Brief inzake een algemene verordening betreffende gegevensbescherming
Staten-Generaal — Kamerstuk Brief
Datum: 2014-06-23 00:00:00.000000
Rechtsgebied: Wetgeving


Vergaderjaar 2012-2013
 Eerste Kamer der Staten-Generaal
 1
 Kamerstukken
 
 
 
 33 169
 
 EU-voorstel: Richtlijn bescherming persoonsgegevens bij gebruik door politiële en justitiële autoriteiten (COM(2012) 10) en EU-voorstel Verordening algemeen kader bescherming persoonsgegevens (COM(2012)11)
 
 
 
 G
 
 BRIEF VAN DE VICEVOORZITTER VAN DE EUROPESE COMMISSIE
 
 
 
 Aan de Voorzitter van de Eerste Kamer der Staten-Generaal
 Brussel, 22 februari 2013
 De Commissie wenst de Eerste Kamer te bedanken voor haar opmerkingen over de voorstellen voor een algemene verordening betreffende gegevensbescherming {COM(2012) 11 final} en een richtlijn betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens {COM(2012) 10 final}, en verontschuldigt zich voor de vertraging die dit antwoord heeft opgelopen.
 De bedoeling van het hervormingspakket voor de gegevensbescherming dat de Commissie vorig jaar in januari heeft voorgesteld, is het opzetten van een modern, sterk, consistent en allesomvattend kader voor de gegevensbescherming in de Europese Unie. Het versterkt zowel de grondrechten en -vrijheden van personen in verband met de verwerking van persoonsgegevens als het vertrouwen van personen in de digitale omgeving en vereenvoudigt de wettelijke omgeving voor onderneming en de overheid aanzienlijk. Verwacht wordt dat daardoor de ontwikkeling van de digitale economie in de eengemaakte markt van de EU en daarbuiten wordt gestimuleerd, overeenkomstig de doelstellingen van de Europa 2020-strategie en de digitale agenda voor Europa.
 Ten slotte zou de hervorming het vertrouwen tussen de rechtshandhavingsinstanties doen toenemen, zodat zij meer geneigd zullen zijn onderling gegevens uit te wisselen en samen te werken in de strijd tegen ernstige misdaad, terwijl personen in hoge mate beschermd blijven.
 Het pakket is een antwoord op de krachtige roep van medewetgevers, de Raad1Conclusies van de Raad over de mededeling van de Commissie aan het Europees Parlement en de Raad – Een integrale aanpak van de bescherming van persoonsgegevens in de Europese Unie, 3071e bijeenkomst van de Raad Justitie en Binnenlandse Zaken, Brussel, 24 en 25 februari 2011. en het Europees Parlement2Resolutie van het Europees Parlement van 6 juli 2011 over een integrale aanpak van de bescherming van persoonsgegevens in de Europese Unie, p7_TA_(2011)0323., en van verschillende belanghebbenden om een rechtskader met strenge normen op basis van een integrale aanpak.
 Onverminderd de verdere beoordeling van de aanverwante aangelegenheden in de loop van de wetgevende procedures, kan op vragen in uw verklaring het volgende worden geantwoord:
 
 
 
 I.
 Het voorstel voor een algemene verordening gegevensbescherming:
 
 De voorgestelde verordening beoogt de afschaffing van administratieve rompslomp, zoals het vereiste inzake algemene kennisgeving aan de toezichthoudende autoriteiten. Administratieve vereenvoudiging moet echter gepaard gaan met meer verantwoordelijkheid van de voor de verwerking verantwoordelijke in verband met doeltreffende gegevensbescherming. Daarbij gaat het bijvoorbeeld om het informeren van de betrokkene. Om een persoon meer controle te geven over zijn gegevens, zou de voor de verwerking verantwoordelijke op grond van de voorgestelde verordening op een transparante manier duidelijke en begrijpelijke informatie moeten verstrekken over hoe en door wie de gegevens worden verzameld en verwerkt, over de redenen daartoe, over de termijn en over de rechten die de betrokken persoon heeft indien hij zijn gegevens wil inzien, rectificeren of vernietigen. Dit is een van de essentiële vereisten om het grondrecht op gegevensbescherming effectief te maken.
 De voor de verwerking verantwoordelijke krijgt vooral meer verantwoordelijkheid door de invoering van verplichte privacyeffectbeoordelingen en van functionarissen voor gegevensbescherming. In overweging (73) van de voorgestelde verordening is bepaald dat privacyeffectbeoordelingen dienen te worden verricht door een overheidsinstantie of -lichaam, indien een dergelijke beoordeling niet al is uitgevoerd in het kader van de aanneming van de nationale wet waarop de vervulling van de taken van de overheidsinstantie of het overheidslichaam is gebaseerd en waarin de specifieke verwerking of reeks verwerkingen wordt geregeld.
 De regels met betrekking tot de functionarissen voor gegevensbescherming creëren een algemeen kader waarbinnen zij hun opdrachten en taken op een onafhankelijke manier kunnen uitoefenen om de gegevensbeschermingsvoorschriften effectief te doen naleven. De voor de verwerking verantwoordelijke zou de functionaris voor gegevensbescherming in alle gevallen moeten bijstaan, ongeacht of die functie voltijds wordt uitgeoefend of niet. De vraag of een organisatie een overheidsinstantie of -lichaam is, is een horizontale aangelegenheid, die niet door de wetgeving inzake gegevensbescherming geregeld is, maar afhangt van de besluiten van de lidstaat waarbij een overheidsinstantie of -lichaam wordt opgericht.
 Het criterium van 25 personen, dat de drempel vormt voor bepaalde verplichtingen van de voor de verwerking verantwoordelijke, waaronder de documentatieverplichting of de verplichting een functionaris voor gegevensbescherming aan te wijzen voor particuliere voor de verwerking verantwoordelijken, is er gekomen omdat er rekening moest worden gehouden met de specifieke situatie van micro-, kleine en middelgrote ondernemingen, wat tot uiting komt in een aantal uitzonderingen. De definitie van het begrip kleine, middelgrote en micro-ondernemingen sluit aan bij de Aanbeveling 2003/361/EG van de Commissie van 6 mei 2033 betreffende de definitie van kleine, middelgrote en micro-ondernemingen, die ondernemingen tot 250 werknemers bestrijkt.
 Op grond van het beginsel «privacy by default» moeten er mechanismen verplicht worden gesteld om de beginselen van doelbinding, minimale gegevensverwerking en evenredigheid te handhaven. In artikel 22, lid 1, van de voorgestelde verordening is voor de voor de verwerking verantwoordelijke de verplichting opgenomen passende maatregelen uit te voeren om te kunnen aantonen dat de verwerking van persoonsgegevens in overeenstemming met de verordening wordt uitgevoerd. Die verplichting omvat de verplichting voor de voor de verwerking verantwoordelijke documentatie te bewaren, wanneer dit nodig is om te bewijzen dat de gegevensbeschermingsvoorschriften zijn nageleefd.
 Het concept van het éénloketsysteem berust op het begrip «belangrijkste vestiging», dat in artikel 4, lid 13, van de voorgestelde verordening gedefinieerd is. Aan de hand van de objectieve criteria die in die definitie zijn opgenomen, zou het mogelijk moeten zijn duidelijk de bevoegde autoriteit te bepalen.
 Wat inbreuken in verband met persoonsgegevens betreft, maakt de voorgestelde verordening een onderscheid tussen de melding van een dergelijke inbreuk aan de toezichthoudende autoriteit en de melding daarvan aan de betrokkene. Inbreuken op de beveiliging met de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot de doorgezonden, opgeslagen of anderszins verwerkte gegevens, hetzij per ongeluk hetzij onrechtmatig, tot gevolg, moeten aan de toezichthoudende autoriteit worden gemeld, terwijl dergelijke inbreuken in verband met persoonsgegevens slechts aan de betrokkene moeten worden gemeld wanneer de inbreuk waarschijnlijk negatieve gevolgen voor de bescherming van de persoonsgegevens of de privacy van de betrokkene heeft. Artikel 31, lid 3, betreft de vereisten voor de melding aan de toezichthoudende autoriteit door de voor de verwerking verantwoordelijke. Op grond van artikel 31, lid 2, moet de verwerker de voor de verwerking verantwoordelijke onmiddellijk na de vaststelling van een inbreuk in verband met persoonsgegevens waarschuwen en informeren.
 
 
 
 II.
 Het voorstel voor een richtlijn:
 
 De richtlijn is een specifieke rechtsinstrument, dat van toepassing is op de verwerking van persoonsgegevens door de bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen. Op basis van dezelfde beginselen en definities die in de verordening zijn vastgelegd, wordt in de voorgestelde richtlijn rekening gehouden met de specifieke aard van verwerking in een politieel of strafrechtelijk kader.
 «Bevoegde autoriteiten» zijn gedefinieerd in artikel 3, lid 14, van de voorgestelde richtlijn als «elke overheidsinstantie die bevoegd is ten aanzien van de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten of de tenuitvoerlegging van straffen». Het blijft tot de bevoegdheid van elke lidstaat behoren de daartoe bevoegde overheidsinstanties aan te wijzen. Wanneer die autoriteiten persoonsgegevens voor die doeleinden verwerken, zou de nationale wet waarbij de richtlijn wordt omgezet, van toepassing zijn. Wanneer die autoriteiten andere taken uitvoeren die niet onder het toepassingsgebied van de richtlijn vallen, is de verordening van toepassing. Dit is geen volledig nieuwe situatie ten opzichte van de huidige situatie; omdat beide rechtsinstrumenten deel uitmaken van een samenhangend rechtskader, zijn echter dezelfde beginselen van toepassing.
 Wat de term «preventie» binnen het toepassingsgebied van de richtlijn betreft, zou ik erop willen wijzen dat dit de terminologie is die wordt gebruikt in artikel 87 VWEU, en in artikel 1, lid 2, van Kaderbesluit 2008/977/JBZ van de Raad. De voorgestelde richtlijn, waarbij het kaderbesluit zal worden ingetrokken, bouwt voort op deze terminologie en in de zin van het Verdrag. De verplichting persoonsgegevens eerlijk te verwerken, die ook in artikel 5, onder a), van de voorgestelde verordening is opgenomen, bouwt voort op artikel 8, lid 2, van het Handvest van de grondrechten van de Europese Unie, dat onder meer bepaalt dat persoonsgegevens eerlijk moeten worden verwerkt voor bepaalde doeleinden. In het huidige acquis op het gebied van gegevensbescherming, dat reeds vereist dat persoonsgegevens eerlijk worden verwerkt (zie artikel 6, lid 1, onder a), van Richtlijn 95/46/EG), belet dit vereiste met name het gebruik van verborgen apparatuur waarmee gegevens in het geheim en zonder medeweten van de betrokkene kunnen worden verzameld, bijvoorbeeld door de telefoon af te luisteren of door andere middelen. Deze bepaling verbiedt voor de verwerking verantwoordelijken ook in het geheim persoonsgegevens te verwerken en te gebruiken.
 In een rechtsstaat moet de voor de verwerking verantwoordelijke ertoe worden verplicht zijn verantwoordelijkheid te nemen door hem aansprakelijk te stellen voor de naleving van de gegevensbeschermingsvoorschriften. De gevolgen van de aansprakelijkheid van de voor de verwerking verantwoordelijke zijn vastgelegd in artikel 54 van de voorgestelde richtlijn. Het recht op vergoeding voor personen die schade hebben geleden als gevolg van een onrechtmatige verwerking geldt nu ook al in een politieel of strafrechtelijk kader (zie b.v. artikel 19 van Kaderbesluit 2008/977/JBZ van de Raad).
 «Privacy by default», waarvan sprake is in artikel 19, lid 2, van de voorgestelde richtlijn, betekent dat de voor de verwerking verantwoordelijke voorziet in mechanismen om te waarborgen dat, tenzij uitdrukkelijk anders wordt bepaald, slechts die persoonsgegevens worden verwerkt die voor de doeleinden van de verwerking noodzakelijk zijn. Dit is een specifiek vereiste om de beginselen van doelbinding, minimale gegevensverwerking en evenredigheid te handhaven.
 De Commissie hoopt dat deze toelichtingen de punten die u in uw opmerkingen en vragen over de voorstellen voor nieuwe gegevensbeschermingsinstrumenten aanhaalt, verduidelijken en kijkt uit naar de voortzetting van onze politieke dialoog in de toekomst.
 
 
 
 
 De vicevoorzitter van de Europese Commissie,
 
 Maroš
 Šefčovič