Voorafgaande raadpleging inzake Google
Staten-Generaal — Kamerstuk Brief
Datum: 2021-04-08 00:00:00.000000
Rechtsgebied: Wetgeving


Vergaderjaar 2020-2021
 Tweede Kamer der Staten-Generaal
 2
 Kamerstukken
 
 
 
 26 643
 
 Informatie- en communicatietechnologie (ICT)
 
 
 
 32 761
 
 Verwerking en bescherming persoonsgegevens 
 
 
 Nr. 747
 BRIEF VAN DE MINISTER VAN JUSTITIE EN VEILIGHEID
 
 
 
 Aan de Voorzitter van de Tweede Kamer der Staten-Generaal
 Den Haag, 1 maart 2021
 Op 20 december 20181Kamerstukken 26 643 en 32 761, nr. 585. berichtte ik u, mede namens de Minister van Binnenlandse Zaken en Koninkrijksrelaties over de dataverzameling door Microsoft. Op 1 juli 20192Kamerstukken 26 643 en 32 761, nr. 622. informeerde ik u voorts per brief over de door het Strategisch Leveranciersmanagement Rijk (hierna: SLM Rijk) uitgevoerde verificatie op de uitvoer van het verbeterplan met Microsoft. Naar aanleiding van de Rijksbrede afspraken omtrent de verwerking van persoonsgegevens die met Microsoft zijn gemaakt, is aan SLM Rijk op 15 juli 2019 door de CTO raad de opdracht verleend om met Google tot een vergelijkbare Rijksbrede afspraak te komen. Door middel van deze brief bericht ik u over het resultaat van het door SLM Rijk uitgevoerde Data Privacy Impact Assessment (hierna: DPIA) inzake Google. Ten slotte bericht ik u over de voorafgaande raadpleging bij de Autoriteit Persoonsgegevens.
 In het geval een gegevensverwerking waarschijnlijk een hoog risico vormt voor de rechten en vrijheden van natuurlijke personen, dient conform art. 35 lid 1 van de Algemene Verordening Gegevensbescherming (hierna: AVG) een DPIA te worden uitgevoerd. Een eventuele inzet van een nieuwe technologische toepassing als Google-diensten en de hiermee gepaard gaande grootschalige verwerkingen rechtvaardigt de uitvoering van de DPIA.3Zie ook WP29, Richtsnoeren voor gegevensbeschermingseffectbeoordelingen en bepaling of een verwerking «waarschijnlijk een hoog risico inhoudt» in de zin van Verordening 2016/679, Vastgesteld op 4 april 2017 Zoals laatstelijk gewijzigd en vastgesteld op 4 oktober 2017, p. 9. Daarbij adviseert WP29 (p. 9/10): In gevallen waarin het niet duidelijk is of een gegevensbeschermingseffectbeoordeling vereist is, raadt de WP29 aan om deze toch uit te voeren omdat een gegevensbeschermingseffectbeoordeling een nuttig instrument is dat verwerkingsverantwoordelijken helpt om aan de wetgeving inzake gegevensbescherming te voldoen.
 SLM Rijk heeft medio 2020 een DPIA uitgevoerd in verband met het voorgenomen gebruik van de enterpriseversie van Google G Suite (hierna: G Suite Enterprise). Hierbij zijn de dataprotectierisico’s die kunnen ontstaan bij het gebruik van verschillende onderdelen van de Google G Suite Enterprise via de Chrome-browser op de besturingssystemen Windows 10, MacOS en Chrome OS (op een Chromebook) en via mobiele applicaties op Android en iOS in kaart gebracht. Enkele voorbeelden van de diensten die zijn getest zijn Gmail, Calender, Hangouts, Sheets, Slides, Cloudsearch en Drive.
 Uit deze DPIA zijn tien hoge dataprotectierisico’s voortgekomen. Naar aanleiding van deze uitkomsten hebben tussen medio 2020 en februari 2021 meerdere gesprekken tussen SLM Rijk en Google plaatsgevonden met als doel de hoge risico’s te mitigeren. Deze gesprekken hebben geleid tot een aantal juridische en technische toezeggingen aan de kant van Google en een aantal mogelijke organisatorische maatregelen aan de kant van de Rijksorganisaties. Op basis van deze uitkomsten is er op 12 februari jl. een herbeoordeling van de hoge risico’s afgerond. De uitkomst hiervan is dat er acht hoge risico’s resteren.
 De hoge risico’s zien op een gebrek aan doelbinding, een gebrek aan transparantie, gebrek aan juiste grondslag, ontbrekende mogelijkheden voor privacy-vriendelijke instellingen, gebrek aan controle over sub-verwerkers en gebrek aan het recht op inzage voor betrokkenen in het kader van de voorgenomen verwerkingen bij het gebruik van de onderzochte Google-diensten. In de bijlage bij deze brief is de DPIA toegevoegd waarin de risico’s in detail zijn beschreven4Raadpleegbaar via www.tweedekamer.nl.
 Wanneer er na uitvoering van een DPIA hoge dataprotectierisico’s bestaan die niet door maatregelen worden gemitigeerd, is het op grond van art. 36 lid 1 van de AVG verplicht om een voorafgaande raadpleging bij de Autoriteit Persoonsgegevens (AP) aan te vragen. Om deze reden heeft SLM Rijk op 15 februari jl. een voorafgaande raadpleging bij de AP aangevraagd. De AP zal conform art. 36 lid 2 AVG schriftelijk advies uitbrengen.
 
 
 
 
 De Minister van Justitie en Veiligheid,
 
 F.B.J.
 Grapperhaus