Verslag van een schriftelijk overleg inzake Europese voorstellen betreffende de bescherming van persoonsgegevens
Staten-Generaal — Kamerstuk Verslag
Datum: 2014-06-24 00:00:00.000000
Rechtsgebied: Wetgeving


Vergaderjaar 2013-2014
 Eerste Kamer der Staten-Generaal
 1
 Kamerstukken
 
 
 
 33 169
 
 EU-voorstel: Richtlijn bescherming persoonsgegevens bij gebruik door politiële en justitiële autoriteiten (COM(2012)10) en EU-voorstel Verordening algemeen kader bescherming persoonsgegevens (COM(2012)11)1Zie dossiers E120003 en E120004 op www.europapoort.nl
 
 
 
 M
 
 VERSLAG VAN EEN SCHRIFTELIJK OVERLEG
 Vastgesteld 3 oktober 2013
 
 
 
 Op 17 juni 2013 heeft de Staatssecretaris van Veiligheid en Justitie de Eerste Kamer een brief gestuurd waarin hij antwoorden geeft op de eerder bij brief van 17 mei 2013 door de vaste commissies voor Immigratie & Asiel/JBZ-Raad en voor Veiligheid en Justitie gestelde vragen inzake de Europese voorstellen betreffende de bescherming van persoonsgegevens.2Kamerstukken I 2012/13, 33 169, J. Zie ook de dossiers E120003 (Algemene verordening gegevensbescherming) en E120004 (Richtlijn gegevensverwerking politie en justitie) op www.europapoort.nl Deze antwoorden en de ontwikkelingen rond PRISM geven de leden van diverse fracties – VVD, PvdA, SP en D66 - aanleiding tot enige nadere vragen die zijn opgenomen in de brief aan de Staatssecretaris van 10 juli 2013.
 De Staatssecretaris heeft op 2 oktober 2013 gereageerd.
 De vaste commissies voor Immigratie en Asiel / JBZ-Raad3Samenstelling Immigratie en Asiel /JBZ-Raad:Holdijk (SGP), G.J. de Graaf (VVD), Slagter-Roukema (SP), Franken (CDA), Witteveen (PvdA), Nagel (50PLUS), Ruers (SP), Van Bijsterveld (CDA), Duthler (VVD), Koffeman (PvdD), Kuiper (CU), Strik (GL), Lokin-Sassen (CDA), Scholten (D66), Th. de Graaf (D66), De Boer (GL), De Lange (OSF), Ter Horst (PvdA) (voorzitter), Beckers (VVD), Beuving (PvdA), Schrijver (PvdA), M. de Graaff (PVV) (vicevoorzitter), Reynaers (PVV), Popken (PVV), Huijbregt-Schiedon (VVD), Swagerman (VVD), Gerkens (SP) en voor Veiligheid en Justitie4«Samenstelling Veiligheid en Justitie:Holdijk (SGP), Kneppers-Heijnert (VVD), Kox (SP), Engels (D66), Franken (CDA), Thissen (GL), Nagel (50PLUS), Ruers (SP), Van Bijsterveld (CDA) (vicevoorzitter), Duthler (VVD) (voorzitter), Koffeman (PvdD), Kuiper (CU), Quik-Schuijt (SP), Strik (GL), K.G. de Vries (PvdA), Knip (VVD), Hoekstra (CDA), Lokin-Sassen (CDA), Scholten (D66), Schouwenaar (VVD), De Boer (GL), De Lange (OSF), Ter Horst (PvdA), Beuving (PvdA), Koole (PvdA), Schrijver (PvdA), Reynaers (PVV), Popken (PVV), Frijters-Klijnen (PVV), Swagerman (VVD) brengen bijgaand verslag uit van het gevoerde schriftelijk overleg.
 
 
 
 
 De griffier voor dit verslag,
 
 K. van
 Dooren
 
 
 
 
 
 
 BRIEF AAN DE STAATSSECRETARIS VAN VEILIGHEID EN JUSTITIE
 
 
 
 Den Haag, 10 juli 2013
 Op 17 juni 2013 hebt u de Eerste Kamer een brief gestuurd waarin u antwoorden geeft op de eerder bij brief van 17 mei 2013 door de vaste commissies voor Immigratie & Asiel/JBZ-Raad en voor Veiligheid en Justitie gestelde vragen inzake de Europese voorstellen betreffende de bescherming van persoonsgegevens.5Kamerstukken I 2012/13, 33 169, J. Zie ook de dossiers E120003 (Algemene verordening gegevensbescherming) en E120004 (Richtlijn gegevensverwerking politie en justitie) op www.europapoort.nl Deze antwoorden en de ontwikkelingen rond PRISM geven de leden van diverse fracties – VVD, PvdA, SP en D66 – aanleiding tot het stellen van nadere vragen. De leden van de fractie van de ChristenUnie sluiten zich bij deze nadere vragen aan. De leden van de fractie van D66 sluiten zich aan bij de vragen van de leden van de VVD-fractie.
 
 
 
 1.
 De positie van de publieke sector
 
 
 De regering heeft eerder aangegeven zich af te vragen of de Algemene verordening gegevens-bescherming voldoende ruimte biedt voor maatwerk in wetgeving waarin gegevensverwerking door de overheid wordt geregeld. In de brief van 17 juni heeft zij de specifieke artikelen 17, 18, 24, 26 en 33 van de voorgestelde verordening genoemd waarvan zij meent dat adequate ruimte voor gegevensverwerking door de overheid in verschillende opzichten nog tekortschiet. Artikel 17 betreft het recht om vergeten te worden en om gegevens te laten wissen. Artikel 18 betreft het recht op dataportabiliteit. De regering vraagt zich af waarom de verordening het recht om te worden vergeten en om gegevens te laten wissen niet beperkt tot de sociale netwerkomgeving. De leden van de VVD-fractie blijven van mening dat dit recht ook zou moeten kunnen worden ingeroepen als gegevens door de overheid worden verwerkt. Het feit dat de gegevens voor ge-rechtvaardigde doeleinden worden verwerkt, is een noodzakelijke voorwaarde om van een rechtmatige gegevensverwerking te kunnen spreken. Dat mag echter niets afdoen aan het recht van betrokkenen om ook in geval van gerechtvaardigde doeleinden waarvoor de gegevens wor-den verwerkt de verantwoordelijke te verzoeken hun gegevens te verwijderen. Dit recht hebben betrokkenen toch ook onder de Wet bescherming persoonsgegevens?
 De leden van de VVD-fractie verzoeken de regering om er alles aan te doen om deze bepaling zoveel mogelijk in stand te laten en niet te beperken tot de sociale netwerkomgeving. Dat zouden zij zeer onwenselijk vinden. In de voorbeelden die de regering geeft van vormen van formele verantwoording waaraan de overheid is gebonden, zijn gronden te vinden die ook onder de geldende Wet bescherming persoonsgegevens aanleiding geven om gegevens niet te wissen, ook al verzoekt de betrokkene daarom. Echter, de leden van de VVD-fractie verzoeken de regering met klem deze rechten (om vergeten te worden, om gegevens te laten wissen) in de ko-mende onderhandelingen niet te beperken maar in volle omvang te respecteren.
 
 De regering geeft verder in haar brief van 17 juni jl. geen nadere onderbouwing waarom zij van mening is dat in de publieke sector geen ruimte is voor het recht op dataportabiliteit (artikel 18). De leden van de VVD-fractie zien die ruimte wel degelijk en achten deze van essentieel belang. Als een kind dat specifieke jeugdzorg ontvangt van de ene gemeente naar een andere gemeente verhuist of van de ene jeugdhulpverlener naar de andere, dan moet het toch mogelijk zijn om dat recht op dataportabiliteit uit te oefenen?
 Verder ziet de regering in het geval van gegevensverwerking door de overheid in beginsel weinig of geen ruimte voor toestemming als grondslag voor gegevensverwerking. Maar wat nu als toestemming de enige gerechtvaardigde grondslag voor een gegevensverwerking zal blijken te zijn? Bijvoorbeeld omdat bijzondere gegevens worden verwerkt die niet passen binnen de uitzonderingen die worden gemaakt op het verbod om bijzondere gegevens te verwerken? Omdat de betrokkene bijvoorbeeld toestemming moet geven dat zijn medische gegevens die hij aan een Bureau Jeugdzorg verstrekt, ook worden ingezien door een arts of een gemeente om de hoogte van een financiële tegemoetkoming te bepalen? Als de betrokkene de toestemming waarop de verwerking is gebaseerd intrekt, dan moeten zijn gegevens toch worden gewist? Ook als hij erop wordt gewezen dat dit mogelijk consequenties kan hebben die nadelig voor hem werken? Kan de regering aangeven waarom dat recht om vergeten te worden dan niet zou moeten gelden?
 De regering motiveert verder niet waarom zij van mening is dat voor de artikelen 24, 26 en 33 de adequate ruimte voor gegevensverwerkingen door de overheid tekortschiet. Artikel 24 betreft de samenwerkingsverbanden, artikel 26 de verwerkers en artikel 33 de privacyeffectbeoor-deling of ook wel de privacy impact assessments (PIA). Wil de regering haar standpunt alsnog motiveren?
 De leden van de SP-fractie danken de regering voor de terugkoppeling over de JBZ-Raad ten aanzien van de nieuwe verordening en richtlijn voor de bescherming van persoonsgegevens. Zij hebben echter nog een enkele vraag. Daar waar het gaat om het recht om vergeten te worden geeft de regering aan dat dit niet vanzelfsprekend is wat betreft de registratie van de overheid en de contacten met de burger. Is op de JBZ-Raad de problematiek rondom genealogisch onderzoek naar voren gekomen? Zou het recht om vergeten te worden zo ver kunnen gaan dat men geen gegevens meer kan opvragen of dat er geen gegevens meer beschikbaar zijn voor genealogisch onderzoek? Geldt het recht om vergeten te worden dan ook voor de papieren archieven? Kan men om verwijdering uit die archieven verzoeken? Hoe staat het met het publiceren van genealogische gegevens zoals het adelboek? Is het denkbaar dat het recht om vergeten te worden er in de toekomst toe kan leiden dat men zijn herkomst niet meer goed zou kunnen onderzoeken met deze nieuwe richtlijn? Als dit zo is, wat is de positie van de Nederlandse regering op dit gebied? Is zij bereid zich ervoor in te zetten dat genealogisch onderzoek ook in de (verre) toekomst kan plaatsvinden?
 
 
 
 2.
 Grensoverschrijdend gegevensverkeer
 
 De leden van de VVD-fractie hebben aangegeven afwijzend te staan tegenover het standpunt dat de aanhef van artikel 43, tweede lid, in plaats van een gespecificeerde en gedetailleerde beschrijving ook een algemene beschrijving zou kunnen geven van de eisen waaraan intern bindende bedrijfsvoorschriften (BCR) moeten voldoen. De regering geeft aan dit standpunt ingenomen te hebben omdat het voorgestelde artikel 6, vierde lid, onvoldoende rekening houdt met de noodzaak om gegevens ook te kunnen gebruiken voor andere doelen dan die waarvoor zij oorspronkelijk zijn verzameld als daarvoor – na zorgvuldige belangenafweging – ruimte bestaat. De leden van de VVD-fractie kunnen zich vinden in het voorstel om een bepaling als die van artikel 9 van de Wet bescherming persoonsgegevens (Wbp) in de verordening op te nemen. Daarvoor is het echter niet nodig om een algemene beschrijving op te nemen. Zij verzoeken de regering dan ook zich te beijveren om een verenigbaarheidstoets zoals die van artikel 9 Wbp in de verordening op te nemen, maar geen afbreuk te doen aan de eis van een gespecificeerde en gedetailleerde beschrijving van de doeleinden van gegevensverwerkingen in intern bindende bedrijfsvoorschriften. Doelbinding is immers één van de pijlers van gegevensbescherming.
 
 
 
 3.
 Privacy by design, privacy by default en meldplicht datalekken
 
 De regering geeft aan dat de verplichtingen van privacy by design en privacy by default eerder op te leggen zijn aan grote bedrijven en de overheid dan aan kleine of middelgrote bedrijven of zelfstandigen zonder personeel, die dan vervolgens de keus hebben tot comply or explain. Zou een dergelijke benadering ook niet kunnen worden toegepast voor de meldplicht datalekken? Graag ontvangen de leden van de VVD-fractie een reactie van de regering.
 
 
 
 4.
 Administratieve lasten
 
 De regering heeft een onderzoek laten uitvoeren naar de administratieve lasten en de nalevingslasten van de voorgestelde verordening en komt dan uit op een bedrag van ongeveer 1,1 miljard euro, zo constateren de leden van de VVD-fractie. Eurocommissaris Reding heeft echter een onderzoek laten uitvoeren naar de opbrengsten die daar tegenover staan en komt op opbrengst van 4% groei van het bruto binnenlands product. Heeft de regering de opbrengsten van de voorgestelde verordening gegevensbescherming betrokken bij de berekening van de administratieve en nalevingslasten? Zo nee, waarom niet? Hoe kijkt de Nederlandse regering aan tegen dergelijke positieve effecten in economische zin?
 
 
 
 5.
 PRISM
 
 In de Tweede Kamer en in het Europees Parlement is het nodige gewisseld met de regering, respectievelijk de Europese Commissie over de PRISM zaak. De leden van de VVD-fractie verzoeken de regering hen schriftelijk op de hoogte te houden van de uitkomsten van de werkzaamheden van de expertgroep die door de Eurocommissaris Reding en de Amerikaanse minis-ter van Justitie Holder is ingesteld en voor het eerst in juli bij elkaar komt. Wat is de precieze opdracht die deze trans-Atlantische expertgroep heeft meegekregen? En binnen welk tijdsbestek komt zij met resultaten?
 In een publicatie van het Centre for European Policy Studies (CEPS) over PRISM6Zie «Open Season for Data Fishing on the Web. The Challenges of the US PRISM Programme for the EU», CEPS Policy Brief No. 293, 18 June 2013.2 geven weten-schappers op het gebied van gegevensbescherming een aantal aanbevelingen om tot een dege-lijke strategie te komen op het gebied van gegevensbescherming en deze te implementeren. Zo geven zij aan dat het bestaande Europese juridische raamwerk voor gegevensbescherming niet ziet op het domein van samenwerking van IT-bedrijven met politie en justitie, zeker niet in trans-Atlantische zin. Deelt de Nederlandse regering deze analyse? Deze wetenschappers beve-len aan om een algemene overeenkomst voor gegevensbescherming af te sluiten tussen de Europese Unie en de Verenigde Staten. Ook bevelen zij aan om het juridisch raamwerk voor gegevensbescherming in algemene zin te versterken en daarin een bepaling op te nemen die specifiek ziet op het verstrekken van gegevens door private bedrijven aan politiële en justitiële diensten buiten de Europese Unie. Daarnaast bevelen zij aan om de rechten van gebruikers van cloud computing verder te versterken. Graag ontvangen de leden van de VVD-fractie een reactie van de regering op deze aanbevelingen.
 De leden van de PvdA-fractie spreken hun tevredenheid uit over de constructieve voortgang van de besprekingen over privacybescherming in Europees verband en constateren dat deze constructieve en open gedachtewisseling tussen regering en volksvertegenwoordiging in schril contrast staat met de defensieve en ontwijkende reacties op het bekend worden van schendin-gen van de privacy van burgers en bedrijven door de Amerikaanse geheime dienst NSA via het PRISM-programma. De onthullingen van de heer Snowden betekenen, als ze op waarheid berus-ten, dat al vele jaren de meest vergaande en ongelegitimeerde inbreuken op de privacy hebben plaatsgevonden, maar ze hebben bij de Nederlandse regering een ontspannen, haast berustend te noemen reactie opgeleverd. Is de regering van mening dat het geen zin heeft om zelfstandig, ook buiten EU-verband, bij onze NAVO-bondgenoot te protesteren of althans om opheldering te vragen? Er zijn ambassadeurs om minder bij de regering ontboden. Hoe beoordeelt de regering de onthulling dat ook diplomaten zijn afgeluisterd? Is een dergelijke handelwijze te rijmen met de bondgenootschappelijke verhoudingen in de NAVO? Wat heeft een papieren waarborg van de privacy van burgers voor zin als de regering, alleen of in EU-verband, niet optreedt tegen de meest ernstige schendingen van de privacy?
 Ten aanzien van het PRISM-programma en het aftappen van het internet in het algemeen heb-ben de leden van de SP-fractie enkele vragen. Heeft de regering zicht op welke taps er op het Ams-ix knooppunt zitten? Naar verluidt is er juist in Duitsland veel getapt vanwege de vele knooppunten die daar liggen, ook ten aanzien van de verbinding met Oost-Europa. Kan de rege-ring garanderen dat er geen taps op het knooppunt in Nederland zijn? Waarom is de regering zeker van deze garantie?
 Het PRISM-programma is van toepassing op diensten die van Amerikaanse herkomst zijn. Na-men als Google, Facebook en anderen zijn hierbij naar voren gekomen. Welke van deze dien-sten, maar ook andere zoals Dropbox, worden er door de ministeries gebruikt? Kan de regering een opsomming geven van de diensten die door Amerikaanse bedrijven worden aangeboden en door de Nederlandse overheid worden gebruikt? Acht de regering het denkbaar dat er staatsge-voelige informatie in handen is gekomen van de Verenigde Staten op deze wijze? Kan de rege-ring haar antwoord toelichten? Acht zij het denkbaar dat bedrijfsgevoelige informatie op deze wijze in handen van de Amerikaanse overheid is gekomen en daarmee bij het Amerikaanse be-drijfsleven? Is er voor de regering aanleiding het beleid ten aanzien van het gebruik door minis-teries van diensten als Dropbox aan te passen? Zo ja, wanneer gaat de regering dit doen?
 De leden van de fractie van D66 hebben kennisgenomen van de brief van de regering aan de Tweede Kamer over het PRISM-programma en willen naar aanleiding daarvan nog een nadere vraag stellen. Door de Tweede Kamer is er een verzoek ingediend aan de Commissie van Toe-zicht op de Inlichtingen- en Veiligheidsdiensten (CTIVD). Hierin wordt de CTIVD verzocht om onderzoek te verrichten naar de schaal waarop de toegang en uitwisseling van gegevens plaats-vindt en welke rol de Nederlandse inlichtingendiensten, Algemene Inlichtingen- en Veiligheids-dienst (AIVD) en de Militaire Inlichtingen- en Veiligheidsdienst (MIVD), daarin hebben. Tevens is er gevraagd hoe de Nederlandse Inlichtingenwet daarop is ingericht en hoe de uitwisseling van deze gegevens zich verhoudt tot de grond- en burgerrechten in zowel Nederlands als in Euro-pees verband. Meer gespecificeerd is de CTIVD verzocht om:
 
 
 1.
 Een inschatting te geven van de aard en omvang van wat de Nederlandse inlichtingendien-sten doen aan grootschalige dataverzameling, het combineren van data, dataopslag en data-uitwisseling.
 
 
 2.
 Te onderzoeken welke ruimte de Wet op de inlichtingen- en veiligheidsdiensten (Wiv) laat voor onder punt 1 genoemde afzonderlijke activiteiten. En aan te geven of en waar de activitei-ten niet of deels rechtmatig plaatsvinden binnen de Wiv. Specifiek de relatie tussen artikelen 24–27 en 59.
 
 
 3.
 Te onderzoeken hoe de onder punt 1 genoemde 4 afzonderlijke activiteiten zich verhouden tot de Nederlandse Grondwet en EVRM.
 
 
 4.
 Te onderzoeken hoe de toetsing op proportionaliteit en subsidiariteit – zoals gevraagd in het EVRM – geregeld is wanneer via buitenlandse diensten informatie over Nederlandse burgers wordt verkregen.
 
 
 De leden van de fractie van D66 ondersteunen de aard van dit verzoek en vragen de regering wanneer de Kamer de resultaten kan verwachten en vragen de regering om de Eerste Kamer gelijktijdig met de Tweede Kamer nader te informeren over de resultaten van dit onderzoek. datum 10 juli 2013 ons kenmerk 152226.04u blad 6
 De vaste commissies voor Immigratie & Asiel/JBZ-Raad en voor Veiligheid en Justitie zien met belangstelling uit naar uw reactie en ontvangen deze graag uiterlijk begin september 2013.
 Hoogachtend, mede namens de voorzitter van de vaste commissie voor Veiligheid en Justitie,
 
 
 
 
 De voorzitter van de vaste commissie voor Immigratie & Asiel/JBZ-Raad,
 
 G. ter
 Horst
 
 
 
 
 
 
 
 BRIEF VAN DE STAATSSECRETARIS VAN VEILIGHEID EN JUSTITIE
 Aan de Voorzitter van de Eerste Kamer der Staten-Generaal
 Den Haag, 2 oktober 2013
 Bij brief van 10 juli 2013 heeft de voorzitter van de vaste commissies voor Immigratie & Asiel/JBZ- Raad en voor Veiligheid en Justitie een aantal vragen gesteld. Aanleiding daarvoor waren de antwoorden van mij op eerdere vragen van de commissie in mijn brief van 17 juni 2013 (Kamerstukken I 2012/13, 33 169, J). Hieronder treft u de antwoorden op deze vragen aan. Verder gaven de ontwikkelingen rond PRISM de vaste commissies aanleiding tot het stellen van vragen. Ook de antwoorden op deze vragen treft u hieronder aan. Deze antwoorden geef ik mede namens de Ministers van Binnenlandse Zaken en Koninkrijksrelaties en van Veiligheid en Justitie.
 
 
 
 1.
 De positie van de publieke sector
 
 
 De leden van de VVD-fractie geven aan van mening te blijven dat het recht om vergeten te worden en het recht om gegevens te laten wissen ook moet kunnen worden ingeroepen in de gevallen waarin gegevens worden verwerkt door de overheid. Zij wijzen erop dat wanneer gegevens voor gerechtvaardigde doeleinden worden verwerkt er hooguit sprake is van een noodzakelijke voorwaarde voor verwerking van persoonsgegevens door de overheid, maar dat dit niet kan afdoen aan het recht van betrokkenen de verantwoordelijke te verzoeken hun persoonsgegevens te verwijderen. Dat recht hebben betrokkenen nu al onder de Wet bescherming persoonsgegevens (Wbp), aldus deze leden.
 Deze leden verzoeken de regering verder er alles aan te doen om deze bepaling zoveel mogelijk in stand te laten en niet te beperken tot de sociale netwerkomgeving. Zij verzoeken de regering dan ook de rechten om te worden vergeten en om gegevens te laten wissen in volle omvang in stand te laten.
 De regering betreurt het dat zij in haar brieven de VVD-fractie niet heeft weten te overtuigen van de ongewenste complicaties van het in volle omvang in stand laten van deze rechten. Het recht om te worden vergeten is met betrekking tot de werkingsomvang en de uitvoerbaarheid nog met zoveel onzekerheden omringd, dat de effecten niet te overzien zijn als het toepassingsbereik uitgebreid wordt buiten sociale netwerkomgevingen. Zelfs binnen de meer algemene groep van diensten van de informatiemaatschappij is het recht om te worden vergeten al omringd met complicaties waarvan de effecten nog allerminst duidelijk zijn. De regering verwijst deze leden in dit verband graag naar de diepgravende conclusie van de advocaat-generaal bij het Hof van Justitie van de Europese Unie van 25 juni 2013 in de zaak C-131/12 Google Spain SL en Google Inc. / Agencia Espanola de Proteccion de Datos en Mario Costeja Gonzalez. De advocaat-generaal overweegt dat een dergelijk vérstrekkend recht in elk geval niet in de bestaande richtlijn 95/46/EG kan worden gelezen. De regering acht het dan ook onverantwoord om zonder duidelijk beeld van de mogelijke consequenties in te stemmen met het recht om te worden vergeten buiten het terrein van de sociale netwerkomgeving. Dat beeld is nog onvoldoende duidelijk.
 
 De regering wijst er bovendien op dat er gerechtvaardigde belangen zijn die nu juist het tegengestelde beogen van het recht om te worden vergeten, en dat die belangen in de verordening ook moeten worden verdisconteerd. Te denken valt aan de verwerking van persoonsgegevens voor wetenschappelijke, historische en statistische doeleinden.
 De regering wijst VVD-fractie graag nogmaals op de lopende gedachtenvorming die een scherper onderscheid wil maken tussen het recht om te worden vergeten enerzijds en het recht om te verzoeken gegevens te laten wissen anderzijds. Het laatste recht is, zoals de leden van de VVD-fractie terecht betogen, ook opgenomen in richtlijn 95/46/EG en in de Wbp. De regering steunt dat recht en is ook van oordeel dat toepassing in de publieke sector van de recht in beginsel kan worden aanvaard. De aard van de gegevensverwerking in de publieke sector brengt echter met zich dat op dat de formele wetgever op dat beginsel de nodige uitzonderingen zal moeten formuleren.
 De leden van de VVD-fractie constateren dat de regering in de brief van 17 juni 2013 geen nadere onderbouwing geeft waarom zij van mening is dat in de publieke sector geen ruimte is voor het recht op dataportabiliteit. Deze leden zien die ruimte wel degelijk en achten deze zelfs van essentieel belang. Zij wijzen erop dat wanneer een kind specifieke jeugdzorg ontvangt van de ene gemeente bij verhuizing dit recht zou moeten kunnen worden uitgeoefend jegens de volgende gemeente.
 De regering wijst de leden van de VVD-fractie erop dat in de brief van 9 april 2013, nr. 371091, aan de voorzitter van de Eerste Kamer der Staten-Generaal wel een onderbouwing is gegeven van de gedachtegang dat het recht op dataportabiliteit zich slecht verhoudt tot de taken van de publieke sector. Daaraan voegt de regering nog het volgende toe. Het recht op dataportabiliteit is een voorstel dat naar zijn aard eigenlijk geen regel van gegevensbeschermingsrecht is, maar eerder een regel van consumentenrecht lijkt te zijn. De gedachtegang daarachter is dat wanneer gegevens op uniforme wijze overdraagbaar zijn, een betrokkene met de hoedanigheid van consument gemakkelijker in staat is naar een andere dienstverlener over te stappen. Voorondersteld wordt dat de verwerking van persoonsgegevens dan gerechtvaardigd is krachtens toestemming of contract. Deze grondslagen komen in de publieke sector alleen in uitzonderingsgevallen voor. Uitgangspunt is dat de overheid gegevens op grond van wettelijke verplichtingen of ter uitvoering van een publieke taak dient te verwerken. Iets anders is dat de overheid in het kader van publieke dienstbaarheid burgers ook moet bijstaan om de noodzakelijke persoonsgegevens te verwerken.
 De leden van de VVD-fractie vragen de regering naar de consequenties van de intrekking van een toestemming om gegevens betreffende de gezondheid verder te verwerken in de context van de jeugdzorg. Wanneer de verdere verwerking van gegevens betreffende gezondheid uitsluitend zou berusten op toestemming, en de toestemming door de betrokkene wordt ingetrokken, dan mogen de gegevens inderdaad niet langer verder worden verwerkt door de verantwoordelijke of de derde die deze ontving. De consequenties van de voor de intrekking van de toestemming rechtmatig verwerkte gegevens kunnen niet ongedaan worden gemaakt. Overigens zal de betrokkene de intrekking van de toestemming moeten combineren met een verzoek om de gegevens te verwijderen of af te schermen wanneer hij beoogt inwilliging van dat verzoek ook voor derden enig effect te laten hebben. Anders dan de leden van de VVD-fractie suggereren is een dergelijke constructie niet te vergelijken met hetgeen met het recht om te worden vergeten wordt beoogd. Het recht om te worden vergeten is bedoeld voor de diensten van de informatiemaatschappij en dan met name de sociale netweksites, waarop gegevens van een betrokkene door die betrokkene zelf aan een onbepaalde groep openbaar zijn gemaakt. Dergelijke gevallen doen zich in de context die door de leden van de VVD-fractie wordt bedoeld niet voor.
 De leden van de VVD-fractie constateren verder dat de regering niet heeft gemotiveerd waarom zij van mening is dat voor de artikelen 24, 26 en 33 de adequate ruimte voor gegevensverwerking tekortschiet. Zij verzoeken de regering dit standpunt alsnog te motiveren.
 Wat betreft de artikelen 24 en 26 verwijst de regering andermaal naar de bovenbedoelde brief van 9 april 2013. De regering is van oordeel dat de rechtsverhouding tussen verantwoordelijken behorende tot de publieke sector onderling en de rechtsverhouding tussen verantwoordelijke en bewerker die beide tot de publieke sector behoren ook op een wettelijk voorschrift moet kunnen berusten. In de wetgevingspraktijk bestaat daaraan behoefte. Bij wettelijk voorschrift kunnen regels kunnen worden gesteld die recht doen aan de bijzondere aard van de publieke sector. In de brief van 9 april 2013 heb ik ook aangetekend dat de regeling in artikel 33 die neerkomt op de verplichting om een privacyeffectbeoordeling maken voordat met cameratoezicht wordt begonnen overbodig acht in het licht van de reeds bestaande wettelijke waarborgen.
 De leden van de SP-fractie hebben een aantal vragen gesteld over de verhouding van het recht om te worden vergeten tot de mogelijkheden voor het doen van genealogisch onderzoek. Deze leden vragen of deze problematiek op de JBZ-Raad aan de orde is gekomen. Zij vragen ook of het recht om te worden vergeten zo ver zou kunnen strekken dat geen gegevens meer beschikbaar kunnen worden gesteld voor genealogisch onderzoek. Ook vragen zij of het recht om te worden vergeten ook voor papieren archieven geldt en of men om verwijdering van gegevens uit archieven kan verzoeken. Verder vragen zij hoe het staat met het publiceren van genealogische gegevens en of het recht om te worden vergeten ertoe zou kunnen leiden dat men zijn herkomst niet meer goed zou kunnen onderzoeken. Deze leden vragen naar de Nederlandse positie op dit gebied en naar de bereidheid van de regering zich ervoor in te zetten dat genealogisch onderzoek ook in de toekomst mogelijk is.
 De verhouding tussen het recht om te worden vergeten en de verwerking van gegevens ten behoeve van historische, wetenschappelijke en statistische doeleinden is nog niet expliciet op de JBZ-Raad aan de orde geweest. Het onderwerp is einde juli 2013 voor het eerst afzonderlijk besproken in een raadswerkgroep. In eerdere raadswerkgroep is bij de behandeling van het recht om te worden vergeten door een delegatie gevraagd of er ook zoiets zou bestaan als het recht om te worden herinnerd. Zonder de bescherming van historisch erfgoed als subjectief recht te willen aanmerken, ben ik het met de leden van de SP-fractie eens dat de verhouding van het recht om te worden vergeten goed moet worden afgebakend tegenover potentieel conflicterende belangen die worden gediend door de mogelijkheid gegevens te verwerken voor historische, wetenschappelijke en statistische doeleinden. Genealogisch onderzoek wordt daaronder mede begrepen. In het geldende gegevensbeschermingsrecht wordt voor deze doeleinden een afzonderlijke regeling gegeven. Ik ben van oordeel dat deze moet worden gehandhaafd. Hoewel ik er niet van uitga dat met de ontwerpverordening is beoogd de verwerking van gegevens voor historische, wetenschappelijke en statistische doelen aan verdergaande beperkingen te onderwerpen dan die van het bestaande recht, verdient ook deze regeling nog veel aandacht. Wanneer die aandacht niet in voldoende mate wordt gegeven, kan dit er wellicht toe leiden dat het recht om te worden vergeten een te brede strekking krijgt.
 Het beheer van archiefstukken die zich onder de overheid bevinden wordt thans beheerst door een wettelijke regeling, de Archiefwet 1995. Voor zover archieven gedigitaliseerd zijn en daarin persoonsgegevens worden verwerkt, of de archieven als bestand in de zin van de Wbp moeten worden aangemerkt, kunnen betrokkenen een beroep doen op de rechten die zijn onder de Wbp hebben. In archiefstukken die naar een archiefbewaarplaats in de zin van de wet zijn overgedragen kunnen geen wijzigingen worden aangebracht. Ook mogen deze niet worden vernietigd. Wel bestaat de mogelijkheid dat de betrokkene een verzoek indient een eigen lezing over de verwerking van diens gegevens aan de stukken toe te voegen.
 De regering heeft over de ontwerpverordening contact gehad met vertegenwoordigers van de archiefsector. De regering zal zich inzetten voor het behoud van de bestaande mogelijkheden voor het verwerken van persoonsgegevens voor historische, wetenschappelijke en statistische doeleinden.
 
 
 
 2.
 Grensoverschrijdend gegevensverkeer
 
 De leden van de VVD-fractie hebben aangegeven afwijzend te staan ten opzichte van het door de regering in de onderhandelingen ingenomen standpunt om in plaats van een gespecificeerde en gedetailleerde beschrijving van de doeleinden van gegevensbescherming in bindende bedrijfsvoorschriften (BCR) te volstaan met een meer algemene beschrijving van de doeleinden. Zij voelen zich niet aangesproken door het standpunt van de regering dat een algemene beschrijving nodig is om het ten tijde van het opstellen van de BCR nog onvoorzien verenigbaar gebruik af te dekken. Deze leden verzoeken de regering daarom zich ervoor in te spannen dat in de verordening een verenigbaarheidstoets conform artikel 9 van de Wbp wordt opgenomen, maar geen afbreuk te doen aan de eis van een gespecificeerde en gedetailleerde beschrijving van de doeleinden.
 De regering heeft zich ingespannen om een verenigbaarheidstoets met belangenafweging op te nemen in de verordening. Daar blijkt belangstelling voor te staan bij andere lidstaten. De regering is daardoor bemoedigd op die weg voort te gaan. Wat de bindende bedrijfsvoorschriften betreft, heeft de regering ervoor gepleit om de doeleinden die worden gediend met verenigbaar nevengebruik zo goed mogelijk in de verordening vast te leggen. Het zal echter weinig praktische waarde hebben wanneer ten aanzien van verenigbaar nevengebruik op voorhand al gedetailleerde en gespecificeerde eisen gelden. Nevengebruik van gegevens zal tevoren niet altijd evident zijn. Zelfs al valt het na belangenafweging goed met het oorspronkelijke beoogde gebruik te verenigen, dan geldt bij een gedetailleerd en gespecificeerd voorschrift de regel dat voor een wijziging de hele procedure voor het vaststellen van een BCR moet worden overgedaan. Die procedure is tamelijk omslachtig. De daaruit voortvloeiende kosten en moeite kunnen worden bespaard wanneer de nodige terughoudendheid aan de dag gelegd wordt bij het vaststellen van gedetailleerde regels.
 
 
 
 3.
 Privacy by design, privacy by default en meldplicht datalekken
 
 
 De leden van de VVD-fractie vragen of de benadering «comply or explain» gevolgd zou kunnen worden door kleine of middelgrote bedrijven of zelfstandigen zonder personeel bij het uitvoeren van de meldplicht datalekken.
 De regering dankt de leden van de VVD-fractie voor deze constructieve suggestie. De regel van «comply or explain» kan in algemene zin toepassing vinden wanneer er sprake is van een regime waarvan het volgen niet wettelijk is voorgeschreven, maar maatschappelijk wel gestimuleerd moet worden, onder de vooronderstelling dat gedrag van deelnemers op de relevante markt tot gevolg heeft dat het niet naleven van het regime zonder uitleg nadelige effecten heeft. De meldplicht datalekken is in eerste instantie niet gedacht als een vrijwillig beperken van de risico's die gemoeid zijn met het verlies of onrechtmatige verwerking van persoonsgegevens. De wetgever wil met de meldplicht bereiken dat bedrijven en overheidsinstellingen preventief optreden door hun beveiliging zoveel mogelijk in orde te brengen, en dat zij daadwerkelijk ingrijpen wanneer dit in het belang van de bescherming van persoonsgegevens noodzakelijk is. Zonder meldplicht lukt dat onvoldoende. Wel moet ervoor worden gewaakt dat niet elk datalek gemeld hoeft te worden, omdat de kosten en inspanningen die een algemeen geldende meldplicht oplevert niet steeds in de juiste verhouding staan tot de gevolgen voor de bescherming van persoonsgegevens in het concrete geval. Er zal daarom gezocht moeten worden naar een zinvolle afgrenzing van de gevallen waarin niet gemeld hoeft te worden.
 
 
 
 
 4.
 Administratieve lasten
 
 De leden van de VVD-fractie vragen of de regering de opbrengsten van de verordening gegevensbescherming heeft betrokken bij de berekening van de administratieve en nalevingskosten, en zo dit niet is gebeurd, waarom dat is nagelaten. Deze leden vragen hoe de regering aankijkt tegen de positieve effecten in economische zin.
 Zoals verwoord is in mijn brief van 21 juni 2013, nr. 395427, zijn in het onderzoek naar de administratieve lasten en de nalevingskosten uitsluitend deze kosten en lasten betrokken. De regering heeft dit gedaan omdat over nationale voorstellen van wet op dezelfde manier tussen regering en Kamer wordt gecommuniceerd. Voor zover het mogelijk bleek is daarbij ook dezelfde methode gehanteerd als bij de berekening van kosten en lasten van voorstellen van wet gebruikelijk is. In genoemde brief staat duidelijk verwoord dat de regering niet de behoefte heeft de door de Commissie berekende voordelen van de verordening – het gaat om € 2,3 mld. op jaarbasis voor de Europese Unie – te ontkennen of te ontkrachten. De regering accepteert die voordelen. De regering ziet in de keuze van de verordening, juist vanwege de voordelen die deze rechtsvorm voor het bedrijfsleven biedt, nog altijd redenen die keuze te steunen. Het is echter wel zo dat van het eenvormige model van het oorspronkelijke Commissievoorstel zal moeten afgestapt om opbrengsten en kosten meer met elkaar in balans te brengen.
 
 
 
 5.
 PRISM
 
 In de Tweede Kamer en in het Europees Parlement is het nodige gewisseld met de regering, respectievelijk de Europese Commissie over de PRISM zaak. De leden van de VVD-fractie verzoeken de regering hen schriftelijk op de hoogte te houden van de uitkomsten van de werkzaamheden van de expertgroep die door de Eurocommissaris Reding en de Amerikaanse Minister van Justitie Holder is ingesteld en voor het eerst in juli bij elkaar komt. Deze leden vragen wat de precieze opdracht is die deze trans-Atlantische expertgroep heeft meegekregen en binnen welk tijdsbestek zij met resultaten komt.
 Na het initieel overleg in Dublin op 14 juni 2013 met de Eurocommissarissen van Justitie en van Binnenlandse zaken, Reding en Malmström, heeft de Amerikaanse Minister van Justitie Holder in een brief van 1 juli 2013 toegezegd dat de Verenigde Staten de EU nader zullen informeren over PRISM en vergelijkbare programma’s. De Verenigde Staten verwachtten overigens ook informatie van de EU-(lidstaten) over de juridische basis voor inlichtingenvergaring over het buitenland en de toezichtmaatregelen die daarop van toepassing zijn. Een EU-VS expertgroep buigt zich momenteel over de bescherming van de persoonlijke levenssfeer en van elektronische gegevens van burgers, met als doel wederzijds inzicht in elkaars programma’s en de wijze waarop deze zijn verankerd in de rechtstaat (wetgeving en toezicht op I&V-diensten). De lidstaten van de EU, waaronder dus ook Nederland, de Europese Dienst voor Extern Optreden (EDEO) en de Europese Commissie hebben de afgelopen periode in overleg met de VS gewerkt aan de start van deze expertgroep, onder andere tijdens een bijeenkomst in Washington DC op 8 juli 2013. Het huidig Litouwse voorzitterschap van de Raad, de Europese Commissie, de EU-coördinator voor contraterrorisme, de EDEO en de zogenaamde Artikel 29-werkgroep van de EU voor dataprotectie zijn in de expertgroep vertegenwoordigd. Daarnaast zijn er tien afgevaardigden van de lidstaten lid van de expertgroep. De expertgroep heeft op 22 en 23 juli jl. een eerste bijeenkomst gehad. Een tweede bijeenkomst vond plaats op 19 september 2013 in Washington.
 De leden van de VVD-fractie wijzen op een publicatie van het Centre for European Policy Studies (CEPS) over PRISM. Daarin geven wetenschappers op het gebied van gegevensbescherming een aantal aanbevelingen om tot een degelijke strategie te komen op het gebied van gegevensbescherming en deze te implementeren. Zo geven zij aan dat het bestaande Europese juridische raamwerk voor gegevensbescherming niet ziet op het domein van samenwerking van IT-bedrijven met politie en justitie, zeker niet in trans-Atlantische zin. Deze leden vragen of de Nederlandse regering deze analyse deelt. Deze wetenschappers bevelen aan om een algemene overeenkomst voor gegevensbescherming af te sluiten tussen de Europese Unie en de Verenigde Staten. Ook bevelen zij aan om het juridisch raamwerk voor gegevensbescherming in algemene zin te versterken en daarin een bepaling op te nemen die specifiek ziet op het verstrekken van gegevens door private bedrijven aan politiële en justitiële diensten buiten de Europese Unie. Daarnaast bevelen zij aan om de rechten van gebruikers van cloud computing verder te versterken.
 
 Graag ontvangen deze leden een reactie van de regering op deze aanbevelingen.
 Het Centre for European Policy Studies geeft in een bijdrage getiteld «Open Season for Data Fishing on the Web, The Challenges of the US PRISM Programme for the EU» no. 293 van 18 juni 2013 een analyse van de tekortkomingen van het EU-gegevensbeschermingsrecht, gevolgd door aantal aanbevelingen gericht tot de Europese wetgever. De regering is terughoudend met het onderschrijven van de analyse. Deze dateert van 18 juni 2013, een datum die kort na de eerste onthullingen over PRISM ligt. Een beter oordeel over die analyse kan pas volgen wanneer de regering kennis kan nemen van hetgeen de expertgroep in EU-verband haar ervaringen met de JBZ-Raad heeft gedeeld. Wat de aanbeveling betreft, reageert de regering daarop als volgt.
 
 De eerste aanbeveling betreft de versterking van de Europese gegevensbeschermingswetgeving, en dan met name het hoofdstuk over de doorgifte van persoonsgegevens uit de EU naar derde landen. Met name bepleit men om een bepaling op te nemen die neerkomt op een geclausuleerd verbod op elke doorgifte ter uitvoering van een eenzijdig vastgesteld wettelijk voorschrift van een derde land of een rechterlijk bevel of vordering van een bestuursorgaan uit dat derde land dat voorziet in de doorgifte van gegevens verwerkt door verantwoordelijken in de EU die niet tot de publieke sector behoren. Dat verbod zou alleen kunnen worden opgeheven wanneer de doorgifte wordt geregeld in een verdrag, tussen de EU en het desbetreffende derde land, en, naar de regering begrijpt, bovendien nog aan toestemming van de toezichthouder onderworpen moeten zijn. De regering acht dit een onvoldoende evenwichtig antwoord. Hoewel ook de regering van oordeel is dat de rechtstreekse doorgifte van gegevens door verantwoordelijken in de private sector naar de overheden derde landen aan nadere eisen moet worden gebonden, gaat dit antwoord voorbij aan de positie van bedrijven die zich geconfronteerd zien met conflicterende eisen van verschillende rechtsstelsels. Bovendien wordt er eenzijdig verwezen naar verdragen krachtens EU-recht, terwijl de regering niet inziet dat bilaterale verdragen of nationale wetgeving hier geen rol zou kunnen spelen. Bij dat laatste heeft de regering vooral gegevens op het oog die door private partijen worden verwerkt, en waarmee een nationaal belang is gemoeid. Voor toestemming van de toezichthouder of uitbreiding van de gevallen waarin die nodig zou zijn, ziet de regering overigens wel een rol. Het pleidooi voor versterkte informatieverplichtingen voor de aanbieders van sociale netwerksites en clouddiensten acht de regering interessant. Bezien zal worden in hoeverre dit in het door de regering onderschreven risicomodel zou kunnen worden ingepast.
 De tweede aanbeveling beoogt de bevordering van de rechten van de gebruikers van cloudddiensten. Die zouden door middel van pop-ups alert gemaakt moeten worden op de mogelijkheid dat van hun gegevens kennis kan worden genomen door de overheden van derde landen. De regering acht dit primair de taak van het bedrijfsleven om deze mogelijkheid verder te ontwikkelen. Er kan wel bij worden gezegd dat wettelijke informatieverplichtingen terzake stimulerend kunnen werken. Wat cloud computing betreft, wil ik opmerken dat veilig gebruik in het algemeen begint bij bewustwording («awareness») van de gebruiker. Om deze reden initieert de Minister van Veiligheid en Justitie dan ook wederom een online alert campagne in de periode van 28 oktober tot 5 november aanstaande.
 De derde aanbeveling is gericht op versterking van het raamwerk voor de overdracht van gegevens naar derde landen. Er wordt een duidelijke voorkeur uitgesproken voor de benutting van rechtshulpverdragen en voortzetting van de onderhandelingen over het parapluverdrag voor gegevensbescherming voor politie- en justitiesamenwerking tussen de EU en de VS. De regering kan zich daar in algemene zin wel in vinden.
 De vierde aanbeveling is gericht tot andere actoren dat de wetgever. Het zou daar moeten gaan om de ontwikkeling van technische en uitvoeringsregels en het delen van ervaringen door betrokken bedrijven, de rechterlijke macht, openbaar ministerie en politie. Dat is een behartenswaardige aanbeveling. In de praktijk bestaan deze contacten tussen de betrokken partijen in Nederland reeds.
 De vijfde aanbeveling is primair gericht tot het Europees Parlement en bepleit een alternatieve wijze van omgang met onthullingen als die waarvan sprake is. De regering doet geen uitspraak over een aanbeveling gericht tot het Europees Parlement.
 De leden van de PvdA-fractie spreken hun tevredenheid uit over de constructieve voortgang van de besprekingen over privacybescherming in Europees verband en constateren dat deze constructieve en open gedachtewisseling tussen regering en volksvertegenwoordiging in schril contrast staat met de defensieve en ontwijkende reacties op het bekend worden van schendingen van de privacy van burgers en bedrijven door de Amerikaanse geheime dienst NSA via het PRISM-programma. De onthullingen van de heer Snowden betekenen, als ze op waarheid berusten, dat al vele jaren de meest vergaande en ongelegitimeerde inbreuken op de privacy hebben plaatsgevonden, maar ze hebben bij de Nederlandse regering een ontspannen, haast berustend te noemen reactie opgeleverd. Zij vragen of de regering van mening is dat het geen zin heeft om zelfstandig, ook buiten EU-verband, bij onze NAVO-bondgenoot te protesteren of althans om opheldering te vragen. Er zijn ambassadeurs om minder bij de regering ontboden, zo stellen deze leden. Zij vragen hoe de regering de onthulling beoordeelt dat ook diplomaten zijn afgeluisterd. Zij vragen of een dergelijke handelwijze te rijmen valt met de bondgenootschappelijke verhoudingen in de NAVO. Zij vragen wat een papieren waarborg van de privacy van burgers voor zin heeft als de regering, alleen of in EU-verband, niet optreedt tegen de meest ernstige schendingen van de privacy.
 De EU heeft de Amerikaanse autoriteiten reeds op hoog niveau en via verscheidene kanalen aangesproken. Zo heeft de EU Hoge Vertegenwoordiger de Amerikaanse Minister van Buitenlandse Zaken om opheldering gevraagd naar aanleiding van de berichtgeving. Europese en Amerikaanse experts zullen zich gezamenlijk buigen over de problematiek van inlichtingenvergaring en dataprotectie. Nederland steunt deze aanpak. Op basis van de bevindingen zal de regering zich beraden op vervolgstappen.
 Ten aanzien van het PRISM-programma en het aftappen van het internet in het algemeen hebben de leden van de SP-fractie enkele vragen. Zij vragen of de regering zicht heeft op welke taps er op het AMS-IX knooppunt zitten. Naar verluidt is er juist in Duitsland veel getapt vanwege de vele knooppunten die daar liggen, ook ten aanzien van de verbinding met Oost-Europa, aldus deze leden. Zij vragen of de regering kan garanderen dat er geen taps op het knooppunt in Nederland zijn, en waarom de regering zeker is van deze garantie?
 
 Er zijn geen indicaties dat buitenlandse mogendheden de AMS-IX aftappen. De Nederlandse regering kan geen garanties geven over het al dan niet aftappen van private ondernemingen door derden.
 De leden van de SP-fractie geven aan dat het PRISM-programma van toepassing is op diensten die van Amerikaanse herkomst zijn. Namen als Google, Facebook en anderen zijn hierbij naar voren gekomen. Welke van deze diensten, maar ook andere zoals Dropbox, worden er door de ministeries gebruikt, zo vragen deze leden.
 
 De leden van de SP vragen zich verder af of de regering het denkbaar acht dat er staatsgevoelige informatie in handen is gekomen van de Verenigde Staten op deze wijze. Zij vragen de regering het antwoord toe te lichten. Zij vragen of de regering het denkbaar acht dat bedrijfsgevoelige informatie op deze wijze in handen van de Amerikaanse overheid is gekomen en daarmee bij het Amerikaanse bedrijfsleven. Zij vragen of de regering aanleiding ziet het beleid ten aanzien van het gebruik door ministeries van diensten als Dropbox aan te passen, en zo ja, wanneer de regering dit zal doen.
 Er bestaat geen uitputtend overzicht van het gebruik van onlinediensten, systemen en applicaties door de ministeries. Het gebruik van diensten zoals Dropbox behoort niet tot de rijksbrede ICT-infrastructuur. In algemene zin schrijft het Voorschrift Informatiebeveiliging Rijksdienst (VIR) voor dat een afweging van beveiligingsrisico's voor informatie plaatsvindt.
 Voor de opslag en verwerking van Staatsgeheime informatie is een apart voorschrift van toerpassing, het Voorschrift Informatiebeveiliging Rijksdienst – Bijzondere Informatie (VIR-BI). Dit voorschrift is erop gericht te voorkomen dat staatsgeheime informatie gecompromitteerd raakt. Dit Rijksbeleid impliceert dat diensten zoals Dropbox niet mogen worden gebruikt voor de opslag en verwerking van Staatsgeheime informatie. De departementen zelf zijn verantwoordelijk voor een juiste naleving van deze kaders en afspraken. De departementale Beveiligingsambtenaren (BVA’s) zien hierop toe. De RijksBVA ziet erop toe dat dit stelsel goed functioneert. Bij de BVA’S zijn geen signalen dat vertrouwelijke informatie in handen van derden is gevallen.
 
 De leden van de fractie van D66 hebben kennisgenomen van de brief van de regering aan de Tweede Kamer over het PRISM-programma en willen naar aanleiding daarvan nog een nadere vraag stellen. Door de Tweede Kamer is een verzoek ingediend aan de Commissie van Toezicht op de Inlichtingen- en Veiligheidsdiensten (CTIVD). Hierin wordt de CTIVD verzocht om onderzoek te verrichten naar de schaal waarop de toegang en uitwisseling van gegevens plaatsvindt en welke rol de Nederlandse inlichtingendiensten, Algemene Inlichtingen- en Veiligheidsdienst (AIVD) en de Militaire Inlichtingen- en Veiligheidsdienst (MIVD), daarin hebben. Tevens is er gevraagd hoe de Nederlandse Wet op inlichtingen- en veiligheidsdiensten 2002 daarop is ingericht en hoe de uitwisseling van deze gegevens zich verhoudt tot de grond- en burgerrechten in zowel Nederlands als in Europees verband. Meer gespecificeerd is de CTIVD verzocht om:
 
 
 1.
 Een inschatting te geven van de aard en omvang van wat de Nederlandse inlichtingendiensten doen aan grootschalige dataverzameling, het combineren van data, dataopslag en data-uitwisseling.
 
 
 2.
 Te onderzoeken welke ruimte de Wet op de inlichtingen- en veiligheidsdiensten (Wiv) laat voor onder punt 1 genoemde afzonderlijke activiteiten. En aan te geven of en waar de activiteiten niet of deels rechtmatig plaatsvinden binnen de Wiv. Specifiek de relatie tussen artikelen 24–27 en 59.
 
 
 3.
 Te onderzoeken hoe de onder punt 1 genoemde vier afzonderlijke activiteiten zich verhouden tot de Nederlandse Grondwet en EVRM.
 
 
 4.
 Te onderzoeken hoe de toetsing op proportionaliteit en subsidiariteit – zoals gevraagd in het EVRM – geregeld is wanneer via buitenlandse diensten informatie over Nederlandse burgers wordt verkregen.
 
 
 
 De leden van de fractie van D66 ondersteunen de aard van dit verzoek en vragen de regering wanneer de Kamer de resultaten kan verwachten en vragen de regering om de Eerste Kamer gelijktijdig met de Tweede Kamer nader te informeren over de resultaten van dit onderzoek.
 De Tweede Kamer heeft op 16 juli jl. de Commissie van Toezicht op de Inlichtingen- en Veiligheidsdiensten (CTIVD) verzocht een onderzoek te beginnen naar de gegevensverwerking van de AIVD en de MIVD op het gebied van telecommunicatie. De CTIVD is inmiddels gestart met het onderzoek en is voornemens dit in het najaar te voltooien. Conform de procedure vastgelegd in artikel 79 van de Wet op de inlichtingen- en veiligheidsdiensten 2002 zendt de regering het rapport met haar reactie aan beide Kamers van de Staten Generaal.
 
 
 
 
 De Staatssecretaris van Veiligheid en Justitie,
 
 F.
 Teeven