaan is aan de bepalingen van artikel 3. Daarnaast kan de Directie Operaties indien daartoe verzocht wordt en na advies van de Directie Juridische Zaken besluiten om (delen van) de gegevens in geanonimiseerde vorm beschikbaar te stellen voor evaluatie- of instructiedoeleinden.

Artikel 6

Voor verwerkingsactiviteiten die onder deze regeling vallen, wordt een separaat register bijgehouden, aangezien de verwerkingen die onder deze regeling vallen niet onder de werking van de algemene Regeling AVG Defensie vallen. Daarmee is bovendien ook duidelijk op welke verwerkingen de uitzonderingen van deze regeling van toepassing zijn.

Vanwege het bijzondere regime dat van toepassing is op verwerkingen die onder deze regeling vallen, wordt een aparte AVG-coördinator aangewezen die de specifieke toepassing en de daarvoor vereiste feitelijke handelingen kan coördineren.

De Staatssecretaris van Defensie, B. Visser